Golpes com carteira cripto: como funcionam e como evitá-los
A maioria das perdas com carteiras cripto vem de truques, não de carteiras quebradas: phishing atrás da sua seed phrase, assinaturas maliciosas que drenam tokens, apps falsos, endereços parecidos e suporte falso. Vá com calma, verifique cada fonte você mesmo e nunca compartilhe sua seed phrase.
Qual o tamanho do problema?
O phishing com wallet drainers em redes EVM levou cerca de US$ 494 milhões de aproximadamente 332.000 endereços em 2024 (ScamSniffer, jan. de 2025). Em 2025, a ScamSniffer contabilizou US$ 83,85 milhões roubados de 106.106 vítimas, uma queda de 83%, embora o maior roubo individual ainda tenha sido de US$ 6,5 milhões a partir de uma única assinatura Permit em setembro de 2025 (ScamSniffer, jan. de 2026). Esses números cobrem só o phishing de assinaturas; apps falsos, golpes de investimento e roubo de seed phrase vêm por cima.
Os 10 golpes de carteira mais comuns
| Golpe | Como funciona | Defesa |
|---|---|---|
| Wallet drainers | Sites falsos de airdrop ou mint pedem que você assine approvals ou permits que entregam seus tokens | Leia cada assinatura; rejeite pedidos de Permit/approve que você não esperava. Guia |
| Apps de carteira falsos | Apps ou extensões imitadoras roubam sua frase quando você "restaura" | Instale só pelo domínio oficial. Guia |
| Address poisoning | Endereços parecidos plantados no seu histórico | Nunca copie endereços do histórico. Guia |
| Suporte falso | "Atendentes" respondem à sua reclamação e pedem sua frase ou um compartilhamento de tela | O suporte real nunca manda DM primeiro e nunca pede sua frase |
| Cartas e e-mails de phishing | Mensagens de "verificação obrigatória" com QR codes | Ignore; confira os comunicados no app oficial |
| Approvals maliciosos deixados abertos | Approvals ilimitados antigos são abusados depois | Revise e revogue. Guia |
| Tokens e NFTs de golpe enviados por airdrop | Tokens não solicitados levam a sites drainer | Oculte-os; não visite os links nem tente vendê-los |
| Investimento e "pig butchering" | Um novo amigo online orienta você a depositar numa plataforma falsa | Nunca envie fundos a plataformas apresentadas por desconhecidos |
| Hardware falso ou adulterado | Dispositivos baratos de revendedores, ou cartões de recuperação já preenchidos | Compre direto; sempre gere uma frase nova |
| Malware de área de transferência e de navegador | Troca o endereço que você cola ou injeta código nas páginas da carteira | Confira o endereço na tela do dispositivo; mantenha o software atualizado |
Casos reais, com datas
- 20 dez. 2025: um trader enviou 49.999.950 USDT (cerca de US$ 50 milhões) para um endereço envenenado parecido, após uma pequena transferência de teste (The Block, dez. de 2025).
- 24 dez. 2025: uma versão 2.68 maliciosa da extensão da Trust Wallet para Chrome drenou cerca de US$ 7 milhões; a Trust Wallet lançou a 2.69 e abriu um processo de reembolso (BleepingComputer, dez. de 2025).
- Fev. 2026: cartas golpistas com timbre falso da Ledger e da Trezor empurravam uma "Authentication Check" via QR code (BleepingComputer, fev. de 2026).
- 7–13 abr. 2026: um app falso da Ledger na Mac App Store; cerca de US$ 9,5 milhões roubados (iThinkDiff, abr. de 2026).
- Jul. 2026: três usuários processaram a Apple por apps falsos de "Sparrow Wallet" para iOS, alegando que cerca de US$ 1,8 milhão em bitcoin foi roubado em 2025; a Sparrow verdadeira não tem app para iOS (BleepingComputer, jul. de 2026).
- Set. 2026: e-mails de phishing enviados a partir do endereço real de suporte da Trezor depois que seu provedor de e-mail, a Brevo, foi invadido (BleepingComputer, set. de 2026).
- Out. 2026: a Ledger confirmou implantes ocultos que roubam a seed em dispositivos vendidos por um revendedor do mercado cinza (Crypto Briefing, out. de 2026).
A lista completa está no nosso rastreador de incidentes de segurança.
Sinais de alerta
- Urgência: "sua carteira será suspensa", "resgate em até 24 horas".
- Qualquer pessoa pedindo sua seed phrase, chave privada ou um compartilhamento de tela.
- Links enviados por DM, em respostas ou em anúncios acima dos resultados de busca.
- Um pedido de assinatura que não corresponde ao que você estava tentando fazer.
- Retornos garantidos, ou uma plataforma que cobra "impostos" antes de você poder sacar.
Se você caiu em um golpe
- Estanque o prejuízo. Se sua seed phrase foi exposta, crie uma carteira nova em um dispositivo limpo e transfira os fundos restantes. Se você assinou um approval, revogue-o (veja approvals de tokens).
- Registre tudo: hashes de transação, endereços, sites, mensagens e datas.
- Denuncie à polícia do seu país ou à delegacia de crimes cibernéticos e a qualquer exchange que tenha recebido os fundos; às vezes as exchanges conseguem congelar depósitos.
- Cuidado com golpes de recuperação. Quem promete "recuperar" cripto roubada mediante taxa antecipada quase sempre também é golpista.
Perguntas frequentes
Qual é o golpe com carteira cripto mais comum?
O phishing em suas muitas formas: sites falsos que pedem assinaturas maliciosas, apps falsos e falsos atendentes de suporte que pedem sua seed phrase.
Dá para recuperar cripto roubada?
Raramente. Transações em blockchain não podem ser revertidas. Às vezes exchanges congelam os fundos roubados, ou os atacantes os devolvem, como no caso de address poisoning de US$ 68 milhões em WBTC em 2024, mas não conte com isso.
A empresa da carteira vai me reembolsar se eu cair em um golpe?
Normalmente não, quando foi você quem aprovou a transação. Algumas empresas compensaram usuários quando a falha era do próprio software, como a Ledger após o ataque ao Connect Kit em 2023.
Serviços de recuperação de cripto são legítimos?
Trate-os com extrema desconfiança. Muitos são golpes de segunda rodada voltados às vítimas. Em vez disso, denuncie o roubo à polícia e à exchange que recebeu os fundos.
Como verificar se o site de uma carteira é verdadeiro?
Digite o domínio você mesmo ou use um favorito, em vez de clicar em links ou anúncios. Nossas análises informam cada domínio oficial em texto simples.