Exploração de Aprovação de Token: Como Golpistas Drenam Carteiras Web3

Táticas comuns

• • Phishing com interfaces dApp enganosas: Golpistas criam aplicativos descentralizados falsos que espelham plataformas legítimas (OpenSea, Uniswap, Aave), mas redirecionam usuários para contratos inteligentes maliciosos que solicitam aprovações de token em vez de executar a função alegada.
• • Engenharia social via Discord/Telegram: Invasores publicam links falsificados em servidores de comunidades Web3, alegando drops de NFT exclusivos, airdrops de governança ou oportunidades de farm de rendimento que requerem conexão de carteira e aprovação de token.
• • Extensões de navegador de carteira comprometidas: Extensões maliciosas de Chrome ou Firefox se passam por ferramentas MetaMask ou de gerenciamento de carteira, injetando solicitações de aprovação falsa em interações legítimas de dApp sem conhecimento do usuário.
• • Exploração da confusão do usuário sobre mecânicas de aprovação: Golpistas aproveitam o fato de que a maioria dos usuários não entende a diferença entre aprovação de transação (assinar uma ação única) e aprovação de token (conceder acesso futuro ilimitado), incorporando linguagem técnica que soa real em suas solicitações.
• • Campanhas de pesca de raridade de NFT: Invasores criam plataformas falsas de negociação de NFT ou lançamentos oferecendo coleções raras, exigindo que usuários aprovem tokens para reivindicar ou licitar, depois drenam carteiras imediatamente após a aprovação ser concedida.
• • Manipulação enganosa de UI/UX: dApps de golpe exibem descrições de transação vagas ('Confirmar Troca', 'Ativar Trading') enquanto ocultam a quantidade de aprovação real, frequentemente configurando allowance ilimitada (type(uint256).max) no código.

Como identificar

• Você é solicitado a aprovar um token específico, mas o dApp afirma oferecer um serviço não relacionado (como uma cunhagem de NFT solicitando aprovação para um token de governança que você não possui).
• A solicitação de aprovação mostra uma quantidade de allowance unusualmente alta ou 'ilimitada' (exibida como um número muito grande ou MAX nos detalhes da transação).
• A URL da transação ou domínio do dApp é ligeiramente digitado incorretamente em comparação com a versão legítima (por exemplo, 'uniswapp.org' em vez de 'uniswap.org').
• Você recebe uma tela de confirmação de transação que não declara claramente o que você está aprovando ou não corresponde à ação que você pretendia realizar.
• O saldo da sua carteira diminui repentinamente para tokens que você não transferiu explicitamente, frequentemente notado ao verificar o histórico da carteira e ver transações que você não iniciou.
• Um dApp legítimo ou carteira pede repetidamente que você re-aprove o mesmo token, o que deveria ser necessário apenas uma vez, a menos que o allowance tenha sido totalmente consumido.

Como se proteger

• Sempre verifique domínios de dApp digitando-os diretamente em seu navegador em vez de clicar em links de mídia social, Discord ou emails—use uma ferramenta de verificação de domínio blockchain como Revoke.cash para confirmar URLs.
• Use um serviço de monitoramento de aprovação de token como Revoke.cash ou a aba Approvals do Etherscan para auditar regularmente todas as aprovações de token ativas em sua carteira e revogar permissões para serviços que você não usa mais.
• Aprove apenas o valor específico que você precisa para uma única transação em vez de allowance ilimitada; a maioria dos dApps legítimos permite que usuários insiram valores de aprovação personalizados.
• Ative ferramentas de simulação de transação como Tenderly ou o recurso Simulation do Etherscan antes de assinar qualquer transação para ver exatamente o que acontecerá (quais tokens se moverão e para onde).
• Mantenha tokens que você não está negociando ativamente em carteiras de armazenamento a frio separadas (carteiras de hardware como Ledger ou Trezor) que nunca se conectam a dApps, isolando a exposição a ativos de alto valor.
• Pratique a estratégia de 'carteira em camadas': use uma carteira com pequenos valores para interação e teste de dApp, e mantenha uma carteira segura separada para participações de longo prazo, reduzindo a perda potencial de um endereço comprometido.

Casos reais

Perguntas frequentes

Onde denunciar — Portugal / Brasil

Canais oficiais na sua região para denunciar este golpe.