Drainers de carteiras em 2026: como o phishing evoluiu

O que é realmente um wallet drainer em 2026

Um wallet drainer é um código malicioso, normalmente um smart contract mais um site de phishing, concebido para te convencer a dar-lhe permissão para mover ativos da tua wallet. A versão antiga deste esquema, o falso site de airdrop que pedia a tua seed phrase, está praticamente obsoleta porque anos de avisos treinaram os utilizadores para nunca escreverem aquelas doze palavras em lado nenhum online.

O que a substituiu é mais sofisticado. Os kits de drainer modernos são vendidos como serviços de assinatura em fóruns da dark web, com mensalidades, painéis de controlo e apoio ao cliente para os criminosos que os alugam. Os operadores recebem um painel de administração amigável que lhes permite escolher que tokens e NFTs visar, definir limites de aprovação e acompanhar as receitas em tempo real. Alguns destes kits já foram usados para roubar valores de nove dígitos numa única campanha.

Esta mudança é relevante porque a experiência do utilizador mudou. Já não é preciso ser enganado para entregar as tuas chaves. Basta ser enganado para clicares em "assinar" naquilo que parece ser uma confirmação rotineira. Quando a wallet termina de explicar o que acabou de acontecer, o drainer já submeteu uma transação que retira as tuas stablecoins, o teu ETH, o teu SOL ou os teus NFTs mais valiosos.

É por isto que o panorama de ameaças em 2026 parece diferente de tudo o que veio antes. A defesa já não é "nunca partilhes a tua seed phrase". É uma lista de verificação mais longa e técnica que o utilizador comum nunca aprendeu.

Porque é que os conselhos antigos já não te protegem

Se o teu modelo mental de roubo em cripto é "alguém me enganou para escrever a minha seed phrase", estás a defender-te contra o ataque de ontem. Três mudanças tornaram esse conselho insuficiente.

Primeiro, as hardware wallets e as software wallets modernas já avisam em voz alta quando um site pede a seed. A economia dos drainers respondeu ao mudar para o roubo baseado em assinaturas, onde nenhum segredo sai do teu dispositivo. Assinas o que parece ser um login ou claim normal, e a wallet mostra uma mensagem vaga sobre "interagir com um contrato". Essa vagueza é o ataque.

Segundo, a maioria das dapps legítimas usam agora aprovações em lote, assinaturas sem gas e mensagens off-chain para tornar a experiência mais fluida. Os drainers exploram a mesma infraestrutura. Do ponto de vista da wallet, assinar uma mensagem Permit2 é indistinguível de assinar uma cotação da Uniswap. A wallet não consegue dizer qual é maliciosa sem ler o contrato, e a maioria das wallets não o faz por ti.

Terceiro, os atacantes移aram a engenharia social para fora da cadeia. O site de phishing é apenas a porta da frente. A verdadeira manipulação acontece em DMs, grupos de Telegram, servidores de Discord e anúncios em motores de busca que te levam para um clone convincente. Quando chegas ao site malicioso, já foste preparado para confiar nele.

Abuso de assinaturas Permit e Permit2

O Permit é um padrão de tokens da Ethereum (EIP-2612) que permite autorizar um contrato a gastar os seus tokens sem pagar gas pela transação de aprovação. O Permit2, promovido pela Uniswap, generaliza isto de modo a que uma única assinatura off-chain possa conceder direitos abrangentes sobre vários tokens de uma só vez.

Para utilizadores honestos, isto é prático. Para os drainers, é um presente. Uma única mensagem Permit2 assinada pode dizer "autorizar o spender a mover qualquer quantidade dos tokens listados, sem expiração". A carteira apresenta algo como "Assinar mensagem" com um longo bloco de texto que a maioria dos utilizadores não vai ler. Se o utilizador clicar em confirmar, o backend do drainer pode mais tarde invocar a função permit e retirar fundos a qualquer momento, mesmo dias depois.

O perigo é amplificado pelo que as carteiras não mostram. Muitas interfaces de carteira apresentam versões truncadas ou humanizadas das assinaturas, e nem sempre conseguem descodificar um payload Permit2 em "isto permite a um estranho drenar os seus USDC". Algumas carteiras começaram a adicionar avisos para padrões Permit2 conhecidos, mas a cobertura é desigual, especialmente na Solana, onde a assinatura de mensagens off-chain semelhantes se comporta de forma diferente.

Os hábitos defensivos aqui são mecânicos. Trate qualquer pedido de "Assinar Mensagem" que não venha de uma dapp à qual se ligou intencionalmente como um sinal de alarme. Leia o payload descodificado se a sua carteira o permitir. Para saldos elevados, prefira aprovações on-chain com um montante específico e uma expiração curta, e revogue-as quando terminar.

Envenenamento de endereços à escala industrial

O envenenamento de endereços explora o facto de as blockchains permitirem que qualquer pessoa envie tokens para qualquer outra por uma taxa mínima. Um operador de drainer gera milhares de endereços de carteira, escolhe aqueles cujos primeiros e últimos caracteres coincidem com os endereços com os quais transacionou recentemente, e envia-lhe uma transação de dust com um valor praticamente nulo.

Não repara no dust recebido. Mais tarde, quando copia um endereço para enviar fundos, acaba por pegar no envenenado a partir do seu histórico de transações, porque os primeiros seis e últimos quatro caracteres parecem idênticos aos do destinatário real. A transferência é concluída e os fundos aterram na carteira do atacante.

Na Ethereum, o custo de gerar milhares destes endereços semelhantes e de os polvilhar com dust é agora tão baixo que os operadores executam isto como infraestrutura de fundo, não como uma campanha direcionada. Na Solana, a economia é ainda mais barata, porque as taxas base de transação são uma fração de cêntimo e as transferências de tokens SPL podem ser ainda mais baratas.

A mitigação é sobretudo processual. Confirme sempre o endereço completo, não apenas o prefixo e o sufixo. Utilize a funcionalidade de lista de endereços da sua carteira, para estar a copiar de um contacto etiquetado e não de uma lista de transações. Para transferências de elevado valor, envie primeiro uma pequena transação de teste. Considere carteiras que assinalem dust recebido de fontes desconhecidas.

Impersonação de suporte gerada por IA

A camada mais humana dos ataques modernos de drainers é a impersonação do apoio ao cliente. Os operadores semeiam servidores de Discord, grupos de Telegram e até respostas no X com contas que parecem legítimas: fotos de perfil recolhidas de membros reais da equipa, variações de handles realistas e um histórico de comentários úteis em threads não relacionadas.

O que mudou em 2025 e 2026 é a utilização de IA generativa. Foram usadas vozes clonadas de fundadores em chamadas ao vivo no Telegram para convencer os utilizadores de que um "agente de suporte" é real. Avatares de vídeo gerados por IA apareceram em DMs privadas a fingir ser pessoal de compliance de grandes exchanges. Chatbots de IA mantêm conversas longas e pacientes com as vítimas, guiando-as pelo processo de "verificação" que termina num site de drainer.

A razão pela qual isto funciona é que a impersonação é paciente. O atacante não precisa de apressar um link mau em trinta segundos. Pode passar dias a construir uma relação num servidor de Discord, depois enviar-lhe uma DM sobre um falso airdrop, e depois guiá-la por um processo de "reclamação" que assina uma mensagem Permit2. Quando chega ao site malicioso, acredita que está a falar com um verdadeiro funcionário.

A defesa é tratar todas as DMs não solicitadas como hostis por defeito. As verdadeiras equipas de suporte dos grandes projetos quase nunca iniciam contacto por DM; direcionam-no para um sistema de tickets ou um endereço de email oficial. Se alguém lhe escrever primeiro a afirmar ser da equipa de suporte de um projeto, é, com uma probabilidade esmagadora, uma burla. Verifique através de um canal que abriu por iniciativa própria, não através de um canal fornecido pelo contacto.

Extensões de navegador maliciosas e piggybacks em carteiras

As extensões de navegador são um vetor mais silencioso, mas crescente. O padrão é simples. Um atacante clona ou maquilha uma extensão de carteira legítima, lista-a na Chrome ou Firefox Store com um nome e ícone semelhantes, e espera que os utilizadores a instalem por engano. Uma vez instalada, a extensão pode reescrever endereços em páginas web, trocar detalhes de transações na popup da carteira, ou invocar contratos de phishing no momento em que o utilizador se conecta.

Uma variante mais subtil faz piggyback em extensões legítimas. Alguns operadores de drainer compram extensões existentes com poucas instalações, lançam uma atualização maliciosa e deixam a base de utilizadores existente atualizar-se automaticamente para uma versão comprometida. A extensão continua a parecer funcionar normalmente, mas agora recolhe mensagens assinadas e reencaminha-as para servidores controlados pelo atacante.

As carteiras móveis enfrentam um risco paralelo. Aplicações de carteira falsas aparecem em app stores, por vezes atingindo brevemente o topo dos resultados de pesquisa através de promoção paga, e geram seed phrases que o atacante já conhece. Quando o utilizador financia a carteira, os ativos são desviados em minutos.

As defesas aqui são ambientais. Instale extensões de carteira apenas a partir dos sites oficiais dos projetos que pretende utilizar. Reveja as permissões que uma extensão pede e revogue tudo o que não seja necessário para operações de carteira. No mobile, verifique o nome do programador, o número de instalações e a data da última atualização antes de financiar qualquer nova aplicação de carteira.

Primeiros socorros: o que fazer nos cinco minutos após uma assinatura maliciosa

Se suspeita que assinou algo malicioso, os próximos minutos determinam quanto vai perder. A velocidade importa porque muitos drainers esperam minutos ou horas antes de levantar os fundos, na esperança de que não dê pelo sucedido.

O primeiro passo é parar de interagir com a dapp que produziu a assinatura. Feche o separador, desligue a sua carteira do site, caso a opção ainda esteja disponível, e não assine mais nenhuma transação a partir da carteira comprometida. A próxima assinatura que fizer pode ser um payload de segunda fase que compromete ainda mais as suas aprovações.

O segundo passo é mover os restantes ativos para uma carteira limpa que nunca tenha interagido com o site suspeito. Utilize uma carteira física, se tiver uma, ou uma carteira recém-instalada cuja frase seed tenha sido gerada offline. Faça isto a partir da carteira comprometida, assinando uma transferência normal (não uma aprovação) para o novo endereço. Se o drainer já queimou tokens específicos, priorize mover aqueles que ainda não foram levados.

O terceiro passo é revogar aprovações. Na Ethereum, serviços como o revoke.cash podem enumerar todas as aprovações que a sua carteira já concedeu e permitem submeter revogações on-chain. Faça isto a partir da carteira comprometida antes de a colocar num estado apenas de consulta. Tenha em atenção que revogar tem custos de gas e que os drainers, por vezes, observam o mempool à espera de revogações, por isso mova primeiro os fundos e depois revogue.

O quarto passo é analisar a transação ou mensagem assinada propriamente dita. No Etherscan ou Solscan, encontre a transação mais recente da sua carteira e verifique se interagiu com um contrato de um drainer conhecido. Se assinou uma mensagem Permit2 mas ainda não apareceu nenhuma transação on-chain, o drainer pode ainda estar à espera de a submeter. Trate qualquer mensagem assinada não confirmada como se fosse munição real.

O quinto passo é alertar os projetos envolvidos. Se o drainer se fez passar por um protocolo conhecido, contacte esse protocolo através de um canal oficial para que possam avisar outros utilizadores. Denuncie o site malicioso ao Google Safe Browsing, ao fornecedor da carteira e a quaisquer empresas de análise on-chain que publiquem endereços associados a burlas.

Como ler a nova vaga de notícias sobre drainers com sentido crítico

As notícias sobre drainers em 2026 costumam surgir em dois formatos. O primeiro são títulos alarmistas sobre uma campanha única que rouba dezenas de milhões, que frequentemente reciclam capturas de ecrã antigas e inflacionam os valores. O segundo são post-mortems demasiado técnicos de empresas de segurança que identificam contratos, mas não explicam a engenharia social que levou à assinatura.

Utilize os detalhes que interessam: que tipo de assinatura foi abusado, que dapp foi usurpado, que cadeia foi alvo e se a campanha ainda está ativa. Ignore totais de perdas em números redondos, a menos que venham de uma carteira on-chain verificável, e ignore promessas de que uma "nova ferramenta" o tornará imune. Nenhuma ferramenta substitui a disciplina básica de ler aquilo que se assina.

Mantenha-se à frente dos wallet drainers com a Zippfeed

As táticas dos wallet drainers evoluem semanalmente, e acompanhar que assinaturas, cadeias e esquemas de usurpação estão ativos neste momento já é, por si só, um trabalho. A Zippfeed recolhe notícias de cripto de toda a web, classifica cada uma como bullish, neutral ou bearish e avalia-as por importância, para que possa identificar novos padrões de phishing e alertas de segurança antes que cheguem à sua carteira. Utilize-a para estar a par do pulso da cripto sem ter de andar atrás de todas as threads em fóruns.