Como proteger as transações cripto do phishing

Phishing é a causa principal das perdas na cripta. Os ataques tornaram-se mais espertos: sites falsos de carteiras, «dreners» em DAPP, falsos airdrop's, subscrições de débitos infinitos (appreve/permit), códigos QR substituídos e «address poisoning». A boa notícia é que uma simples disciplina operacional fecha quase completamente estes vetores. Abaixo, um sistema prático que protege as transações antes e depois de clicar em «Send/Sign».

1) Três baleias de proteção: endereço → rede → assinatura

1. O endereço do destinatário é comparar os primeiros 4 a 6 caracteres e usar apenas QR/adereços do consultório pessoal, em vez de chats/buscas.

2. Rede/ativo: a rede de token (BC-20/TRC-20/BEP-20/Arbitrum/Optimism/Solana/TON, etc.) deve corresponder no remetente e no destinatário. Para XRP/XLM/BNB/EOS, verifique o Memo/Tag.

3. Assine/transação: Leia exatamente o que assina: 'transfer', 'applove', 'permit', 'setApprovalForAll', 'swap', 'bridge', 'mint'. Se não entenderem, não assinem.

2) Vetores básicos de phishing (e como fechá-los)

Sites falsos e domínios homógrafos. Funcione apenas com os seus próprios marcadores; não passe por anúncios publicitários ou «suporte» em aplicativos de mensagens.

Estilistas de clipboard e trocas de QR. Escaneie o QR da página oficial e verifique os caracteres de endereço. Qualquer discrepância é um cancelamento.

Address poisoning. Não copie os endereços do histórico de entrada. Use o livro de endereços/withlist.

«Drainer» em DAPP. Nunca importar seed em sites. Antes de assinar, veja os direitos solicitados pelo DAPP (limite, token, prazo).

Falso airdrop/NFT. Não interaja com NFT/links de presente. Qualquer botão claim fora das fontes verificadas é proibido.

Sociengeneria (e-mail, Telegram/Divulgação). «Zapport» nunca pede seed/chave privada/exportação de chaves. A frase anti-fishing nas bolsas deve ser incluída.

Integração WalletConnect. Verifique o nome DAPP e o domínio na solicitação de sessão. Se não corresponder ao site aberto, desista.

Pontes/bridges. Use apenas os oficiais; encurtem a rede de destino e o contrato de token.

Lightning/faturas QR. A fatura é descartável, vive por minutos. Vencido - gera um novo, não «refresque» antigo.

3) Carteira de hardware e «confirmação na tela»

A carteira de hardware reduz drasticamente o risco de phishing, que mostra os dados reais da assinatura em suas mãos. Hábitos:

Confira o endereço/valor/método na tela do dispositivo.
Nunca digite seed em PC/telefone/site - apenas no próprio dispositivo.
Para grandes quantias, a política de quatro olhos é a segunda pessoa/segunda chave no multissigo.

4) Assinaturas seguras em redes EVM (ETH, BSC, Polygon, etc)

Approve/Permit:

Dê acesso apenas ao token desejado, coloque o limite mínimo em vez de «∞».
Retire periodicamente (revoke) as antigas permissões através de serviços de reaproveitamento confiáveis/Dapp.
Assinaturas sem gás (EIP-2612/Permit2/Off-chain orders): leia o texto. Uma «assinatura gratuita» pode dar acesso a longo prazo aos gastos.
Simulação de transação: Use carteiras/extensões que mostram o que muda após a conclusão (de onde/para onde sairão os tokens).

5) Higiene do navegador e do dispositivo

Um perfil de navegador para criptografia, um mínimo de extensões.

Atualização automática da carteira - apenas de fontes oficiais; verifique a assinatura/hash dos bilhetes.

2FA TOTP/U2F nas bolsas; carregar os códigos de reserva e a segunda chave-token.

Não faça grandes operações no Wi-Fi público.

Faça um registro de transações: data, rede, endereço, valor, TxID.

6) Cheque antes de enviar/assinar (1 minuto)

O endereço é extraído do marcador/aplicativo oficial e os primeiros/últimos 4-6 caracteres correspondem.
Rede/ativo e (se necessário) Memo/Tag foram verificados.
Entendo o tipo de operação: 'transfer '/' apprive '/' permit '/' swap '/' bridge'.
O limite de permissão é limitado ao valor da transação, não «∞».
Para o valor> US $200 - transação de teste e espera por inscrição.
Carteira de hardware: endereço/valor/contrato confirmado na tela do dispositivo.

7) Protocolo de suspeita de phishing (ações por minuto)

0-5 minutos:

Desliga imediatamente a Internet/Extensão, pare mais assinaturas.
Na bolsa - Congele as conclusões, mude as senhas, desliga as sessões ativas.

5-30 minutos:

Verifique os últimos approve/permit e retire os suspeitos.
Transfira os bens de uma carteira vulnerável para uma carteira limpa (sweep), comece com os tokens mais líquidos/moedas.
Guarde as TxID, as tábuas, os logs.

A seguir:

Reinstale a carteira no dispositivo limpo, com as novas chaves.
Informe os serviços onde podem estar os bens do atacante (bolsas/pontes).
Analise: de onde veio o link, quem pediu a assinatura, quais extensões foram instaladas.

8) Frequentes «bandeiras vermelhas»

Urgência e escassez: «Faça agora, senão congelamos o bónus/conta».

Por favor insira um seed/chave privada «para verificação/ativação/airdrop».

O domínio não é compatível entre o WalletConnect e o site aberto.

A solicitação é «approve para todos os tokens» ou «sem limites para sempre».

Botões falsos «speed up/claim/verify» em sites clones.

9) Mini-FAQ

Os últimos 4 caracteres de endereço são suficientes? Melhor, os primeiros e os últimos 4-6, alguns ataques estão a apanhar a mesma cauda.

Deve sempre restringir o approve? Sim, sim. A permissão para «∞» é conveniente para os intrusos e drenadores.

Com que frequência é certo fazer o remo? Após cada sessão com o novo DAPP e regularmente agendada (por exemplo, uma vez por mês).

A carteira de equipamento resolve tudo? Ele reduz o risco, mas não protege a sua assinatura para uma cirurgia prejudicial - leia o que assina.

A transferência pode ser cancelada? Não. No máximo, não assinar uma operação prejudicial ou retirar as permissões antes do cancelamento.

A protecção contra phishing não é um software anti-tudo, mas um procedimento: marcadores, confecção de endereço/rede, leitura de assinatura, apprive/permit limitado, carteira de hardware, revezamento de permissões e traduções de teste. Faça disso uma rotina - e a chance de perder fundos por causa do phishing se tornará estatisticamente insignificante, mesmo que você use ativamente Dapp, pontes e bolsas.