Guia de Segurança em Criptomoedas: Como Identificar e Prevenir Ataques de Engenharia Social

Autor: SafePal

No mundo das criptomoedas, os castelos mais fortes às vezes não são aqueles que são quebrados pela tecnologia, mas sim aqueles que são "abertos" pelas próprias pessoas.

Em comparação com as complexas vulnerabilidades na blockchain, o que os usuários comuns encontram com mais frequência são os ataques de engenharia social (Social Engineering Scam). Os atacantes não precisam necessariamente quebrar carteiras de hardware ou obter permissões de sistema; eles são mais habilidosos em disfarçar identidades, criar um senso de urgência e, em seguida, usar a confiança das pessoas e o medo da perda de ativos para induzir transferências, cliques em links de phishing, downloads de malware, conexões de carteiras, assinaturas de transações e até mesmo a entrega voluntária de frases de recuperação e chaves privadas.

Os ataques de engenharia social realmente sofisticados muitas vezes não fazem com que a fraude pareça uma fraude. Em vez disso, eles embrulham operações perigosas como uma "operação de segurança" normal.

I. Tipos Comuns de Ataques de Engenharia Social:

Primeiro Tipo: Falsificação de Identidade

Os atacantes podem se passar por serviços de atendimento ao cliente de carteiras, exchanges, administradores de projetos, influenciadores, empresas de logística, advogados ou até mesmo outras instituições, entrando em contato com os usuários por meio de Telegram, Discord, X, WeChat, telefone, etc.

As falas comuns incluem: "Detectamos anomalias em sua conta." "Sua carteira precisa ser revalidada." "Podemos ajudá-lo a recuperar seus ativos."

O fato de a outra parte saber seu nome, telefone, pedido ou informações da conta não prova que sua identidade é verdadeira. Informações reais são mais propensas a serem usadas pelos atacantes para aumentar a credibilidade.

O critério de julgamento não é se a outra parte "parece um atendente", mas sim o que exatamente ela está pedindo que você faça; todos que solicitam controle de ativos são golpistas.

Mesmo em comunidades oficiais, há golpistas disfarçados de atendentes. Mensagens privadas não são monitoradas oficialmente, e é onde os golpistas mais frequentemente têm sucesso — se você tiver um problema, é recomendável fazer perguntas publicamente em canais abertos.

Uma regra de ferro que a comunidade de criptomoedas deve lembrar: pessoas oficiais nunca entrarão em contato com você por mensagem privada para oferecer ajuda.

Segundo Tipo: Publicação de Links de Phishing, Sites Falsos ou Softwares Falsos

E-mails, mensagens de texto, anúncios de busca, códigos QR e mensagens privadas em redes sociais podem se tornar portas de entrada para phishing.

Os atacantes podem criar páginas quase idênticas às do site oficial ou publicar aplicativos de carteira falsos, plugins de navegador, clientes de desktop e supostas "atualizações de firmware", induzindo você a inserir contas, códigos de verificação, frases de recuperação, conectar carteiras ou assinar transações.

A verdadeira falha pode ser apenas a falta de uma letra no nome de domínio ou a adição de um caractere.

Portanto, ao baixar carteiras, fazer login em contas, usar extensões de navegador e firmware de carteiras de hardware, não assuma que a página "parece o site oficial" é automaticamente segura. Você pode reduzir o risco de cair em sites de phishing através das seguintes ações:

1. Após verificar o URL pela primeira vez através de canais oficiais, salve-o manualmente nos favoritos do navegador.

Acesse sempre a partir dos favoritos, evitando depender de mecanismos de busca a cada uso. Os links "patrocinados" ou "anúncios" no topo dos resultados de busca costumam ser as áreas mais afetadas por sites falsos.

2. Confirme o link de download do site oficial.

Ao baixar aplicativos de carteira ou extensões de navegador, sempre entre na loja de aplicativos oficial através do link de redirecionamento fornecido pelo site oficial. Mesmo ao pesquisar dentro da loja de aplicativos, verifique cuidadosamente as informações do desenvolvedor e o número de downloads para evitar baixar softwares falsos com o mesmo nome.

Terceiro Tipo: Criar Medo e Urgência

Esta é uma das táticas psicológicas mais comuns em engenharia social.

"Os ativos estão sendo roubados." "A carteira tem uma vulnerabilidade grave." "Se não resolver em dez minutos, a conta será congelada." "É necessário atualizar imediatamente, ou o dispositivo não funcionará."

O objetivo dessas falas é fazer com que você não tenha tempo para verificar e siga os passos fornecidos pela outra parte.

Muitas vezes, o "aviso de segurança" é parte do golpe.

Os atacantes primeiro geram o medo de "se eu esperar mais, o dinheiro se foi", e então apresentam links maliciosos, softwares falsos ou supostos "endereços seguros" como soluções.

Portanto, quanto mais a informação exigir uma ação imediata, mais vale a pena parar e verificar.

Quarto Tipo: Ficar Oculto e Construir um Relacionamento de Confiança a Longo Prazo

Nem todos os ataques de engenharia social criam medo; alguns, na verdade, oferecem benefícios.

Airdrops gratuitos, NFTs, recompensas de cashback, investimentos de alto rendimento e vagas internas podem se tornar iscas.

Alguns golpes também estabelecem relações de longo prazo através de softwares sociais, chats em grupo ou até plataformas de namoro, e lentamente recomendam aos usuários supostas oportunidades de investimento, plataformas de negociação ou serviços de gerenciamento.

O mais perigoso desses ataques é que eles não têm pressa para obter resultados — os atacantes podem levar semanas ou até meses para construir confiança, até que você voluntariamente transfira seu dinheiro.

E para aqueles que já foram enganados, há um tipo mais sutil de "segundo golpe": supostos advogados, agências de investigação ou equipes de recuperação de ativos entram em contato com você, alegando que os fundos foram encontrados, e que você só precisa pagar taxas de advogado, impostos ou taxas de desbloqueio.

Quinto Tipo: Realizar Ataques de Engenharia Social Através de Canais Offline

A engenharia social não ocorre apenas na tela.

Os atacantes podem usar telefone, cartas físicas, entregas, ou até mesmo enviar supostos "dispositivos substitutos", informando aos usuários que o dispositivo apresenta riscos e que precisam escanear um código para atualizar, reimportar a carteira ou trocar o hardware.

Portanto, qualquer dispositivo de carteira que você não comprou ou solicitou ativamente, mas que recebeu repentinamente, não deve ser usado diretamente, e muito menos deve ter a frase de recuperação da carteira original importada.

II. Como um Ataque de Engenharia Social Geralmente é Concluído?

Embora existam muitas formas, a maioria dos ataques pode ser dividida em alguns passos semelhantes.

Primeiro Passo: Estabelecer Credibilidade

Os atacantes podem se passar por carteiras, exchanges, serviços de atendimento ao cliente, projetos, empresas de logística ou até mesmo informações pessoais reais, ou estabelecer credibilidade através de interações prolongadas.

Portanto, "a outra parte sabe minhas informações reais" não prova que sua identidade é verdadeira.

Segundo Passo: Criar um Motivo que Precisa ser Resolvido

O motivo pode vir do medo (ativos sendo roubados, conta sendo congelada), benefício (airdrop, reembolso, ativos recuperados) ou "ajuda" (eu vou ajudá-lo a resolver isso).

Independentemente de qual seja, o objetivo é comprimir seu tempo de julgamento independente e empurrá-lo para o próximo passo.

Terceiro Passo: Realizar o Verdadeiro Ataque

Os atacantes geralmente solicitarão que você: acesse um site específico, escaneie um código QR, baixe um software, compartilhe a tela, conecte a carteira, insira um código de verificação, assine uma transação, forneça uma frase de recuperação ou chave privada, ou transfira diretamente para um determinado endereço.

Esta também é a etapa mais importante para julgar o risco.

Não pergunte apenas: "Essa pessoa parece um oficial?" Pergunte-se: "O que ele realmente quer que eu faça?"

Se um "aviso de segurança" resulta em você entregar o controle dos ativos, então, mesmo que a embalagem anterior pareça verdadeira, é uma fraude.

III. Diante de Ataques de Engenharia Social, Mantenha Quatro Limites

As táticas de fraude podem mudar continuamente, mas os princípios de segurança não são tão complexos.

Primeiro: Não forneça a ninguém sua frase de recuperação, chave privada, PIN ou senha da carteira

A frase de recuperação não é um código de verificação, não é um documento de autenticação de identidade, não é um recibo de reembolso, nem um suposto "código de atualização de segurança".

Carteiras de auto-custódia legítimas podem exigir que o usuário insira a frase de recuperação em dispositivos confiáveis ou softwares oficiais ao restaurar a carteira, mas isso é completamente diferente de enviar a frase de recuperação para um atendente, administrador ou inserir em uma página desconhecida.

Segundo: Não valide a outra parte através de entradas fornecidas por ela mesma

Ao receber um suposto e-mail oficial, não clique no "site oficial" no e-mail para confirmar a veracidade; ao receber uma ligação suspeita, não continue usando o número de telefone fornecido pela outra parte.

Saia da fonte atual de informação, encontre novamente o site oficial, aplicativo oficial ou conta verificada e verifique novamente.

Terceiro: Não confirme assinaturas e autorizações que você não entende

Não ter vazado a frase de recuperação não significa que está seguro.

Autorizações maliciosas, assinaturas de Permissão, Aprovação de Token, ou até mesmo uma transferência comum, podem resultar em perda de ativos.

Se você não sabe o que está autorizando, não confirme apenas porque "o atendente disse que precisa validar".

Quarto: Quanto mais pressionado, mais devagar você deve ir.

"É necessário atualizar imediatamente" "Os ativos estão sendo roubados" "Se não resolver em dez minutos, será congelado", essas falas são exemplos típicos de pressão psicológica. Um processo de segurança realmente normal pode suportar que você leve alguns minutos a mais para confirmar.

Os golpes são os que mais desejam que você não tenha tempo para pensar.

IV. O que fazer se você já realizou uma operação suspeita?

Se você apenas recebeu e-mails, mensagens de texto, telefonemas ou mensagens privadas suspeitas, sem clicar, assinar ou transferir, pare de contatar e mantenha as evidências relevantes.

Se você já inseriu a senha da conta, códigos de verificação ou baixou softwares suspeitos, altere rapidamente a senha da conta relevante, redefina o 2FA e verifique os registros de login de contas importantes, como e-mail e exchanges.

Se você já conectou DApps desconhecidos ou realizou autorizações ou assinaturas suspeitas, verifique rapidamente as transações recentes e as autorizações da carteira, revogando permissões que você não reconhece ou não usa mais.

Se a frase de recuperação ou chave privada já foi vazada, considere a carteira original como comprometida. Nesse caso, crie um novo conjunto de carteira e frase de recuperação em um dispositivo confiável e transfira rapidamente os ativos que ainda estão na carteira original para a nova carteira. A frase de recuperação que já foi vazada não deve ser usada novamente.

Considerações Finais

O mais perigoso na engenharia social não é a complexidade da tecnologia, mas sim a sua capacidade de explorar a psicologia humana.

Diante de qualquer contato anômalo relacionado a ativos, o mais importante não é lembrar quantas táticas de fraude existem, mas sim não tomar decisões sob medo, ganância e pressão.

Quanto mais apressado você se sentir, mais devagar deve ir; quanto mais atraente parecer, mais você deve confirmar um passo a mais.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.