Os conselhos sobre fraude em cripto são escritos para quem compra a primeira moeda, e por isso não protegem mais ninguém. Os golpes que alcançam traders com anos de estrada não se apoiam na ignorância. Apoiam-se na rotina, no ritmo, e no fato de que uma conta ativa assina coisas o dia inteiro.
O golpe ingênuo precisa que você não entenda o que está acontecendo. O competente precisa do contrário: que você esteja fazendo algo familiar, depressa, num contexto em que a ação que ele quer é a que você ia fazer de qualquer jeito. Saber mais deixa você mais rápido, e é a velocidade que está sendo explorada.
Há também um efeito de seleção que ninguém aprecia. Um trader ativo tem saldos em várias plataformas, vários conjuntos de credenciais, sistemas automatizados que guardam chaves, e um rastro público deixado em fóruns ou redes. Esse perfil vale muito mais esforço que um perfil comum, e o recebe. As mensagens que chegam até ele são pesquisadas, bem escritas, e miram algo que o alvo realmente faz.
O golpe que pega os experientes nunca lhes pede para aprender algo. Pede que façam, uma vez rápido demais, o que fazem vinte vezes por semana.
Ninguém digita um endereço de destino. Todo mundo copia um, e a fonte habitual é o histórico de transações. O ataque explora exatamente isso: uma transferência minúscula é enviada ao seu endereço a partir de um endereço sósia, gerado para que os primeiros e últimos caracteres coincidam com um que você usa com frequência. Ele já está instalado no seu histórico com cara de lugar com quem você já negociou.
Na próxima vez que você copiar dessa lista com pressa, copia o impostor. O meio da cadeia é diferente, e ninguém lê o meio de uma cadeia. A transferência é válida, irreversível, e vai para alguém que gastou algumas unidades de taxa para estar ali no dia em que você estava distraído.
A defesa é de procedimento e leva um segundo: conferir caracteres tirados do meio do endereço em vez das pontas, e copiar destinos de uma lista salva que você mesmo montou em vez do histórico. Colocar endereços de saque em lista branca, em toda plataforma que ofereça isso, elimina por completo a exposição nos destinos que você usa repetidamente.
O suporte de verdade responde a você. Ele não encontra você primeiro. Contudo a versão mais produtiva dessa fraude é justamente a de entrada: pouco depois de você publicar uma pergunta num fórum ou num canal de comunidade, alguém escreve em particular, usa o seu nome, cita o problema exato que você descreveu e se oferece para ajudar.
O que vem depois nunca pede uma senha, porque pedir quebraria o encanto. Pede para conectar uma carteira a uma página de verificação, rodar um comando de diagnóstico, digitar a sua frase de recuperação num formulário que parece uma restauração de carteira, ou instalar uma ferramenta de acesso remoto para poderem ver o problema. Cada pedido é plausível no contexto do problema que você anunciou publicamente.
Uma única regra cobre a categoria inteira e não exige julgamento. As conversas de suporte começam de dentro da plataforma, por iniciativa sua, por um caminho que você mesmo percorreu. Quem contata você primeiro sobre uma conta não é, sem exceção que mereça atenção, quem diz ser.
As perdas mais caras dos últimos anos não envolveram chaves roubadas. Envolveram uma assinatura produzida pelo próprio dono, numa página parecida com outra que ele usava com frequência, concedendo uma permissão de gasto em vez de fazer uma transferência.
O mecanismo merece ser dito sem rodeios porque o vocabulário o esconde. Conceder uma permissão não move nada, então depois nada parece errado. O saldo sai mais tarde, num momento escolhido por quem detém a permissão, e por isso a perda tantas vezes parece desconectada de qualquer gesto de que a vítima se lembre. Uma carteira física realiza essa assinatura com a mesma fidelidade que qualquer outra.
Dois hábitos resolvem isso. Ler o que a carteira está pedindo para aprovar, e especificamente se é uma transferência ou uma autorização, porque a interface de fato as distingue. E tratar como hostil qualquer pedido de assinatura que apareça sem que você tenha iniciado uma ação, em especial o que chega logo depois de conectar-se a um site alcançado por um link.
Uma chave que não pode ser roubada assina do mesmo jeito tudo o que você aprova. A ameaça se deslocou da chave para o momento da aprovação.
Uma mensagem de texto pode ser redirecionada convencendo uma operadora móvel a transferir um número para um aparelho novo. O procedimento existe para ajudar clientes que perderam um telefone, é executado por pessoas sob pressão de tempo, e já se mostrou repetidamente contornável com informações nada difíceis de reunir sobre alguém exposto publicamente.
Uma vez transferido o número, cada código enviado a ele chega ao atacante, incluídas as redefinições de senha da conta de e-mail que ancora todo o resto. O trader cujas contas de plataforma, e-mail e perfis sociais recaem todos no mesmo número está a um erro de operadora de perder os três de uma vez, e a sequência leva minutos.
O remédio é banal: usar um aplicativo autenticador ou uma chave de segurança física em todo lugar onde for oferecido, tirar o número de telefone dos métodos de recuperação onde a plataforma permitir, e colocar um bloqueio de portabilidade ou equivalente junto à operadora. Nada disso é difícil e quase ninguém faz antes de um incidente.
Uma extensão de navegador autorizada a ler e alterar dados em todos os sites é um observador permanente de cada interface de negociação que você abre. Extensões mudam de mãos, são vendidas a novos donos e recebem atualizações que não foram escritas pela pessoa em quem você confiou. Não é hipótese, é um padrão recorrente, e o mecanismo de atualização faz a mudança chegar até você em silêncio.
O mesmo raciocínio vale para a automação. Um robô que se conecta à sua conta precisa de uma chave de API, e todo robô que pede direitos de saque pede algo de que estratégia nenhuma precisa. Um script copiado de um fórum roda com as suas permissões, e lê-lo é toda a revisão de segurança que ele terá na vida.
Mantenha o perfil de navegador que toca em valor separado daquele com que você navega, instale nele o mínimo possível, e audite o que está instalado por calendário. O objetivo não é paranoia, é reduzir o número de partes capazes de alterar em silêncio código que roda ao lado da sua conta.
Depois de uma perda tornada pública chega uma segunda onda: serviços que se oferecem para rastrear e recuperar fundos roubados, muitas vezes citando o incidente específico, às vezes reivindicando ligação com um investigador ou uma autoridade. Pedem honorários adiantados, ou acesso à carteira para avaliá-la.
A premissa é falsa onde importa. Uma transação liquidada num registro público não pode ser revertida por uma empresa privada, e rastrear para onde os fundos foram, o que é de fato possível, não é a mesma coisa que conseguir recuperá-los. O que se vende é uma segunda perda, a alguém de quem já se estabeleceu que é alcançável e está motivado.
Há uma coisa que vale mesmo fazer depois de uma perda, e ela não é comercial: documentar tudo com carimbos de tempo e endereços, comunicar à plataforma envolvida e à autoridade do seu país, e aceitar que a recuperação é improvável. A frase é sombria e é mais útil que a alternativa oferecida.
As maiores somas desta área não se perdem em exploits técnicos, são entregues voluntariamente ao longo de semanas. O padrão é constante: uma relação formada num ambiente social, um interesse comum por mercados, e depois a apresentação de uma plataforma onde as primeiras operações do recém-chegado vão notavelmente bem e os saques funcionam perfeitamente em valores pequenos.
Tudo é real até que o valor fique grande. A interface, os saldos, o atendimento, o saque que chegou no mês passado: tudo foi projetado para estabelecer que o dinheiro é recuperável. A falha aparece somente no ponto em que ele não é mais, normalmente acompanhada de um imposto ou de uma taxa a pagar antes, com fundos de fora.
O sinal estrutural não é o retorno, muitas vezes modesto o bastante para ser crível. É que a plataforma alcançou você através de uma pessoa e não através do mercado, e que a pessoa apareceu antes da oportunidade. Tudo o que se descobre assim deve ser conferido num registro público de entidades autorizadas antes da menor transferência, e a maioria não consta de nenhum.
Quase todos os golpes acima caem diante de um punhado de hábitos, e nenhum exige perícia. Nunca agir a partir de um contato de entrada sobre uma conta, jamais, por mais que o remetente pareça saber. Conferir endereços pelos caracteres do meio e manter uma lista salva. Ler se você está assinando uma transferência ou uma autorização. Tirar o SMS do caminho de recuperação de tudo o que importa. Manter as posições de longo prazo num endereço que nunca aprovou contrato algum.
A última é questão de tempo mais que de técnica. Cada golpe deste artigo funciona melhor sob pressão, e cada um foi construído para criá-la: uma janela limitada, uma posição em risco, um atendente esperando a sua resposta. Uma ação que não pode esperar dez minutos é uma ação que outra pessoa agendou por você, e esses dez minutos quase sempre bastam para enxergá-la.
A urgência é o ingrediente comum. Nada de legítimo, quando se trata da sua própria conta, exige agir antes de você ter tido tempo de conferir.
Normalmente significa que o seu endereço foi marcado para um envenenamento de endereços. A transferência em si é inofensiva; o objetivo dela é colocar um endereço sósia no seu histórico para que você o copie depois por engano. Não interaja com ela, e copie os seus destinos de uma lista que você mantenha em vez do histórico.
Não. Um suporte autêntico responde a pedidos que você abre pela plataforma, ele não encontra você num fórum. Saber os detalhes do seu problema prova apenas que leu a mesma mensagem pública que você escreveu. Encerre a conversa e abra um chamado você mesmo pela sua conta.
Por uma permissão de gasto assinada antes. Aprovar que um contrato mova um token em seu nome é uma ação distinta de uma transferência, não move nada na hora, e continua válida até ser revogada. O saque acontece depois, no momento escolhido pelo detentor, e por isso parece não ter relação com nada que você tenha feito.
Ela protege a chave, não a decisão. A chave nunca sai do aparelho, então não pode ser extraída, mas uma assinatura que você aprova nesse aparelho é uma assinatura válida seja lá o que ela autorize. Ler o destino e a operação na tela do próprio aparelho é o que fecha a brecha.
Melhor que nada e bem pior que as alternativas, porque um número de telefone pode ser levado para outro aparelho convencendo uma operadora em vez de quebrando algo. Onde houver um aplicativo autenticador ou uma chave física, essa é a opção, e o número deveria sair por completo da recuperação de conta.
Estratégia nenhuma exige a capacidade de tirar fundos da plataforma. Um robô que a pede está pedindo uma capacidade de que a sua função declarada não precisa, e isso basta para recusar. Conceda apenas direitos de negociação, restrinja a chave aos endereços que a sua infraestrutura usa, e rotacione por calendário.
Rastrear para onde os fundos foram é de fato possível e não é a mesma coisa que recuperá-los. Uma transação liquidada não pode ser revertida por uma empresa privada, e qualquer pedido de pagamento adiantado ou de acesso à sua carteira é uma segunda fraude dirigida a alguém que já se sabe alcançável. Documente o incidente e comunique em vez disso.
Recusar-se a agir depressa em qualquer coisa relativa à sua própria conta. Todos os golpes descritos aqui fabricam urgência, porque nenhum sobrevive a dez minutos de conferência. Nada de legítimo sobre as suas posições, os seus saques ou o seu acesso exige uma decisão imediata tomada dentro da conversa de outra pessoa.