Como esvaziam sua carteira sem saber sua seed phrase
O roubo de cripto deixou de depender de descobrir sua senha. Hoje, o golpe mais eficiente convence você a assinar, com as próprias mãos, a autorização que entrega seus fundos.
- O ataque moderno não rouba sua seed phrase — ele explora aprovações de contrato que você assina achando que são inofensivas.
- Em jan–fev de 2026, cripto perdeu US$ 112 milhões em 31 incidentes; só as perdas por phishing em janeiro somaram US$ 300 milhões.
- Os golpes de impersonação cresceram 1.400% na virada de 2025 para 2026 — a engenharia social virou o vetor dominante.
- A defesa não é um antivírus: é entender o que você assina, usar hardware wallet e revogar permissões antigas.
O roubo mudou de forma
Durante anos, a imagem do roubo de criptomoedas foi a do hacker que descobre uma senha. Era uma imagem tranquilizadora, porque sugeria uma solução simples: proteja o segredo e você está a salvo. A seed phrase — as doze ou vinte e quatro palavras que reconstroem sua carteira — tornou-se, com razão, o objeto sagrado da autocustódia. Mas o adversário evoluiu. A fronteira do crime cripto em 2026 não é mais a descoberta de segredos; é a manipulação do consentimento.
Os chamados wallet drainers — programas que esvaziam carteiras — quase nunca precisam da sua seed phrase. Eles operam num terreno mais sutil e mais perverso: convencem o usuário a assinar, voluntariamente, uma transação que concede ao atacante o direito de mover seus tokens. Você não entrega a chave do cofre. Você assina uma procuração dando a um estranho acesso permanente ao cofre — e vai embora achando que apenas conectou a carteira a um site.
A anatomia de uma aprovação envenenada
Para entender o golpe, é preciso entender uma peça técnica que a maioria dos usuários nunca examina: a aprovação de token. No padrão de contratos inteligentes que rege quase todos os tokens (o ERC-20 e seus primos), sua carteira não move fundos diretamente para um aplicativo. Em vez disso, você concede a um contrato o direito de gastar uma quantia em seu nome. É o que permite que uma corretora descentralizada execute uma troca sem custódia dos seus fundos.
O problema é o escopo dessa permissão. Funções como approve, setApprovalForAll, Permit e Permit2 podem conceder acesso ilimitado e indefinido — a famosa infinite approval. Um site clonado, um falso airdrop, um anúncio de busca patrocinado que imita um protocolo legítimo: qualquer um deles pode apresentar uma janela de assinatura que, sob a aparência de ‘conectar carteira’ ou ‘reivindicar recompensa’, na verdade autoriza o drenador a transferir todo o seu saldo daquele token, agora ou daqui a seis meses.
Uma assinatura de aprovação não move nenhum fundo na hora — por isso parece inofensiva. O saque acontece depois, quando o atacante decide. É por isso que vítimas relatam ter sido roubadas ‘do nada’, dias após interagir com um site suspeito que ‘não fez nada’.
Indústria, não travessura
Esses ataques deixaram de ser obra de indivíduos e viraram um mercado. O modelo Drainer-as-a-Service — ‘drenador como serviço’ — oferece a afiliados scripts prontos, modelos de sites falsos e hospedagem, em troca de uma fatia dos roubos, tipicamente 20%. É a economia de plataforma aplicada ao crime: quem opera não precisa saber programar, apenas distribuir o link.
O Inferno Drainer foi associado a mais de US$ 80 milhões roubados, usando mais de 16 mil domínios maliciosos que imitavam mais de 100 marcas. O Pink Drainer subtraiu mais de US$ 85 milhões de 21 mil vítimas antes de se ‘aposentar’. Há, porém, uma nota otimista nos números: as perdas específicas a drenadores caíram 83% entre 2024 e 2025, de US$ 494 milhões para US$ 83,85 milhões, e o maior roubo isolado despencou de US$ 55,4 milhões para US$ 6,5 milhões. A defesa coletiva — carteiras que alertam, ferramentas de revogação, usuários mais atentos — está funcionando.
Como se blindar de verdade
A primeira defesa é conceitual: pare de tratar assinaturas como cliques. Toda janela de assinatura é um contrato jurídico executável e irreversível. Leia o que está sendo pedido. Carteiras modernas mostram, em linguagem clara, quando você está prestes a conceder uma permissão de gasto — e para qual endereço. Desconfie de qualquer ‘reivindicação’ que exija setApprovalForAll para um NFT que você quer apenas visualizar.
A segunda é ferramental. Serviços como revoke.cash permitem auditar e revogar aprovações antigas — aquele acesso ilimitado que você concedeu há um ano a um protocolo que talvez nem exista mais é uma porta aberta esperando ser usada. Reduzir aprovações a valores finitos, e revogá-las quando não estiver operando, encolhe drasticamente sua superfície de ataque.
A terceira é arquitetural: uma hardware wallet (carteira física, como Ledger ou Trezor) não impede que você assine uma aprovação maliciosa, mas mantém sua seed phrase fora de qualquer computador conectado à internet, blindando-a contra os infostealers — malwares que vasculham o dispositivo atrás de chaves. E uma prática simples, quase monástica: mantenha uma carteira ‘quente’ com pouco saldo para experimentar em dApps, e uma carteira ‘fria’, que jamais assina nada em sites, para guardar patrimônio.
Ninguém legítimo precisa que você assine acesso ilimitado para lhe dar algo. Suporte de verdade jamais pede sua seed phrase, e airdrops reais não exigem setApprovalForAll sobre toda a sua carteira. Se a urgência é fabricada e a permissão é ampla, o golpe é a explicação mais provável.
- O roubo moderno de cripto explora consentimento, não senhas: você assina a própria perda.
- Aprovações ilimitadas (infinite approval) são portas que ficam abertas indefinidamente — feche-as com ferramentas de revogação.
- Hardware wallet protege a seed phrase; disciplina de assinatura protege o resto.
- As perdas caíram 83% em um ano: a higiene de segurança coletiva funciona, e ela começa em você.
A liberdade tem um preço em atenção
Há uma ironia filosófica no coração da autocustódia. A promessa do cripto é devolver ao indivíduo o controle sobre o próprio dinheiro, sem intermediários que possam bloquear, reverter ou vigiar. Mas esse mesmo poder transfere ao indivíduo a responsabilidade que os bancos tradicionalmente absorviam. Não há gerente para telefonar, nem estorno para pedir. A soberania monetária e a irreversibilidade são a mesma moeda vista de dois lados.
Isso não é um defeito a ser lamentado, mas o preço honesto da liberdade — e vale reconhecer o contraponto de quem prefere a proteção institucional das finanças tradicionais, uma escolha legítima. Quem opta pela autocustódia assume, junto com as chaves, o dever da vigilância. A boa notícia é que essa vigilância é aprendível, e cada assinatura recusada por prudência é um pequeno exercício de soberania bem administrada.