O roubo que dispensa a sua senha

Ha uma imagem antiga do roubo digital: o hacker que descobre sua senha, invade sua conta e foge com o dinheiro. Os drenadores de carteira inverteram esse roteiro. Eles raramente precisam da sua seed phrase, da sua senha ou do login da corretora. Precisam de algo mais barato e mais dificil de defender: um sim. O golpe se consuma no instante em que voce, acreditando conectar sua carteira a um site legitimo, assina uma mensagem que nao leu — e que concede ao atacante o direito de mover seus ativos.

A engenhosidade esta no deslocamento da responsabilidade tecnica. Como o proprio dono autoriza a operacao, a transacao e perfeitamente valida aos olhos da blockchain. Nao ha sistema invadido, nao ha falha de criptografia, nao ha a quem recorrer. O contrato cumpriu exatamente o que foi assinado. O drainer nao quebra a fechadura: ele convence voce a girar a chave e, gentilmente, segurar a porta.

Como funciona por dentro

No padrao de contas das redes EVM — Ethereum e suas primas —, voce nao transfere tokens diretamente a um aplicativo. Voce concede permissoes. A funcao approve autoriza um contrato a gastar uma quantia de um token; a setApprovalForAll libera uma colecao inteira de NFTs de uma so vez. Esses mecanismos existem por boas razoes: tornam a DeFi usavel. O drainer apenas os aponta na direcao errada, pedindo uma aprovacao de valor ilimitado para um endereco que e dele.

O vetor mais perigoso de 2025, porem, foi a assinatura Permit (e sua versao Permit2). Diferente de uma aprovacao comum, o Permit e uma assinatura fora da cadeia: nao custa gas, nao aparece no seu historico de transacoes e so e enviada a blockchain pelo atacante, no momento que lhe convier. Para a vitima, parece um inocente ‘login’. Segundo a Scam Sniffer, o Permit respondeu por 38% das perdas nos grandes casos do ano. Um unico golpe em setembro, via Permit, levou US$ 6,5 milhoes em stETH e aEthWBTC. A fronteira mais nova e a EIP-7702, habilitada pela atualizacao Pectra: ela permite agrupar varias acoes numa unica assinatura — e ja gerou dois grandes roubos em agosto.

A industria: o crime como servico

O que eleva o drainer de truque a epidemia e o modelo de negocio. No drainer-as-a-service (DaaS), um grupo tecnico constroi e mantem o kit — scripts prontos, modelos de paginas falsas, hospedagem, paineis de controle e ate ‘suporte’ — e o aluga a afiliados que nao sabem escrever uma linha de codigo. O afiliado cuida apenas da isca: o anuncio falso, o airdrop fraudulento, a conta de rede social invadida. Quando o roubo acontece, o sistema divide automaticamente o butim. A Inferno Drainer cobrava a taxa classica de 20% sobre cada carteira drenada, segundo a Group-IB.

Essa divisao do trabalho e o que torna o fenomeno tao resiliente. Ela transforma um crime artesanal, que exigia dominio tecnico, em uma franquia escalavel. A Inferno sozinha foi associada a mais de US$ 80 milhoes roubados e a cerca de 16 mil dominios maliciosos, imitando mais de 100 marcas conhecidas. Quando uma marca de drainer ‘fecha’, sua infraestrutura e seus afiliados simplesmente migram para a proxima — como uma cozinha de restaurante que troca a placa na fachada.

O caso Inferno: a marca que voltou

Em novembro de 2023, os operadores da Inferno anunciaram o encerramento. Era, como quase tudo nesse mundo, uma meia-verdade. Os contratos inteligentes implantados em 2023 continuaram ativos, e em 2025 a Check Point Research documentou o retorno em grande escala: mais de US$ 9 milhoes drenados de mais de 30 mil carteiras em cerca de seis meses, concentrados em Ethereum e BNB Chain.

A sofisticacao tecnica impressiona mais que o valor. A Inferno recarregada usa contratos de uso unico, guarda sua configuracao criptografada na propria blockchain e ofusca a comunicacao com os servidores por meio de proxies — tudo para escapar de filtros e listas negras. A isca de uma das campanhas foi uma pagina falsa de verificacao do Collab.Land, distribuida por um ataque de phishing no Discord, com ‘diferencas visuais sutis’ em relacao a original. Entre o real e o fatal, um pixel.

Por que as perdas cairam 83% — e por que o numero engana

A queda de US$ 494 milhoes (2024) para US$ 84 milhoes (2025) e real, mas merece leitura cuidadosa. Parte dela veio de carteiras que passaram a exibir alertas mais claros ao assinar, de retiradas de marcas de drainer e de um mercado mais frio no quarto trimestre. Mas a propria Scam Sniffer adverte: perdas rastreaveis menores podem esconder uma migracao para vetores mais dificeis de medir — comprometimento de chaves privadas e engenharia social pura, que nao deixam rastro de assinatura.

O contraste mais eloquente nao esta nos drainers, e sim ao lado deles. Em fevereiro de 2025, o roubo da Bybit, atribuido ao grupo norte-coreano Lazarus, levou US$ 1,46 bilhao — dezessete vezes todo o prejuizo anual do phishing de assinatura. O drainer e o crime de varejo; o ataque de Estado e o atacado. Somar os dois num mesmo ano e lembrar que ‘seguranca’ nao e uma caixa que se marca, mas uma disciplina que se pratica.

Como se proteger sem paranoia

A defesa comeca por um habito simples e desconfortavel: ler o que se assina. Carteiras modernas descrevem a acao em linguagem humana — se o texto fala em ‘Permit’, ‘spender’ desconhecido ou valor ilimitado, recuse. Use uma carteira de hardware para os valores que importam, de modo que cada assinatura exija um gesto fisico e consciente. Separe carteiras por funcao: uma ‘quente’, de pouco saldo, para interagir com sites novos; outra, isolada, para guardar. E revise periodicamente suas aprovacoes em ferramentas de revogacao como a revoke.cash, fechando as portas que voce esqueceu abertas.

A liberdade que custa atencao

Ha uma ironia no coracao da autocustodia. A mesma arquitetura que liberta — ser o unico dono das proprias chaves, sem banco, sem intermediario, sem permissao — e a que expoe. Quando nao ha gerente a quem ligar, nao ha estorno a solicitar. A soberania sobre o proprio dinheiro vem acoplada a uma responsabilidade que a vida financeira tradicional, com suas redes de protecao e seus botoes de ‘desfazer’, quase nos fez esquecer. Os drainers prosperam exatamente nesse ponto cego: entre a promessa de liberdade e o habito, ainda analogico, de confiar primeiro e verificar depois.

Isso nao e um argumento contra a autocustodia — e um convite a leva-la a serio. Liberdade e verificacao nao sao opostos; sao a mesma moeda. Quem defende a soberania individual sobre os proprios ativos herda, junto, o dever de ler, duvidar e revogar. A alternativa — delegar tudo a terceiros em nome da conveniencia — tem seus proprios riscos, como qualquer correntista que ja viu uma fraude sabe. Entre os dois extremos, a prudencia nao e burocracia: e o pedagio que a liberdade cobra, pago em segundos de atencao antes de cada assinatura.