Envenenamento de endereço (address poisoning)

Isso se chama address poisoning — em português, envenenamento de endereço. É um golpe em que o criminoso cria um endereço de carteira quase idêntico ao que você costuma usar e o planta no seu histórico de transações, apostando que, na próxima vez, você copie o endereço errado — o dele — sem perceber.

A técnica é recente, mas já se mostrou rentável em escala. Segundo a Chainalysis, uma única campanha de envenenamento de endereço rastreada entre fevereiro e maio de 2024 gerou 82.031 endereços-isca — quase 1% de todos os novos endereços criados na rede Ethereum naquele período — e faturou cerca de US$ 3 milhões, mesmo com a esmagadora maioria das iscas “falhando” [1]. É um golpe de números grandes: basta uma vítima distraída para compensar milhares de tentativas ignoradas.

Como funciona o envenenamento de endereço

Endereços de criptomoedas são sequências longas e sem sentido aparente — algo como 0x9f2c…4e7a. Justamente por serem impossíveis de decorar, quase ninguém confere o endereço inteiro: carteiras e exploradores de blockchain mostram uma versão abreviada, só com os primeiros e os últimos caracteres, e é por essas pontas que a maioria das pessoas “reconhece” para onde está mandando. O golpe do envenenamento nasce exatamente dessa brecha.

O golpista usa um programa que gera milhões de endereços até encontrar um que coincida com o seu nos primeiros e nos últimos caracteres — os únicos que você costuma olhar. De posse desse sósia, ele envia ao seu endereço uma transação minúscula, muitas vezes de valor zero ou de um token falso, só para que o endereço-isca apareça no seu histórico, coladinho às suas transações reais [1]. A armadilha está armada: na próxima vez que você for enviar cripto e copiar um endereço do histórico — um hábito comuníssimo —, corre o risco de copiar o do golpista achando que é o do seu contato de sempre.

O caso dos US$ 68 milhões — e por que ele foi atípico

O episódio que colocou a técnica no radar aconteceu em 3 de maio de 2024. Uma vítima, ao fazer uma transferência, copiou um endereço envenenado do próprio histórico e enviou cerca de US$ 68 milhões em WBTC — um token da rede Ethereum lastreado, um para um, em bitcoin sob custódia — para a carteira do golpista, segundo a Chainalysis [1]. O caso foi noticiado também pela CoinDesk [2].

O desfecho, porém, foi incomum: seis dias depois, em 9 de maio, o golpista devolveu os US$ 68 milhões à vítima. Não por arrependimento — provavelmente por avaliar que uma quantia tão visível seria rastreada e travada rápido demais. Ainda assim, ele não saiu de mãos vazias: embolsou cerca de US$ 3 milhões apenas com a valorização do token no período em que ficou com os valores [1].

Guarde este ponto, porque é a exceção que confirma a regra: o dinheiro só voltou porque era grande demais para o golpista conseguir escondê-lo. No envenenamento de endereço do dia a dia — de algumas centenas ou alguns milhares de reais —, ninguém devolve nada. A transferência é definitiva, e é por isso que a defesa acontece antes de apertar o botão de enviar.

Por que não dá simplesmente para “cancelar” o envio

A pergunta que toda vítima faz em seguida é: dá para reverter? Na imensa maioria dos casos, não. Uma transação confirmada na blockchain é permanente e irreversível — não existe botão de estorno, nem um banco central que desfaça o lançamento. Essa é uma característica de projeto da tecnologia, não uma falha.

Só que a mesma permanência que impede o estorno também deixa o destino à vista. O endereço para onde os valores foram fica registrado publicamente, e pode ser seguido por análise on-chain — o rastro costuma reaparecer no ponto em que o golpista tenta converter a cripto em dinheiro, quase sempre numa corretora que identifica seus clientes. É o que descrevo no guia sobre como rastrear um criptoativo de golpe. No livro Bitcoin e Lavagem de Dinheiro, sustento justamente que é esse traço — público e imutável — que muda a lógica da investigação em relação ao dinheiro tradicional [3].

Vale a ressalva de sempre: rastrear não é o mesmo que recuperar. A análise mostra para onde os valores foram; a identificação de quem os controla depende do cadastro KYC da exchange de destino e, em regra, de ordem judicial; a devolução depende de decisão judicial e da cooperação das corretoras. Localizar é condição necessária, mas não suficiente.

Como se proteger do envenenamento de endereço

A boa notícia é que a defesa é simples e está inteiramente nas suas mãos — porque o golpe não ataca a tecnologia, e sim um hábito. Antes de qualquer envio de cripto:

• Confira o endereço inteiro, não só o começo e o fim. As pontas iguais são exatamente o que o golpista fabricou para enganar seu olhar.
• Use a lista de contatos (whitelist) da carteira para endereços que você usa com frequência, em vez de copiar do histórico.
• Nunca copie um endereço do histórico de transações. É de lá que a isca é “pescada”.
• Faça um envio-teste de valor baixo antes de transferir quantias altas, e só siga se o valor de teste chegar ao destino certo.
• Desconfie de transações minúsculas ou de tokens que você não reconhece aparecendo do nada no seu histórico — podem ser a isca recém-plantada.

O envenenamento de endereço é um entre vários golpes que exploram o momento mais delicado de qualquer operação com cripto: o instante do envio. Ele é primo do malware clipper, que troca o endereço no momento em que você cola — tratado em copiei o endereço certo, mas a cripto foi para outro —, e do falso app de carteira, que captura seus dados ou drena os fundos de dentro do aparelho, como explico em baixei um app de carteira e sumiram meus fundos. Em todos eles, a defesa começa pela mesma desconfiança: conferir, com calma, para onde o dinheiro está indo.

Considerações finais

O envenenamento de endereço é engenhoso porque não quebra a criptografia nem invade o seu dispositivo — ele apenas explora a pressa e a confiança nas pontas de um endereço. Do ponto de vista jurídico, é uma fraude: o golpe induz a vítima a erro para que ela mesma envie os valores ao criminoso. Não há falha na blockchain a ser corrigida; há um cuidado a ser adotado, e ele cabe em uma frase — conferir o endereço inteiro, sempre.

Para quem já enviou por engano, o caminho não é o desespero. A transferência é irreversível, mas o destino é rastreável, e agir rápido — preservar o TXID, o endereço de destino e os prints — é o que mantém abertas as opções seguintes. Há orientações específicas para vítimas de golpe que precisam dar os primeiros passos, e a Chainspect realiza esse tipo de rastreamento on-chain quando o caso comporta.

Perguntas frequentes

O que é address poisoning (envenenamento de endereço)?

É um golpe em que o criminoso cria um endereço de carteira quase idêntico ao que a vítima costuma usar — com os mesmos primeiros e últimos caracteres — e o insere no histórico de transações dela por meio de um envio minúsculo. A aposta é que, na próxima operação, a vítima copie o endereço-isca do histórico e mande os valores para o golpista em vez do destinatário real.

Como o golpista consegue um endereço tão parecido com o meu?

Ele usa um programa que gera milhões de endereços automaticamente até encontrar um que coincida com o seu nas pontas — os primeiros e os últimos caracteres, que são os únicos que a maioria das pessoas confere. O miolo do endereço é diferente, mas, como quase ninguém lê a sequência inteira, o disfarce funciona.

Enviei cripto para o endereço-isca por engano. Dá para reverter?

Reverter, não: uma transação confirmada na blockchain é permanente. Mas o destino é rastreável — o endereço do golpista fica registrado publicamente e pode ser seguido por análise on-chain até o ponto em que os valores viram dinheiro. Rastrear, porém, não é o mesmo que recuperar: a devolução depende de decisão judicial e da cooperação das corretoras.

Como evitar cair no envenenamento de endereço?

Confira o endereço inteiro antes de enviar, não só o começo e o fim; use a lista de contatos (whitelist) da carteira em vez de copiar do histórico; faça um envio-teste de valor baixo antes de transferir quantias altas; e desconfie de transações minúsculas ou de tokens desconhecidos que aparecem do nada no seu histórico — podem ser a isca.