Falso app de carteira cripto: baixei da loja e sumiram os fundos

Provavelmente, sim. Se você baixou um aplicativo de carteira ou de corretora, informou seus dados e os fundos sumiram, é bem possível que o app fosse falso — um clone que capturou a sua frase-semente ou trazia um drainer embutido, programado para esvaziar a carteira. E há um detalhe desconfortável: estar na loja oficial não garante que o aplicativo seja legítimo.

O caso mais bem documentado desse golpe mostra que o risco é real e engana até a curadoria das lojas. Em março de 2024, foi publicado na Google Play um aplicativo malicioso que se passava por um serviço legítimo e amplamente usado de conexão de carteiras, o WalletConnect. Sob nomes trocados — chegou a se chamar "Mestox Calculator" —, o app permaneceu quase cinco meses na loja, foi baixado mais de 10 mil vezes, vitimou mais de 150 usuários e desviou mais de US$ 70 mil, usando um drainer conhecido como MS Drainer. O caso só veio a público em setembro daquele ano, quando a empresa de cibersegurança Check Point Research documentou o esquema. A Check Point classificou o episódio como a primeira vez que um drainer mirou exclusivamente usuários de celular [1].

Como funciona um falso app de carteira ou corretora

Um falso app quase sempre é um clone: ícone, nome e cores quase idênticos aos de um serviço conhecido, para que você não desconfie na hora de instalar. A diferença está no que ele faz depois — e há dois caminhos, que vale distinguir porque a resposta muda em cada um.

No primeiro, o app pede que você "importe" a sua carteira digitando a frase-semente — as 12 ou 24 palavras que dão acesso total aos fundos. Ao informá-las num aplicativo falso, você entrega a chave inteira: quem tem a semente tem tudo, e a carteira fica comprometida para sempre. No segundo, o app se apresenta como uma ferramenta de conexão ou de troca e induz você a aprovar uma permissão — a mesma mecânica do approval phishing, em que um drainer usa a autorização concedida para transferir os tokens, às vezes na hora, às vezes dias depois.

Na prática, o caminho do drainer é o que mais aparece — e o vetor não é pequeno. Segundo dados da indústria de segurança compilados pela Scam Sniffer, empresa especializada em fraudes na Web3, os drainers de carteira desviaram cerca de US$ 494 milhões de mais de 300 mil endereços-vítima em 2024 [2]. Um aplicativo falso é apenas uma das portas de entrada para essa mesma engrenagem.

Estar na loja oficial não garante que o app seja seguro

A intuição de que "se está na App Store ou na Google Play, é seguro" é justamente o que o golpe explora. As lojas fazem curadoria e removem aplicativos maliciosos com frequência, mas o processo não é infalível: o caso documentado pela Check Point mostra um drainer sobrevivendo quase cinco meses na loja oficial, com atualizações que trocavam o nome para escapar da detecção. Aplicativos de cripto são um alvo preferencial porque juntam duas coisas — acesso direto a fundos e um público que muitas vezes instala carteiras novas sem verificar a procedência.

Some-se a isso o vetor dos anúncios e dos resultados de busca. É comum que a vítima não chegue ao app falso pela loja, e sim por um link — um anúncio patrocinado, uma mensagem, um site clonado — que leva a um instalador fora das lojas ou a uma página que imita a oficial. É a mesma lógica da corretora clonada: muda-se um caractere no endereço, copia-se a identidade visual, e quem não confere a fonte acaba instalando a versão do golpista.

Como verificar um app de carteira antes de baixar

A defesa aqui é método, não sorte. Antes de instalar um app de carteira ou de corretora, alguns cuidados reduzem muito o risco:

• Baixe apenas pelo site oficial do provedor — acesse o site que você já conhece, digitando o endereço você mesmo (não por link recebido), e use o botão de download que leva à loja. Assim você chega à versão correta mesmo que exista um clone com nome parecido.
• Confira o desenvolvedor e o histórico — nome do desenvolvedor, número de downloads coerente com a popularidade do serviço, data de publicação e avaliações. Um app "novo" que imita uma marca antiga e conhecida é suspeito.
• Desconfie de permissões e pedidos estranhos — nenhum app de carteira legítimo pede a sua frase-semente para "validar", "sincronizar" ou "desbloquear" a conta. Esse pedido, sozinho, já é sinal de fraude.
• Se for um app de corretora, confirme se a plataforma é autorizada — vale a checagem no cadastro oficial do regulador antes de depositar, o mesmo filtro barato que evita a corretora falsa.

Se os seus fundos já sumiram: o que dá para fazer

Se você já instalou e os fundos se foram, a reação rápida importa — e há uma boa notícia técnica. Ao contrário da sensação de que "sumiu tudo", os valores drenados não evaporam: eles se movem para carteiras do golpista e ficam registrados na blockchain, que é pública e permanente. A forense blockchain parte dessas transações para reconstruir o caminho dos fundos até o ponto em que o golpista tenta convertê-los em dinheiro numa corretora com cadastro de clientes (o chamado KYC) — que costuma ser o elo em que a investigação se aproxima de uma pessoa real. O próprio app falso, além disso, deixa rastros de desenvolvedor e de infraestrutura que ajudam a apuração.

Antes de qualquer coisa, contenha o dano: se ainda há saldo, mova-o para uma carteira nova criada num dispositivo confiável; se você chegou a digitar a frase-semente, considere aquela carteira perdida e nunca mais a use; desinstale o app e revogue as permissões concedidas. Preserve as evidências — o TXID (o código que identifica a transação), os endereços, prints da loja e do aplicativo, com data e hora — e registre boletim de ocorrência. Como o golpe recém-descoberto costuma ter poucas horas de vantagem, vale a regra do tempo: quanto antes esses passos forem dados, maior a chance de o rastreamento encontrar os valores num ponto útil.

Considerações finais

O falso app de carteira ou de corretora se aproveita de um atalho de confiança: a ideia de que tudo o que está na loja passou por um crivo. O caso da Check Point mostra que esse crivo falha, e que um clone bem-feito pode enganar tanto a curadoria quanto o usuário por meses. Contra isso, o antídoto é barato: baixar só pela fonte oficial, jamais digitar a frase-semente em app nenhum que a peça, e conferir desenvolvedor e permissões antes de instalar.

E se o prejuízo já veio, vale a ressalva de sempre: rastrear não é o mesmo que recuperar. A análise on-chain identifica para onde os valores foram e produz prova com validade jurídica; o bloqueio e a devolução dependem de decisão judicial e da cooperação das corretoras. A Chainspect realiza esse tipo de rastreamento — da transação que drenou a carteira até o ponto de saque —, entregando um parecer técnico, não uma promessa de resultado. Desconfie, por isso, de quem promete "recuperação garantida" a vítimas recentes: é o discurso que marca o golpe que vem depois do golpe. Há orientações reunidas na página para vítimas de fraude com criptoativos.

Perguntas frequentes

Baixei um app de carteira e sumiram meus fundos, era falso?

Provavelmente sim. Falsos apps de carteira ou de corretora clonam o visual de um serviço conhecido e, uma vez instalados, ou capturam a sua frase-semente ou embutem um drainer que esvazia os tokens após uma aprovação. Estar na loja oficial não garante legitimidade — um caso documentado pela Check Point ficou quase cinco meses na Google Play. Preserve as provas e aja rápido: os valores drenados continuam rastreáveis na blockchain.

Um app de carteira publicado na loja oficial pode ser golpe?

Pode. A curadoria da App Store e da Google Play remove aplicativos maliciosos com frequência, mas não é infalível. A Check Point Research documentou um app que se passava por um serviço legítimo de conexão de carteiras e sobreviveu quase cinco meses na Google Play, com mais de 10 mil downloads, antes de ser removido. Baixar da loja reduz o risco, mas não o elimina.

Como saber se um app de carteira cripto é falso antes de baixar?

Baixe apenas pelo site oficial do provedor, acessado por você mesmo e não por link recebido; confira o nome do desenvolvedor, o número de downloads e a data de publicação; e desconfie de qualquer app que peça a frase-semente para "validar" ou "sincronizar" a conta. Nenhuma carteira legítima pede as suas 12 ou 24 palavras dessa forma.

O falso app roubou minha frase-semente; ainda dá para rastrear?

A frase-semente comprometida dá ao golpista acesso total àquela carteira, e a transferência que retirou os fundos é irreversível. Mas os valores continuam rastreáveis: ficam registrados na blockchain pública e podem ser seguidos até o ponto em que o golpista tenta sacá-los numa corretora com cadastro de clientes (KYC). Rastrear, porém, não é recuperar — a devolução depende de decisão judicial.