Malware que troca o endereço copiado (clipper)

Se você copiou o endereço certo e a cripto foi parar em outro, o mais provável é que um malware do tipo clipper tenha trocado o endereço no instante em que você colou. Esse programa vive no seu dispositivo, vigia a área de transferência (o clipboard) e substitui a carteira que você copiou pela carteira do criminoso — sem que nada na tela pareça errado.

O mecanismo foi descrito em detalhe pela Kaspersky, no blog de pesquisa Securelist: o malware "se integra à cadeia de visualizadores de área de transferência do Windows e recebe uma notificação toda vez que o clipboard muda"; ao encontrar algo com formato de endereço de carteira, "substitui pelo endereço do criminoso, escolhido de uma lista embutida" [1]. Numa campanha rastreada pela empresa em 2023, distribuída por instaladores falsos do navegador Tor, esse tipo de praga gerou cerca de 16 mil detecções em pelo menos 52 países e desviou aproximadamente US$ 400 mil em criptomoedas [1][2]. O detalhe cruel: a transferência, uma vez confirmada na blockchain, é irreversível.

O que é um clipper — e por que você não percebeu

Clipper é o apelido de uma família de malware que faz uma coisa só, e faz muito bem: troca o conteúdo da área de transferência. Toda vez que você usa "copiar", o texto vai para uma memória temporária do sistema — o clipboard. O clipper fica de vigia nessa memória. Quando o texto copiado tem o formato de um endereço de criptomoeda (uma longa sequência de letras e números, que o programa reconhece por um padrão), ele apaga o que estava ali e cola no lugar um endereço do próprio golpista.

Você não percebe porque ninguém decora um endereço de carteira. Um endereço de Bitcoin ou de Ethereum tem dezenas de caracteres sem sentido aparente; a prática natural é copiar e colar, confiando que o texto passou intacto. O clipper explora exatamente essa confiança. Segundo a Kaspersky, o mesmo malware costuma guardar endereços de troca para várias redes ao mesmo tempo — Bitcoin, Ethereum, USDT, Litecoin, Dogecoin, XRP e até Monero —, de modo que funciona qualquer que seja a moeda que você esteja enviando [1].

Por que o endereço "trocou sozinho"

O que assusta na experiência da vítima é a sensação de que o endereço mudou por conta própria. Não mudou: ele foi trocado por um programa silencioso, no intervalo entre o "copiar" e o "colar". E esse programa pode ter chegado ao seu computador muito antes. A Kaspersky observa que o clipper "é tão passivo e difícil de detectar" que "pode ficar silencioso por anos, sem atividade de rede, até o dia em que substitui o endereço" [1]. Ou seja: a infecção pode ser antiga e só se revelar no momento do prejuízo.

A porta de entrada mais comum é um programa baixado de fonte não oficial: um instalador "quebrado" (pirata) de software pago, um falso aplicativo de carteira, um navegador ou utilitário vindo de um link duvidoso. Na campanha documentada pela Kaspersky, o disfarce era um instalador falso do navegador Tor — a vítima achava que baixava uma ferramenta de privacidade e instalava, junto, o clipper [1][2].

Não foi a blockchain — foi o seu dispositivo

Aqui está o ponto que mais confunde. A blockchain fez exatamente o que foi mandada fazer: enviou os valores para o endereço que constava na transação. O problema é que esse endereço já era o do criminoso quando você o colou. Não houve falha da rede, da corretora ou da sua carteira — houve um dispositivo comprometido entre você e o envio.

Essa distinção muda a resposta prática. Como o vetor é um malware na sua máquina, de nada adianta apenas trocar senhas: enquanto o clipper estiver ativo, qualquer novo envio pode ser desviado outra vez. A prioridade passa a ser isolar e limpar o dispositivo (idealmente, formatar e reinstalar o sistema) e refazer qualquer operação a partir de um aparelho sabidamente limpo. É um vetor diferente do approval phishing e dos drainers, em que a carteira é esvaziada após um clique de aprovação — e diferente também de um golpe primo que examino a seguir.

O clipper e o seu parente sem malware: o address poisoning

Vale separar dois golpes que terminam do mesmo jeito — a cripto indo para um endereço que não era o pretendido —, mas por caminhos opostos. No clipper, há um malware no seu dispositivo trocando o endereço na hora de colar. No address poisoning (envenenamento de endereço), não há malware nenhum: o golpista planta no seu histórico de transações um endereço parecido com um que você já usou, contando que você o copie de lá por engano. Se o endereço errado veio do seu próprio histórico, e não de uma cópia recente, provavelmente o caso é de address poisoning, não de clipper — e a resposta muda, porque não adianta formatar uma máquina que não estava infectada.

A transação é irreversível — mas o destino é rastreável

Duas verdades convivem aqui, e é importante não confundi-las. A primeira: uma transferência de cripto confirmada não se desfaz. Não existe "estornar" como num cartão; a rede não tem um botão de desfazer, e foi desenhada assim de propósito. A segunda: o endereço do criminoso, para onde os valores foram, fica gravado na blockchain pública e permanente — e, por isso, pode ser rastreado.

É a mesma lógica que descrevo em rastrear bitcoin de golpe: os valores não somem, eles se movem de endereço em endereço, e o caminho costuma reaparecer no ponto em que o golpista tenta sacar — normalmente uma corretora que identifica seus clientes. No livro Bitcoin e Lavagem de Dinheiro, chamo esse tipo de trajeto direto de transação simples, em oposição às complexas, que passam por mixers e pontes para embaralhar o rastro [3]. Rastrear, porém, não é o mesmo que recuperar: a análise on-chain produz a prova de para onde os valores foram; a devolução depende de decisão judicial e da cooperação da corretora.

Como se proteger — e o que fazer se já aconteceu

Contra o clipper, a defesa é simples de descrever e exige disciplina para manter:

• Confira o endereço inteiro, não só o começo e o fim — clippers costumam usar endereços cujos primeiros e últimos caracteres lembram o original, justamente para passar na conferência preguiçosa. Leia a sequência completa, ou ao menos vários trechos do meio.
• Prefira QR code ou lista de contatos — quando a plataforma permite, escanear o QR ou usar um endereço já salvo evita o "copiar e colar" que o clipper ataca.
• Faça um envio de teste — em valores maiores, mande primeiro uma quantia pequena e confirme que ela chegou ao destino certo antes de enviar o restante.
• Desconfie de software fora das fontes oficiais — instaladores piratas, "cracks" e apps de carteira baixados de links aleatórios são a principal via de entrada do malware.

Se o envio errado já aconteceu, a ordem de prioridade é outra: isole o dispositivo (não faça novas transações por ele), rode um antivírus confiável ou, melhor, formate e reinstale o sistema; mova o saldo restante para uma carteira nova a partir de um aparelho limpo; e preserve as provas — o TXID (código da transação), o endereço de destino e prints com data e hora. Com isso reunido, registre boletim de ocorrência e notifique a corretora envolvida. Há uma orientação reunida na página para vítimas de golpe com criptoativos. Quanto antes esses passos forem dados, maior a chance de o rastreamento alcançar os valores num ponto útil.

Considerações finais

O clipper é um lembrete de que nem todo golpe de cripto acontece "na blockchain". Aqui, a rede funcionou perfeitamente — o ataque estava no dispositivo, num programa silencioso que se aproveitou de um hábito universal: copiar e colar sem reler. Entender isso reorienta a resposta: em vez de procurar uma falha na corretora ou na carteira, o caminho é tratar a máquina como comprometida e conferir cada endereço como se ele pudesse ter sido trocado — porque pode.

E, como sempre, vale a ressalva honesta: a transação não se reverte, mas o destino não é invisível. O endereço do criminoso está gravado num livro-razão público, e é dali que parte o rastreamento. A Chainspect realiza esse tipo de análise on-chain, entregando um parecer técnico com validade jurídica — nunca uma promessa de recuperação. Desconfie de quem garante devolver o dinheiro mediante taxa antecipada: esse é o roteiro do recovery scam, o golpe que costuma vir depois do golpe.

Perguntas frequentes

Copiei o endereço certo, mas a cripto foi para outro. O que aconteceu?

O mais provável é que um malware do tipo clipper, instalado no seu dispositivo, tenha trocado o endereço no momento em que você colou. Esse programa silencioso vigia a área de transferência e substitui a carteira que você copiou pela do criminoso. Não foi falha da blockchain nem da corretora — foi o dispositivo comprometido.

O que é um malware clipper?

É um tipo de vírus que monitora a área de transferência (clipboard) e, ao detectar um endereço de criptomoeda copiado, o substitui pelo endereço do criminoso, tirado de uma lista embutida. Como ninguém decora endereços de carteira, a troca passa despercebida. Costuma chegar por software pirata, cracks e falsos aplicativos de carteira.

Dá para reverter a transação e recuperar a cripto enviada por um clipper?

A transação, uma vez confirmada, é irreversível — a blockchain não tem estorno. Mas o endereço de destino fica gravado publicamente e é rastreável até o ponto em que o golpista tenta sacar. Rastrear, porém, não é o mesmo que recuperar: a devolução depende de decisão judicial e da cooperação da corretora.

Como sei se meu computador ou celular está infectado com um clipper?

O sinal mais direto é justamente este: um endereço colado que não confere com o que você copiou. Para testar, copie um endereço conhecido e compare a sequência inteira ao colar. Como o clipper pode ficar inativo por longos períodos, na dúvida o mais seguro é formatar e reinstalar o sistema.

É a mesma coisa que address poisoning?

Não. No clipper há um malware no seu dispositivo que troca o endereço na hora de colar. No address poisoning não há malware: o golpista planta um endereço-isca parecido no seu histórico de transações, esperando que você o copie de lá. Se o endereço errado veio do histórico, e não de uma cópia recente, provavelmente é address poisoning.