Phishing e drainers: carteira esvaziada em segundos

Na maioria dos casos, ninguém "hackeou" a sua senha. O que provavelmente aconteceu é que você autorizou, sem perceber, uma permissão que entregou o controle dos seus tokens ao golpista. Ao clicar em "aprovar" num site ou pop-up, você assinou um contrato que permite esvaziar a carteira — e o drainer é o programa que executa a drenagem. O nome técnico é approval phishing.

O golpe é mais comum do que parece — e cresceu rápido. Segundo dados da indústria de segurança compilados pela Scam Sniffer, empresa especializada em fraudes na Web3, os drainers de carteira desviaram cerca de US$ 494 milhões de mais de 300 mil endereços-vítima em 2024 — alta de 67% sobre o ano anterior, embora o número de vítimas tenha crescido apenas 3,7%: o que disparou foi o valor médio por vítima, não o alcance [1]. A dimensão chamou a atenção das autoridades: a Operation Spincaster, coordenada em 2024 pela Chainalysis com autoridades e corretoras de seis países, distribuiu mais de 7 mil pistas de investigação, relativas a cerca de US$ 162 milhões em perdas causadas por approval phishing [2]. É essa técnica — e não a "quebra" de senha que a vítima imagina — que está por trás da carteira esvaziada num clique.

O que é o approval phishing — o "clique" que drena

Para entender o approval phishing, é preciso saber como uma carteira de cripto funciona. Diferentemente de uma conta bancária, ela não tem uma "senha" que o golpista consiga adivinhar de fora. O que existe é a sua chave privada — ou a frase-semente que a gera — e as autorizações que você concede a aplicativos e contratos inteligentes para movimentar seus tokens. É nessa segunda porta, a das autorizações, que o golpe entra.

Como explica a Chainalysis, a vítima acredita que clicar em "aprovar" vai apenas iniciar uma tarefa pequena — uma troca de tokens, uma movimentação de fundos; na prática, também o resgate de um suposto prêmio serve de pretexto. "Mas escondida ali está uma permissão bem mais séria: o golpista ganha a aprovação de que precisa para drenar todos os fundos" [2]. E a drenagem não precisa ser imediata. Ainda segundo a empresa, o golpista pode esvaziar a carteira quando quiser — na hora, ou esperando o momento ideal, como logo depois de a vítima depositar valores novos vindos de uma corretora.

O drainer: o programa que faz o esvaziamento

O drainer (do inglês drain, drenar) é o software que automatiza o roubo depois que a aprovação é concedida. Ele monitora a carteira e, no gatilho, transfere os tokens de maior valor para endereços controlados pelo golpista — muitas vezes em segundos, antes que a vítima perceba qualquer coisa.

O que torna o problema grande é a industrialização. Boa parte desses ataques usa drainers vendidos como serviço — kits prontos que o golpista aluga em troca de uma fatia do que conseguir roubar. Em 2024, segundo a Scam Sniffer, um único desses kits — o Inferno Drainer — respondeu sozinho por US$ 110 milhões em perdas apenas nos meses de agosto e setembro, quando liderou o mercado de drenagem [1]. Ou seja: o clique que esvaziou a sua carteira provavelmente não foi obra de um gênio solitário, mas de uma operação montada para escalar.

Hackearam minha carteira ou você autorizou?

Quase toda vítima chega com a mesma frase: "hackearam minha carteira". Tecnicamente, quase nunca é isso o que ocorre. Vale separar dois cenários, porque a resposta prática muda em cada um.

No approval phishing, você continua com a sua frase-semente — ninguém a roubou. O que você fez foi assinar uma aprovação que autoriza um contrato a gastar seus tokens. Por isso a carteira pode ser drenada mesmo sem o golpista jamais ter visto as suas 12 palavras. E é também por isso que não existe estorno: a transferência que esvaziou a carteira foi assinada pela sua própria chave, e a blockchain não desfaz uma transação válida. Diferentemente de uma fraude bancária, em que o banco pode reverter um lançamento, aqui não há a quem pedir o cancelamento — o que existe é o rastro, público e permanente, do caminho que os valores tomaram. Já no phishing de frase-semente, o golpe convence você a digitar as 12 ou 24 palavras num site ou aplicativo falso — e aí, sim, a carteira inteira está comprometida para sempre, porque quem tem a semente tem tudo. Distinguir os dois é o primeiro passo para saber o que ainda dá para proteger.

Vale um contraste: nem toda carteira esvaziada é approval phishing. Se a cripto foi para um endereço diferente daquele que você copiou e colou, o problema costuma ser outro — um malware do tipo clipper, que troca silenciosamente o endereço na área de transferência. E se o esvaziamento veio depois da perda do aparelho, o roteiro é o do furto de celular com cripto dentro. Identificar o vetor correto orienta tanto a resposta imediata quanto o rastreamento.

Dá para rastrear uma carteira drenada?

Sim — e essa é a parte que costuma surpreender a vítima. A transação de aprovação e a de saída dos fundos ficam registradas na blockchain, que é pública e permanente. A forense blockchain parte dessas duas transações para reconstruir para onde os tokens foram e por quais endereços passaram. Ao contrário da sensação de que "sumiu tudo", o dinheiro não evapora — ele se move para carteiras que podem ser seguidas.

Há, porém, dois limites honestos. O primeiro é a velocidade: os drainers costumam empurrar os fundos para mixers e bridges em segundos, o que encurta muito a janela para pedir bloqueio. No livro Bitcoin e Lavagem de Dinheiro, chamo esses caminhos de transações complexas, em oposição às simples, que se seguem de forma direta [3]. O segundo limite é a atribuição: rastrear o drainer não revela, sozinho, quem está por trás dele — as carteiras são descartáveis, e um nome só costuma aparecer no ponto em que os valores passam por uma corretora com cadastro de clientes (o chamado KYC).

O que fazer se a sua carteira foi drenada

Se a carteira acabou de ser esvaziada, a prioridade é conter o dano e preservar as provas. Alguns passos ajudam:

• Mova o que sobrou para uma carteira nova — se ainda há saldo, ou se tokens continuam chegando naquela carteira, transfira tudo imediatamente para uma carteira criada do zero, em um dispositivo confiável.
• Revogue as aprovações concedidas — enquanto a permissão maliciosa estiver ativa, o drainer pode voltar a agir. Exploradores de blockchain e ferramentas públicas de revogação permitem cancelar as autorizações de gasto (token approvals).
• Se você digitou a sua frase-semente em algum site ou aplicativo, considere aquela carteira perdida — crie outra, com nova semente, e nunca mais use a antiga.
• Preserve as evidências — anote o TXID (o código da transação), os endereços envolvidos e salve prints do site, do pop-up e das mensagens, com data e hora visíveis.
• Registre boletim de ocorrência e notifique a corretora de onde os valores vieram ou para onde possam ter seguido.

O tempo joga contra: quanto antes esses passos forem dados, maior a chance de o rastreamento encontrar os valores ainda em um ponto útil. Há uma orientação reunida na página para vítimas de golpe com criptoativos.

Considerações finais

A carteira esvaziada "num clique" parece um passe de mágica, mas não é. Por trás está uma permissão que a vítima concedeu sem entender o alcance, e um programa — o drainer — desenhado para explorar exatamente esse mal-entendido. Saber que quase nunca se trata de senha "hackeada" muda a resposta: em vez de trocar uma senha que não existe, o caminho é revogar aprovações, isolar a carteira comprometida e preservar o rastro.

E o rastro existe. Cada aprovação e cada saída ficam gravadas numa blockchain pública — o que torna a drenagem, ao contrário da intuição da vítima, um evento rastreável. Vale a ressalva de sempre: rastrear não é o mesmo que recuperar. A análise on-chain identifica o destino dos valores e produz prova com validade jurídica; o bloqueio e a devolução dependem de decisão judicial e da cooperação das corretoras. A Chainspect realiza esse tipo de rastreamento — da transação de aprovação até o ponto de saque —, entregando um parecer técnico, não uma promessa de resultado. Desconfie, por isso, de quem promete "recuperação garantida": é justamente esse discurso que marca o golpe que vem depois do golpe.

Perguntas frequentes

Esvaziaram minha carteira num clique, o que houve?

Na maioria dos casos, você foi vítima de approval phishing: ao clicar em "aprovar" num site ou pop-up, autorizou, sem perceber, um contrato a gastar seus tokens. Um programa chamado drainer usa essa permissão para transferir os fundos para o golpista — às vezes na hora, às vezes dias depois. Não é, tecnicamente, uma senha "hackeada".

Hackearam minha carteira ou eu aprovei sem perceber?

Quase sempre é a segunda hipótese. No approval phishing, sua frase-semente continua sendo só sua; o que o golpe obteve foi uma aprovação de gasto que você assinou. Só há comprometimento total da carteira quando você chega a digitar as 12 ou 24 palavras da frase-semente num site ou aplicativo falso — aí, sim, quem tem a semente tem tudo.

O que é um drainer de carteira?

Drainer é o programa que executa o esvaziamento depois que a aprovação é concedida: ele monitora a carteira e transfere os tokens de maior valor para endereços do golpista, muitas vezes em segundos. Boa parte é vendida como serviço — kits prontos que golpistas alugam em troca de uma fatia do que roubarem.

Dá para rastrear uma carteira esvaziada por phishing?

Sim. A aprovação e a saída dos fundos ficam registradas na blockchain pública, e a análise on-chain reconstrói o caminho dos valores. Os limites são a velocidade — drainers movem os fundos para mixers e bridges em segundos — e a atribuição: identificar quem está por trás depende de o rastro chegar a uma corretora com cadastro de clientes. Rastrear não é o mesmo que recuperar.

O que fazer nas primeiras horas depois de um drainer?

Mova o saldo restante para uma carteira nova, revogue as aprovações (token approvals) concedidas e, se você digitou a frase-semente, abandone aquela carteira. Preserve o TXID, os endereços e prints com data e hora, registre boletim de ocorrência e notifique a corretora envolvida. Quanto antes, maior a chance de o rastreamento ser útil.