Direito Cripto/Nível IV · Armadilhas para detentores/4.2 Golpes aos olhos da lei/Lição 3

Drenadores de carteira (wallet drainers) e golpes de aprovação

Como uma assinatura que você dá a um site pode permitir que outra pessoa esvazie sua carteira, o que os padrões de token realmente permitem e qual é a situação jurídica quando o consentimento foi obtido mediante engano.

É educação, não aconselhamento jurídico, tributário ou de investimento. O direito cripto varia entre países e estados e muda com frequência. Antes de agir, confirme as regras vigentes onde você mora com um advogado ou consultor tributário habilitado.

O caminho enxuto

A rota mais barata, com menos impostos, mais simples e mais privada que a lei permite, da melhor para a pior. Cada passo indica a regra em que se apoia e a condição que o mantém dentro da lei.

Primeira linha de defesa gratuita: leia cada pedido de assinatura, rejeite aprovações ilimitadas e assinaturas de permit em sites alcançados por mensagem, anúncio ou airdrop; as aprovações ERC-20 e os permits ERC-2612 continuam utilizáveis até serem usados, revogados ou expirarem.
Revogue aprovações antigas com o verificador de aprovações de tokens de um block explorer, como o FBI recomenda; cada revogação custa apenas uma taxa de rede e não desfaz um furto anterior.
Mantenha a maior parte dos ativos em uma carteira separada que nunca se conecta a sites e use uma carteira de saldo baixo para os aplicativos; as transferências entre as suas próprias carteiras não são tributáveis nos EUA, mas guarde os registros do custo de aquisição de cada uma.
Após um esvaziamento (drain), registre os hashes e denuncie gratuitamente em ic3.gov imediatamente, pois os fundos que chegam a uma corretora (exchange) ou a uma stablecoin congelável às vezes podem ser congelados; uma frase digitada em um site significa mover tudo para uma nova carteira.

MateriaisO texto do padrão de token ERC-20, seções sobre approve e transferFrom (eips.ethereum.org)ERC-2612, a extensão ‘permit’ que permite que as aprovações sejam concedidas por uma mensagem assinadaAnúncio de utilidade pública do FBI I-072122-PSA (21 de julho de 2022) sobre golpes de mineração de liquidezO verificador de aprovações de tokens de um explorador de blocos, usado para ver as aprovações concedidas pelo seu próprio endereço

Curiosidade

Como alguém pode esvaziar minha carteira se eu nunca contei minha frase-semente para ninguém?
Com o que exatamente estou concordando quando um site me pede para conectar ou assinar?
Se eu mesmo cliquei em ‘aprovar’, ainda é roubo aos olhos da lei?

Explorar

Um drenador de carteira (wallet drainer) é um site, aplicativo ou contrato inteligente malicioso que engana o dono de uma carteira para que ele assine algo que permite ao atacante movimentar os ativos do dono. Diferentemente de uma frase-semente roubada (lição 4.1.5), é a própria assinatura do dono que faz o trabalho, e por isso a carteira trata o roubo como autorizado. Conectar uma carteira a um site normalmente só compartilha seu endereço público; o perigo está nos pedidos de aprovação ou assinatura que vêm depois. Os drainers chegam por airdrops falsos, páginas falsas de mint, sites imitadores, anúncios em buscadores e mensagens falsas de “suporte” (lição 4.2.4). Como o resultado é uma transferência comum na blockchain, nenhum operador pode revertê-la (lição 1.1.6).
A mecânica vem dos padrões de token. A maioria dos tokens no Ethereum e em redes semelhantes segue o ERC-20. Sua função approve permite que um “spender” (terceiro autorizado a gastar) saque da sua conta “várias vezes, até” um valor que você define, e transferFrom é a forma pela qual o spender depois movimenta os tokens. Corretoras descentralizadas e outros aplicativos usam aprovações por motivos legítimos, e muitas interfaces pedem um valor muito alto ou “ilimitado” por conveniência. Uma aprovação continua valendo até ser consumida ou alterada. Assim, uma aprovação dada a um contrato malicioso pode ser usada dias ou meses depois para levar todos os tokens daquele tipo, inclusive os recebidos depois que você assinou.
Dois recursos mais novos ampliam o risco. O ERC-2612, um padrão final do Ethereum, acrescenta uma função permit que define uma aprovação por meio de uma mensagem assinada, em vez de uma transação on-chain; quem tiver a assinatura pode enviá-la antes do prazo. Uma janela que parece dizer “assine para entrar” ou “assine para resgatar” pode, portanto, ser um permit, sem taxa e sem transação que alerte você. Para NFTs, a função setApprovalForAll do padrão ERC-721 permite que um “operador” administre todos os tokens de um dono em uma coleção. Alguns drainers dispensam as aprovações e pedem a frase-semente em um formulário falso, o que entrega a carteira inteira.
O FBI documentou esses padrões. Seu alerta de julho de 2022 sobre golpes de “mineração de liquidez” descreveu vítimas às quais foi prometido um retorno garantido de 1 a 3 por cento ao dia; elas conectavam suas carteiras e aceitavam uma janela pop-up projetada para imitar a interface da carteira, autorizando, sem saber, que os golpistas retirassem quantias ilimitadas; desde janeiro de 2019, houve perdas de mais de 70 milhões de dólares. Um alerta de junho de 2025 descreveu “airdrops” de NFTs na rede Hedera, cujos links levavam a sites que solicitavam frases-semente. Ambos os alertas consideram o resultado como roubo, e o FBI recomenda usar periodicamente um verificador de permissões de tokens de terceiros.
Na lei dos EUA, uma permissão obtida mediante engano não é consentimento real. Um esquema para obter bens por meio de falsos pretextos usando a internet é fraude eletrônica nos termos do 18 U.S.C. §1343, com pena de até 20 anos de prisão, e as leis estaduais sobre furto e roubo geralmente abrangem bens obtidos mediante engano. Poder processar ou acusar é diferente de recuperar os ativos, porque os operadores de drainers costumam ser anônimos e estar no exterior. Na esfera tributária, o Memorando do Chief Counsel do IRS 202511015 tratou perdas por phishing e por contas invadidas, mantidas para investimento, como perdas por roubo dedutíveis; ele dizia respeito a contas bancárias e de aposentadoria, de modo que sua aplicação a uma carteira drenada depende dos fatos.
Verificações práticas: leia o que um pedido de assinatura realmente autoriza, incluindo o endereço do spender e o valor; trate como suspeito qualquer pedido em um site ao qual você chegou por uma mensagem, um anúncio ou um airdrop; e revise e revogue aprovações antigas com um verificador de aprovações. Revogar é em si uma transação que custa uma taxa de rede, e não desfaz um roubo que já aconteceu. Se você já digitou sua frase-semente em um site, revogar aprovações não basta, porque a carteira inteira está exposta. Depois de uma drenagem, anote os hashes e endereços das transações e denuncie prontamente (lição 4.2.7), porque fundos que chegam a uma corretora ou a uma stablecoin congelável às vezes podem ser congelados.

Fatos-chave

Pelo padrão ERC-20, approve permite que um spender saque de uma conta várias vezes, até o valor aprovado.
A função transferFrom do ERC-20 permite que um spender aprovado movimente tokens em nome do dono.
O ERC-2612 acrescenta uma função permit que altera os limites de gasto de tokens (allowances) por meio de uma mensagem assinada, e não de uma transação on-chain enviada pelo dono.
A função setApprovalForAll do ERC-721 autoriza um operador a administrar todos os NFTs de um dono naquele contrato.
Alerta do FBI I-072122-PSA: mais de 70 milhões de dólares em perdas desde janeiro de 2019 devido a golpes de mineração de liquidez que utilizaram permissões das carteiras.
A fraude eletrônica (wire fraud), nos termos do 18 U.S.C. §1343, é punível com até 20 anos de prisão, ou até 30 anos se afetar uma instituição financeira.

Exercício nove, seis, três, um

9ReunirListe até 9 tipos de solicitações ou comandos relacionados a carteiras que você já viu, como conectar, aprovar, permitir, definir aprovação para todos, assinar uma mensagem, inserir uma frase-semente ou reivindicar um airdrop.

6AgruparClassifique-os em 6 categorias: compartilhamento de endereço, aprovações de tokens, mensagens assinadas, aprovações de operadores de NFT, transferências diretas e solicitações de chaves ou frases secretas.

3DestilarReduza as 6 categorias a 3 níveis de risco: inofensivo por si só, arriscado se o site for malicioso e algo que nunca é seguro fornecer a nenhum site.

1CristalizarEscreva 1 frase descrevendo o que você gostaria de saber antes de assinar qualquer pedido de aprovação em uma carteira.

Verificação de fatos

Datas, números e afirmações verificados com as fontes publicadas listadas abaixo.

Abrir na academia interativa →

EN ES ZH JA KO RU DE FR MS