Um trader de criptomoedas perdeu quase 50 milhões de dólares numa única transação no dia 20 de dezembro, tornando-se vítima de um sofisticado ataque de “envenenamento de endereço”. Neste incidente, 49.999.950 USDT foram transferidos diretamente para a carteira do golpista, destacando uma crise de segurança cada vez mais grave, em que ladrões de alta tecnologia exploram hábitos humanos básicos e limitações da interface do utilizador.
De acordo com o investigador on-chain Specter, a vítima, ao tentar transferir fundos de uma exchange para a sua carteira pessoal, realizou inicialmente uma transação de teste de 50 USDT para o seu endereço legítimo. Este comportamento foi detetado pelo atacante, que imediatamente gerou um endereço “falso” personalizado, com os quatro primeiros e os quatro últimos caracteres a corresponderem ao endereço legítimo da vítima.
Ler mais: Fraudes em cripto em 2025: como identificar e proteger-se
O atacante enviou então uma pequena quantia de criptomoeda a partir este endereço falso para a vítima, “envenenando” efetivamente o histórico de transações do utilizador. Em discussões subsequentes, Specter lamentou que um trader tenha perdido fundos “por uma razão que menos se esperaria causar uma perda tão grande”. Em resposta ao também investigador ZachXBT, que expressou simpatia pela vítima, Specter disse:
“É precisamente por isso que fico sem palavras, perder uma quantia tão grande devido a um erro tão simples. Bastava alguns segundos para copiar e colar o endereço da fonte correta, em vez de o retirar do histórico de transações, e tudo isto teria sido evitado. O Natal foi arruinado.”
Como a maioria das carteiras de criptomoedas modernas e exploradores de blocos truncam longas cadeias alfanuméricas — mostrando reticências no meio (por exemplo, 0xBAF4…F8B5) — o endereço falso parecia idêntico ao da vítima à primeira vista. Assim, quando a vítima transferiu os restantes 49.999.950 USDT, seguiu uma prática comum: copiou o endereço de recebimento do histórico de transações recente, em vez de o obter da fonte.
Nos 30 minutos após o ataque de envenenamento, quase 50 milhões de dólares em USDT foram trocados por DAI, depois convertidos em cerca de 16.690 ETH, e lavados através do Tornado Cash. Ao perceber o que tinha acontecido, a vítima desesperada enviou uma mensagem on-chain ao atacante, oferecendo uma recompensa white-hat de 1 milhão de dólares em troca da devolução de 98% dos fundos. Até 21 de dezembro, estes ativos ainda não tinham sido recuperados.
Especialistas em segurança alertam que, à medida que os ativos em cripto atingem novos máximos, estes esquemas de “envenenamento” de baixa tecnologia e alto retorno estão a tornar-se cada vez mais comuns. Para evitar um destino semelhante, os detentores são aconselhados a obter sempre o endereço de recebimento diretamente da etiqueta “receber” da carteira.
Os utilizadores devem colocar endereços de confiança na lista branca das suas carteiras para evitar erros de digitação manuais. Devem também considerar o uso de dispositivos que exijam confirmação física do endereço de destino completo, fornecendo uma camada crítica de verificação adicional.
- O que aconteceu no ataque de 20 de dezembro? Um trader perdeu quase 50 milhões de dólares em USDT devido a um esquema de envenenamento de endereço.
- Como funciona o golpe? O atacante criou um endereço de carteira falso que, na forma truncada, parecia idêntico ao verdadeiro.
- Para onde foram transferidas as criptomoedas roubadas? Os fundos foram lavados via DAI, convertidos em ETH e transferidos através do Tornado Cash.
- Como os traders podem proteger-se?
Copie sempre o endereço a partir da etiqueta “receber” da carteira e coloque contas de confiança na lista branca.
