O que são drenos de carteira? Dentro da indústria de phishing de aprovação

Os drenos de carteira roubaram bilhões de dólares de usuários de criptomoedas, e quase nenhum deles envolveu uma senha roubada ou uma blockchain hackeada. Envolveu vítimas assinando transações que não entendiam. Este guia explica como os drenos realmente funcionam, o mecanismo de aprovação de tokens que eles exploram, a indústria de dreno como serviço que industrializou o roubo, as assinaturas específicas que dão aos atacantes tudo, e exatamente como proteger uma carteira e revogar as aprovações que podem já ser perigosas.

A técnica de roubo mais bem-sucedida em criptomoedas não invade nada. Ela pede permissão, e a vítima a concede. Drenos de carteira, ferramentas maliciosas que esvaziam uma carteira de criptomoedas de seus tokens e NFTs em uma única transação aprovada, roubaram bilhões de dólares de centenas de milhares de vítimas, e o fato impressionante sobre quase todos os casos é que a blockchain funcionou perfeitamente, a criptografia se manteve, e nenhuma senha foi roubada. A vítima foi enganada a assinar uma transação que autorizou o roubo, e a cadeia, fazendo exatamente o que foi projetada para fazer, executou a autorização fielmente.

Esta é a característica definidora da era dos drenos: a superfície de ataque mudou do protocolo para a pessoa. As blockchains tornaram o roubo de moedas por meio da quebra da matemática efetivamente impossível, então os ladrões pararam de tentar e se voltaram para o único componente que nenhuma criptografia pode proteger, o humano decidindo o que assinar. Drenos são o produto industrializado dessa mudança, ferramentas embaladas vendidas como um serviço para criminosos não técnicos, completas com a infraestrutura de phishing para atrair vítimas e os contratos inteligentes para varrer seus ativos no instante em que aprovam.

Este guia explica toda a máquina. Ele cobre como funcionam as aprovações de blockchain e por que elas são a vulnerabilidade, a anatomia de um ataque de dreno desde a isca até a varredura, as assinaturas maliciosas específicas, aprovações, permissões, e as notórias transações de assinatura cega, que entregam tudo aos atacantes, a indústria de dreno como serviço que transformou o roubo de carteiras em um negócio de franquia, as iscas que entregam vítimas, e as defesas concretas, incluindo como encontrar e revogar as aprovações perigosas que podem estar sentadas em sua carteira agora mesmo. Você também pode gostar: Intesa Sanpaolo comprou XRP através de um trust. Como os bancos realmente mantêm criptomoedas

Aprovações: o recurso que se tornou a arma

Para entender os drenos, entenda as aprovações de tokens, porque todo o ataque é um abuso de um recurso legítimo e necessário. Quando você usa um aplicativo descentralizado, um DEX, um protocolo de empréstimo, um mercado de NFTs, ele precisa de permissão para mover seus tokens em seu nome. Em vez de aprovar cada transação individualmente, o mecanismo padrão permite que você conceda a um contrato inteligente uma autorização: permissão para gastar até uma certa quantia de um token específico de sua carteira, para que o aplicativo possa operar suavemente sem perguntar a cada vez.

Isso é conveniente e, quando usado honestamente, seguro. O problema é o que o mecanismo permite quando abusado. As aprovações podem ser para quantias ilimitadas, uma única assinatura pode autorizar um contrato a mover todos os tokens que você algum dia terá, e elas persistem, uma aprovação que você concedeu uma vez permanece ativa até que você a revogue, às vezes por anos, mantendo silenciosamente a permissão para drenar esse token muito tempo depois que você esqueceu a transação. Um contrato malicioso que obtém uma aprovação ilimitada e persistente para seu token mais valioso possui uma chave permanente para essa parte de sua carteira, e pode usar essa chave sempre que escolher, incluindo muito tempo depois do momento em que você assinou.

Os drainers existem para obter exatamente essas aprovações por meio de engano. O objetivo total do atacante é fazer com que você assine uma transação que concede a um contrato malicioso permissão sobre seus ativos, e tudo o mais, os sites falsos, as mensagens urgentes, as marcas impersonadas, é uma máquina construída para fabricar aquela única assinatura. Uma vez concedida, o roubo não é um hack; é o contrato exercendo uma permissão que você autorizou, e é por isso que os roubos de drainer são tão difíceis de reverter e por que a blockchain não oferece ao vítima nenhum recurso: do ponto de vista do protocolo, nada deu errado.

Anatomia de um ataque de drainer

Um ataque de drainer segue uma sequência consistente, e conhecê-la torna o perigo legível. Começa com uma isca: a vítima encontra algo projetado para fazê-la conectar uma carteira e assinar, uma versão falsa do site de um projeto real, uma reivindicação de airdrop fraudulenta, um link malicioso em uma conta de mídia social hackeada, uma página de mintagem falsificada para o tipo de lançamento de memecoin que atrai multidões a assinar rapidamente, um resultado de pesquisa ou anúncio envenenado. O trabalho da isca é colocar a vítima diante de um prompt de assinatura de carteira enquanto ela acredita que está fazendo algo legítimo, reivindicando uma recompensa, mintando um NFT, verificando uma conta, conectando-se a um aplicativo familiar.

Então vem o pedido de assinatura, o coração do ataque. O site malicioso solicita que a carteira da vítima assine uma transação, e a transação é elaborada para conceder ao contrato do atacante permissão sobre os ativos da vítima, uma aprovação de token ilimitada, uma assinatura de permissão ou uma autorização em lote cobrindo múltiplos ativos de uma vez. Para a vítima, o prompt muitas vezes parece rotineiro, e os drainers modernos trabalham arduamente para fazê-lo parecer exatamente como a ação legítima que a vítima espera, disfarçando a aprovação maliciosa como a conexão ou reivindicação que ela veio realizar. A carteira, corretamente, mostra um prompt de assinatura; a vítima, acreditando que é benigno, aprova.

A varredura segue instantaneamente. No momento em que a aprovação é feita, a infraestrutura do drainer move os ativos autorizados para fora da carteira, muitas vezes dentro do mesmo bloco, correndo pela mesma infraestrutura de ordenação de prioridade que alimenta toda a extração on-chain, frequentemente priorizando os tokens mais valiosos primeiro e usando automação para drenar tudo o que a assinatura autorizou antes que a vítima entenda o que aconteceu. Os ativos roubados são então lavados através de mixers e rotas cross-chain, o mesmo caminho de ofuscação que todo grande roubo segue, rastreando que a indústria de análises on-chain persegue, mas raramente reverte, e quando a vítima percebe, os ativos já se foram e a aprovação que autorizou sua perda muitas vezes ainda está ativa, pronta para varrer quaisquer novos tokens que chegarem. Toda a sequência, da isca à varredura, pode ser concluída em segundos, e sua velocidade é por que a prevenção, e não a reação, é a única defesa real.
Você também pode gostar: O Bitcoin enfrenta um máximo de $62K de dor máxima enquanto $1,75B em opções de criptomoedas expiram.

As assinaturas que revelam tudo

Nem todas as assinaturas maliciosas são iguais, e as mais perigosas valem a pena serem conhecidas pelo nome, porque reconhecê-las é a diferença entre um susto e uma carteira vazia.

A aprovação ilimitada é o clássico: uma assinatura que concede a um contrato permissão para gastar uma quantidade ilimitada de um token específico. Aplicativos legítimos às vezes solicitam isso por conveniência, o que é exatamente o que os torna perigosos; as vítimas se habituam a aprová-los, e um contrato malicioso com uma aprovação ilimitada pode drenar completamente esse token, tanto no momento quanto depois. A assinatura de permissão é ainda mais sutil e perigosa: novos padrões de token permitem que aprovações sejam concedidas através de uma mensagem assinada fora da cadeia, em vez de uma transação na cadeia, o que significa que uma vítima pode autorizar um dreno assinando o que parece ser uma mensagem inofensiva, sem taxa de gás e sem transação óbvia, tornando os ataques baseados em permissão especialmente enganosos, pois eles contornam o alarme mental que uma transação de aprovação explícita poderia acionar. Assinaturas em lote ou delegadas, que autorizam ações em múltiplos ativos ou concedem controle amplo em uma única aprovação, permitem que uma única assinatura transfira todo o valor de uma carteira de uma só vez.

Por trás de tudo isso está o problema mais profundo: a assinatura cega. Uma carteira de hardware ou software protege suas chaves, mas muitas vezes não pode lhe dizer, em linguagem simples, o que uma transação complexa realmente faz, mostrando em vez disso um hash opaco ou um blob de dados incompreensível. Quando uma vítima não consegue ler o que está autorizando, ela confia na descrição do site sobre a transação em vez da transação em si, e os drenos exploram exatamente essa lacuna, apresentando uma história benigna enquanto a assinatura por trás autoriza o roubo. A assinatura cega é a maior vulnerabilidade na autocustódia, o mesmo modo de falha por trás dos maiores roubos institucionais da indústria, e é por isso que as defesas que mais importam são aquelas que tornam as transações legíveis antes de serem assinadas.

Drainer como serviço: roubo como franquia
O que transformou o dreno de carteiras de um incômodo disperso em uma indústria de bilhões de dólares foi uma inovação no modelo de negócios: drainer como serviço. Em vez de cada ladrão construir suas próprias ferramentas, desenvolvedores sofisticados criaram kits de drainer, pacotes completos que incluem os contratos inteligentes maliciosos, os modelos de sites de phishing, a automação de varredura de ativos e até suporte ao cliente, e os alugam ou licenciam a criminosos não técnicos em troca de uma parte dos fundos roubados, comumente uma porcentagem de cada dreno.

Essa franquia é a razão pela qual os drenos escalaram de forma tão catastrófica. Ela removeu a barreira de habilidade: um criminoso sem habilidade em codificação agora pode implantar uma operação de drenagem de nível profissional assinando um serviço, apontando-o para um isco e dividindo os lucros com os desenvolvedores. Os kits competem em eficácia, evoluindo rapidamente para derrotar os avisos de carteiras, evadir a detecção e melhorar seu engano, uma corrida armamentista financiada pelo roubo em si. Serviços de drainer notórios processaram somas impressionantes em dezenas ou centenas de milhares de vítimas, perdas na escala dos exploits que drenam protocolos inteiros antes de serem encerrados, renomeados ou sucedidos por imitadores, e a resiliência do modelo é estrutural: derrube um e a demanda, as ferramentas e os desenvolvedores simplesmente se reconstituem sob um novo nome. A indústria profissionalizou a maneira como o software legítimo fez, com níveis, atualizações e suporte, aplicados inteiramente à fabricação de assinaturas maliciosas.

Os números por trás da era dos drainer explicam por que isso atrai tanta atenção. Durante os anos de pico do fenômeno, as operações de drainer coletivamente roubaram bilhões de dólares de centenas de milhares de carteiras, com serviços individuais processando centenas de milhões antes de se aposentarem ou rebrandarem, e as perdas concentradas não entre novatos descuidados, mas em todo o espectro de usuários, incluindo detentores experientes que assinaram uma má transação em um momento de rotina. A curva de crescimento acompanhou a disseminação do modelo de serviço: à medida que os kits se tornaram mais fáceis de alugar e mais eficazes em derrotar os avisos das carteiras, o número de operadores multiplicou-se, e o dano total escalou com eles.

Duas dinâmicas tornaram o problema teimoso. A primeira é a corrida armamentista: cada melhoria na segurança da carteira, avisos de transação, listas de bloqueio de sites de phishing, alertas de aprovação, foi atendida pelos desenvolvedores de drainer adaptando seus kits para evitá-las, financiados pelo próprio roubo, de modo que defesas e ataques co-evoluíram sem que nenhum dos lados vencesse permanentemente. A segunda é o problema da reconstituição: porque o modelo é um serviço, e não uma operação fixa, desmantelar qualquer drainer único, através da aplicação da lei, cooperação de câmbio, ou os desenvolvedores simplesmente sacando, remove uma marca, mas não a demanda, a expertise ou as ferramentas, que reaparecem sob novos nomes. A indústria provou ser tão resiliente quanto qualquer mercado de software legítimo, pelas mesmas razões: baixas barreiras de entrada, forte demanda e iteração contínua, todas apontando para a fabricação de assinaturas maliciosas. Você também pode gostar: Bitcoin sobe 3% enquanto o petróleo cai, mas $65.000 limita a recuperação

Um drainer em câmera lenta
Caminhar por um ataque composto em velocidade humana torna a sequência abstrata concreta. Um usuário vê uma postagem de um projeto que parece seguir, uma conta com aparência oficial, anunciando um airdrop surpresa com um prazo de reivindicação em horas. A urgência é deliberada. Eles clicam no link, que leva a um site que é uma cópia perfeita do projeto real, acessado através de um domínio apenas um caractere diferente do genuíno. O site os convida a conectar sua carteira para verificar a elegibilidade, uma ação rotineira e que parece inofensiva, e eles o fazem. O site informa que eles se qualificam para uma alocação substancial e os solicita a assinar uma transação para reivindicá-la.

O aviso é a armadilha. O que o site descreve como uma reivindicação é, por baixo, um pedido para conceder ao contrato do atacante uma aprovação ilimitada sobre o token mais valioso do usuário, ou uma assinatura de permissão autorizando o mesmo através de uma mensagem sem gás que parece ainda mais inócua. O usuário, animado com o airdrop e reassurado pelo site com aparência familiar, lê a descrição benigna do site em vez do verdadeiro conteúdo da transação, que sua carteira pode mostrar apenas como uma mancha opaca, e aprova.

Dentro do mesmo bloco, o drainer varre o token autorizado da carteira, e se a assinatura foi ampla, passa para o próximo ativo. Minutos depois, o usuário verifica os canais do projeto real e descobre que nenhum airdrop existiu. A aprovação que autorizou o roubo ainda está ativa, e a menos que seja revogada, varrerá quaisquer tokens de substituição que chegarem. Cada passo parecia normal; toda a perda fluiu de uma única assinatura assinada em uma pressa fabricada, que é todo o design do drainer em miniatura.

Os atrativos: como as vítimas são entregues

Os contratos de drainer são apenas metade da máquina; a outra metade é a infraestrutura de isca que entrega as vítimas ao prompt de assinatura, e sua variedade vale a pena catalogar, pois o reconhecimento é defesa. Airdrops falsos e reivindicações de tokens exploram a ganância e a urgência, prometendo tokens gratuitos que exigem a conexão de uma carteira e assinatura para serem reivindicados. Sites de impersonação clonam projetos reais pixel por pixel, acessados através de anúncios de busca envenenados, domínios com erros de digitação ou links postados de contas oficiais comprometidas, fazendo com que as vítimas acreditem que estão no site genuíno. Mints falsos e drops de edição limitada fabricam escassez e pressão temporal, apressando as vítimas além da cautela. Contas de mídia social comprometidas, incluindo as verificadas e oficiais, postam links maliciosos para seguidores confiantes. Mensagens diretas oferecendo suporte, oportunidades ou avisos atraem vítimas para sites maliciosos. E anúncios maliciosos colocados em motores de busca e plataformas sociais colocam sites fraudulentos acima dos reais.

O fio comum é psicológico: cada isca engenheiria um estado, excitação, urgência, confiança, medo de perder, no qual a vítima está pronta para assinar sem escrutínio. A sofisticação técnica do drainer é quase secundária à engenharia social da isca, porque todo o ataque depende de pegar a vítima em um momento em que ela aprova primeiro e pensa depois. É por isso que a defesa mais eficaz não é técnica, mas comportamental, uma recusa permanente em assinar qualquer coisa a partir de um estado de urgência, e também é por isso que os atacantes investem tanto na fabricação dessa urgência.

Defesa e revogação do que pode já ser perigoso

Proteger uma carteira contra drainers se resume a um conjunto de hábitos e uma tarefa de manutenção que a maioria dos usuários nunca realizou. Os hábitos: trate cada solicitação de assinatura como uma decisão, não uma formalidade, e nunca assine a partir de um estado de urgência, uma vez que a urgência é o ataque. Verifique sites de forma independente, digitando URLs conhecidas ou usando favoritos em vez de clicar em links, anúncios ou resultados de busca. Seja intensamente suspeito de qualquer coisa gratuita, inesperada ou pressionada pelo tempo, as assinaturas emocionais de uma isca. Use uma carteira que decodifica e simula transações, mostrando em linguagem simples o que uma assinatura realmente fará antes de você aprová-la, o que ataca diretamente a vulnerabilidade de assinatura cega, e recuse-se a assinar qualquer coisa que você não possa ler. Mantenha ativos sérios em uma carteira de hardware, e melhor ainda, em uma carteira fria dedicada que nunca se conecta a aplicativos, para que a carteira que você usa para interagir com dapps mantenha apenas o que você pode se dar ao luxo de perder. E trate aprovações ilimitadas com particular cautela, concedendo apenas a permissão que uma interação realmente precisa, sempre que possível.

A tarefa de manutenção é revogar aprovações, e é a que a maioria dos usuários ignora. Cada aprovação que você já concedeu ainda está ativa até ser revogada, o que significa que permissões antigas e esquecidas, incluindo quaisquer maliciosas que você possa ter assinado sem consequências até agora, permanecem em sua carteira como risco contínuo. Ferramentas de verificação de aprovação, incluindo aquelas integradas em carteiras principais e exploradores de blocos, permitem que você veja cada aprovação ativa em sua carteira, quais contratos podem gastar quais tokens e revogar aqueles que você não reconhece ou não precisa mais. Revisar e revogar aprovações periodicamente fecha as portas permanentes das quais os drainers dependem, e fazê-lo agora, especialmente revogando quaisquer aprovações ilimitadas para contratos desconhecidos, é a única ação de segurança de maior valor que a maioria dos usuários de criptomoedas pode realizar e ainda não fez.

O resumo honesto é que os drenos são a forma madura de roubo de criptomoedas em uma era em que a criptografia não pode ser quebrada: a indústria protegeu o código de tal forma que os criminosos o abandonaram em favor do humano e construíram uma indústria profissional em torno da fabricação da única coisa que a auto-custódia não pode prevenir, a própria assinatura de uma vítima em uma transação maliciosa. Nenhuma atualização de blockchain corrige isso, porque nada deu errado com o blockchain, e a defesa é correspondentemente humana, suspeita informada, transações legíveis, exposição mínima e aprovações revogadas.

A tecnologia deu a todos o poder de serem seu próprio banco, e os drenos são o lembrete constante de que ser seu próprio banco significa ser seu próprio departamento de segurança, e que o firewall mais importante em criptomoedas é a pausa entre ler um pedido de assinatura e aprová-lo.

Uma última estrutura que vale a pena levar: os drenos são o preço da maior força da auto-custódia. A mesma propriedade que permite que você mantenha ativos que nenhum banco pode congelar, a autoridade final sobre sua própria assinatura, é a propriedade que os atacantes voltam contra você, porque uma assinatura que você foi enganado a fazer é tão final quanto qualquer outra. Não há linha de suporte para revertê-la e nenhuma instituição para absorver a perda, que é exatamente a troca que a auto-custódia oferece, controle total em troca de responsabilidade total. A boa notícia é que a responsabilidade é descarregada por um punhado de hábitos aprendíveis e uma tarde atrasada passada revogando aprovações antigas, e os usuários que os internalizam são, na prática, extremamente difíceis de drenar. O firewall é você; este guia é seu manual.

Isenção de responsabilidade: Este artigo é apenas para fins educacionais e não constitui aconselhamento de investimento ou segurança. A auto-custódia de ativos digitais envolve riscos significativos, e nenhuma prática elimina isso. Os detalhes são atuais até 9 de julho de 2026. Sempre faça sua própria pesquisa.

Perguntas frequentes

O que é um dreno de carteira em termos simples? {#faq-question-1783680737132}

Um dreno de carteira é uma ferramenta maliciosa que esvazia uma carteira de criptomoedas de seus tokens e NFTs após enganar o proprietário para assinar uma transação que autoriza o roubo. Ele não rouba senhas nem quebra o blockchain; ele abusa do mecanismo de aprovação legítimo que permite que aplicativos movam seus tokens, obtendo essa permissão por meio de engano e, em seguida, varrendo os ativos. O blockchain executa o roubo como uma ação autorizada.

Como os drenos roubam criptomoedas sem hackear nada? {#faq-question-1783680746655}

Eles exploram o humano, não a tecnologia. Os blockchains permitem que você conceda permissões a contratos inteligentes para mover seus tokens, e os drenos enganam você para conceder essa permissão a um contrato malicioso, geralmente através de um site falso ou airdrop que apresenta um prompt de assinatura com aparência benigna. Uma vez que você aprova, o contrato move seus ativos legitimamente, do ponto de vista do protocolo, que é por isso que nada é tecnicamente hackeado e o roubo é difícil de reverter.

O que é uma aprovação de token e por que é perigosa? {#faq-question-1783680753793}

Uma aprovação de token é a permissão que você concede a um contrato inteligente para gastar seus tokens, para que os aplicativos possam operar sem pedir para cada transação. Torna-se perigoso quando a aprovação é ilimitada e persistente: uma única assinatura pode autorizar um contrato a mover todos os tokens, e a permissão permanece ativa até ser revogada. Um contrato malicioso com tal aprovação possui uma chave permanente para essa parte de sua carteira.

O que é assinatura cega? {#faq-question-1783680761008}

A assinatura cega é aprovar uma transação cujo verdadeiro efeito você não pode ler, tipicamente mostrado como um hash opaco ou um blob de dados, e não uma descrição em linguagem simples. Como você não pode ver o que está autorizando, você confia na história do site sobre a transação em vez da transação em si, que é exatamente o que os drenos exploram. É a maior vulnerabilidade na custódia própria, e transações simuladas legíveis são a defesa direta.

O que é drainer-as-a-service? {#faq-question-1783680762052}

Drainer-as-a-service é o modelo de negócios que industrializou o roubo de carteiras: desenvolvedores habilidosos constroem kits completos de drenagem, contratos maliciosos, modelos de phishing, automação de varredura, até suporte, e os alugam para criminosos não técnicos em troca de uma parte dos fundos roubados. Isso removeu a barreira de habilidade, permitindo que qualquer um operasse uma operação de drenagem profissional, razão pela qual os drenos escalaram para bilhões em perdas e por que derrubar um serviço raramente resolve o problema.

Como posso saber se um pedido de assinatura é malicioso? {#faq-question-1783680782213}

Você muitas vezes não pode dizer apenas pelo pedido, que é o perigo, então a defesa é um processo em vez de detecção. Nunca assine em um estado de urgência, verifique os sites de forma independente em vez de clicar em links, desconfie de qualquer coisa gratuita ou pressionada pelo tempo, e use uma carteira que decodifica e simula transações para mostrar em linguagem simples o que uma assinatura fará. Se você não pode ler o que está autorizando, não assine.

O que devo fazer se achar que assinei uma aprovação maliciosa? {#faq-question-1783680789763}

Aja imediatamente: use uma ferramenta de verificação de aprovações, como aquelas integradas em carteiras principais ou exploradores de blocos, para encontrar e revogar a aprovação maliciosa antes que ela drene novos ativos, uma vez que a permissão permanece ativa até ser revogada. Mova quaisquer ativos restantes para uma nova carteira segura. Se uma drenagem já ocorreu, os fundos roubados geralmente são irrecuperáveis, mas revogar impede novos roubos através da mesma aprovação.

Como posso proteger minha carteira de drenos? {#faq-question-1783680795940}

Combine hábitos e higiene: trate cada assinatura como uma decisão e nunca assine sob urgência, verifique os sites de forma independente, use uma carteira de decodificação de transações e recuse assinar o que você não pode ler, mantenha ativos sérios em uma carteira fria que nunca toca em aplicativos, conceda aprovações mínimas em vez de ilimitadas, e revise e revogue periodicamente aprovações ativas. Revogar aprovações antigas e ilimitadas é a ação de maior valor que a maioria dos usuários nunca fez.

Divulgação: Este artigo não representa aconselhamento de investimento. O conteúdo e os materiais apresentados nesta página são apenas para fins educacionais. Leia mais: DOJ acusa prisioneiro por suposto roubo de criptomoeda de $290K