Lembro-me claramente de uma ligação que recebi às 23h de uma terça-feira. Era o Lucas, um amigo que entrou no mundo cripto durante o último ciclo de alta. A voz dele tremia. “Eles vão bloquear minha Ledger, recebi o aviso agora”. Ele estava prestes a digitar as 24 palavras de recuperação em um site que parecia idêntico ao suporte oficial. O motivo do pânico? Um e-mail com o assunto: “Sua carteira será suspensa por inatividade em 12 horas”. O Lucas não é ingênuo. Ele trabalha com TI. Mas naquele momento, o medo de perder o investimento de uma vida inteira desligou o lado racional do cérebro dele e ativou o modo de sobrevivência. É exatamente assim que os golpistas operam. Eles não hackeiam o código da blockchain; eles hackeiam a sua psicologia. No universo das criptomoedas, onde você é seu próprio banco, a segurança binária (seguro ou inseguro) não existe. O que existe é a segurança em camadas. Pense nisso como um castelo medieval: se o fosso falhar, você tem a muralha. Se a muralha cair, você tem a torre de menagem. Se você confia apenas em uma senha forte, seu castelo não tem portão. A primeira camada, e talvez a mais negligenciada, é a segregação de identidade.
Se você usa o mesmo e-mail para assinar newsletters, fazer compras na Amazon e gerenciar sua conta na Binance, você já começou errado. O e-mail que gerencia seu dinheiro deve ser invisível. Eu utilizo e recomendo serviços de e-mail criptografados (como ProtonMail ou Tutanota) exclusivamente para exchanges e backups de carteiras. Ninguém tem esse endereço. Se eu receber um e-mail da “Coinbase” na minha caixa de entrada pessoal, eu sei instantaneamente que é phishing, porque a Coinbase verdadeira nem sabe que aquele e-mail existe. Essa simples separação elimina 90% dos vetores de ataque. A segunda camada é técnica: a morte do SMS. A autenticação por dois fatores (2FA) via SMS é uma porta aberta para o desastre. Existe uma técnica chamada SIM Swap, onde o atacante convence sua operadora de telefonia a transferir seu número para um chip que ele controla. Em minutos, ele reseta suas senhas e intercepta os códigos de acesso. A solução prática? Aplicativos de autenticação (como Authy ou Google Authenticator) são o mínimo aceitável. O padrão ouro, no entanto, é uma chave de segurança física, como a YubiKey. Sem esse dispositivo USB inserido na máquina, nem mesmo alguém com sua senha e e-mail consegue sacar seus fundos. Mas vamos ao cenário onde o clique acontece. Digamos que você clicou no link malicioso.
Aqui entra a disciplina de hardware. Muitos iniciantes cometem o erro fatal de confiar no monitor do computador. Malwares de clipboard hijacking (sequestro de área de transferência) podem alterar o endereço de destino no momento em que você dá Ctrl+C / Ctrl+V. A regra é clara: a verdade está apenas na pequena tela OLED da sua hardware wallet. Se o endereço na tela do dispositivo não bater caractere por caractere com o destino, ou se você estiver “aprovando” um contrato inteligente que não solicitou, puxe o cabo. Literalmente. Desconecte. Recentemente, analisei um site falso da Uniswap que circulava em anúncios de buscadores. Visualmente, era uma cópia perfeita. Mas, ao olhar os detalhes técnicos do certificado e o domínio, notei o uso de Punycode — uma técnica que usa caracteres de outros alfabetos que se assemelham ao alfabeto latino. O “a” de “uniswap” era, na verdade, um caractere cirílico. Para o olho humano, era igual; para o navegador, era um site completamente diferente pronto para drenar a carteira via permissões de contrato maliciosas.