Segurança

Alerta de segurança Web3 - cenários comuns de roubo de ativos

Iniciante

2025-06-03 | 5m

Visão geral

● Situações comuns que podem levar à perda dos seus ativos

● Medidas de proteção da Bitget para salvaguardar os fundos dos utilizadores

A Web3 abre as portas à liberdade financeira e a inovações revolucionárias. No entanto, também introduz novos riscos de segurança. Este artigo analisa as formas mais comuns de os utilizadores serem vítimas de roubos de ativos, desde fugas de chaves privadas e aprovações maliciosas de assinaturas, a transferências fraudulentas e outros ataques. Aqui, partilhamos estudos de caso do mundo real e fornecemos uma visão geral sobre as medidas de proteção da Bitget. Pretendemos com este artigo equipar os utilizadores com os conhecimentos de que necessitam para melhor salvaguardar os seus ativos digitais no ecossistema blockchain.

Fugas da frase seed ou da chave privada

Carteiras falsas

Os atacantes fazem-se muitas vezes passar por membros de equipas oficiais ou até mesmo por administradores em plataformas como o Telegram ou o Discord. Enviam emails de phishing ou partilham links que o irão convencer a descarregar carteiras falsas, muitas vezes disfarçadas de "atualizações de segurança" de plataformas de confiança como a MetaMask ou a Trust Wallet. Alguns até colocam anúncios em motores de busca para reencaminharem os utilizadores para websites de phishing. Quando as vítimas instalam estas apps falsas e introduzem as suas frases seed ou chaves privadas, a informação é imediatamente enviada para servidores controlados pelos atacantes.

Malware

Estas app maliciosas aparecem muitas vezes como ferramentas inofensivas, tais como leitores de códigos QR, gestores de ficheiros, jogos pirateados, rastreadores de preços de criptomoedas ou verificadores de airdrops. Uma vez instaladas, estas aplicações pedem acesso à sua área de transferência e monitorizam continuamente o seu conteúdo. Se os utilizadores copiarem dados sensíveis como frases seed ou chaves privadas (normalmente durante uma cópia de segurança ou transferência), estas aplicações captam instantaneamente as informações e enviam-nas para os servidores dos atacantes.

Fraudes de assinatura ou autorização

Burlas eth_sign

O eth_sign é um método básico de assinatura do Ethereum que permite aos utilizadores assinarem dados arbitrários. O problema é que os utilizadores apenas vêem uma cadeia ilegível de código hexadecimal, pelo que muitas vezes não fazem ideia do que estão realmente a assinar. Os atacantes exploram este facto enganando os utilizadores para que assinem aprovações maliciosas - por vezes até concedendo acesso total aos seus ativos.

Phishing por assinatura Permit2

O Permit2, um protocolo de aprovação de tokens desenvolvido pela Uniswap Labs, tem um design seguro. No entanto, este tem sido explorado em ataques de phishing. Com frequência, os atacantes enganam os utilizadores para que assinem autorizações Permit2 sob pretextos como verificações de carteiras ou resgates de airdrops. Após a assinatura, o atacante consegue mover os tokens do utilizador sem necessitar de quaisquer outras permissões.

Fraudes de autorização de tokens

Alguns websites maliciosos convencem os utilizadores a conceder uma autorização ilimitada de tokens valiosos a um smart contract, o que permite que o website manipule o seu saldo. Estes websites fazem-se muitas vezes passar por plataformas legítimas de DeFi ou de NFT, pelo que exigem a autorização do utilizador para que este possa participar. Os atacantes criam urgência através de ofertas falsas e campanhas por tempo limitado, diminuindo assim as defesas dos utilizadores. Após a autorização, podem levantar os tokens da vítima sem necessidade de confirmações adicionais.

Fraudes de autorização de NFT

Alguns websites maliciosos pedem aos utilizadores que concedam permissões setApprovalForAll nos seus NFT. Se esta permissão for aprovada, o atacante obterá controlo total sobre a coleção de NFT do utilizador e poderá transferir os seus ativos a qualquer momento e sem passos adicionais.

Fraudes em transferências

Apropriação indevida de endereços de carteiras em apps de mensagens

Alguns atacantes distribuem versões adulteradas de aplicações de mensagens como o Telegram através de fontes não oficiais. Estas aplicações modificadas contêm código malicioso que monitoriza conversas e substitui quaisquer endereços partilhados de carteiras cripto. Quando os utilizadores copiam um endereço de carteira de um chat para enviar fundos, podem, sem saber, estar a enviar os seus fundos para a carteira do atacante. Em 2023, mais de 500 utilizadores perderam cerca de 8 milhões de dólares em criptomoedas ao transferirem fundos, sem saberem, através de uma versão adulterada do Telegram.

Phishing por transferências vazias

Os atacantes exploram um comportamento da funcionalidade transferFrom do USDT que permite transferências de valor zero sem exigir a aprovação do remetente. Isto permite-lhes iniciar operações TransferFrom em contas de utilizador ativas, inundando assim o seu histórico de transações. Como alguns utilizadores copiam frequentemente endereços de carteiras a partir do seu próprio histórico de transações, podem utilizar por engano o endereço de um atacante e enviar os seus fundos para o destinatário errado. De acordo com a SlowMist, só no primeiro semestre de 2022 foram roubados mais de 20 milhões de dólares através deste método.

Medidas de segurança da Bitget

A maioria dos ativos é armazenada em cold wallets

Na Bitget, a maioria dos ativos digitais é armazenada offline em cold wallets multi-assinatura. Esta abordagem cautelosa de manter as carteiras sem acesso à internet reduz significativamente o risco de ciberataques.

Fundo de proteção

A Bitget mantém um Fundo de Proteção de 700 milhões de dólares. Se a sua conta Bitget for comprometida, ou se os seus ativos forem roubados ou perdidos (excluindo perdas derivadas de ações ou transações pessoais), pode enviar uma reclamação através do Fundo de proteção da Bitget.

Canal de verificação oficial

Para ajudar os utilizadores a evitarem phishing e fraudes, a Bitget oferece um Canal de verificação oficial. Pode utilizá-lo para confirmar se um email, website ou conta de rede social pertence genuinamente à Bitget.

Educação sobre segurança

A Bitget partilha regularmente conteúdos educativos para sensibilizar e ajudar os utilizadores a reforçarem os seus conhecimentos e práticas de segurança.

Melhores práticas para utilizadores

Proteja as suas frases seed e chaves privadas

● Nunca carregue a sua frase seed ou chave privada sem encriptação na nuvem.

.● Evite copiar a sua frase seed ou chave privada na íntegra para a área de transferência para que estas não sejam capturadas por malware

● Apenas descarregue apps de carteiras a partir de fontes oficiais e verifique sempre quem disponibiliza a app e a assinatura do software.

Gestão de assinaturas e autorizações

● Nunca assine nada que não compreenda totalmente e reveja sempre o conteúdo com cuidado antes de o assinar.

● Defina um limite mínimo de autorização necessário para projetos desconhecidos em vez de lhes conceder acesso ilimitado.

● Utilize ferramentas de gestão de autorizações (por exemplo, Revoke.cash) para verificar e revogar regularmente quaisquer autorizações desnecessárias.

Práticas de transferência seguras

● Antes de efetuar transferências grandes ou importantes, teste-as sempre com um montante pequeno.

● Guarde endereços de carteira utilizados com frequência no livro de endereços.

Considerações finais

A proteção dos ativos digitais exige um esforço conjunto. Embora corretoras como a Bitget criem estruturas de segurança abrangentes, os utilizadores também se devem manter atentos e informados. As finanças tradicionais levaram séculos a desenvolver práticas seguras. Do mesmo modo, a Web3 ainda está em evolução, sendo que cada incidente de segurança nos oferece lições valiosas. A Bitget continua empenhada em investir na segurança da plataforma e em expandir os seus conteúdos educativos para ajudar os utilizadores a reforçarem as suas defesas. Acreditamos que a plataforma e os utilizadores devem trabalhar em conjunto para criar um ecossistema Web3 verdadeiramente seguro e fiável, onde a inovação da blockchain possa prosperar com o mínimo de risco possível.