O conselho padr\u00e3o sobre phishing \u2014 cheque a URL, procure o cadeado \u2014 foi escrito para um mundo em que o pior cen\u00e1rio era uma senha roubada que voc\u00ea podia trocar. Os ataques em cripto s\u00e3o constru\u00eddos para um p\u00fablico cujos erros s\u00e3o irrevers\u00edveis, e s\u00e3o moldados de acordo. Os padr\u00f5es se repetem, e reconhecer o formato \u00e9 mais confi\u00e1vel do que inspecionar cada link.<\/p>\n
Voc\u00ea publica um problema publicamente \u2014 um f\u00f3rum, um chat, uma rede social \u2014 e algu\u00e9m prestativo aparece nas suas mensagens diretas em minutos, se apresentando como suporte para o que quer que voc\u00ea tenha mencionado.<\/p>\n
O sinal revelador \u00e9 a dire\u00e7\u00e3o do contato. Um suporte leg\u00edtimo n\u00e3o inicia uma conversa privada porque voc\u00ea reclamou publicamente. Tudo o que vem a seguir, seja um site de “valida\u00e7\u00e3o”, uma ferramenta de “sincroniza\u00e7\u00e3o”, ou um compartilhamento de tela, existe para chegar at\u00e9 sua frase de recupera\u00e7\u00e3o ou fazer voc\u00ea assinar alguma coisa.<\/p>\n
O h\u00e1bito que neutraliza isso \u00e9 absoluto: ningu\u00e9m que entra em contato com voc\u00ea primeiro \u00e9 suporte. Nem se o nome de exibi\u00e7\u00e3o bater, nem se o avatar estiver certo, nem se souberem detalhes da sua publica\u00e7\u00e3o p\u00fablica.<\/p>\n
Os ataques mais eficazes n\u00e3o pedem que voc\u00ea envie nada. Eles pedem que voc\u00ea assine uma aprova\u00e7\u00e3o que concede a um contrato permiss\u00e3o para movimentar um token em seu nome, muitas vezes sem limite e sem prazo de validade.<\/p>\n
Funciona porque o prompt n\u00e3o se parece com um pagamento. Nenhuma quantia sai da sua carteira no momento da assinatura, a carteira pode mostrar um valor pequeno ou zero, e os fundos se movem depois. Pessoas que jamais enviariam fundos a um estranho v\u00e3o aprovar um contrato para reivindicar um airdrop ou se conectar a um site.<\/p>\n
A defesa \u00e9 ler a tela do dispositivo ou da carteira, e n\u00e3o a do site, e desconfiar de qualquer permiss\u00e3o ilimitada. Revisar e revogar periodicamente aprova\u00e7\u00f5es vigentes \u00e9 uma manuten\u00e7\u00e3o que a maioria das pessoas nunca realiza.<\/p>\n
Duas variantes, ambas explorando o fato de que ningu\u00e9m l\u00ea um endere\u00e7o completo.<\/p>\n
Malware de \u00e1rea de transfer\u00eancia substitui um endere\u00e7o copiado pelo do invasor no momento em que voc\u00ea cola. O envenenamento de endere\u00e7o envia a voc\u00ea uma transa\u00e7\u00e3o min\u00fascula a partir de um endere\u00e7o cujos primeiros e \u00faltimos caracteres coincidem com um que voc\u00ea usa, de modo que, quando mais tarde voc\u00ea copiar do seu hist\u00f3rico, pegue o errado.<\/p>\n
Ambas neutralizam o h\u00e1bito de checar os quatro primeiros e os quatro \u00faltimos caracteres, que \u00e9 o h\u00e1bito que quase todo mundo tem. Verificar o meio, usar uma agenda de endere\u00e7os salvos, e enviar primeiro um teste pequeno s\u00e3o as contramedidas \u2014 e a transa\u00e7\u00e3o de teste vale sua taxa em qualquer valor substancial.<\/p>\n
“Sua carteira est\u00e1 comprometida, migre imediatamente.” “Atividade suspeita detectada, verifique agora.” A mensagem \u00e9 projetada para que a emo\u00e7\u00e3o que ela produz \u2014 medo em rela\u00e7\u00e3o \u00e0 seguran\u00e7a \u2014 empurre voc\u00ea em dire\u00e7\u00e3o \u00e0 a\u00e7\u00e3o que a destr\u00f3i.<\/p>\n
Nada em cripto genuinamente exige a\u00e7\u00e3o em poucos minutos. N\u00e3o existe migra\u00e7\u00e3o que um provedor de carteira de verdade v\u00e1 exigir, nenhuma etapa de valida\u00e7\u00e3o envolvendo sua frase, e nenhum motivo leg\u00edtimo para algu\u00e9m precisar dela. A press\u00e3o de tempo aplicada a uma decis\u00e3o de seguran\u00e7a j\u00e1 \u00e9, em si, o sinal de alerta.<\/p>\n
Buscar por uma carteira ou exchange retorna posicionamentos pagos acima do resultado real, e esses posicionamentos s\u00e3o periodicamente comprados por invasores apontando para um clone convincente. O site \u00e9 pixel-perfeito e o dom\u00ednio \u00e9 quase id\u00eantico ao verdadeiro.<\/p>\n
Favoritos resolvem isso completamente e n\u00e3o custam nada. Acesse qualquer coisa que guarde valor por meio de um favorito que voc\u00ea mesmo criou, nunca por um resultado de busca, e a categoria inteira deixa de se aplicar.<\/p>\n
Vale dizer isso porque a vergonha de cair em um desses golpes impede as pessoas de denunci\u00e1-los. Esses ataques t\u00eam sucesso contra pessoas experientes e cuidadosas, porque s\u00e3o projetados para peg\u00e1-las durante momentos comuns de distra\u00e7\u00e3o, e n\u00e3o durante uma inspe\u00e7\u00e3o cuidadosa.<\/p>\n