Como a detecção de golpes no WalletConnect funciona com Blockaid

Principais insights

Golpes do tipo “drainer” focados em dispositivos móveis, que exploram o WalletConnect, se tornaram uma grande ameaça para usuários de cripto, usando clones de dApps, infraestrutura de phishing e kits Drainer-as-a-Service para enganar pessoas a aprovar transações maliciosas. O Blockaid combate esse risco integrando análise off-chain e on-chain, simulação de transações e aprendizado de máquina para detectar e bloquear atividades suspeitas no momento da assinatura. Ao incorporar essas proteções em carteiras como a Tangem, o usuário recebe alertas claros e explicações antes de aprovar ações arriscadas, ajudando a neutralizar golpes antes que os ativos sejam roubados.

No último ano, golpes do tipo “drainer” focados em dispositivos móveis, que exploram os fluxos do WalletConnect, surgiram como uma das principais ameaças para usuários de cripto. Quando milhões de pessoas clicam em “Connect Wallet” ou escaneiam um QR code para conectar uma carteira móvel a um dApp, acabam depositando parte da confiança no WalletConnect. Essa ferramenta facilita o envio de solicitações de aprovação entre carteiras e dApps, simplificando um ecossistema complexo. Mas essa conveniência foi explorada por atacantes, e uma série de ataques mostrou como uma única assinatura pode rapidamente virar um roubo.

A superfície de ataque se expandiu para incluir e-mails de phishing, aplicativos falsos e dApps maliciosos que enviam solicitações aparentemente inofensivas enquanto drenam carteiras. Como o WalletConnect apenas retransmite solicitações de transação para o usuário aprovar, golpistas fingindo ser dApps legítimos ou o próprio WalletConnect podem enganar usuários para assinarem a transferência de seus ativos. 

Como funcionam os dApps maliciosos

Vamos entender como os dApps maliciosos são criados e distribuídos, os truques técnicos usados para transformar uma assinatura WalletConnect em um dreno instantâneo, e os sinais concretos (incluindo o que o Blockaid procura) que os defensores podem usar para detectar e bloquear essas ameaças em tempo real.

Clonando plataformas confiáveis

Atacantes copiam dApps inteiros, carteiras e protocolos DeFi, não apenas logotipos ou estilos. Normalmente, clonam o site completo, incluindo HTML, CSS e arquivos JavaScript, usando ferramentas como HTTrack ou scripts próprios. Depois, hospedam o site copiado com pequenas alterações.

This asset hijacking also involves embedding references to brand logos, fonts, and icons that are 
hotlinked directly from the original Content Delivery Network (CDN). It reduces forensic indicators, making the website appear authentic and trustworthy. 
Attackers use smart contract abstraction instead of rewriting the actual protocol. They create fake proxy contracts that look like real ones, but instead send calls to addresses they control. 

Fraudulent support ecosystems, including fake knowledge bases, live chat widgets, and Telegram “support admins," are created to further deceive users. These elements give the illusion of end-to-end legitimacy. As a result, cybercriminals can produce a pixel-perfect clone of legitimate sites, capable of intercepting seed phrases and private keys or misleading users into signing malicious transactions.

Infraestrutura de phishing 

Atacantes usam algoritmos de geração de domínios para criar, com antecedência, muitos domínios de phishing. Esses domínios geralmente se parecem muito com sites reais, usando truques como typosquatting, substituição de caracteres ou confusão com Unicode.

Normalmente, são registrados em grandes lotes, então sempre há novos disponíveis. Para dificultar derrubadas, atacantes usam Fast Flux, onde os endereços IP dos domínios mudam rapidamente por meio de botnets ou servidores comprometidos. Muitos sites de phishing também funcionam como proxies reversos, parecendo legítimos por fora, mas redirecionando para servidores controlados pelos atacantes. Esses sites frequentemente têm certificados SSL válidos de serviços como Let’s Encrypt, tornando-os mais convincentes para o usuário.

Eles também podem registrar domínios de última hora, mantendo-os inativos até o momento do golpe. Isso dificulta a detecção precoce pelos sistemas de monitoramento. 

O setup do ataque é feito para ser temporário e fácil de trocar. Mesmo que defensores derrubem um domínio ou servidor, várias cópias continuam ativas, permitindo que os atacantes sigam com a campanha sem grandes dificuldades. Isso cria um jogo constante, em que os atacantes se mantêm à frente mudando a infraestrutura mais rápido do que os defensores conseguem reagir.

Drainer-as-a-Service (DaaS)

O modelo Drainer-as-a-Service (DaaS) tornou o phishing em cripto mais fácil e industrializado. Em vez de exigir habilidades técnicas, criminosos podem comprar kits prontos que incluem tudo para executar ataques. Esses kits normalmente trazem templates de phishing para carteiras populares, contratos inteligentes maliciosos para roubar tokens e sistemas para gerenciar campanhas. 

Alguns kits identificam a carteira utilizada e adaptam o ataque conforme o caso. O modelo de negócio é parecido com SaaS, onde operadores alugam acesso ou ficam com parte do dinheiro roubado. Esses kits são atualizados frequentemente para driblar correções de segurança e listas negras. 

Canais de distribuição

Depois de montar sites de phishing e drainers, os hackers focam em fazer as pessoas clicarem neles. Usam canais populares como Telegram, Discord e X, fingindo ser membros confiáveis ou invadindo grupos existentes. Também manipulam buscadores para posicionar sites maliciosos no topo dos resultados. Anúncios pagos são outro método, exibindo links falsos como resultados patrocinados. 

Fora da web, atacantes espalham extensões de navegador nocivas que injetam scripts maliciosos em dApps legítimos e distribuem apps móveis falsos por lojas não oficiais ou, às vezes, até mesmo nas lojas oficiais, apesar das avaliações. Todas essas estratégias visam fazer as vítimas encontrarem conteúdo de phishing em ambientes que já confiam.

Táticas comuns de golpes

Estes são os padrões on-chain e off-chain que dApps maliciosos usam para transformar uma assinatura Approve ou outra autorização em fundos roubados:

• Unlimited token approvals/approve(MAX_UINT). O dApp pede para o usuário aprovar um token sem limite de gasto; depois, o atacante usa transferFrom para drenar os tokens. Esse é o vetor mais comum.
   
• Permit/EIP-712 offline signatures (Permit, Seaport, Permit2): Em vez de um approve on-chain, o dApp pede para o usuário assinar uma mensagem estruturada EIP-712 que autoriza gastos. Isso dificulta a compreensão do usuário e geralmente ocorre fora da interface principal do app. Blockaid já documentou golpes que usam assinaturas EIP-712 para autorizar transferências.
   
• Encoded calldata obfuscation: O payload da transação contém dados ABI codificados, comprimidos ou em multicall, então a interface da carteira só exibe uma linha genérica de “chamada de contrato”, que o usuário não entende facilmente.
   
• Proxy or intermediary contracts: Drainers usam contratos proxy ou de curta duração que recebem aprovações e rapidamente encaminham fundos para endereços dos atacantes, dificultando atribuição e defesa baseada em blacklist.
   
• Token rug or fake tokens: Solicitar para “adicionar” um token ou aprovar um airdrop que, na verdade, é um token malicioso com lógica de transferência para roubar aprovações ou executar um dreno.
   
• Meta-transactions & relayers: Mensagens assinadas off-chain combinadas com relayers permitem que atacantes disparem transferências sem enviar a transação diretamente, aumentando o sigilo.
   
• Multistage UX manipulations: O dApp faz um passo aparentemente inofensivo (conectar/pequena permissão) e logo em seguida dispara outro pedido opaco (approve ou permit) enquanto o usuário ainda está na sessão.

O que o Blockaid faz?

Apresentando o Blockaid, uma empresa que se tornou referência para carteiras e plataformas que querem proteger o momento da aprovação do usuário. O objetivo do Blockaid é direto: faz o trabalho pesado quando uma assinatura é solicitada, escaneia o destino, simula o que a transação fará, compara o pedido com uma biblioteca de golpes conhecidos e, se detectar algo malicioso, alerta ou bloqueia a ação.

The company’s platform blends broad internet crawling and dApp cataloging with fast transaction simulation and on-chain intelligence. It is increasingly embedded inside wallets, so the warning appears inside the app where the user decides.

The technology is less magic and more orchestration. Blockaid says it scans millions of web pages and dApp endpoints daily, maintaining a threat intelligence feed of malicious domains, deceptive token contracts, and known drainer signatures. Before a user attempts to sign, Tangem Wallet forwards the metadata about the dApp to Blockaid’s service. 

O Blockaid então executa uma simulação rápida da chamada, analisa o comportamento do token e do contrato, verifica a reputação de endereços e aplica heurísticas e padrões aprendidos para decidir se a ação é de alto risco.

O que o Blockaid observa em dApps

O Blockaid prioriza a varredura de dApps em toda a internet, simulação rápida de transações e heurísticas on-chain. Veja os sinais e técnicas usados para decidir se uma transação deve ser permitida, alertada ou bloqueada.

Indicadores de frontend (off-chain)

A primeira linha de defesa está na inspeção dos metadados off-chain. Atacantes dependem de frontends clonados e domínios descartáveis, que fornecem sinais mensuráveis.

• Reputação de domínio e hostname: A telemetria DNS pode ser comparada com feeds de inteligência de ameaças para identificar domínios recém-registrados (NRDs), domínios com TTL curto (comum no Fast Flux) ou aqueles já associados a campanhas maliciosas. Registradores ligados a grandes volumes de phishing também são sinais fortes.
   
• Padrões de clonagem de UI/UX: A análise de similaridade a nível de DOM detecta estruturas HTML/CSS, pacotes JavaScript ou strings inline que correspondem a marcas conhecidas ou templates de phishing já sinalizados. Crawlers vasculham milhões de domínios diariamente, extraindo essas características para identificar frontends fraudulentos em escala.
   
• Hashing de logotipos e ativos: Ativos de imagem (SVGs, PNGs) são identificados por hash e comparados com repositórios de marcas legítimas. Colisões de hash ou quase-duplicatas entre domínios não relacionados podem indicar tentativas de falsificação.

Essa análise de frontend identifica infraestrutura maliciosa antes mesmo do usuário interagir on-chain.

Simulação em nível de transação

Assim que o usuário inicia uma transação, a simulação determinística fornece o indicador mais confiável de comportamento malicioso.

• Stateful fork and dry run: A transação não assinada é executada em um fork do estado da blockchain no bloco atual. Isso simula as mudanças exatas de estado (transferências de tokens, atualizações de armazenamento, eventos) sem efetivar nada on-chain. 
  For example, if the simulation shows that signing an approve call grants an attacker contract unlimited allowance followed by an immediate transfer, the transaction is flagged as high risk.
   
• Decodificação de calldata: O ABI é decodificado para mapear o calldata em métodos legíveis (approve, permit, transferFrom, fillOrder etc.), expondo a intenção mesmo se a interface tentar esconder. Quando não há ABI disponível, heurísticas como correspondência de selector de função são aplicadas.
   
• Expansão de multicall: Muitos drainers escondem lógica dentro de estruturas multicall aninhadas. A simulação expande recursivamente cada subchamada para revelar ações ocultas, evitando que transferências fiquem mascaradas em operações em lote.

Essa inspeção na camada de execução é a única forma de validar, de forma determinística, o efeito econômico real de uma transação.

Heurísticas on-chain

Além da simulação direta, heurísticas adicionais detectam padrões associados a drainers e contratos maliciosos:

• Idade do contrato: Transações que concedem aprovações a contratos recém-implantados, com poucas interações ou ligados a endereços já bloqueados são suspeitas.
   
• Transferência imediata após permissão ilimitada: Se um drainer pede aprovação ERC-20 ilimitada seguida de uma transação de sweep, os motores de detecção sinalizam sequências em que approve ou permit antecedem transferências em uma janela curta de blocos.
   
• Impressões digitais de drainer: Muitos kits DaaS reutilizam sequências de chamadas, assinaturas de consumo de gas ou contratos router conhecidos. Uma vez identificadas, essas impressões comportamentais podem ser armazenadas como assinaturas tipo YARA e comparadas com futuras transações. O Blockaid documenta essas impressões e publica indicadores de comprometimento (IOCs), incluindo endereços de contrato, padrões de router e comportamentos de drainer.

Essas heurísticas fornecem um conjunto de regras atualizado continuamente, capturando drainers conhecidos e recém-implantados com táticas, técnicas e procedimentos comuns.

Sinais comportamentais e de machine learning

Por fim, a detecção de anomalias estatísticas e comportamentais complementa as verificações determinísticas:

• Desvio no fluxo de UX: Sistemas de detecção monitoram fluxos de assinatura incomuns, como aprovações em múltiplas etapas onde a segunda transação é o golpe, ou pop-ups pedindo quantidades improváveis de tokens em relação ao histórico da carteira.
   
• Padrões de sweep de terceiros: Contratos maliciosos frequentemente encaminham ativos para endereços “sweep” na mesma transação. Ao agrupar endereços envolvidos nesses padrões, modelos de ML podem identificar carteiras maliciosas antes mesmo de serem amplamente reportadas.
   
• Telemetria e efeito de rede: Quando uma tentativa de phishing é detectada por uma carteira integrada, esse sinal pode ser distribuído instantaneamente para todas as outras. Isso cria uma camada colaborativa de defesa, transformando um incidente em proteção preventiva para milhares de usuários. O Blockaid destaca esse ponto como uma força central do seu pipeline de detecção.

TL;DR

Uma estratégia de defesa em camadas integra múltiplas abordagens para reforçar a segurança. O Blockaid faz o seguinte:

• Combina análise de metadados off-chain, incluindo verificação de domínio, ativos e similaridade de frontend.
• Utiliza simulação on-chain, como execução em fork, análise de calldata e expansão de multicall.
• Emprega regras heurísticas para avaliar a origem de contratos, identificar permissões ilimitadas e detectar impressões de drainer.
• Monitora sinais comportamentais e de machine learning para anomalias de fluxo, detecção de sweep e rápida propagação de listas de bloqueio.
• Cria um modelo abrangente de defesa em profundidade, detectando ameaças desde a infraestrutura inicial até a execução on-chain.
• Permite neutralizar campanhas de drainer antes que causem danos irreversíveis.

Regras práticas implementadas pela Tangem Wallet

Confira algumas checagens práticas que adicionamos ao pipeline de assinatura, graças à integração com o Blockaid:

• Quando há assinaturas do tipo approve ou permit, a Tangem exibe uma explicação clara e em português: “Isso concede ao SPENDER X permissão para transferir até Y TOKEN.”
• A carteira simula a transação antes da assinatura. Se a simulação indicar qualquer transferência do usuário para um endereço externo, a operação é sinalizada como de alto risco.
• Oferecemos opções para aprovações limitadas e ilimitadas, sempre exigindo confirmação explícita e reforçada. 
• A interface da Tangem mostra o conteúdo decodificado e um resumo claro do que a assinatura irá autorizar.
• Se o destinatário for novo ou associado a endereços de drainer conhecidos, o app alerta o usuário.
• Para fluxos suspeitos do mesmo domínio ou endereço, o app exibe uma confirmação “Tem certeza?” para combinações de alto risco.
• Temos um fluxo preciso de “revogar” permissões na interface da carteira e orientamos o usuário sobre revogação de aprovações. 

Conclusão

dApps maliciosos exploram a confiança na interface e assinaturas opacas. A defesa mais eficaz é trazer a detecção para o momento da assinatura: decodificar o calldata, simular as mudanças exatas de estado, checar reputação on-chain e exibir um alerta claro — exatamente o que o pipeline de varredura e simulação do Blockaid faz. Essa combinação torna o botão Approve informativo, não fatal. 

O embate entre golpistas e defensores no Web3 é antigo. É um ciclo de invenção e resposta que define a segurança desde os primórdios da internet. O WalletConnect facilitou transações; os atacantes responderam tornando o golpe mais fácil. 

Empresas como a Blockaid buscam tornar a aprovação mais segura sem prejudicar o espírito descentralizado que faz o Web3 atrativo. Se o equilíbrio vai favorecer o usuário depende da vigilância da plataforma, detecção mais rápida compartilhada pelo setor e, principalmente, das escolhas de quem continua clicando em Approve.