O que são wallet drainers? Como funcionam e como se proteger

O relatório anual da Scam Sniffer de 2025 registrou US$ 83,85 milhões em perdas por golpes de wallet-draining, atingindo 106 mil vítimas. Só no primeiro semestre de 2025, usuários de cripto perderam US$ 410,75 milhões em ataques de phishing, sempre com um padrão: usuários clicam em links aparentemente legítimos, conectam suas carteiras e aprovam transações que drenam os fundos. Os alvos: colecionadores de NFT, usuários de DeFi e investidores comuns que clicaram no link errado em um servidor do Discord ou no X.

Wallet drainers não hackeiam a blockchain. Eles não precisam. O truque é fazer você conceder permissão para gastar todo o saldo da carteira em um clique. Este guia explica como eles agem e como se defender.
 

Como funcionam os wallet drainers

Um wallet drainer é um dApp malicioso ou fluxo de phishing que faz o usuário conectar a carteira e aprovar uma transação, ou conceder aprovação ilimitada, permitindo que os fundos sejam drenados.

O mecanismo central é simples: o site parece legítimo, você conecta a carteira e o aviso pede chaves privadas, seed phrase ou aprovações. Se você aprovar uma transação de drenagem ou acesso ilimitado a tokens, o atacante pode movimentar seus ativos. Uma única aprovação pode ser suficiente. O ataque não exige sua seed phrase nem a chave privada — só a sua aprovação.

O ponto-chave é: nem toda aprovação perigosa é óbvia. Ataques baseados em assinatura responderam por 38% das perdas em incidentes acima de US$ 1 milhão, segundo os dados de 2025 da Scam Sniffer.

Os drainers baseados em assinatura são uma evolução mais sutil. Em vez de mostrar uma aprovação padrão on-chain, o site de phishing pode pedir uma assinatura off-chain com rótulos como "Verificar carteira" ou "Resgatar airdrop". O pedido parece menos arriscado, pois não se apresenta como transferência de tokens e pode não criar o mesmo histórico de aprovação que você espera de uma aprovação ERC-20 tradicional.

Aí está a armadilha. Uma assinatura pode autorizar gastos via fluxos de aprovação do tipo permit. Em ataques no estilo Permit2, o perigo está no alcance da permissão: a assinatura pode conceder a um contrato amplo acesso a tokens já permitidos. Nem sempre você verá um aviso claro como "Enviar 100 USDC". Pode aparecer um pedido administrativo, mas o resultado permite ao atacante mover fundos rapidamente.

O mesmo padrão aparece em ataques de aprovação simples. Um dApp malicioso não precisa quebrar a criptografia se conseguir convencer você a aprovar o endereço errado. A blockchain considera a permissão válida porque a carteira assinou. Por isso, a pergunta mais segura não é "Esse site parece profissional?", mas sim "Qual permissão estou concedendo, para quem e por quanto tempo?"
 

Como os drainers chegam até você: vetores de ataque

Os mecanismos acima só funcionam se você interagir com o site malicioso. Levar você até lá é metade do golpe.

Falsos airdrops de tokens ou NFTs podem ser enviados diretamente para carteiras, imitar coleções conhecidas com pequenos erros no nome e redirecionar usuários para sites de phishing ao interagir com o ativo. Por isso, ativos aleatórios na sua carteira merecem desconfiança, não curiosidade.
 

Mensagens de impersonação e perfis falsos são especialmente perigosos porque exploram a confiança. Golpistas promovem airdrops falsos usando perfis fake, bots ou imitações de personalidades conhecidas do meio cripto. No lançamento do Celestia TIA, um perfil falso chamado calestiatoken se passou pela CelestiaOrg e pediu endereços Ethereum, mesmo sendo um projeto fora da rede Ethereum.

O mesmo lançamento mostrou como as cópias surgem rápido. O vault registrou dezenas de sites imitando o Celestia durante o airdrop. Isso importa porque usuários, sob pressão, buscam páginas de resgate e clicam no primeiro resultado que parece oficial. Um drainer só precisa de uma visita apressada.

Páginas falsas de resgate de airdrop podem copiar sites oficiais quase perfeitamente em nome, layout e logotipo. É fundamental verificar sites, blogs e canais oficiais antes de agir em qualquer informação de airdrop.

Sites falsos e mensagens de phishing aparecem em resultados patrocinados de busca, anúncios em redes sociais, mensagens falsas por e-mail, Telegram, Discord e X, tokens fraudulentos de airdrop, phishing via WalletConnect e e-mail.

Os sinais de alerta são claros: pequenas diferenças no nome da conta, erros de ortografia, poucos seguidores e anúncios que não aparecem nos canais oficiais do projeto.

Como revisar e revogar aprovações perigosas

Provavelmente você já acumulou mais aprovações ativas do que imagina. Cada interação com DeFi pode ter deixado uma aprovação aberta na blockchain, e algumas delas são ilimitadas.

Passo 1: Audite suas aprovações.

Use uma ferramenta confiável para revisar aprovações e sempre verifique a URL antes de conectar a carteira. Use um favorito se costuma checar aprovações. Um site falso de auditoria é só mais uma página de phishing com timing melhor.

Revise as aprovações ativas em cada blockchain que você usa. O objetivo é simples: ver quais contratos podem gastar quais tokens, quanto podem gastar e se as permissões ainda fazem sentido para seu uso atual.

Comece pelas aprovações ilimitadas, que dão autoridade ampla a contratos. Depois, cheque aprovações antigas de protocolos que não usa mais, contratos desconhecidos e permissões grandes que não fazem mais sentido.

Se a ferramenta mostrar permissões Permit2 ou baseadas em assinatura separadamente, revise também. Priorize gastadores desconhecidos, acessos amplos e permissões antigas, antes de aprovações recentes de uso frequente. Para uma revisão mensal prática, divida as permissões em três grupos: mantenha as dos protocolos ativos, reduza ou revogue permissões grandes que não usa mais e remova tudo ligado a contratos desconhecidos ou campanhas antigas. O objetivo não é tornar o DeFi impossível, mas evitar que permissões antigas virem um risco sério.

Passo 2: Revogue aprovações suspeitas.

Revogue o acesso de apps não confiáveis e permissões não utilizadas. Revogar normalmente exige uma transação on-chain, que cobra taxa de gas. Priorize aprovações ilimitadas, depois grandes permissões e, por fim, aprovações antigas de sessões DeFi passadas.

Esse custo é o preço da segurança. Pagar uma pequena taxa de gas para fechar uma permissão antiga é melhor do que deixar um contrato com acesso para sempre. Se o gas estiver alto, faça as revogações mais arriscadas primeiro: valores ilimitados, contratos desconhecidos e protocolos que você não usa há meses.

Ao usar novos protocolos, evite aprovações ilimitadas se uma permissão menor já for suficiente. Torne isso um hábito mensal. A regra prática é direta: se um token aleatório pede para você acessar um site para "resgatar" ou "desbloquear", trate como golpe. Nenhum protocolo legítimo pede sua seed phrase ou chave privada para aprovar uma transação.

Checklist de defesa contra drainers

Essas dicas não são teóricas. Cada uma combate um vetor de ataque citado acima.

• Salve nos favoritos todos os dApps DeFi que você usa. Nunca acesse por busca ou links do Discord, X ou Telegram.
   
• Verifique a URL letra por letra antes de conectar a carteira. Cheque o domínio exato, não só a aparência.
   
• Revise aprovações da carteira regularmente. Revogue acesso de apps não confiáveis e permissões ilimitadas não usadas.
   
• Nunca assine mensagens "Verificar carteira" ou "Resgatar airdrop" de sites que não acessou via favorito.
   
• Confirme anúncios nos canais oficiais do projeto antes de agir em airdrops ou mints, não só em posts de influenciadores.
   
• Use uma carteira de hardware para valores relevantes. O toque físico ou botão é a última barreira de segurança.
   
• Mantenha uma "burner wallet" dedicada para protocolos novos ou não verificados. Nunca conecte sua carteira principal a dApps desconhecidos.
   
• Atualize sempre apps de carteira, sistemas operacionais e navegadores. As atualizações corrigem vulnerabilidades.
   
• Separe seus fundos: quantias menores e de uso diário em carteira quente; valores maiores e de longo prazo em cold storage.