O que é address poisoning e como evitar em 2026

Em 2024, um único ataque de address poisoning roubou cerca de US$ 71 milhões em WBTC de uma carteira. Não houve armadilhas óbvias: nenhum link malicioso, nenhuma exposição de seed phrase. A vítima apenas copiou um endereço do histórico de transações, como a maioria faz, e enviou fundos para o endereço do hacker. É isso que torna esse ataque diferente. Não exige erro técnico da vítima — ele explora o hábito.

Address poisoning crypto explora o histórico público de transações, endereços falsos e o costume de copiar do histórico. Neste artigo, você vai entender como o ataque funciona na prática, quem está mais exposto e o que fazer, a partir de hoje, para não ser a próxima vítima. Para evitar address poisoning, nunca copie do histórico de transações; use uma agenda de endereços salva, confira o endereço completo de destino e envie uma pequena transação de teste antes de transferir valores altos.

Como funciona o address poisoning

O ataque ocorre em três etapas distintas. Entender cada uma é o jeito mais rápido de se proteger.

O preparo: vanity addresses

Uma vanity address é um endereço padrão de blockchain gerado repetidas vezes até começar com um prefixo específico. O processo é puramente estético: roda-se um loop de geração de chaves, deriva-se o endereço, confere se bate com o prefixo desejado, repete até conseguir. O resultado parece quase idêntico a um endereço real à primeira vista.

Os atacantes usam isso para criar um fake crypto address que combina os primeiros e últimos caracteres de um endereço para o qual você já enviou fundos. Um endereço real pode ser 0xA3f9...7c82. O do atacante pode ser 0xA3f1...7c82. Percebe a diferença? A maioria não vê, principalmente quando a interface da carteira corta o meio do endereço.

A transação de envenenamento

Com o endereço falso criado, o atacante envia uma zero-value transfer (ou um valor minúsculo, chamado “dust”) desse endereço para sua carteira. Esse é o step for the zero-value transfer attack. O custo da transação é quase zero na maioria das blockchains. Não exige nenhuma ação sua.

Agora, a entrada envenenada aparece no seu histórico de transações, logo ao lado da transferência legítima que você fez antes.

A armadilha se fecha

Na próxima vez que você precisar enviar fundos para o mesmo destinatário, abre o histórico e copia o endereço. Mas copia o endereço errado. Os fundos vão para o atacante.

É assim que o transaction history attack crypto funciona: explora o hábito de confiar no histórico como atalho. O ataque não exige conhecimento técnico da vítima, só rotina.

Real-world scale: Diversas vítimas já perderam mais de US$ 100.000 copiando do histórico. Em 2024, um único ataque de address poisoning roubou cerca de US$ 71 milhões em WBTC de uma carteira.

Você está mais exposto se

Nem todo mundo corre o mesmo risco. Atacantes analisam o comportamento on-chain para identificar alvos de alto valor.

O risco aumenta se você envia regularmente para os mesmos endereços. Padrões previsíveis de transferência são o que os atacantes procuram. Eles monitoram a atividade on-chain, identificam "endereços de destino frequentes" e programam o ataque para aparecer logo após uma transferência legítima.

O risco aumenta se você usa copy-paste from transaction history em vez de uma agenda de endereços salva. Esse é o jeito mais comum de cair no golpe. A aba de histórico parece confiável. Não é.

O risco aumenta se você não confere o endereço completo antes de enviar. Atacantes criam endereços parecidos que só batem os primeiros e últimos caracteres. Se você só olha seis caracteres de cada lado, vai deixar passar a troca.

O risco aumenta se você usa várias carteiras e movimenta fundos entre elas com frequência. Quanto mais carteiras, mais entradas no histórico, mais chances de um endereço envenenado se misturar e mais distração na hora da transferência. O ponto central: crypto address spoofing funciona porque explora o que o usuário acha que conferiu, mas não conferiu de fato.

Como evitar: 5 regras de prevenção

Essas cinco regras, aplicadas sempre, quebram o ataque em qualquer etapa.

Rule 1: Never copy from transaction history.

Use a agenda de endereços ou contatos da carteira, nunca a aba de histórico. O histórico mostra os endereços que apareceram nas suas transações — não significa que são endereços verificados. Um atacante pode inserir um endereço falso no seu histórico sem que você perceba. Só a agenda tem o que você salvou de propósito.

Rule 2: Verify the FULL address.

Confira todos os caracteres, não só os seis primeiros e os seis últimos. Use um block explorer para colar o endereço de destino e conferir se o histórico de transações bate com o destinatário esperado. Explorers de blockchain mostram o registro permanente e público de todas as operações daquele endereço, permitindo checar o destinatário antes de transferir. Cada blockchain tem seu próprio explorer — confirme que está usando o correto para a rede em questão.

Rule 3: Send a test transaction first.

Para valores altos, envie primeiro US$ 1. Confirme que o destinatário recebeu. Só depois envie o valor total. Isso adiciona um passo e alguns minutos, mas vale a pena. Transação confirmada em blockchain é definitiva. Se a transação ainda está pendente, algumas redes permitem substituição, mas o mais seguro é conferir o endereço antes da primeira confirmação.

Rule 4: Use an address book in your wallet.

Salve endereços verificados com etiquetas. Depois de salvo e conferido, use o nome do contato para selecionar. Assim, você não copia mais do histórico, mas escolhe de uma lista verificada. Nunca digite ou copie novamente um endereço já salvo.

Rule 5: Check the source of any dust.

Se receber uma microtransação inesperada, qualquer valor minúsculo não solicitado, nunca use esse endereço para nada. Ignore. Jamais envie fundos de volta. O “dust” é a isca — interagir com ele completa a armadilha.

Como a Tangem protege contra address poisoning

Nenhuma carteira, nem mesmo a Tangem, pode impedir que atacantes enviem transações dust em blockchains públicas. Qualquer um pode fazer uma zero-value transfer para qualquer endereço — isso é uma característica do protocolo, não uma limitação do produto. O que a Tangem faz é tornar muito mais difícil cair no golpe.

A arquitetura da carteira Tangem oferece múltiplas camadas de proteção

Address Verification on Every Transaction

Antes de qualquer transação ser assinada, o app Tangem mostra o endereço completo de destino para conferência visual. A exigência do toque físico no cartão adiciona uma pausa obrigatória — um momento para conferir — que carteiras só de software não exigem. No fluxo de assinatura da Tangem, o usuário inicia a transação no app, o app gera os dados não assinados, o usuário toca o cartão, o elemento seguro assina internamente e o app transmite a transação assinada. A chave privada nunca entra em contato com dispositivos conectados à internet. Mas a proteção relevante aqui é menos sobre isolamento da chave e mais sobre o checkpoint humano obrigatório antes do toque.

Address Book Integration

A agenda de endereços da Tangem permite salvar destinatários frequentes e selecionar rapidamente pelo nome. Depois de salvo, você seleciona o contato pela etiqueta, não copiando do histórico. O endereço verificado sempre é usado, independente do que aparece na aba de histórico. O envio de transações na Tangem também aceita digitação manual e leitura de QR code como alternativas ao copy-paste do histórico.

Hardware-Enforced Confirmation

Mesmo que um endereço envenenado apareça no seu fluxo, o toque físico no cartão é o checkpoint final. Você vê o endereço no app, confere, toca. Nenhuma transação é executada sem essa confirmação física. O Tangem Mobile Wallet também inclui confirmação por toque longo (desde a versão 5.35) para evitar toques acidentais.

One honest limitation: a interface do app é a camada de verificação. Ler o endereço completo antes do toque não é opcional. Esse passo é a proteção.

Using Tangem to Avoid Address Poisoning

• Use a agenda de endereços da Tangem para todos os destinatários frequentes.
• Antes de tocar o cartão, leia o endereço completo exibido no app, caractere por caractere.
• Se um endereço no histórico não bater com o contato salvo, pare e investigue antes de seguir.

O que fazer após enviar para um endereço envenenado

Agilidade é importante aqui, mas antes é preciso aceitar uma verdade.

Transações cripto confirmadas não podem ser desfeitas

Depois de confirmada, uma transação em blockchain não pode ser cancelada. No Bitcoin, a maioria dos serviços considera de 3 a 6 confirmações como final, o que leva cerca de uma hora (blocos de 10 minutos). No Ethereum, confirmações comparáveis chegam em minutos, já que o bloco é de cerca de 12 segundos. Se a transação já está confirmada, tecnicamente os fundos estão perdidos.

Ainda assim, existem algumas ações recomendadas.

Document the transaction hash immediately. O TXID é público, permanente e único para cada transferência em uma blockchain. Ele registra valor, remetente, destinatário, taxas e status, sem expor o acesso à sua carteira. Copie do app ou do block explorer e armazene em local seguro. Compartilhar o TXID é seguro porque é um dado público. O que deve ser protegido são as chaves privadas e a seed phrase.

Report to your exchange if the destination was an exchange address. É raro, já que a maioria dos atacantes usa endereços não custodiais, mas se o destino for de uma exchange conhecida, entre em contato com o time de compliance ou abuso imediatamente, enviando o hash da transação, horários e dados relevantes da conta.

File a report with your local cybercrime authority. Nos EUA, é o Internet Crime Complaint Center (IC3) do FBI. No Reino Unido, o Action Fraud. Essas denúncias raramente resultam em recuperação direta, mas alimentam bancos de dados de investigação para rastrear grandes campanhas.

The honest answer: recuperar fundos é extremamente raro. Prevenção é tudo.

O hábito mais seguro: confira antes de tocar

Address poisoning crypto não exige um hacker sofisticado nem uma vítima descuidada. Só precisa de um momento de rotina: copiar do histórico em vez de uma fonte verificada. A perda de US$ 71 milhões em WBTC em 2024 aconteceu assim. Diversas vítimas já perderam mais de US$ 100.000 copiando do histórico. O ajuste é comportamental e estrutural: use uma agenda de endereços, confira o endereço completo antes de cada transação, trate “dust” não solicitado como alerta e envie uma transação de teste antes de transferir grandes valores.

A carteira de hardware da Tangem foi construída com essas proteções de fábrica: agenda de endereços elimina o copy-paste do histórico, exibição do endereço completo antes de cada toque e confirmação física obrigatória. Isso não torna o ataque impossível no nível do protocolo — nada torna —, mas elimina os hábitos que o ataque explora. Se você quer uma carteira que estrutura seu uso em torno da verificação, e não da memória, a Tangem foi feita para isso. Peça a sua em tangem.com.