Um influenciador com centenas de milhares de seguidores relatou ter perdido cerca de R$1 milhão num golpe de airdrop falso. Se alguém que vive de cripto caiu, é porque esse golpe foi desenhado pra mirar um momento bem específico: aquele em que você assina algo na carteira sem ler direito o que está ali.

1. Um influenciador com centenas de milhares de seguidores perdeu R$1 milhão. O que isso te diz?

Imagina a cena: gravação de conteúdo pro Instagram, ou uma live rolando na Twitch, notificação atrás de notificação chegando no celular, e no meio disso um link cai no direct ou aparece colado numa resposta de comentário, com aquele empurrãozinho de “psiu, olha isso aqui, saiu agorinha”. O polegar já sabe de cor o caminho até o botão de confirmar, de tanto repetir o mesmo gesto todo santo dia gerenciando dez telas ao mesmo tempo. É exatamente esse segundo, o de assinar sem ler direito o que realmente abriu na tela, que esse golpe de airdrop mira. Tanto faz se quem manda o link tem 300 seguidores ou 300 mil. O golpe conta é com o piloto automático: aquele hábito de clicar rápido numa etapa que, das dez telas que você passa o dia gerenciando, era exatamente a que pedia mais atenção.

O roteiro se repete com a mesma cara de sempre: primeiro um pop-up pedindo pra escolher a carteira (MetaMask, Trust Wallet, tanto faz qual), depois o site já mostra um saldo bonito e o nome de um suposto token elegível, e no fim vem uma última janela cheia de texto ou de código cru pedindo confirmação. É bem nessa reta final, a que a maioria fecha o olho e passa batido só pra voltar logo pra tela do chat ou da câmera, que o caso que motivou esta matéria aconteceu.

2. O que realmente aconteceu com Augusto Backes (e por que poderia ser qualquer um)

O caso que abre esse texto é o do influenciador brasileiro Augusto Backes, que contou publicamente ter perdido cerca de R$1 milhão (entre US$180 mil e US$200 mil, a depender da cotação usada no relato) num golpe ligado a um airdrop falso. Ele tem nome, tem seguidores aos milhares e vive comentando cripto nas redes todo santo dia. Mesmo assim caiu, e foi ele mesmo quem veio a público contar, sem esconder o tamanho do prejuízo. Dificilmente alguém expõe uma perda dessas por vaidade.

Reconstruir aqui cada clique exato que ele deu não seria honesto, generalizar demais os detalhes de um caso específico vira chute, mas o padrão que se repete nesse tipo de golpe, e que bate com o que Scam Sniffer, Chainalysis e CertiK documentam ano após ano, costuma seguir sempre a mesma receita: um site de claim imita um projeto real ou promete algo que está bombando nas redes naquela semana, a carteira conecta sem esbarrar em nada, e a tela de assinatura passa batido porque parece só mais um “confirmar” de rotina.

3. PIX + grupo de WhatsApp: a combinação que faz esse golpe voar no Brasil

Se você mora no Brasil, provavelmente já recebeu num grupo de WhatsApp (da família, dos amigos, de um “grupo de investimentos” que alguém te chamou) uma mensagem tipo “saiu um airdrop novo, é só conectar a carteira e reivindicar”. Aqui mora a primeira particularidade brasileira desse golpe: ele roda mesmo é no zap-zap do dia a dia, aquele grupo da família, do trabalho, do futebol de quinta. Lá fora a galera cripto vive mais de Discord e de Telegram; por aqui é o WhatsApp que carrega esse golpe até você, encaminhado por alguém em quem você confia.

Isso muda a dinâmica de confiança. Num grupo de Telegram de cripto, você já entra desconfiado por padrão, porque é terreno conhecido de golpista. Num grupo de WhatsApp de amigos ou de “investimento em grupo”, a mensagem chega filtrada pela confiança de quem te adicionou ou de quem encaminhou. O golpista não precisa te convencer do zero. Basta que alguém da sua rede encaminhe, e o link já chega com a credibilidade de quem mandou.

O segundo ingrediente é o PIX. Uma transferência PIX cai na conta em segundos, 24 horas por dia, sem o intervalo de “compensação” que um TED ou um boleto ainda têm. Isso é ótimo pra vida financeira do dia a dia, mas é perfeito pro golpista, porque a pressão de urgência (“só até às 22h”, “restam 40 minutos”) esbarra num meio de pagamento que já cai na hora por natureza. No golpe de airdrop puro, sem PIX envolvido de fato (já que o roubo acontece pela assinatura da carteira, e não por depósito), essa mesma lógica de urgência sem pausa aparece na pressa de assinar antes que “a oportunidade expire”. Não existe uma noite de sono entre o clique e o prejuízo.

Existe arcabouço legal no Brasil pra isso? Existe, mas não foi desenhado pra esse golpe específico. A Lei 14.478/2022 (o Marco Legal dos Criptoativos) deu ao Banco Central o papel de regular exchanges e prestadores de serviço de ativos virtuais, as chamadas VASPs, ou seja, regula quem guarda e movimenta seu cripto de forma centralizada. Um site de claim falso, hospedado em qualquer lugar do mundo, pedindo uma assinatura de carteira descentralizada, fica completamente fora do alcance prático dessa regulação. A lei organiza o mercado formal, mas não impede que um link no WhatsApp drene sua MetaMask.

4. Imposto de renda: o que a Receita Federal já exige de você (e o que ela não resolve)

Tem uma coisa acontecendo junto com esse golpe que quase ninguém comenta: este mês de julho de 2026 é o primeiro em que a Receita Federal exige o envio mensal de dados sobre suas operações com cripto, chova ou faça sol, golpe ou não. Quem foi drenado por um site de airdrop falso ainda precisa lidar com essa papelada, e ignorar isso custa dinheiro de verdade, separado do prejuízo do próprio golpe.

O nome oficial da coisa é DeCripto, criado pela Instrução Normativa RFB nº 2.291/2025, publicada em 14 de novembro de 2025 pra substituir a velha IN 1.888/2019 que regia esse assunto desde 2019. O cadastro e as regras gerais já estavam valendo desde o começo do ano, mas a parte que pega no bolso, o envio mês a mês pelo e-CAC, só começou a valer a partir de 1º de julho deste ano. Quem opera fora do sistema das corretoras brasileiras (exchange estrangeira, P2P, permuta direta) e some mais de R$35 mil em operações num único mês entra na obrigação, com prazo até o último dia útil de agosto pra transmitir os dados de julho. O teto subiu de R$30 mil (valor da antiga IN 1.888/2019) pra R$35 mil, mas isso é o detalhe menor da história. O que pesa de verdade é o cruzamento: as próprias exchanges brasileiras já são obrigadas a reportar pra Receita, por CPF, o volume movimentado por cada cliente, e agora esse número bate automaticamente com o que você (ou deixou de) declarar pelo e-CAC. Na prática, “esquecer” de transmitir os dados de julho deixou de ser uma aposta segura, porque o sistema acha a diferença sozinho, sem nenhum auditor precisar abrir seu histórico na mão.

Tem uma saída, porém: quem corrige ou completa a declaração por conta própria, antes de qualquer notificação ou início de fiscalização, não paga a multa de erro/omissão, e a de atraso cai pela metade. Vale a pena correr atrás disso antes que a Receita bata à porta primeiro.

A regra de imposto propriamente dita não mudou com o DeCripto: vender cripto (o token caído de um airdrop entra na carteira com custo de aquisição zerado, então o imposto incide sobre o valor cheio na hora da venda) paga de 15% a 22,5% conforme a faixa de lucro apurado naquele mês, na tabela progressiva de sempre.

E é aqui que o golpe de airdrop cria uma dor de cabeça a mais, que quase ninguém prevê: se um token pousou na sua carteira e, sem seu consentimento real, foi movimentado por um golpista via aprovação maliciosa (aquele Permit que você assinou sem entender), o sistema de cruzamento pode registrar essa saída como se você tivesse vendido, gerando cobrança sobre um “lucro” que você nunca embolsou. Não existe hoje nenhum mecanismo automático da Receita que reverta isso sozinho. A defesa fica por sua conta: print da transação, hash na blockchain, data e hora, boletim de ocorrência, tudo isso vira a base pra pedir uma retificação ou justificar formalmente que aquela saída não foi uma venda sua. Guarde essas provas no minuto em que perceber o golpe, porque reconstruir isso semanas depois é bem mais difícil.

5. Como funciona um airdrop legítimo (e por que ele nunca pede o que esses golpes pedem)

Volta pro grupo de WhatsApp por um instante: chegou o link, chegou a pressa, e a pergunta que resolve tudo é uma só, antes de qualquer clique. Um airdrop legítimo quase sempre nasce de um snapshot: o projeto escolhe uma data (ou várias) que já ficou pra trás e registra ali quem fez o quê até aquele momento, usou o protocolo, forneceu liquidez, participou de governança, o que for. A partir do instante em que essa data passa, sua elegibilidade já está decidida pra sempre. Não existe nada que você faça hoje, amanhã ou daqui a um mês que mude se você tinha ou não direito àquele airdrop específico. Por isso o relógio correndo na tela do link que chegou no grupo não faz o menor sentido: quem organiza um airdrop de verdade decidiu tudo há semanas, sem pressa nenhuma, e reivindicar num prazo apertado nunca foi parte do processo real.

Pra reivindicar de fato, o caminho é sempre o mesmo: você vai até o domínio oficial do projeto (confirmado pelo site, pela conta verificada nas redes, pela documentação), conecta sua própria carteira, e assina uma transação de claim que interage com o contrato do próprio projeto. Você paga o gás dessa transação com o saldo que já está na sua carteira, sem pagamento adiantado pra “destravar” nada. E em nenhum momento desse processo você precisa digitar sua frase de recuperação, exportar sua chave privada ou “conectar pra verificar elegibilidade” num site terceiro que te pede aprovação ilimitada de token.

6. O instante exato em que sua carteira é drenada: o clique que importa vem depois de conectar

Por que exatamente uma assinatura de carteira consegue drenar tudo, sem que a vítima tenha clicado em nenhum link estranho de última hora? Entender esse mecanismo muda de vez como você vai reagir da próxima vez que uma carteira pedir sua assinatura.

Conectar a carteira a um site, isoladamente, é um passo de risco baixo. Quando você clica em “Connect Wallet” e escolhe a MetaMask, o Trust Wallet ou o que for, o site só recebe seu endereço público, a mesma informação que qualquer pessoa veria olhando o explorador de blocos. É chato, sim, porque a partir daí o site sabe seu endereço e pode te rastrear entre visitas, mas sozinho isso não esvazia carteira nenhuma. O momento real de risco chega na etapa seguinte, quando aparece um pedido de assinatura. E aí existem diferenças técnicas que mudam tudo:

• eth_sign: o método mais perigoso de todos. Assina um hash arbitrário de 32 bytes, algo que nenhum ser humano consegue ler e verificar o que realmente significa. A própria MetaMask exibe um aviso vermelho forte quando um site pede isso, porque na prática esse método permite forjar quase qualquer assinatura.
• personal_sign: assina uma mensagem em texto. Mais legível, mas o conteúdo real da autorização pode estar escondido dentro do texto de um jeito que parece inofensivo.
• EIP-712 / eth_signTypedData_v4: mostra os dados de forma estruturada, tipo um JSON organizado em campos. Em teoria dá pra ler cada campo antes de assinar, mas na prática, estruturas aninhadas e nomes de campo confusos escondem o que está sendo autorizado.
• Permit / Permit2: uma assinatura que autoriza outro endereço a movimentar seus tokens em nome da sua carteira, muitas vezes sem limite de valor. Isso é usado legitimamente por DEXs o tempo todo, e o problema aparece quando um dApp desconhecido pede um Permit ilimitado. Segundo a Scam Sniffer, abuso de Permit/Permit2 respondeu por 38% dos golpes acima de US$1 milhão em 2025.

Uma novidade de 2025 vale registro: depois que a atualização Pectra do Ethereum trouxe o EIP-7702, apareceu um vetor de ataque novo em que uma única assinatura pode autorizar a execução de várias transações maliciosas em sequência, o que torna o “assinei só uma vez” ainda menos garantia de segurança do que já era antes.

7. Carteira de hardware (Ledger/Trezor) não te salva se você não lê a tela antes de aprovar

Tem uma frase que roda solta em grupo de cripto no Brasil: “comprei uma Ledger, agora tô seguro”. Dá pra entender de onde vem essa confiança, mas ela carrega uma ilusão embutida. A chave privada ficar isolada dentro do dispositivo é real e importa, sim; só que a Ledger não tem como saber se o que apareceu na telinha é um claim de airdrop de verdade ou um Permit ilimitado disfarçado de rotina. Ela sabe fazer uma coisa só: perguntar “confirma?” e obedecer o que você mandar apertando o botãozinho.

Repara no que muda, na prática, quando o app do computador já mostrou tudo “bonitinho” um segundo antes: seu cérebro já decidiu que tá tudo certo antes mesmo de a tela do hardware acender. É aí que o dispositivo físico deixa de funcionar como segunda checagem e vira só um carimbo. Cansaço no fim do dia, tela pequena demais pra ler um endereço inteiro, a milésima vez apertando o mesmo botão sem pensar: cada um desses fatores empurra o dedo a confirmar antes do olho terminar de processar a frase. A chave privada nunca sai do aparelho, e isso de fato barra o golpe mais comum contra carteira quente, o de computador infectado capturando a chave direto da tela. Só que contra um Permit ilimitado disfarçado de “confirmar claim”, a Ledger não ajuda em nada: ela aprova o pedido com a mesma cara neutra que usaria pra aprovar qualquer transação de verdade, porque quem decide ali é você, no instante em que o polegar toca o botão sem terminar de ler.

O golpista de link no WhatsApp e o grupo que invadiu a Bybit em fevereiro de 2025 exploraram, no fundo, a mesma falha de tela, só que num porte totalmente diferente: o da Bybit é apontado até hoje como o maior roubo de cripto da história, US$1,5 bilhão em um único golpe. Os atacantes, atribuídos ao grupo Lazarus/TraderTraitor, comprometeram o computador de um desenvolvedor da Safe{Wallet} e injetaram JavaScript malicioso bem na tela de assinatura, de um jeito que fez uma transação maliciosa parecer operação de rotina até pra gente técnica que revisava a interface com cuidado, porque a própria interface passou a mostrar dados diferentes do que a transação continha por trás. A categoria de ataque é bem diferente da de um site de claim falso comum, mas serve pro mesmo aviso: não importa se a carteira é fria ou quente, se você aprovar uma tela sem checar de verdade o que tá escrito ali, o dinheiro sai do mesmo jeito.

8. Os disfarces mais comuns: do ‘clique aqui em 2 horas’ ao token que aparece sozinho na sua carteira

Os golpes de airdrop falso não são todos iguais. Existe um catálogo de disfarces que se repete, e reconhecer o padrão importa mais do que decorar um golpe específico.

Site de claim falso imitando um TGE real

Quando um projeto sério está prestes a lançar seu token (o chamado TGE, Token Generation Event), aparecem em paralelo dezenas de anúncios patrocinados e links de phishing imitando o site oficial, às vezes com domínio quase idêntico (uma letra trocada, um hífen a mais). Isso aconteceu de forma bem documentada em torno do TGE da Backpack em março de 2026: horas depois da abertura oficial do claim pra 25% da comunidade, já havia vários sites copycat de phishing no ar disputando cliques de gente ansiosa pra não perder o prazo.

Conta oficial hackeada anunciando um claim falso

Às vezes o site nem é falso: quem foi invadida é a própria conta oficial do projeto no Discord, no X ou no Telegram, e o golpe sai publicado como se fosse anúncio oficial. Por isso “veio da conta verificada do projeto” não garante nada sozinho; vale cruzar com mais de um canal antes de confiar.

Dusting attack (ataque de poeira)

Um dia você abre a carteira e encontra um token novo lá, que você nunca comprou nem pediu a ninguém. Isso tem nome: dusting attack. Alguém manda uma quantidade minúscula desse token pra sua carteira torcendo pra você ficar curioso, entrar no site ligado ao projeto “só pra conferir o valor” ou tentar vender/trocar esse token em algum lugar, e é justamente esse gesto de interagir que aciona o contrato malicioso por trás dele. A resposta mais segura aqui dispensa qualquer curiosidade: deixa o token quieto onde caiu, sem vender, sem trocar, sem ir “só dar uma olhada”.

Extensão de navegador falsa e app falso

Em setembro/novembro de 2025 circulou uma extensão chamada “Safery: Ethereum Wallet” que ficou disponível na própria Chrome Web Store oficial por semanas, aparentando ser legítima. Ela codificava a frase de recuperação da vítima dentro de microtransações na rede Sui (valores de 0,000001 SUI) pra exfiltrar o dado sem levantar suspeita óbvia. Em dezembro de 2025, a própria extensão oficial da Trust Wallet foi comprometida via vazamento de segredos no GitHub e teve uma atualização maliciosa distribuída pelo canal oficial, afetando ao menos 2.500 carteiras e causando entre US$7 milhões e US$8,5 milhões em perdas. A lição incômoda: estar na loja oficial não é garantia de que o app é seguro nem de que sempre vai continuar sendo.

Pressão de urgência e escassez

“Só restam 2 horas”, “primeiras 500 carteiras”, “expira à meia-noite”: esse tipo de frase existe pra desligar seu pensamento crítico. Um airdrop legítimo, baseado em snapshot já decidido no passado, quase nunca tem essa urgência artificial; a janela de claim costuma durar semanas.

Pedido de pagamento adiantado

9. Os números de 2025/2026 sem exagero: caiu, mas não sumiu

Bora pros números de 2025 então. Primeiro a parte boa, que existe de verdade: segundo a Scam Sniffer, as perdas com phishing por assinatura e drenadores de carteira caíram de US$494 milhões em 2024 para US$83,85 milhões em 2025, uma queda de cerca de 83% em valor, com o número de vítimas caindo de forma parecida (106.106 vítimas em 2025, também bem abaixo do ano anterior). Os casos acima de US$1 milhão também caíram de 30 em 2024 pra 11 em 2025. Isso é melhora concreta, puxada por interface mais clara nas carteiras, alertas melhores e mais gente prestando atenção.

Só que “caiu” não é a mesma coisa que “sumiu”. O maior golpe individual de phishing por assinatura em 2025 ainda somou US$6,5 milhões, num único incidente em setembro envolvendo abuso de assinatura tipo Permit. E se você abrir o zoom pra fora dos drenadores de assinatura e olhar o crime cripto como um todo, o tamanho muda de patamar. No relatório de crime cripto de 2026 (com dados fechados de 2025), a Chainalysis calculou que endereços ligados a atividade ilícita receberam pelo menos US$154 bilhões ao longo do ano, 162% a mais que em 2024. Boa parte desse salto vem de um único fator: o valor recebido por entidades sob sanção internacional disparou 694% no período, então nem todo esse crescimento tem a ver com golpe contra usuário comum. Ainda assim, a fatia que interessa de perto pra quem lê este artigo também cresceu forte: golpes e fraudes puros somaram US$17 bilhões em 2025 (a faixa de 2024 ficava entre US$9,9 bilhões e US$12 bilhões, dependendo da metodologia), com prejuízo médio de US$2.764 por vítima, 253% acima do ano anterior. E dentro dessa categoria, golpes de personificação (se passar por outra pessoa, por suporte técnico ou pelo projeto de um airdrop) foram o que mais cresceu proporcionalmente: alta de 1.400% na mesma comparação.

E o ecossistema de “drenador como serviço” (Drainer-as-a-Service) continua funcionando como um mercado próprio: quando um drenador famoso sai de cena, outro entra no lugar. O Inferno Drainer, por exemplo, mesmo após anúncios de “aposentadoria”, voltou a operar. Só nos seis meses até maio de 2025 esteve ligado a mais de 30 mil vítimas e US$9 milhões em perdas, com reivindicação própria (não totalmente verificável de forma independente) de mais de US$250 milhões acumulados desde 2024. Já o Pink Drainer, antes de encerrar operações, teria movimentado mais de US$85 milhões de mais de 21 mil vítimas. O detalhe importante aqui é que esses “drenadores” não são um hacker trabalhando sozinho. São kits vendidos ou alugados por comissão pra qualquer golpista de baixa habilidade técnica montar um site convincente em pouco tempo.

10. Casos reais enquanto você lê isso: de Bybit a Upbit, do FBI Token ao Trust Wallet

Agora os casos de verdade, com data e tudo, ligados direta ou indiretamente a essa mesma história de assinatura maliciosa e airdrop falso. Nem todo caso da lista abaixo é “clicou num link de airdrop” no sentido estrito, mas todos mostram o mesmo ponto cego se repetindo.

O caso da Upbit merece um parágrafo à parte porque mostra como esse tipo de vazamento pode ser rápido: em 27 de novembro de 2025, entre 4h42 e 5h36 da manhã (54 minutos), a exchange sul-coreana teve cerca de ₩44,5 bilhões, perto de US$30 milhões ou pouco mais de R$159 milhões na cotação usada neste artigo, transferidos pra uma carteira externa. Somando esse e outros incidentes ligados a exchanges como Bybit e Bithumb, estimativas de veículos como o TokenPost apontam prejuízo total relacionado a crime cripto na Coreia do Sul em 2025 na casa de US$3,4 bilhões. Aqui o problema foi outro: a infraestrutura da própria exchange foi comprometida, um caso mais parecido com invasão de servidor do que com airdrop falso clicado por um usuário qualquer. Mesmo assim o ensinamento de fundo é idêntico. O momento de autorização, seja de uma carteira institucional, seja da sua MetaMask, é o ponto onde tudo se decide.

Já o alerta do FBI sobre o “FBI Token” falso, em março de 2026, é quase irônico: golpistas criaram um token falso na rede Tron (padrão TRC-20) alegando ligação com o próprio FBI pra atrair vítimas a um airdrop fraudulento, e a agência precisou emitir um comunicado público desmentindo qualquer envolvimento.

11. Checklist antes de clicar em ‘claim’: o que checar em menos de 2 minutos

Aqui vai um roteiro prático, dos que você consegue seguir em menos de dois minutos antes de clicar em qualquer botão de claim:

1. Confirme o domínio pela fonte oficial. Não confie no link que veio no grupo de WhatsApp ou no anúncio. Vá até a conta oficial verificada do projeto (X, documentação, site listado no CoinGecko/CoinMarketCap) e confirme o endereço exato do domínio a partir de lá.
2. Confira o endereço do contrato. Compare o endereço do contrato que aparece na tela de assinatura com o que está documentado no GitHub oficial do projeto ou visível num explorador de blocos como Etherscan/BscScan. Endereços de contrato não mentem, mesmo que o site minta.
3. Use uma carteira “descartável” só pra isso. Pra interagir com qualquer site de claim que você não conhece a fundo, use uma carteira separada, a chamada burner wallet, com o mínimo de fundos possível. Se algo der errado, o prejuízo fica limitado ao que estava naquela carteira isolada, não na sua carteira principal com suas economias.
4. Leia com atenção o que a assinatura pede. Se a tela mostrar um hex ilegível (sinal de eth_sign) ou uma aprovação sem limite de valor (Permit/Permit2) pra um contrato desconhecido, pare. Se sua carteira mostrar um aviso de risco, não ignore achando que “é só burocracia”.
5. Revogue a aprovação depois de reivindicar. Mesmo num claim legítimo, é boa prática revogar aprovações de token que você não vai mais usar. Veja nosso guia de como revogar aprovações de token pra fazer isso em poucos minutos.
6. Desconfie de qualquer prazo curto demais. “2 horas”, “hoje até meia-noite”, “primeiras 500 carteiras” são gatilho de pressão, isso sim. Um airdrop legítimo, baseado num snapshot que já passou, não corre contra o relógio.

12. Existe um jeito estruturalmente mais seguro de participar de airdrops

Existe, sim, um jeito de participar de programas de airdrop que reduz drasticamente esse risco de assinatura maliciosa: usar os programas de airdrop das próprias corretoras centralizadas que você já usa pra comprar cripto, ao invés de conectar sua carteira em sites de terceiros desconhecidos.

Corretoras como a Binance (HODLer Airdrops), a OKX (Jumpstart), a Bybit (Launchpool), a Gate (Startup), a MEXC (Airdrop+) e a KuCoin (Spotlight) rodam seus próprios programas de distribuição de token, baseados no saldo que você já mantém na conta da corretora (um “snapshot” interno de saldo), sem exigir nenhuma assinatura de carteira nem aprovação de contrato externo. Você não está imune a golpe de phishing tentando roubar seu login, mas elimina completamente o vetor específico deste artigo, que é a assinatura maliciosa de uma carteira descentralizada.

Bom airdrop também nasce fora de exchange, direto on-chain, na comunidade de um protocolo, isso continua verdade. Ainda assim, quem tá começando agora e quer testar a mão sem se expor ao vetor de risco explicado neste artigo tende a sair na frente começando pelos programas de corretora, que já fazem a verificação de identidade (KYC) e não pedem nenhuma assinatura de carteira descentralizada.

Aviso de afiliados: alguns links são de parceiros. Podemos receber uma comissão sem custo extra para você. Isto não é recomendação de investimento.

13. Glossário rápido pra entender o jargão que o golpista conta que você não entende

Um dos truques mais silenciosos do golpe é usar jargão técnico real pra soar legítimo. Vale ter esses termos no bolso pra não se sentir “por fora” justamente na hora que importa.

14. Se você já assinou: o que fazer nas próximas horas

Se você já assinou algo suspeito, ou desconfia que assinou, o relógio importa mais do que o orgulho ferido. Aqui está a ordem de prioridade:

1. Revogue todas as aprovações de token imediatamente, usando uma ferramenta como o Revoke.cash ou o próprio explorador de blocos da rede envolvida. Isso corta o acesso contínuo que um contrato malicioso possa ter à sua carteira. Nosso guia detalhado: como revogar aprovações de token.
2. Se você chegou a digitar sua frase de recuperação em algum site (mesmo que só uma vez, mesmo que tenha se arrependido na hora), considere essa carteira comprometida de forma permanente. Não adianta só mover os fundos que sobraram, é preciso migrar pra uma carteira totalmente nova, gerada num dispositivo limpo. Veja o passo a passo em frase de recuperação exposta: o que fazer agora.
3. Documente tudo antes de fazer qualquer coisa apressada. Print da transação, hash da transação (disponível em qualquer explorador de blocos), horário, o link do site que você acessou. Isso importa tanto pra um eventual boletim de ocorrência quanto pra qualquer tentativa de rastreamento.
4. Registre um boletim de ocorrência na Polícia Civil (delegacia de crimes cibernéticos, onde houver) ou notifique a Polícia Federal se o valor for expressivo ou envolver transferência internacional. Isso raramente devolve o dinheiro, mas cria um registro formal que pode importar depois, inclusive pra sustentar a parte fiscal explicada na seção 4 deste artigo (a Receita não perdoa “ganho” que existiu só entre o token cair na carteira e o golpista drenar tudo).
5. Avalie, com calma, se existe algum caminho realista de recuperação. Na maioria dos casos não existe, e prometer o contrário é, em si, outro tipo de golpe. Existem exceções reais, porém, e conhecê-las evita que você gaste dinheiro com quem promete “recuperar 100%”: dá pra recuperar cripto de golpe?
6. Revise sua rotina de segurança daqui pra frente, incluindo como sua carteira é guardada no dia a dia. Nosso guia de carteira de criptomoedas cobre isso com mais profundidade.

Uma coisa importante pra fechar: ninguém devia se sentir burro por ter caído nisso. A Chainalysis contou mais de 80 mil vítimas diferentes de carteira pessoal comprometida só em 2025, e boa parte delas não era gente que abriu uma exchange pela primeira vez naquela semana, era gente que já mexia com cripto havia anos. Passar as próximas horas se culpando não desfaz nada; revogar aprovação, documentar e migrar de carteira, sim, muda o que ainda dá pra mudar.

Perguntas frequentes

Veja mais golpes cripto pra reconhecer e se proteger