Phishing

As criptomoedas pagam melhor aos golpistas de phishing do que a fraude com cartão, porque não há estorno nem emissor para ligar. O relatório de fraude com criptomoedas do FBI de 2023 contabilizou mais de 69.000 denúncias e perdas acima de 5,6 bilhões de dólares, e o arquivo de clientes vazado de um fabricante de carteiras de hardware colocou 272.853 endereços de entrega em domicílio em circulação como uma lista de alvos. Qualquer coisa que peça suas doze ou vinte e quatro palavras de recuperação é roubo, sem exceção.

Como funciona

O phishing contra quem tem bitcoin assume quatro formas, e cada uma exige defesas diferentes.

Phishing de credenciais copia a página de login de uma corretora em um domínio parecido, geralmente alcançado por meio de um anúncio de busca, um e-mail falso de “login incomum detectado” ou uma URL digitada errado. A versão moderna é um repasse ao vivo: tudo o que você digita, incluindo o código do seu aplicativo autenticador, é encaminhado ao site real em questão de segundos, de modo que o código de seis dígitos estar correto não prova nada. Só uma chave de segurança de hardware sobrevive a isso, porque a chave assina o domínio com o qual está realmente falando e simplesmente se recusa a produzir algo utilizável para um site parecido.

Phishing de frase de recuperação ignora a conta e vai direto à carteira. Chega como um formulário de “validação de carteira”, uma atualização de firmware falsa, um agente de suporte que precisa “sincronizar seu dispositivo” ou uma janela pop-up do navegador afirmando que seus fundos correm risco. As palavras de recuperação são a carteira: o BIP39 transforma essas doze ou vinte e quatro palavras em todas as chaves privadas que você terá, de modo que qualquer pessoa que as leia pode reconstruir sua carteira inteira na própria máquina e esvaziá-la quando quiser. Nenhum fabricante, corretora ou equipe de suporte tem qualquer motivo legítimo para vê-las, nunca.

Phishing de assinatura pede que você aprove algo que não consegue ler. Isso é sobretudo um problema do Ethereum, onde uma única assinatura pode conceder permissão de gasto ilimitado sobre um token, mas os usuários de bitcoin encontram uma versão disso quando são solicitados a assinar uma transação parcialmente assinada desconhecida ou uma mensagem arbitrária.

Suporte falso se mistura à engenharia social: uma resposta no X ou no Telegram de uma conta com o logotipo certo, aparecendo minutos depois de você publicar um problema publicamente. O suporte genuíno nunca entra em contato primeiro.

Por que isso importa quando você compra bitcoin

As defesas que realmente detêm o phishing são escolhas de configuração que você faz uma vez, não uma vigilância que você mantém para sempre.

Chegue à sua corretora sempre da mesma forma. Salve o domínio nos favoritos e use apenas esse favorito, nunca um resultado de busca e nunca um link de e-mail. Nossas páginas de análise listam o site oficial de cada uma das 24 corretoras que este site cobre, o que dá a você um segundo lugar para conferir uma URL.

Coloque uma chave de segurança de hardware na conta. A Kraken e a Coinbase aceitam chaves FIDO2, e elas são o único fator que um ataque de repasse em tempo real não consegue encaminhar. Se uma chave não for uma opção, um aplicativo autenticador ainda é melhor que mensagens de texto.

Ative uma lista de permissões de endereços de saque, para que uma sessão roubada não possa inventar um destino.

Trate as palavras de recuperação como algo que se escreve uma única vez. Elas vão para papel ou metal durante a configuração e nunca são digitadas em um celular, um computador, uma foto, um gerenciador de senhas ou um formulário. Uma carteira de hardware as pede na própria tela durante a configuração ou a recuperação, e em nenhum outro momento. Se algum software as pedir, esse software é hostil, por mais convincente que seja o logotipo.

Por fim, vá devagar com qualquer coisa que chegue com um prazo. A urgência é o único ingrediente que toda mensagem de phishing tem em comum, porque uma pessoa que tem tempo para verificar a barra de endereços deixa de ser vítima.

A lista de clientes da Ledger, ainda explorada anos depois

Em julho de 2020, a Ledger revelou que seu banco de dados de comércio eletrônico e marketing havia sido invadido, expondo cerca de um milhão de endereços de e-mail junto com um conjunto menor de registros detalhados de clientes.

Em dezembro de 2020, a base completa foi publicado abertamente: 272.853 registros de pedidos contendo nomes, números de telefone e endereços físicos de entrega de pessoas que haviam comprado uma carteira de hardware. Essa é uma lista de residências que se sabe terem criptomoedas, com o lugar onde moram.

O que veio depois é a razão pela qual esta página nomeia o incidente. As vítimas receberam e-mails e mensagens de texto de phishing com aparência de avisos de segurança da Ledger durante anos. Em 2021, algumas receberam encomendas com dispositivos Ledger falsificados, com um bilhete afirmando que o original estava sendo substituído por razões de segurança, e instruções para inserir a frase de recuperação existente no novo hardware. Outras receberam mensagens de extorsão que mencionavam seu endereço residencial.

A lição vale além de uma única empresa. Dados retirados dos sistemas de marketing de um fornecedor bastam para tornar o phishing pessoal e crível, e não expiram. Presuma que uma empresa da qual você comprou hardware ou serviços de bitcoin vazará seus dados em algum momento, e monte uma configuração em que esse vazamento seja vergonhoso em vez de caro.

Phishing vs engenharia social

O phishing é uma técnica dentro da prática mais ampla da engenharia social. A engenharia social nomeia qualquer ataque que persuade uma pessoa a agir contra o próprio interesse; o phishing é a versão produzida em massa e baseada em mensagens, enviada a milhares de pessoas na esperança de que uma fração responda. A distinção importa na hora de escolher defesas. O phishing é em grande parte solucionável com tecnologia, já que chaves de segurança, favoritos e listas de permissões funcionam quer você esteja prestando atenção, quer não. A engenharia social mais ampla, especialmente uma ligação telefônica ao vivo feita sob medida para você, precisa de regras de procedimento: nunca mova fundos porque um contato que chegou até você pediu.

Phishing vs golpe conhecido como “pig butchering”

O phishing quer uma credencial nos próximos sessenta segundos; o golpe conhecido como “pig butchering” quer um relacionamento ao longo dos próximos seis meses. Uma mensagem de phishing se passa por um serviço que você já usa e é feita para que se aja imediatamente, antes de pensar. O golpe conhecido como “pig butchering” constrói confiança ao longo de semanas de conversa comum, e depois apresenta uma plataforma de investimento que mostra lucros falsos e permite um saque antecipado para provar que funciona. As perdas do segundo costumam ser muito maiores, porque a vítima as financia voluntariamente, repetidamente, e com dinheiro que saiu para conseguir.