Glossário / Privacidade e segurança
Engenharia social
- O que é a engenharia social?
- A engenharia social é a arte de levar uma pessoa a fazer o trabalho do atacante por ele: aprovar uma transferência, ler um código em voz alta ou burlar uma regra que ela foi treinada para aplicar.
Nesse tipo de ataque, nada é quebrado, exceto o julgamento de uma pessoa. Os atacantes visam funcionários tão facilmente quanto clientes: uma campanha por telefone contra funcionários do Twitter em 15 de julho de 2020 alcançou 130 contas e arrecadou cerca de 12,86 bitcoin em uma única tarde. Como um pagamento em bitcoin confirmado não pode ser revertido, todo o golpe só precisa funcionar uma vez.
Como funciona
Todo ataque de engenharia social reúne as mesmas quatro partes, na mesma ordem.
Um pretexto dá ao atacante um motivo para estar falando com você: departamento de fraude, suporte da corretora, um problema de entrega, uma oferta de emprego, um novo match em um aplicativo de namoro. A autoridade ou a familiaridade faz o pretexto colar, fornecida por um identificador de chamadas falsificado, um dado real de um banco de dados vazado, ou simplesmente por saber seu nome e qual corretora você usa. A urgência tira sua capacidade de verificar, porque uma conta comprometida ou uma oportunidade que está expirando significa que a decisão tem que acontecer agora. Por fim, a ação irreversível: enviar as criptomoedas, ler o código em voz alta, instalar a ferramenta de acesso remoto, digitar as palavras.
O bitcoin aguça esse último passo. A fraude com cartão tem um emissor que pode reverter uma cobrança e um banco que absorve parte da perda. Um pagamento on-chain confirmado não tem nem uma coisa nem outra, então o ganho do atacante é definitivo no momento da primeira confirmação, normalmente cerca de dez minutos depois de você tocar em enviar.
As campanhas mais danosas ignoram completamente o cliente e visam os funcionários da empresa, onde um único sucesso alcança milhares de contas. A Coinbase divulgou em 15 de maio de 2025 que prestadores de suporte ao cliente no exterior haviam sido subornados para entregar dados de clientes, que depois foram usados para fazer ligações convincentes de “sua conta foi comprometida”. A empresa recusou uma exigência de resgate de 20 milhões de dólares e estimou custos de remediação e reembolso de 180 a 400 milhões de dólares.
Onde você vê isso
Seis padrões de engenharia social cobrem a esmagadora maioria das perdas, e cada um tem uma regra mecânica que o derrota.
A ligação da carteira segura. Alguém dizendo ser da sua corretora ou do fabricante da sua carteira afirma que sua conta foi comprometida e orienta você a mover fundos para um “endereço seguro” que ele fornece. Nenhuma empresa legítima vai pedir que você mova criptomoedas. Qualquer pessoa que ligue e faça isso é o ataque, então desligue.
Suporte falsificado em buscas e chats. Anúncios de busca pagos e contas no Telegram ou no Discord com o logo certo aparecem no momento em que você publica uma reclamação pública. O suporte real não manda mensagem primeiro. Procure o suporte apenas por uma página a que você mesmo tenha chegado.
Golpes de recuperação. Depois de uma perda, um segundo atacante se oferece para rastrear e recuperar suas criptomoedas mediante uma taxa adiantada. As listas de vítimas são revendidas justamente para isso. Nenhum serviço privado pode reverter uma transação de bitcoin.
Acesso interno. Prestadores de suporte subornados e funcionários da operadora transformam as ferramentas normais de uma empresa em uma superfície de ataque, como mostrou a divulgação da Coinbase. Presuma que a corretora conhece suas reservas e seu endereço, e guarde sua posição de longo prazo em algum lugar onde a corretora não tenha alcance.
Entrevistas de emprego falsas e código. Desenvolvedores recebem uma “tarefa para casa” ou um plugin de chamada de vídeo que instala um ladrão de informações, que depois procura no disco arquivos de carteira e backups da frase de recuperação.
Coerção física. Listas vazadas de endereços de clientes levaram a invasões domiciliares direcionadas a detentores conhecidos, então trate suas reservas como algo de que você não fala e não exibe.
Duas regras cobrem todos os seis. Nunca tome nenhuma ação sobre suas criptomoedas que tenha sido motivada por um contato recebido, e sempre retorne a ligação para um número que você mesmo tenha procurado. Adicione um período pessoal de esfriamento de 24 horas para qualquer transferência não planejada, porque a urgência é o ingrediente do qual nenhum atacante pode prescindir.