O que são phishing e golpes em cripto?

Phishing e golpes em palavras simples

Imagine uma ligação «do banco». A pessoa sabe o seu nome, fala com segurança e pede o código que chegou por SMS para «bloquear um pagamento suspeito». Ninguém mexeu no sistema do banco: o dinheiro sai porque você mesmo disse o código. O phishing phishing em cripto funciona igual. O golpista imita algo em que você já confia, por exemplo a página de uma corretora, o app de uma carteira ou um aviso do suporte, e espera que você mesmo dê o passo de que ele precisa. O nome lembra a palavra inglesa fishing, pescaria, e o phishing funciona de modo parecido. A isca é lançada para milhares de pessoas, e o golpista espera quem morde.

Golpe golpe (scam) é uma palavra mais ampla. Assim se chama qualquer esquema fraudulento cujo alvo é o seu dinheiro, mesmo que nada nele seja falsificado. Um site que promete dobrar o bitcoin enviado, ou uma «plataforma de investimento» que não consta de nenhum registro, podem não fingir ser uma marca conhecida e ainda assim ser golpe. Para o golpista, convém que você não tenha tempo de pensar, por isso muitos esquemas apressam: «oferta válida por uma hora», «a conta será bloqueada se você não confirmar agora».

A cripto é cômoda para golpistas porque uma transferência confirmada na blockchain não pode ser cancelada, e a carteira própria não tem um banco que segure um pagamento suspeito. A cripto enviada a um golpista em geral só volta se o próprio destinatário a devolver¹. Só nos Estados Unidos, em 2025, as pessoas relataram ao FBI perdas com fraudes em cripto de aproximadamente 11,4 bilhões de dólares².

Como são os esquemas de fraude mais comuns em cripto

Sites clone e anúncios falsos

O site clone site clone (site de phishing) copia o visual de uma corretora ou carteira, e o endereço dele difere do verdadeiro por uma letra, uma palavra a mais ou outra terminação. O link chega por e-mail ou mensagem, e às vezes o golpista paga anúncios no buscador para ele. Em 2022, o FBI alertou que esses anúncios podem aparecer bem no topo dos resultados de busca e se passar por sites de corretoras de cripto para roubar dados de login³.

Contra o site clone, o que protege é o hábito de não abrir a corretora ou a carteira por links. Digite o endereço do site à mão ou abra-o a partir de um favorito que você mesmo salvou³. A frase-semente só serve para restaurar a carteira no próprio app dela (o que é uma frase-semente), então um site que pede para digitá-la é fraudulento, por mais conhecido que pareça.

Suporte falso

O suporte falso escreve ou liga primeiro, se apresenta como alguém da equipe de uma corretora ou de um app de carteira e oferece resolver o seu problema. Depois pede a frase-semente ou uma transferência de cripto «para verificação». Os golpistas se passam por empresas conhecidas e também por órgãos públicos e pela polícia¹. O suporte verdadeiro da carteira MetaMask, por exemplo, nunca pede a frase-semente e não manda mensagem primeiro oferecendo ajuda. Quem liga para você em nome dela está tentando enganar você⁴.

Se precisar de ajuda, procure você mesmo o suporte, pelo site oficial ou pelo app. Não responda a «funcionários» que encontraram você primeiro.

«Sorteios» e cripto em dobro

O «sorteio» promete cripto grátis ou o dobro do valor enviado. Em julho de 2020, invasores tomaram contas do Twitter de políticos e celebridades, prometeram em nome deles dobrar o bitcoin recebido e assim conseguiram mais de 100 mil dólares⁵. A promessa de dobrar a cripto enviada, ou seja, «dinheiro grátis», é sempre falsa¹. Distribuições verdadeiras de tokens existem, mas não pedem que você mande cripto antes nem que digite a frase-semente.

Há também o «sorteio» que não pede nada. Na carteira surge um token desconhecido, ou seja, uma cripto emitida sobre a rede de outro projeto, e você é chamado a um site onde supostamente pode resgatá-lo ou trocá-lo. Um token enviado ao seu endereço não dá, por si só, acesso ao seu dinheiro a ninguém; a fraude acontece no site para onde a isca leva⁶. Por isso, não venda nem troque o token desconhecido e não abra os sites que falam dele. O site do «sorteio» pode dispensar a frase-semente e pedir que você toque em «Confirmar» na carteira, e com isso você pode autorizar o site a levar os seus tokens. O que conferir na janela de assinatura e como revogar essa autorização, o artigo segurança ao conectar a carteira explica.

Troca de endereço no histórico de transferências

A troca de endereço troca de endereço (address poisoning, envenenamento de endereço) aposta no hábito de copiar do histórico de transferências o endereço do destinatário, o número da «conta» dele na rede. O golpista cria um endereço cujo começo e fim coincidem com os de um endereço para o qual você transferiu há pouco, e envia à sua carteira uma transferência de valor irrisório, geralmente zero. No histórico aparece um endereço parecido, e na transferência seguinte é fácil copiá-lo por engano⁷.

É como uma ligação de um número que difere do de um conhecido por dois dígitos no meio. O número fica no histórico de chamadas, e se você retornar a ligação dali sem olhar, cai num estranho.

Por isso, não pegue o endereço do destinatário no histórico. Salve os endereços conferidos na agenda de endereços da carteira e, antes de enviar, confira o endereço inteiro, sobretudo os caracteres do meio⁷. Como enviar sem errar a rede e o endereço, o guia de envio de criptomoedas mostra.

Investimentos falsos e relacionamentos pela internet

A plataforma de investimento falsa mostra na tela um crescimento que não existe e não devolve o dinheiro no saque. Muitas vezes, quem leva a ela é uma longa amizade pela internet. O golpista escreve como se tivesse errado de destinatário, ou puxa conversa numa rede social ou num app de namoro. Durante semanas, ele constrói confiança e depois convida para um site ou app de investimentos que parece real e está inteiramente sob controle dele. A plataforma mostra ganhos fora do comum e, quando a pessoa tenta sacar, exige o pagamento de um «imposto» ou de uma «taxa de saque antecipado»⁸. Não misture relacionamentos pela internet com dicas de investimento. Só golpistas garantem lucro ou ganhos altos¹.

Antes de investir dinheiro por meio de uma empresa ou plataforma, veja se ela tem autorização do regulador financeiro do seu país, ou seja, o órgão público que autoriza as empresas financeiras, e se não está na lista de empresas irregulares. Não constar dessa lista não garante nada, mas constar dela já encerra a questão.

Serviços de «recuperação» de cripto roubada

Depois do golpe, muitas vezes as vítimas são procuradas por uma segunda leva de golpistas. Eles se apresentam como advogados, «serviço de recuperação» ou funcionários de um órgão público, prometem devolver o que foi roubado e pedem pagamento adiantado. Em 2024 e 2025, o FBI alertou sobre escritórios de advocacia falsos. Eles procuram as vítimas primeiro, dizem ter ligação com órgãos públicos, sabem os valores e as datas exatos das transferências anteriores e exigem pagamento em cripto ou em cartões-presente⁹¹⁰. Em 2025, foram relatadas ao FBI perdas com esses esquemas de aproximadamente 1,4 bilhão de dólares². A polícia nos Estados Unidos não cobra das vítimas para investigar⁹.

Regras que protegem contra phishing e golpes

O que fazer se você já caiu num golpe

1. Pare as transferências e deixe de responder ao golpista.
2. Se o golpista descobriu a sua frase-semente ou a sua chave privada, crie uma carteira nova, com uma frase-semente nova, e transfira para ela de imediato tudo o que restou na antiga.
3. Se você assinou uma autorização num site suspeito, revogue-a como descrito no artigo segurança ao conectar a carteira.
4. Se você digitou a senha da corretora num site clone, troque-a pelo app oficial da corretora, confira as configurações da verificação em duas etapas (2FA, o segundo código no login) e escreva para o suporte da corretora.
5. Guarde os endereços das carteiras, os hashes das transferências hash da transação, ou seja, os números delas na rede, os endereços dos sites, as conversas e os prints. Na denúncia, inclua todos os detalhes da transferência².
6. Denuncie a fraude. Se a transferência saiu de uma corretora, escreva para o suporte dela¹. Se você pagou com cartão ou transferência bancária, procure o banco imediatamente e peça o estorno do pagamento, porque aqui a rapidez conta². Em qualquer caso, registre um boletim de ocorrência na polícia do seu país. onde consultar: nos Estados Unidos, as denúncias são recebidas pelo centro IC3 do FBI em ic3.gov e pela Comissão Federal de Comércio (FTC) em ReportFraud.ftc.gov
7. Não responda a ofertas de devolver o dinheiro mediante pagamento.

Dá para recuperar a cripto levada por golpistas?

Geralmente não, se a transferência foi para uma carteira que só o golpista controla. Uma chance surge quando o que foi roubado chega a uma corretora ou a uma empresa capaz de bloquear o dinheiro a pedido da polícia. Em novembro de 2023, por exemplo, a Tether, empresa que emite o USDT, congelou aproximadamente 225 milhões de dólares em USDT ligados a investimentos falsos¹¹. Vale registrar a ocorrência na polícia qualquer que seja o valor perdido, mesmo pequeno².

Mais detalhes sobre um exemplo de anúncio falso de carteira

Em 2021, pesquisadores da Check Point Research encontraram em anúncios do Google sites falsos da carteira Phantom, pelos quais mais de 500 mil dólares foram tirados das pessoas¹².

Perguntas frequentes