Aqueles que negociam criptomoedas estão acostumados a ouvir advertências sobre a maneira mais correta e segura de manter seus ativos. Nesta quarta-feira (26), um usuário brasileiro do Reddit relatou como perdeu 2,67 bitcoin, avaliados em meio milhão de reais. Ele caiu em um golpe conhecido como phishing – quando hackers utilizam de mensagens ou páginas falsas para obter dados pessoais.
Na rede social, o brasileiro identificado como Irmpeixoto postou relatou no subfórum /Bitcoin do reddit o que aconteceu com a sua carteira de Bitcoin. Contou que vinha juntando bitcoins desde 2017, utilizando paper wallets como “carteira fria” e a Binance para seus trades. Após ter juntado uma quantia considerável da criptomoeda, decidiu investir em uma carteira física através da representante brasileira KriptoBR. Em seguida, ele configurou esse dispositivo através do site oficial da Trezor.
Foi então que as coisas começaram a dar errado. “Depois de retirar quase todo o meu balanço das paper wallets, da Binance e da Blockchain.info para a minha Trezor, no sábado e no domingo (total de 2,67 Bitcoins) entrei de novo no site Trezor.io para ver se a transação tinha dado certo. Depois de abrir o site, eu não tenho certeza, mas talvez algum site de phishing pode ter aberto e eu não percebi.”
Várias abas do navegador foram abertas sem que ele esperasse. Uma delas imitava perfeitamente o site da Trezor. Acontece que Peixoto caiu em um site de Phishing. Essa versão falsa da página solicitava suas palavras chaves, justificando que era necessário um tipo de recuperação.
Irmpeixoto admitiu em seu testemunho do Reddit que é “novato com hardwallets” e colocou as palavras chaves no site. No dia seguinte, quando verificou seu saldo através do xPub, viu que sua Trezor estava com saldo zero.
Ele conseguiu identificar que os valores roubados foram enviados para um endereço que, conforme o Bitcoin Explorer, possui mais de 14 bitcoins e realizou 16 transações. Possivelmente, esses bitcoins foram conseguidos com outras pessoas caindo no mesmo golpe de phishing.
“Eu estou completamente devastado. Eu estou escrevendo esse post para alertar outros usuários para não cair nesse golpe ou em golpes similares. De agora em diante eu vou tentar comprar e guardar mais Bitcoins, mas nunca mais com uma carteira Trezor”, finaliza o relato de Irmpeixoto, que mais tarde descobriu-se que é um médico de 31 anos, residente de Salvador.
A situação foi notícia em vários sites no Brasil e no exterior, mas a Trezor não tem culpa.
Jefferson Rondolfo, fundador e CEO da KriptoBR, que vendeu a hard wallet, o usuário jamais deve entregar as palavras chaves, pois essa é uma clara evidência de golpe. No próprio manual da carteira consta que o usuário jamais deve colocar sua chave privada em qualquer site.
“Infelizmente esse é mais um caso de phishing, o cliente fez contato conosco, prontamente lhe respondemos solicitando mais detalhes, ao retornar o mesmo já havia feito o post no Reddit e estava ciente da sua falha em entregar ao site as suas palavras de backup. Infelizmente foi uma falha humana e o cliente entregou o que havia de mais precioso, as suas palavras de backup ou a “chave do cofre”, afirma Rondolfo.
“Desde sempre recomendamos veementemente que os usuários jamais digitem as suas palavras de backup e que em caso de dúvidas sempre faça contato com a KriptoBR, alguns milhares de R$ poderiam estar agora em segurança se um simples e-mail fosse enviado para nós”, concluiu o CEO da KriptoBR.
Erro humano
Todos os golpes de phishing são esquemas elaborados para induzir o usuário ao erro. Os mais comuns prometem algum benefício (presente, cupom ou vale) para quem preencher um formulário que pede as informações de seu cartão de crédito, incluindo o código de segurança.
Apesar dos alertas de bancos e instituições financeiras para nunca compartilhar esse tipo de dado, muitos não percebem a acabam caindo no golpe. Ou seja, os falsários apostam em erro humano e cabe aos usuários estarem mais atentos para as medidas básicas de segurança.
Se o usuário entregar senhas, palavras chaves ou algo semelhante durante o golpe e não há nada a ser feito.
Jefferson Rondolfo dá algumas dicas que podem ajudar a não cair em golpes. “A transferência de saldo é uma das partes mais importantes. O ponto de segurança sempre será os dados apresentados no visor do dispositivo e nunca na tela do computador, pois o computador pode estar infectado, mas a carteira não. Portanto, confie sempre nas informações do visor da carteira”.
Uma segunda dica importante é o usuário informar as seeds apenas no site oficial e nunca digitar as palavras de backup. “Todo o seu saldo estão nas suas palavras de backup, uma vez fornecidas ao invasor, ele terá acesso irrestrito às suas criptomoedas”.
Outra medida de segurança é que os usuários usem a função de passphrase/hidden wallet na sua carteira. “Essa é a melhor maneira de proteger os seus fundos nesses ataques onde infelizmente o usuário entrega os dados da sua carteira”.
