Guia de proteção contra phishing em endereços TRON: identifique golpes e proteja seus ativos

O phishing de endereços TRON é a causa mais comum de perda de ativos no ecossistema TRON, sem exceção. O atacante não precisa invadir sua chave privada; basta fazer com que você entregue voluntariamente sua frase-semente ou clique em uma assinatura sem pensar. Este artigo detalha as técnicas de phishing mais comuns, cada uma com as medidas de prevenção correspondentes.

Sites e extensões falsos: um caractere diferente no domínio e sua carteira desaparece

Falsificar o site oficial do TronLink é o phishing de nível básico. O atacante registra um domínio que difere do oficial por apenas um caractere, por exemplo, trocando 'o' por '0' ou adicionando um hífen, e então compra palavras-chave em anúncios de pesquisa. O usuário pesquisa por TronLink em um mecanismo de busca, clica no anúncio e baixa um instalador com cavalo de troia. Após a instalação, tudo parece normal, mas quando a frase-semente é inserida para restaurar a carteira, ela é enviada para o servidor do atacante.

As medidas de prevenção são simples: baixe a carteira apenas pela loja oficial ou site oficial, digitando o domínio manualmente, e não clique em anúncios de pesquisa. Instale extensões do Chrome apenas pela Chrome Web Store e, após a instalação, verifique as permissões da extensão. Qualquer extensão de carteira que solicite acesso a todos os dados de todos os sites é suspeita.

Assinaturas de autorização são o ponto crítico: um único clique em confirmar e seus USDT desaparecem

O mecanismo de autorização de DApps na TRON é semelhante ao do Ethereum. Ao usar uma exchange descentralizada ou um protocolo de staking, você precisa assinar uma autorização para que o contrato possa chamar seus tokens TRC20. DApps maliciosos constroem uma solicitação de autorização aparentemente normal, mas definem o limite de valor como infinito ou solicitam diretamente a permissão transferFrom. Muitos usuários não leem o conteúdo da assinatura e clicam em confirmar ao ver o pop-up, entregando ao atacante a permissão de retirada da carteira.

Ainda mais sutil é a assinatura de phishing. O atacante envia uma pequena quantia de USDT com um link, alegando que é necessário autorizar para receber. Ao clicar, você vê uma interface de DApp falsificada, e o conteúdo da assinatura é, na verdade, uma autorização transferFrom. Esse tipo de ataque não exige que você revele sua chave privada, apenas uma assinatura.

Medidas de prevenção: no TronLink, leia atentamente o conteúdo da solicitação antes de assinar, especialmente permissões e valores. Não autorize DApps desconhecidos. Use regularmente o recurso de gerenciamento de permissões do Tronscan para verificar a lista de autorizações do seu endereço e revogue as que não são mais usadas. Revogar autorizações consome um pouco de Energy, mas é muito mais barato do que perder seus tokens.

Airdrops de tokens falsos e poluição de endereço: saldo maior, carteira mais perigosa

O custo para emitir tokens TRC20 é muito baixo; qualquer pessoa pode criar um token com o mesmo nome. O atacante cria uma moeda falsa chamada USDT, com endereço de contrato diferente do USDT real por alguns caracteres, e a envia via airdrop para o seu endereço. De repente, sua carteira exibe um saldo de USDT extra. Se você negociar ou transferir sem verificar o endereço do contrato, a moeda falsa pode ser usada para phishing. Por exemplo, o contrato da moeda falsa contém lógica maliciosa que, ao ser acionada durante uma transferência, sequestra a autorização.

A poluição de endereço é outra técnica. O atacante envia uma transferência de valor zero ou valor mínimo para o seu endereço, com uma mensagem no campo de observação contendo texto persuasivo, como "reivindique seu airdrop". Se você copiar o endereço do histórico, pode acabar copiando o endereço do atacante. Medidas de prevenção: antes de transferir, verifique o endereço do contrato do token no Tronscan. O endereço do contrato do USDT real é TXLAQ63Xg1NAzckPwKHvzw7CSEmLMEqcdj. Não copie endereços de mensagens de chat ou observações de exploradores de blocos; a cada transferência, selecione novamente ou digite manualmente o endereço na sua carteira.

Guarda da frase-semente e chave privada: a vulnerabilidade mais negligenciada na era digital

Uma vez que a frase-semente é vazada, todas as medidas de prevenção se tornam inúteis. Os atacantes se disfarçam de suporte oficial, promoções de airdrop, ajustes de taxas de mineração, etc., para induzi-lo a inserir sua frase-semente. Lembre-se: em nenhuma circunstância o TronLink oficial pedirá sua frase-semente. A frase-semente deve ser escrita em papel e guardada em local seguro; não tire print e salve no celular, não copie para a área de transferência e não a insira em nenhuma página da web.

Se possível, use uma carteira de hardware. O Ledger funciona em conjunto com o TronLink, e a chave privada nunca entra em contato com dispositivos conectados à internet. O risco de phishing com carteiras de hardware é uma ordem de grandeza menor, pois mesmo que o computador esteja infectado com um cavalo de troia, o atacante não consegue obter a chave privada; no máximo, ele pode ver suas solicitações de assinatura.

Riscos inerentes ao endereço TRON: a relação entre endereços personalizados e phishing

Os endereços TRON são strings base58 de 34 caracteres que começam com T. Endereços personalizados (vanity addresses) são mais fáceis de memorizar por terem caracteres customizados, mas isso não aumenta o risco de phishing. O phishing ataca o comportamento humano, não o endereço em si. No entanto, endereços personalizados são mais visíveis na blockchain e podem se tornar alvos mais fáceis para os atacantes. Se você realmente precisar de um endereço personalizado, pode escolher no mercado Akali (oxc.us); o processo detalhado está em Como comprar. Mas, independentemente do endereço, as mesmas regras de segurança devem ser seguidas.

Algumas regras rígidas finais

• Antes de transferir, envie primeiro 1 USDT como teste e confirme a chegada antes de transferir valores maiores.
• Mantenha grandes quantias em um endereço separado e use outro endereço para interações diárias.
• Verifique as autorizações regularmente e revogue permissões de DApps que não usa mais.
• Não use capturas de tela do celular para salvar nenhuma informação de chave.
• Feche imediatamente qualquer página que solicite sua frase-semente ou chave privada.

As transferências na TRON são muito rápidas, mas isso também significa que, se algo der errado, os fundos não podem ser recuperados. Gastar dez segundos a mais para verificar o endereço e o contrato é muito mais útil do que pedir ajuda ao suporte depois.