Você tentou resgatar um airdrop, mintar algo novo ou “verificar” sua carteira, aprovou uma solicitação e viu seu saldo desaparecer. Na Solana, um ataque de drainer costuma ser assim: uma assinatura, e vários ativos se movem de uma vez.
O que é um drainer de carteira?
Um drainer de carteira é um site ou script fraudulento criado para esvaziar carteiras de cripto. Ele faz você aprovar uma transação, uma aprovação de token ou uma alteração na sua carteira, ou digitar sua frase de recuperação, e então move seu SOL, seus tokens e NFTs para o atacante.
Drainers raramente parecem ataques. Eles parecem uma página de resgate, um mint, um sorteio ou um chat de suporte. Muitos são kits alugados para golpistas, com o operador do kit ficando com uma parte do que é roubado, então o mesmo fluxo aparece em muitos sites parecidos, com marcas diferentes.
Só conectar não entrega suas chaves nem move nada. A conexão compartilha seu endereço público e permite que o site peça assinaturas. O estrago acontece quando você aprova o que ele pede, então só se conecte a sites que você mesmo procurou.
Como um drainer da Solana leva seus ativos?
Há algumas formas de entrada, e cada uma deixa sua carteira em um estado diferente. Saber qual delas aconteceu mostra o que você ainda pode proteger.
Uma transação que move tudo
Uma transação da Solana pode agrupar muitas instruções, e todas são executadas juntas quando você a aprova. Um drainer usa isso para colocar transferências de SOL e de tokens em uma única solicitação que parece um resgate ou um mint. Depois que ela é confirmada, as transferências são definitivas.
Uma aprovação que ele pode usar depois
Uma aprovação de token torna outro endereço delegado de uma das suas contas de token, com permissão para mover ou queimar até um valor definido. Um drainer que consegue uma aprovação não precisa levar tudo de imediato; ele pode voltar depois para pegar esses tokens. Você pode apagar uma aprovação revogando-a, desde que os tokens ainda estejam lá.
Uma troca de dono nas suas contas de token
Uma conta de token SPL clássica pode ser passada para um novo dono por uma transação que o dono dela assina. Depois que isso acontece, o novo dono controla esses tokens, e nada que você assine na sua carteira consegue tomar a conta de volta. Contas de token associadas Token-2022 não podem trocar de dono, então esse truque funciona em contas de token SPL clássicas, inclusive na conta padrão de um token como o USDC.
Uma alteração na conta da sua carteira
Alguns drainers da Solana alteram a própria conta da carteira. Em uma tomada de controle que analisamos, a vítima assinou uma transação que transformou o endereço dela em uma conta durable nonce com o atacante como autoridade. Outros atribuem o endereço a um programa. Em qualquer caso, o atacante controla o SOL nesse endereço. Qualquer coisa que você enviar para lá pode ser sacada ou bloqueada, então os envios normais da carteira geralmente falham. Seus tokens geralmente continuam no lugar, e nosso guia de carteira hackeada explica como movê-los.
Sua frase de recuperação ou chave privada
O pior caso não precisa de transação nenhuma. Falsos atendentes de suporte, páginas falsas de “validação de carteira” e formulários falsos de resgate pedem sua frase de recuperação. Quem tem essa frase controla a carteira por completo, hoje e no futuro, e nenhuma revogação ou desconexão muda isso.
Quais são os sinais de alerta de um drainer?
- Urgência e dinheiro de graça. “Resgate antes que expire”, airdrops surpresa, verificações de elegibilidade para um token de que você nunca ouviu falar.
- Um link vindo de uma mensagem direta ou de uma resposta. O Phantom diz que o suporte dele nunca entra em contato com você primeiro. Trate como golpista qualquer pessoa que mande mensagem para “consertar” sua carteira.
- Pedidos da sua frase de recuperação ou chave privada. Nenhum resgate, mint ou processo de suporte legítimo precisa delas.
- Uma prévia que não bate com o botão. Se o “resgate” mostra tokens saindo da sua carteira, uma aprovação ou um aviso da sua carteira, pare.
- Um domínio quase certo. Grafias parecidas e links de contas não oficiais. Abra os apps pelo site verificado do projeto.
- Uma assinatura de mensagem que você não entende. Assinar uma mensagem não paga taxa de rede, mas não é automaticamente inofensivo; uma assinatura genérica de login pode ser reutilizada para se passar por você em outro serviço.
Como proteger sua carteira de drainers?
Leia o que sua carteira mostra antes de aprovar. O Phantom simula transações e avisa sobre solicitações suspeitas; um resgate que mostra tokens saindo é o momento de cancelar. Uma prévia limpa, porém, não é prova. Alguns drainers da Solana montam solicitações que parecem inofensivas na simulação ou mudam o que acontece depois que você assina.
Use uma carteira separada, com saldo pequeno, para mints novos, resgates e apps desconhecidos, e mantenha seus principais ativos em outro lugar. Uma carteira de hardware mantém suas chaves fora do computador, mas assina tudo o que você aprova, então ela não torna segura uma transação maliciosa.
Verifique suas aprovações de vez em quando. Nossa ferramenta Revoke examina suas contas SPL Token e Token-2022 em busca de aprovações que você concedeu e permite apagar as de que você não precisa. Ela não cobra taxa de plataforma; você paga só a taxa de rede.
O que fazer se um drainer pegou você?
Comece pelo que você aprovou. Encontre a linha que corresponde ao que aconteceu:
| O que aconteceu | O que significa | Próximo passo |
|---|---|---|
| Você só conectou | O site tem seu endereço, não o controle | Desconecte-o nos apps conectados da sua carteira |
| Você aprovou uma transação | As transferências dela são definitivas; ela também pode ter definido aprovações | Abra-a em um explorador e siga nosso guia de resposta a sites fraudulentos |
| Você concedeu uma aprovação de token | O drainer pode voltar para pegar esses tokens | Revogue a aprovação enquanto os tokens ainda estão lá |
| Suas contas de token mostram um novo dono | O drainer agora controla essas contas | Mova tudo o que você ainda controla para uma carteira nova |
| Os envios agora falham e seu SOL não se move | A conta da sua carteira pode ter sido convertida | Tire os tokens com outra carteira pagando as taxas, usando nosso guia de carteira hackeada |
| Você digitou sua frase de recuperação ou chave | O atacante controla a carteira | Crie uma carteira com uma frase nova e mova o que restou |
Guarde as assinaturas das transações, o endereço do site e capturas de tela antes de denunciar. Ignore qualquer pessoa que ofereça recuperar fundos roubados mediante pagamento: ofertas pagas de recuperação são um golpe comum que vem logo depois.
Se sua carteira foi convertida, você ainda pode resgatar o SOL das contas de token vazias dela para uma carteira segura. Nosso guia de carteira hackeada mostra como e quanto custa.
Revoke Approvals
Encontre aprovações de token que você concedeu e remova as de que não precisa, mantendo seus tokens.