- Vítima assinou aprovação ilimitada e perdeu US$ 999.999 em USDT no Ethereum
- Atacante usou Multicall para dividir o roubo em três transferências
- Scam Sniffer aponta alta de 200% em perdas por phishing neste ano
Um usuário do Ethereum perdeu US$ 999.999 em USDT após assinar uma única requisição de aprovação fraudulenta. O ataque foi identificado pela empresa de rastreamento Scam Sniffer e não envolveu roubo de chave privada bastou a vítima autorizar um contrato malicioso para o atacante drenar a carteira em segundos.
Os registros on-chain mostram que os fundos saíram divididos em três transações, distribuídas entre os blocos 25489460 e 25489463 da rede. O intervalo foi de poucos minutos após a assinatura, tempo insuficiente para que a vítima percebesse a permissão concedida e a revogasse antes do saque.
Convertido para o câmbio atual do dólar em R$ 5,1509, o prejuízo se aproxima de R$ 5,15 milhões. É praticamente o valor de um imóvel de alto padrão em São Paulo drenado por um clique. E o pior, a vítima mantinha o chamado unlimited allowance, permissão que autoriza um contrato a movimentar quantidade ilimitada de um token específico.
Como funciona o ataque de token approval
O golpe de aprovação de token é um dos vetores mais persistentes do DeFi. O atacante não precisa das chaves privadas do usuário. O golpista induz a vítima a assinar uma solicitação em um site falso, geralmente clone de protocolos populares, que concede acesso amplo ao token dentro da carteira. A permissão fica ativa indefinidamente, até que alguém a revogue manualmente.
Em maio, um site falso do Uniswap drenou cerca de US$ 400 mil de várias carteiras com a mesma tática. Neste mês, um usuário do HyperSwap teve fundos sugados segundos depois de aprovar um contrato malicioso disfarçado de airdrop. A lógica se repete, o alvo confia na interface, autoriza sem ler o escopo real da permissão, e o atacante age.
Multicall acelerou a drenagem
No caso dos US$ 999.999, o atacante usou funções Multicall para empacotar várias ações em uma única transação. Esse recurso, comum em contratos do Ethereum, permite mover o USDT aprovado e fragmentá-lo em três saídas quase simultâneas. A velocidade encurtou drasticamente a janela para revogar a permissão.
Como a chave privada permaneceu intacta, os alertas padrão da carteira raramente sinalizam esse tipo de exploit. É um ponto cego crítico, o usuário sequer percebe que alguém comprometeu sua conta até checar o saldo. A Scam Sniffer relacionou o incidente a um salto de 200% em perdas por phishing neste ano, com atacantes migrando o foco para carteiras de alto valor.
O que o usuário brasileiro precisa revisar hoje
No Brasil, o vetor é ainda mais crítico porque não existe seguro contra perdas em autocustódia. Diferente de uma exchange como Mercado Bitcoin ou Binance, onde há trilha de fraude e canal de suporte, quem opera com MetaMask, Rabby ou Phantom carrega o risco integral. Isso ganha peso após episódios recentes como o exploit da Ctrl Wallet encerrando operações e o ataque à Summer.fi de US$ 6 milhões, que expuseram fragilidades estruturais em interfaces DeFi.
A recomendação básica, reforçada pela Scam Sniffer em publicação no X, é simples, verificar sempre o endereço exato do contrato e o escopo da permissão antes de confirmar qualquer assinatura. Aprovações ilimitadas devem ser evitadas por padrão. Ferramentas como Revoke.cash e o próprio Etherscan permitem listar e cancelar permissões antigas sem custo além do gás.
Scam Sniffer mira carteiras de alto valor
Analistas notam que a curva entre uma assinatura e uma carteira zerada segue encurtando. Campanhas como a de phishing no MetaMask descoberta em janeiro usaram falsos prompts de autenticação em duas etapas para desativar a desconfiança do usuário. Provedores de carteira adicionam camadas de proteção a cada ciclo, mas nenhuma delas substitui a leitura crítica do que uma assinatura realmente autoriza. O ataque de US$ 999.999 é a mais recente evidência de que a engenharia social opera em ritmo mais rápido que o desenvolvimento defensivo.
