Trader perde quase US$ 1 milhão após autorizar token de phishing no Ethereum

Um usuário de criptomoedas perdeu quase US$ 1 milhão após aprovar uma permissão maliciosa de token no Ethereum, segundo monitoramento on-chain divulgado pela Scam Sniffer. O caso mostra como o phishing via "token approvals" deixou de ser um golpe pontual e vem se consolidando como um processo repetível de roubo. De acordo com a Scam Sniffer, a perda somou 999.999 USDT (USDT) e está ligada a uma aprovação fraudulenta no Ethereum. O invasor tentou primeiro drenar os fundos por meio de solicitações de multicall, mas a operação falhou por saldo insuficiente. Segundos depois, o atacante executou transferências adicionais e conseguiu retirar o restante do saldo. Pontos-chave • Um único clique em "approve" pode conceder ao criminoso poderes amplos sobre os tokens, permitindo extrações rápidas via transferências automatizadas. • O esvaziamento costuma ser feito em etapas: uma tentativa inicial pode falhar, mas transações subsequentes ainda podem zerar a carteira. • O approval phishing segue como técnica recorrente em ecossistemas de golpes on-chain, inclusive fraudes de investimento. • Pesquisadores alertam que golpistas frequentemente reutilizam padrões de carteiras e rotas operacionais; um incidente pode expor uma rede maior. • "Address poisoning" aumenta o risco, exigindo atenção redobrada ao copiar e colar endereços, contratos e dados de carteira. Como a aprovação vira um roubo de quase US$ 1 milhão O golpe se apoia em aprovações que parecem rotineiras. A vítima é induzida a assinar uma transação que autoriza um agente malicioso a gastar tokens ou redirecionar fundos. A assinatura pode ser apresentada como um passo simples — habilitar uma transferência, interação ou "verificação" — mas pode conceder acesso amplo ou duradouro, explorado imediatamente. No caso relatado, a Scam Sniffer afirmou que o script recalculou o saldo remanescente da vítima e retirou exatamente o valor que restou após a primeira tentativa de drenagem. Assim, o atacante não precisou adivinhar o conteúdo da carteira: a execução foi ajustada em tempo real para maximizar a extração. No Etherscan, a atividade aparece distribuída em três transações, culminando na retirada de 999.999 USDT. (Ver: transação no Etherscan.) Por que o approval phishing continua funcionando O approval phishing é um padrão recorrente, não uma novidade. Dados da CertiK citados na cobertura indicam que, em 2025, perdas com phishing totalizaram US$ 723 milhões em 248 incidentes. A lógica é consistente: engenharia social leva a vítima a clicar em "approve", e a permissão passa a capacidade de gasto a um contrato controlado pelo atacante. Os números ganham peso por mostrarem que o problema é amplo. Esse tipo de golpe é escalável: depois que a vítima concede permissões, o criminoso pode drenar saldos sem exigir novas ações do usuário. A matéria também destaca que o setor cripto registrou US$ 366 milhões em perdas com phishing no primeiro semestre do ano, reforçando que golpes baseados em permissões fazem parte de uma onda maior de fraudes on-chain. Reuso de carteiras e padrões de permissão O risco aumenta quando criminosos reaproveitam a mesma infraestrutura e repetem alvos e métodos. No início do mês, outro caso apontou uma perda de US$ 1,65 milhão após a vítima conectar-se a uma exchange falsa e assinar um contrato malicioso. Nesse episódio, a aprovação teria dado "acesso ilimitado", permitindo que um "sweeper" automatizado esvaziasse os fundos, segundo o pesquisador Ryan Coleman. A Chainalysis já reportou que golpes on-chain arrecadaram pelo menos US$ 14 bilhões em 2025, com fraudes de investimento como categoria dominante. Em materiais sobre approval phishing, a empresa descreve as aprovações como uma ponte entre a engenharia social e o roubo automatizado on-chain. A Chainalysis também alerta para a repetição de carteiras, o uso de funcionalidades legítimas de aprovação em contratos e rotas de saque semelhantes entre vítimas. Isso muda o peso de "um" relatório: quando investigadores mapeiam padrões repetidos de permissões e retiradas, podem revelar uma rede coordenada, não apenas um atacante isolado. O investigador sênior Renato Bastos, citado na cobertura, afirma que cada caso desvendado pode expor uma estrutura mais ampla justamente pela recorrência de carteiras e caminhos operacionais. Assinaturas de aprovação, padrões de contrato e métodos de drenagem semelhantes costumam indicar campanhas sistemáticas. Address poisoning adiciona mais uma camada Aprovações maliciosas não são o único mecanismo de roubo. A reportagem também menciona o "address poisoning", em que golpistas criam endereços parecidos com os legítimos e enviam pequenas quantias ("dust") para esses endereços similares. Ao copiar e colar, a vítima pode acabar enviando fundos ao atacante em vez do destinatário correto. Esse risco é relevante em redes onde o fluxo de copiar/colar ainda é comum. A matéria observa que a MetaMask lançou, em junho, detecção em tempo real de address poisoning. A ferramenta compara o endereço colado com endereços com os quais a carteira já interagiu, buscando sinalizar endereços novos ou inesperados associados a padrões de engano. Com approval phishing e address poisoning em paralelo, o ponto central é a manipulação da interação do usuário: o golpe explora o que as pessoas acreditam estar assinando ou enviando. A defesa passa por reduzir a pressa e conferir com precisão a permissão solicitada e o endereço do destinatário antes de confirmar. O que acompanhar Incidentes de approval phishing como o roubo de 999.999 USDT tendem a se disseminar rapidamente quando criminosos refinam a execução e reutilizam padrões de carteiras. Usuários devem desconfiar de qualquer solicitação de assinatura ligada a aprovações de tokens, evitar confirmar prompts automaticamente e considerar ferramentas de detecção. Do lado das equipes de segurança e analistas on-chain, a tendência é seguir rastreando scripts de drenagem e infraestrutura compartilhada para identificar campanhas antes que ganhem escala. Este texto foi publicado originalmente como "$1M Loss as Trader Approves Phishing Token After Wallet Signature" no Crypto Breaking News.