Todo incidente real produz uma segunda onda de ataques dirigida às pessoas preocupadas com o primeiro. Essa onda muitas vezes é mais eficaz que o exploit original, porque mira usuários ansiosos, com pressa e buscando ativamente instruções.
Este guia trata de estabelecer o que é verdade antes de agir com base nisso.
Comece por um canal que você já tinha
O hábito mais útil de todos é chegar ao projeto afetado por um caminho que você estabeleceu antes do incidente: um favorito, um aplicativo que você já tem instalado, uma conta que você já segue. Não um resultado de busca. Não um link em uma mensagem. Não um link em um post sobre o incidente — inclusive, vale dizer, um post nosso.
Os atacantes compram anúncios contra buscas relacionadas ao incidente em questão de horas e clonam páginas de status fielmente. Uma busca pelo nome de um projeto somado a “hack” durante um incidente ativo é uma das consultas mais consistentemente envenenadas que existem.
O que conta como fonte primária
A Conisec registra um incidente apenas quando ele é sustentado por um documento primário, e vale aplicar o mesmo critério pessoalmente. Em ordem decrescente de autoridade:
- O comunicado do próprio projeto ou da corretora afetada, no domínio próprio ou em conta verificada.
- Sua página de status, que normalmente é atualizada antes de qualquer publicação narrativa.
- Uma publicação de regulador, de autoridade policial ou de tribunal, quando existir.
- O alerta técnico de uma empresa de segurança identificada, que descreverá a classe de vulnerabilidade em vez de apenas o valor da perda.
- Evidências on-chain, que qualquer pessoa pode inspecionar em um explorador de blocos.
A cobertura secundária é útil para descobrir que algo aconteceu. Ela não basta para um valor de perda, uma atribuição ou uma caracterização jurídica — as três coisas com maior probabilidade de estarem erradas na cobertura inicial.
Sinais de que você está diante de uma falsificação
- Urgência com prazo. “Migre em 24 horas ou perca o acesso.” Uma remediação real quase nunca tem contagem regressiva.
- Qualquer pedido de frase de recuperação, chave privada ou assinatura. Nenhum projeto legítimo pede. Nunca. Por motivo algum.
- Um pedido de conexão de carteira para “verificar se você foi afetado”. Saber se um endereço foi afetado é informação pública on-chain. Não exige conexão alguma.
- Um suporte que entrou em contato primeiro. O suporte legítimo responde a chamados que você abriu; ele não aparece nas suas respostas ou mensagens diretas oferecendo ajuda.
- Uma ferramenta da qual você nunca tinha ouvido falar antes de hoje, sendo amplamente recomendada por contas criadas recentemente.
Estabelecer se você está exposto
A pergunta útil é estreita: você interagiu com o contrato, a blockchain ou o serviço afetado, no período afetado? Isso é respondível a partir de dados públicos e dos seus próprios registros. Um explorador de blocos mostra o histórico de transações do seu endereço; o alerta do projeto dirá quais contratos e qual janela de tempo estão no escopo.
É por isso que nossos registros de incidentes trazem uma linha Quem está exposto e uma linha Como verificar, e por isso que a linha de verificação sempre aponta para o canal do próprio emissor, e não para algo hospedado por nós. Estamos tentando entregar a você a verificação, não ser a verificação.
Serviços de recuperação de fundos
Eles não funcionam. Empresas que anunciam recuperação de cripto roubada mediante taxa antecipada são, na esmagadora maioria, uma segunda fraude dirigida a quem já perdeu dinheiro uma vez, e encontram seus alvos exatamente nos lugares em que as vítimas se reúnem depois de um incidente.
O caminho legítimo é o canal oficial de denúncia do seu país. Mantemos um diretório desses canais — apenas domínios de governo, de polícia e de reguladores, e nada mais.
Do que isso não protege você
A verificação cuidadosa diz o que aconteceu. Ela não desfaz uma aprovação já explorada, não recupera fundos já movimentados, nem torna solvente uma plataforma insolvente. É uma defesa contra o segundo ataque, não um remédio para o primeiro — que é exatamente por isso que vale a pena praticá-la quando nada está errado.
Não é aconselhamento. A Conisec publica apenas para fins informativos. Nada neste artigo é orientação financeira, jurídica, tributária ou de segurança. Confira nas fontes primárias linkadas acima antes de agir com base em qualquer coisa.
