Apps de carteira falsos: como garantir que você instalou o verdadeiro

A forma mais simples de roubar as criptomoedas de alguém não é invadir a carteira dela. É entregar uma falsa. Um app ou extensão de navegador falsificado, idêntico ao original, pode capturar sua frase de recuperação no momento em que você a digita, ou trocar silenciosamente os endereços para os quais você envia.

Carteiras falsas aparecem em lojas de apps, lojas de extensões de navegador, anúncios de busca e links em redes sociais. Muitas vezes são bem-acabadas, bem avaliadas e difíceis de distinguir do original. A boa notícia: alguns hábitos simples tornam fácil evitá-las.

Como as carteiras falsas chegam às pessoas

• Anúncios de busca. Pesquisar o nome de uma carteira pode exibir um anúncio pago acima do site verdadeiro, levando a uma página de download que o imita. Os golpistas compram anúncios exatamente nos termos que as pessoas pesquisam quando estão prestes a instalar.
• Páginas nas lojas. Apps e extensões falsos às vezes passam pela revisão das lojas de apps e de extensões, às vezes com capturas de tela copiadas, avaliações infladas e um nome quase idêntico.
• Links em mensagens. "Atualize sua carteira", "resgate seu airdrop" ou "o suporte mandou reinstalar" — todos apontando para um download que você nunca tocaria de outra forma.
• Domínios parecidos. Uma letra trocada, uma palavra a mais ou uma terminação diferente (.app em vez de .io) bastam para enganar uma olhada rápida.
• Arquivos instalados manualmente. APKs e pacotes de extensão compartilhados diretamente, fora de qualquer loja, pulam todas as verificações que a loja teria feito.

O que uma carteira falsa faz

A maioria das falsificações faz uma de duas coisas:

1. Coletar sua frase de recuperação. O app falso pede que você "importe" ou "restaure" sua carteira. Quando você digita a frase, ela é enviada ao golpista, que esvazia a carteira a partir do próprio dispositivo — às vezes dias depois, para que você não associe o roubo à instalação.
2. Controlar o que você vê. Um app falso que você configura do zero pode gerar endereços controlados pelo golpista, ou alterar os destinatários quando você envia.

De um jeito ou de outro, o estrago já está feito quando algo começa a parecer errado.

Cinco hábitos que evitam isso

1. Comece pelo site oficial. Digite o endereço você mesmo ou use um favorito, e siga dali os links para as lojas. Para o SSP, é sspwallet.io, que leva às páginas do SSP Wallet nas lojas de navegador e às páginas do SSP Key nas lojas de apps.
2. Confira o desenvolvedor, não só o nome. Em qualquer loja, veja quem publicou o app ou a extensão e se isso corresponde ao desenvolvedor oficial. Um nome de desenvolvedor diferente é o sinal de alerta mais claro que existe.
3. Desconfie da urgência. Uma carteira de verdade não manda mensagem pedindo para você reinstalar, migrar ou "validar" sua carteira. Quem pressiona você a fazer isso está seguindo o roteiro do falso suporte.
4. Nunca digite sua frase de recuperação em algo que você acabou de instalar, a menos que esteja restaurando de propósito e tenha verificado o app antes. Um pedido da frase na primeira abertura, em um app que você pretendia configurar do zero, é uma placa de pare.
5. Mantenha poucas extensões, e conhecidas. Toda extensão é um software com acesso ao seu navegador. Uma boa higiene de extensões reduz tanto a chance de instalar uma falsa quanto o estrago que uma comprometida pode causar.

Indo além: verificando a compilação

As páginas das lojas e os sites dizem de onde um app veio. Para quem quer uma garantia mais forte, algumas carteiras permitem verificar que o app é compilado a partir do código que elas publicam.

O SSP é de código aberto, e as versões do SSP Wallet são compiladas de forma reproduzível: o mesmo código-fonte sempre gera o mesmo resultado, então qualquer pessoa pode recompilar uma versão e confirmar que ela corresponde ao que é distribuído. Essas versões também são assinadas com GPG, para que você possa verificar que vieram da equipe do SSP. É um passo que a maioria das pessoas nunca vai precisar dar — mas é o que transforma "confie na loja" em algo que você pode verificar. Ataques à cadeia de suprimentos e compilações determinísticas explica por que isso importa.

Por que dois dispositivos ajudam — e onde não ajudam

O design 2 de 2 do SSP adiciona uma margem aqui. Um SSP Wallet falso sozinho não consegue mover fundos da sua configuração verdadeira, porque toda transação também precisa do SSP Key no seu celular. Da mesma forma, um SSP Key falso sozinho não consegue gastar sem a chave da carteira.

Mas existe um limite, e ele é importante. Se você digitar as duas frases de recuperação em apps falsos, o golpista terá as duas chaves e o multisig não poderá ajudar. O segundo dispositivo protege você de um app comprometido; ele não pode proteger você se entregar tudo. Nenhuma parte legítima do SSP vai pedir que você digite uma frase de recuperação, exceto quando você mesmo escolher restaurar uma carteira.

Se você acha que instalou um app falso

• Não digite mais nada nele e desinstale-o.
• Se você digitou uma frase de recuperação, trate essa carteira como comprometida. Configure uma nova carteira a partir da fonte oficial em um dispositivo limpo e mova seus fundos imediatamente — a rapidez importa mais do que qualquer outra coisa.
• Denuncie a página à loja, para que ela possa ser removida antes de pegar outra pessoa.

O resumo honesto

Carteiras falsas vencem sendo o primeiro resultado que você encontra. Comece pelo site oficial, confira o desenvolvedor, ignore mensagens urgentes de "atualização" e nunca entregue uma frase de recuperação a algo que você acabou de instalar.

Uma configuração com dois dispositivos torna um único app falso muito menos perigoso — mas a proteção mais forte é nunca instalar um.