No universo do Ethereum, dos contratos inteligentes e do DeFi, existe hoje uma ameaça evidente, mais perigosa do que o clássico roubo de uma carteira de criptomoedas, que não requer o roubo da frase-semente, da chave privada, nem a invasão de um computador ou carteira – basta uma assinatura digital descuidada e precipitada.
Recentemente, foi exatamente assim que um usuário da rede Ethereum perdeu 999.999 USDT após confirmar uma aprovação de token fraudulenta. Esse incidente se tornou mais uma prova de que o phishing de aprovações de tokens se tornou um dos esquemas mais eficazes para o roubo de ativos.
De acordo com informações publicadas pelo serviço Scam Sniffer, a vítima apenas assinou uma solicitação fraudulenta de autorização para o uso de tokens. No mesmo instante, um script automatizado tentou debitar exatamente 1.000.000 de USDT. Apesar de a transação não ter sido concluída devido a um déficit de 631 dólares no saldo, em apenas 36 segundos o script corrigiu seu próprio erro e transferiu o saldo para contas de terceiros em três transações: 639.999, 200.000 e 159.999 USDT. Dessa forma, o usuário perdeu instantaneamente 999.999 USDT. Além disso, a chave privada do proprietário não foi comprometida, já que o próprio usuário concedeu a autorização ao smart contract. As transferências foram registradas nos blocos da Ethereum nº 25489460 e 25489463.
O que é o phishing de aprovação de tokens
A função `approve()`, no padrão ERC-20, permite conceder a um contrato inteligente o direito de gastar os tokens do usuário. Esse é um mecanismo normal de funcionamento para muitos protocolos DeFi, como, por exemplo: Uniswap, Aave, Curve, 1inch e alguns outros.
Os golpistas se aproveitam de várias brechas, incluindo a cópia do design de serviços conhecidos ou a oferta de airdrops falsos, cunhagem de NFTs ou “verificação de carteira”. Ao clicar no botão, o proprietário dos ativos digitais, na verdade, assina por conta própria uma autorização ilimitada (Unlimited Approval). A partir desse momento, o contrato passa a ter o direito legal de debitar ativos sem confirmação adicional do usuário. Portanto, esses ataques não constituem uma violação da blockchain — eles apenas exploram a confiança humana.
Por que isso funciona: cinco fatores técnicos
1. Unlimited Allowance — autorização ilimitada para o uso de tokens.
2. Multicall — agrupamento de várias operações em uma única transação, o que reduz drasticamente o tempo de resposta.
3. Os scripts ajustam instantaneamente o valor da retirada ao saldo real.
4. Uso diferido da aprovação — os fundos podem ser roubados mesmo horas, dias, semanas ou até meses após a assinatura.
5. Visualização insuficiente das assinaturas em muitas carteiras Web3, o que faz com que os usuários não percebam as consequências reais da confirmação.
O fator humano continua sendo determinante. É justamente a pressa, a desatenção, o desejo de receber um airdrop gratuito ou o medo de perder uma oportunidade lucrativa (FOMO) que leva a pessoa a confirmar solicitações perigosas.
A dimensão do problema
Casos semelhantes já não são isolados há muito tempo e seu número aumenta a cada vez – somente ao longo de 2025, os ataques de phishing resultaram em perdas de aproximadamente 723 milhões de dólares em 248 incidentes confirmados (segundo dados da CertiK). No primeiro semestre de 2026, os prejuízos causados pelo phishing foram estimados em mais cerca de 366 milhões de dólares. Vale ressaltar que, nos últimos três anos, os especialistas da Scam Sniffer têm registrado regularmente roubos em grande escala por meio de solicitações de aprovação falsificadas, e a automação dos ataques e o uso de IA apenas aumentam sua eficácia.
Como não se tornar a próxima vítima
O mercado de criptomoedas atual se assemelha cada vez menos a uma batalha entre hackers e sistemas tecnológicos. Hoje em dia, o alvo principal não é mais uma vulnerabilidade técnica, mas sim o ser humano. Uma assinatura descuidada, feita “às pressas”, pode custar mais caro do que anos de investimento.
Especialistas em segurança cibernética recomendam nunca assinar mensagens incompreensíveis, revogar regularmente aprovações de tokens desnecessárias e usar carteiras de hardware para armazenar quantias significativas. Além disso, os especialistas enfatizam a necessidade de se ter uma carteira separada para interagir com novos projetos DeFi e verificar cuidadosamente os endereços URL dos sites antes de conectar a carteira.
