Address poisoning: endereços parecidos que enganam experientes

Address poisoning, ou envenenamento de endereço, é um golpe em que o criminoso cria um endereço de carteira com o começo e o fim iguais aos de um endereço que a vítima usa, envia uma transação de valor irrisório para “plantar” esse endereço no histórico dela e espera que ele seja copiado dali na próxima transferência. Não há invasão nem senha roubada: o golpe explora a pressa e o hábito de conferir só as pontas do endereço. E, como em todo pagamento em blockchain, o erro não tem volta.

Como o golpe funciona

A sequência é quase sempre a mesma, e a própria MetaMask a descreve em sua central de ajuda:

1. O criminoso monitora a blockchain em busca de transferências, em geral de stablecoins, de e para endereços de interesse.
2. Gera um endereço “de vaidade” cujos primeiros e últimos caracteres coincidem com os do endereço legítimo que a vítima costuma usar.
3. Envia, a partir desse endereço falso, uma transação de valor zero ou desprezível para a carteira da vítima. Pronto: o endereço parecido passa a aparecer no histórico.
4. Na próxima vez que a vítima for transferir, copia o endereço do histórico, e escolhe o errado.

O passo 4 é favorecido pelas próprias interfaces. Carteiras e exploradores de blockchain costumam abreviar endereços com reticências, mostrando só o começo e o fim. É exatamente a parte que o criminoso falsificou.

O tamanho do problema

O estudo mais completo publicado até agora é de pesquisadores da Carnegie Mellon University, apresentado no USENIX Security Symposium de 2025. Analisando dois anos de dados do Ethereum e da BNB Smart Chain, os autores contaram 270 milhões de tentativas de envenenamento, dirigidas a 17 milhões de vítimas, treze vezes mais do que se havia relatado antes. Dessas tentativas, 6.633 resultaram em perdas, que somaram pelo menos US$ 83,8 milhões.

O trabalho também indica que se trata de uma atividade organizada: os pesquisadores identificaram poucos grupos grandes competindo entre si, e ao menos um deles parece usar placas de vídeo (GPUs) para gerar endereços parecidos em escala. Em outras palavras, produzir um endereço falso convincente ficou barato.

Casos documentados

Os números ficam mais concretos em dois casos amplamente noticiados.

Maio de 2024. Uma vítima enviou 1.155 WBTC, cerca de US$ 68 milhões na época, para um endereço envenenado. O caso teve um desfecho raro: após negociação, o criminoso devolveu cerca de 22.960 ETH, aproximadamente US$ 65,7 milhões, segundo a Cointelegraph. Foi uma decisão do próprio golpista, não algo que a rede ou qualquer instituição pudesse impor.

Dezembro de 2025. Segundo a The Block, um investidor fez o que costuma ser recomendado: enviou primeiro uma transação de teste de 50 USDT para o endereço correto. Cerca de 26 minutos depois, transferiu 49.999.950 USDT, mas para um endereço falso que tinha os mesmos cinco primeiros e quatro últimos caracteres do verdadeiro e que havia sido plantado no seu histórico por meio de pequenas transações. Em menos de 30 minutos, o golpista já havia convertido o valor, que depois acabou enviado a um serviço de mistura de criptomoedas.

Por que até usuários experientes caem

O segundo caso mostra o ponto central. A transação de teste confirma que o endereço daquele momento está certo, mas não protege a cópia seguinte. Se o endereço da transferência principal é copiado de novo, do histórico, o teste vira uma falsa garantia. Três fatores se somam: interfaces que escondem o meio do endereço, o hábito de reaproveitar o histórico como agenda de contatos e a velocidade dos robôs, que reagem a uma transferência em minutos.

Endereços parecidos também aparecem fora do histórico. No ataque às bibliotecas de programação de setembro de 2025, descrito pela Aikido Security, o código malicioso trocava endereços exibidos em sites por outros escolhidos para parecer com os originais. A técnica é a mesma; muda apenas onde o endereço falso é inserido.

Como se proteger

Para quem envia cripto (e para empresas que fazem pagamentos, reembolsos ou saques):

• Nunca copie endereços do histórico de transações. Use uma agenda de endereços verificados ou uma lista de destinos aprovados.
• Compare o endereço inteiro, com atenção ao meio, não só o começo e o fim.
• Refaça a conferência na transferência principal, não apenas no teste.
• Em carteiras de hardware, confirme o endereço na tela do dispositivo antes de assinar.
• Leve a sério os alertas da carteira sobre endereços parecidos com outros já usados ou nunca usados antes.

Para quem recebe pagamentos em cripto:

• Entregue o endereço de cobrança sempre pela página de pagamento, gerado para aquela cobrança, e nunca peça que o cliente o procure em um explorador ou no histórico.
• Em reembolsos, confirme o endereço de destino por um canal verificado, de preferência o cadastro do próprio cliente.
• Garanta que o endereço exibido na sua página é o que você emitiu, já que endereços parecidos também podem ser inseridos ali.

Onde o Proteside entra

O envenenamento acontece no histórico da carteira, fora da loja; ali, a defesa é o hábito de conferir. Já na sua página de pagamento, o Proteside confere no navegador do comprador se o endereço, a rede e o valor exibidos ou copiados são exatamente os emitidos e bloqueia qualquer troca antes do envio. Veja a proteção para pagamentos com cripto e teste grátis por 14 dias.