O que é social engineering em criptomoedas e como o pode reconhecer?

O social engineering é importante de reconhecer porque uma única mensagem convincente, um único ficheiro errado ou uma única confirmação impensada pode ser suficiente para dar acesso a sistemas sensíveis ou a criptomoedas.

A dimensão das consequências pode ser bem observada neste momento na Binance. Em 29 de outubro de 2026, foram transferidas para fora de wallets da exchange criptomoedas no valor de mil milhões de dólares. A Binance continua a investigar o incidente e afirma que um portátil comprometido de um engenheiro de DevOps pode ter sido o primeiro ponto de acesso. Segundo a Binance, o atacante conseguiu, através desse portátil, aceder a um contentor de serviços e submeter levantamentos não autorizados.

O impacto total está atualmente estimado pela Binance em cerca de 6,3 mil milhões de dólares. Cerca de 3 mil milhões de dólares em criptomoedas afetadas já foram congelados on-chain, segundo a exchange. A Binance afirma não ter encontrado provas de que as private keys das wallets tenham sido expostas e declara que cobrirá todas as perdas com o fundo SAFU e com fundos próprios da empresa. Os depósitos estão novamente a funcionar normalmente, enquanto os levantamentos, no momento da redação, continuam suspensos devido a ajustes na infraestrutura de levantamentos.

Ainda não se sabe exatamente como o portátil foi comprometido. Portanto, ainda não há confirmação de que phishing, uma falsa oferta de emprego ou outra forma de social engineering tenha causado o ataque. No entanto, o incidente mostra porque é que os atacantes se concentram muitas vezes em pessoas e dispositivos com muitos direitos de acesso. Uma única conta ou dispositivo comprometido pode dar acesso a sistemas muito mais importantes.

É precisamente disso que trata o social engineering: não necessariamente de quebrar diretamente a segurança técnica, mas de enganar uma pessoa para que esta, sem se aperceber, dê acesso, partilhe informação ou execute uma ação prejudicial.

Pontos principais

• O social engineering consiste em enganar pessoas para que estas partilhem informação ou executem uma ação prejudicial.
• Os atacantes tentam, por exemplo, obter credenciais de acesso, códigos de verificação, seed phrases ou private keys.
• Também uma transação prejudicial ou um token approval pode causar prejuízo financeiro sem que um atacante conheça a sua seed phrase.
• O hack em curso da Binance mostra quão grandes podem ser as consequências quando um dispositivo ou conta com muitos direitos de acesso é comprometido.

O que é social engineering em criptomoedas?

O social engineering em criptomoedas consiste em manipular pessoas para que estas partilhem informação sensível ou executem uma ação prejudicial. Assim, o atacante nem sempre precisa de entrar por meios técnicos. Muitas vezes, tenta precisamente convencê-lo a abrir uma ligação, a fornecer um código, a enviar criptomoedas ou a confirmar um pedido da wallet.

Pense numa mensagem falsa de uma exchange de criptomoedas, em alguém que se faz passar por funcionário de uma wallet de criptomoedas ou em alguém que se faz passar por um amigo. O objetivo pode ser obter as suas credenciais de acesso, um código de verificação de utilização única, uma seed phrase ou uma private key. Um atacante também pode tentar levá-lo a assinar uma transação prejudicial ou a conceder permissão para mover tokens da sua wallet.

O phishing é uma forma conhecida de social engineering. Neste caso, por exemplo, é levado para um website falsificado onde lhe é pedido que introduza credenciais de acesso ou outra informação sensível. Na self-custody, isto é ainda mais arriscado. Quem tiver a sua seed phrase ou private key pode, na prática, gerir as criptomoedas dessa wallet.

No entanto, um atacante nem sempre precisa da sua seed phrase para causar danos. Num token approval prejudicial, por exemplo, dá a uma dApp ou a um smart contract permissão para mover determinados tokens da sua wallet. Se conceder essa permissão a uma parte maliciosa, esses tokens podem ser retirados da sua wallet.

Como funciona o social engineering em criptomoedas?

O social engineering funciona ao combinar uma história credível com uma ação que o atacante quer que execute. Essa ação pode parecer inofensiva, como abrir uma ligação ou ver um ficheiro, mas no fim pode dar acesso a dados, contas ou criptomoedas.

O primeiro passo é, normalmente, estabelecer contacto. Isso pode acontecer por e-mail, SMS, telefone, redes sociais, um website falsificado ou até uma oferta de emprego. Depois, o atacante tenta criar confiança ou gerar pressão temporal. Em seguida, surge o pedido real, por exemplo, para abrir software, fornecer um código de verificação, enviar criptomoedas ou assinar uma transação na sua wallet.

Um ataque também pode visar colaboradores de empresas de criptomoedas. No roubo à DMM em 2024, por exemplo, um atacante fez-se passar por recrutador e conseguiu, através de um teste de candidatura malicioso, acesso a sistemas de uma empresa que trabalhava com a DMM Bitcoin. O ataque completo é analisado mais à frente como exemplo.

O princípio mantém-se o mesmo: o atacante não tenta apenas contornar a segurança técnica, mas convence primeiro uma pessoa a fazer algo que cria acesso.

Que formas de social engineering são comuns?

Várias formas de social engineering podem ser combinadas no mesmo ataque. Alguém que se faça passar por funcionário de uma exchange pode, por exemplo, telefonar-lhe primeiro, depois enviar uma ligação e, em seguida, pedir-lhe que confirme um pedido da wallet.

• Phishing: uma mensagem falsa, muitas vezes por e-mail, com, por exemplo, uma ligação para uma página de início de sessão falsa.
• Smishing: phishing por SMS ou por aplicações de chat como WhatsApp e Telegram.
• Vishing: engano por telefone, por exemplo, por alguém que se faz passar pelo apoio ao cliente.
• Impersonação: alguém faz-se passar por uma exchange de criptomoedas, um prestador de wallet, o governo, um empregador, uma figura conhecida ou um influencer.
• Fraude de investimento e romance scam: um atacante cria confiança ao longo de mais tempo e tenta depois levá-lo a investir dinheiro ou criptomoedas através de uma plataforma falsa.
• Airdrop e approval phishing: uma oferta de tokens gratuitos leva-o para uma dApp falsa ou tenta levá-lo a assinar uma transação prejudicial ou um token approval.
• Fraudes de recrutamento: uma falsa oferta de emprego, tarefa de programação ou teste de candidatura é usada para distribuir malware, roubar dados ou obter acesso a uma conta.

Criptomoedas grátis parecem atraentes. Precisamente por isso, um airdrop inesperado ou uma ligação exclusiva para reclamar tokens é um momento para verificar com especial atenção quem é o remetente e para que website está a ser encaminhado.

Como é que a confiança e a urgência são exploradas?

Os atacantes tentam muitas vezes primeiro ganhar a sua confiança, fazendo-se passar por alguém que conhece ou por uma organização que soa credível. Pense no apoio ao cliente de uma exchange de criptomoedas, no seu banco, num empregador, num amigo ou em alguém com quem construiu uma relação online.

Depois, surge frequentemente a pressão temporal. Por exemplo, é-lhe dito que a sua conta será bloqueada, que foi detetada fraude ou que deve transferir imediatamente as suas criptomoedas para outra wallet. O objetivo é que aja rapidamente antes de verificar se a história é verdadeira.

Em criptomoedas, essa pressão costuma vir acompanhada de um pedido para enviar criptomoedas para uma suposta wallet segura, digitalizar um código QR, fornecer um código de verificação ou assinar imediatamente uma transação. Também promessas de rendimento garantido, criptomoedas grátis e alegações de lucros excecionalmente elevados são sinais de alerta claros.

Uma mensagem urgente não é automaticamente fraude. Mas a pressão temporal, em combinação com um pedido de palavras-passe, códigos de verificação, seed phrases, private keys, criptomoedas ou confirmação de uma wallet, é um forte sinal de alarme.

Exemplos conhecidos de social engineering em criptomoedas

Ataques conhecidos mostram que o social engineering pode ir muito além de spam simples ou de um e-mail falso. Por vezes, um atacante concentra-se durante meses em colaboradores de uma empresa de criptomoedas para, no fim, obter acesso a sistemas internos.

Um exemplo claro é o roubo à DMM em 2024. Um atacante fez-se passar por recrutador no LinkedIn e contactou um colaborador da Ginco, uma empresa que desenvolve software para wallets de criptomoedas empresariais. O colaborador recebeu um script Python malicioso, apresentado como parte de um teste de candidatura.

Depois de os atacantes terem obtido dados de sessão do colaborador, conseguiram, segundo o FBI, entrar no sistema de comunicação da Ginco. Esse acesso terá sido usado para manipular um pedido de transação legítimo da DMM Bitcoin. No final, foram roubados 4.502,9 BTC, no valor de cerca de 308 milhões de dólares na altura. O FBI atribuiu o ataque ao TraderTraitor, um grupo de hacker norte-coreano.

Outro padrão muito comum é o approval phishing. Neste caso, é o próprio utilizador que assina uma transação na blockchain através da qual um endereço do atacante ou um smart contract malicioso recebe permissão para mover determinados tokens da sua crypto wallet. A transação pode ser tecnicamente totalmente válida, enquanto o utilizador pensa que está a confirmar outra coisa.

Exemplo: Vê uma oferta de tokens gratuitos e liga a sua crypto wallet a um website. Depois aparece um pedido para confirmar algo. Parece que está apenas a ativar a reclamação dos tokens gratuitos, mas, na realidade, pode estar a conceder permissão para mover tokens existentes da sua wallet.

Por isso, não basta verificar apenas se um website parece credível. Veja também sempre com atenção que transação ou permissão a sua crypto wallet mostra exatamente antes de confirmar.

O hack em curso da Binance de outubro de 2026

Um exemplo muito recente de quão grandes podem ser as consequências de um único dispositivo comprometido é o hack na Binance que se tornou público em 29 de outubro de 2026. No incidente, foram transferidas para fora de wallets da exchange criptomoedas no valor de mil milhões de dólares.

A Binance continua a investigar o ataque. Segundo os primeiros resultados da investigação, um portátil comprometido de um engenheiro de DevOps aponta para um possível ponto de acesso. Através desse portátil, um atacante pode ter conseguido aceder a um contentor de serviços e submeter transações de levantamento não autorizadas.

A Binance estima atualmente o impacto total em cerca de 6,3 mil milhões de dólares. Cerca de 3 mil milhões de dólares em criptomoedas afetadas já foram congelados on-chain, segundo a exchange, com a ajuda de outras partes do setor cripto.

A Binance afirma, neste momento, não ter encontrado provas de que as private keys das suas wallets tenham sido expostas. A empresa declara que os fundos dos clientes estão seguros e que todas as perdas serão cobertas com o fundo SAFU e com fundos próprios da empresa.

Ainda não foi definitivamente apurado pela Binance quem está por trás do ataque. Empresas de inteligência blockchain, como a TRM Labs, veem, no entanto, fortes indícios de envolvimento do TraderTraitor, um grupo de hacker norte-coreano que também tem sido associado a outros grandes roubos de criptomoedas.

Também ainda não se sabe como o portátil do engenheiro de DevOps foi exatamente comprometido. Por isso, em 30 de outubro de 2026, ainda não há confirmação de que phishing, uma falsa oferta de emprego ou outra forma de social engineering tenha sido o primeiro passo do ataque.

Embora o social engineering ainda não tenha sido confirmado como causa, o caso é relevante. O possível ponto de acesso é um dispositivo de um colaborador com direitos de acesso técnicos. Se um atacante conseguir assumir esse dispositivo ou conta, isso pode acabar por dar acesso a sistemas muito mais importantes.

A situação continua a evoluir. A Binance anunciou que publicará um relatório técnico de investigação detalhado assim que a investigação estiver concluída. Os depósitos estão novamente a funcionar normalmente, enquanto os levantamentos, no momento da redação, continuam suspensos devido a ajustes na infraestrutura de levantamentos.

Porque é que os utilizadores de criptomoedas são vulneráveis ao social engineering?

Os utilizadores de criptomoedas são vulneráveis ao social engineering porque uma única ação errada pode, por vezes, ter consequências financeiras diretas. Quem obtiver a sua seed phrase ou private key numa situação de self-custody pode gerir as criptomoedas dessa wallet. E se confirmar por si próprio uma transferência de criptomoedas ou um approval prejudicial, essa ação na blockchain normalmente não pode ser simplesmente revertida.

Nos serviços financeiros tradicionais, existem por vezes controlos adicionais que podem impedir ou investigar pagamentos suspeitos. Numa transação de self-custody na blockchain, normalmente não existe uma parte central que possa reverter a sua transação posteriormente. Por isso, um atacante só precisa, por vezes, de o convencer uma vez a confirmar a ação errada.

Web3 torna isto, por vezes, ainda mais difícil. As dApps legítimas pedem regularmente uma ligação de wallet, uma assinatura ou um token approval. Um pedido malicioso pode, por isso, parecer algo que também vê normalmente. No entanto, ligar uma wallet é diferente de assinar uma mensagem, e uma assinatura é diferente de um token approval ou de confirmar uma transação.

Mesmo após uma perda inicial, as vítimas continuam a ser alvo. Os chamados serviços de recuperação podem, por exemplo, prometer recuperar criptomoedas roubadas e depois pedir pagamento antecipado. Isto pode ser uma nova forma de fraude.

Como pode reconhecer um ataque de social engineering?

Reconhece um ataque de social engineering sobretudo pela combinação de contacto inesperado, uma alegação de identidade, pressão temporal e um pedido para fazer algo. Por isso, não olhe apenas para uma frase, fotografia de perfil ou logótipo, mas para o pedido no seu conjunto.

Trate sempre como suspeito um pedido inesperado para enviar criptomoedas, ligar uma crypto wallet, digitalizar um código QR, partilhar uma seed phrase ou fornecer um código de verificação. O mesmo se aplica a promessas de rendimento garantido, dinheiro rápido sem risco, criptomoedas grátis ou uma oportunidade de investimento exclusiva.

No Web3, preste também muita atenção ao tipo de pedido que a sua crypto wallet mostra. Ligar uma wallet, assinar uma mensagem, enviar criptomoedas e conceder um token approval são ações diferentes. Um approval pode, por exemplo, dar a um smart contract permissão para mover determinados tokens da sua wallet.

Verifique sempre uma alegação fora da mensagem recebida. Portanto, não abra simplesmente a ligação enviada, mas aceda por si próprio à aplicação ou ao website oficial.

Que sinais indicam uma mensagem suspeita?

Uma mensagem suspeita apresenta muitas vezes um ou mais destes sinais:

• Recebe contacto inesperado com um pedido de dinheiro, criptomoedas, dados, credenciais de acesso ou uma transação.
• É exercida pressão com frases como: "A sua conta será encerrada agora" ou "Aja dentro de dez minutos".
• É-lhe pedido para enviar criptomoedas para uma suposta wallet segura.
• É-lhe pedido para digitalizar um código QR para pagar ou proteger a sua conta.
• A ligação ou o nome de domínio diverge subtilmente da escrita oficial.
• Tem de instalar software, abrir um anexo ou executar código.
• A sua crypto wallet mostra um endereço de contrato desconhecido, um pedido de assinatura pouco claro ou uma allowance excecionalmente elevada ou ilimitada.
• Uma reclamação de airdrop gratuito surge do nada.

Erros ortográficos ou gramaticais podem ser um indício, mas não são um teste fiável. Muitos atacantes usam atualmente textos convincentes e websites com aspeto profissional.

Como verificar a identidade de um contacto?

Verifique a identidade através de um canal que tenha procurado por si próprio, nunca através de uma ligação, código QR ou número de telefone presentes na mensagem suspeita.

Pode abordar isto passo a passo:

1. Pare de responder. Não clique em mais nada e não forneça códigos nem dados. Assim evita confirmar algo sob pressão.

2. Procure por si próprio o canal oficial. Abra a aplicação que já utiliza ou escreva por si próprio o endereço web oficial. Depois, contacte através do canal oficial de apoio.

3. Verifique o nome de domínio completo. Um nome de marca conhecido numa mensagem diz pouco. Veja o endereço web completo, porque os atacantes usam muitas vezes domínios muito semelhantes ao endereço verdadeiro.

4. Ligue de volta a um contacto conhecido. Recebe um pedido urgente de um amigo ou colega? Então ligue por si próprio para um número guardado que já conhecia, em vez de responder apenas na mesma conversa.

5. Nunca partilhe dados secretos como forma de verificação. Um verdadeiro colaborador do apoio ao cliente não precisa da sua seed phrase, private key ou palavra-passe para verificar a sua identidade. Seja também muito cauteloso com códigos de verificação.

Um selo de verificação nas redes sociais ou um aviso de segurança numa crypto wallet pode ser útil, mas não é garantia de que alguém ou algo seja seguro.

Como se pode proteger contra social engineering em criptomoedas?

Protege-se melhor se, perante qualquer pedido inesperado, primeiro verificar quem o contacta e o que lhe está exatamente a ser pedido para fazer. Torne isso num hábito antes de enviar criptomoedas, ligar uma wallet, assinar algo ou confirmar um token approval.

Aceda a exchanges de criptomoedas, wallets de criptomoedas e dApps através de um endereço oficial guardado ou verificado por si. Não use simplesmente anúncios, mensagens diretas ou ligações inesperadas como ponto de entrada.

Em cada transação, verifique a rede, o endereço de receção, o montante e o tipo de ação que está a executar. Num token approval, veja também que parte recebe permissão e quantos tokens pode usar. Limite as allowances sempre que possível e verifique regularmente approvals antigos. Desligar apenas uma dApp não revoga automaticamente um approval existente.

Além disso, use palavras-passe únicas e fortes para as suas contas e proteja sobretudo o endereço de e-mail associado à sua conta da exchange. Sempre que possível, ative a autenticação multifator para o e-mail, contas de exchange e outras contas importantes.

A MFA torna a tomada de conta mais difícil se uma palavra-passe for roubada. Uma passkey ou uma chave de segurança FIDO é, quando disponível, mais resistente ao phishing do que um código de verificação introduzido manualmente. Mas mesmo uma forte segurança da conta não impede que partilhe por si próprio uma seed phrase ou assine uma transação blockchain prejudicial.

Porque deve manter secretas as seed phrases e as private keys?

Deve manter a sua seed phrase e a sua private key em segredo porque estas podem dar acesso às criptomoedas da sua wallet. Uma seed phrase é muitas vezes composta por 12 a 24 palavras e pode ser usada para restaurar o acesso a uma wallet. Com essas palavras ou com a sua private key, alguém pode gerir a sua wallet e enviar criptomoedas.

Normalmente, só precisa da seed phrase quando cria ou restaura a sua própria wallet. Não porque um colaborador do apoio ao cliente a pede, não para um giveaway e também não para "validar" uma wallet.

Por isso, nunca partilhe estes dados por chat, e-mail, capturas de ecrã, notas na cloud ou um formulário online. Guarde-os offline e num local a que outras pessoas não possam aceder.

Uma hardware wallet guarda as suas private keys offline e, normalmente, exige uma confirmação física antes de executar uma transação. Isto oferece proteção adicional contra certas formas de malware e tomada de conta. Ainda assim, uma hardware wallet não pode impedir que seja o próprio utilizador a aprovar uma transação prejudicial.

Como usar a verificação de transações e a autenticação multifator?

Use a verificação de transações lendo cada pedido da wallet antes de premir confirmar. Verifique a rede, o endereço de receção, o montante e, sobretudo, que ação está a executar: ligar, assinar, enviar ou conceder um token approval.

Num token approval, dá a uma dApp ou a um smart contract permissão para mover um determinado token até um limite específico em nome da sua wallet. Uma allowance ilimitada pode aumentar o prejuízo se tiver concedido essa permissão a uma parte prejudicial ou comprometida. Por isso, escolha, sempre que possível, um limite que corresponda ao que realmente pretende fazer.

Os avisos da wallet e a simulação de transações podem assinalar domínios, endereços ou dados de transação suspeitos. Veja-os como uma camada adicional de controlo. Uma transação tecnicamente válida pode continuar a ser prejudicial se não corresponder ao que pretendia fazer.

Ative a MFA para o seu e-mail e para a sua conta da exchange de criptomoedas. A autenticação de dois fatores, ou 2FA, é uma forma de MFA em que são usados dois fatores de autenticação diferentes. Um passo adicional de verificação ajuda contra a tomada de conta, mas códigos de utilização única introduzidos manualmente ainda podem ser intercetados através de phishing. Por isso, escolha, sempre que possível, um método resistente a phishing, como uma passkey ou uma chave de segurança FIDO.

O que pode fazer após um ataque de social engineering?

Pare imediatamente de responder ao atacante e aja o mais rapidamente possível através de canais seguros que tenha verificado por si próprio. Não use ligações, números de telefone ou ofertas de recuperação presentes em mensagens do atacante.

Aborde a situação passo a passo:

1. Corte o contacto: Não responda mais, não clique em nada e não forneça informação adicional.

2. Proteja as suas contas: Altere palavras-passe comprometidas, proteja a sua conta de e-mail e substitua ou reforce a sua MFA, se necessário.

3. Contacte a parte envolvida: Contacte a exchange de criptomoedas, o prestador da wallet ou outro prestador de conta através de um canal oficial que tenha procurado por si próprio.

4. Verifique token approvals: Confirmou um pedido de wallet suspeito? Então veja se pode revogar allowances existentes. Desligar uma dApp não é suficiente para remover um token approval existente.

5. Guarde provas: Faça capturas de ecrã e registe mensagens, domínios, números de telefone, perfis, endereços de wallet, montantes, data, hora e transaction hashes.

6. Denuncie a fraude e apresente queixa: Endereços de wallet e dados de transação podem ser provas importantes, mesmo que o roubo já tenha ocorrido.

Depois disso, mantenha-se especialmente atento a recovery scams. Alguém que prometa recuperar as suas criptomoedas perdidas e peça pagamento antecipado pode estar a tentar voltar a tirar partido de si. Revogar um approval pode limitar o uso futuro dessa permissão, mas não reverte uma transação blockchain já executada.

Conclusão

O social engineering em criptomoedas gira, no fim, em torno de uma coisa: alguém tenta levá-lo a executar uma ação que normalmente não faria. Isso pode ser partilhar uma seed phrase, enviar criptomoedas, fornecer um código ou confirmar um pedido da wallet que não compreende bem.

A melhor defesa não é apenas a segurança técnica, mas também verificar antes de agir. Confirme os contactos através de um canal independente, use uma forte segurança da conta e leia cada pedido de transação antes de confirmar.

Sobretudo no que diz respeito a seed phrases, private keys e token approvals, aplica-se o seguinte: se não compreender que acesso ou permissão está a conceder, não confirme o pedido.