Em uma frase: A maioria dos golpes de NFT tenta fazer você assinar uma permissão errada, não quebrar a blockchain.
Rug pull: quando o projeto some depois do dinheiro
Rug pull acontece quando a equipe vende uma promessa, arrecada e abandona a comunidade. Os sinais costumam aparecer antes: roadmap grandioso demais, equipe sem histórico verificável, perguntas críticas apagadas e conversa focada apenas em preço.
Equipe anônima não é automaticamente golpe, mas exige mais prova. Procure entregas anteriores, contrato claro, comunicação consistente e postura madura quando surgem dúvidas sobre risco.
Antes dos tipos, vale ver o que todos têm em comum.
Todo golpe aqui precisa de uma coisa só: que você esteja com pressa. Ninguém precisa quebrar criptografia se conseguir que você clique apressado. Por isso as telas se parecem tanto: contagem regressiva, «últimas unidades», «antes que todos saibam», mensagem que chega tarde da noite.
É também onde mora a única defesa que funciona contra todos os tipos ao mesmo tempo: não assine nada no mesmo dia em que ouviu falar pela primeira vez. Oportunidade que evapora em uma hora nunca foi oportunidade.
Coleções falsas copiam imagem e nome
Golpistas clonam imagens, descrição e até o nome de coleções conhecidas. No marketplace, o card pode parecer idêntico. O que denuncia é o contrato, o link oficial, o número de holders e a origem da coleção.
Não compre pelo primeiro resultado da busca. Abra o marketplace a partir do site oficial do projeto e confira o contrato no explorer. Preço «barato demais» em coleção famosa costuma ser aviso, não oportunidade.
Só uma coisa não se imita: o domínio.
Phishing: domínio quase certo, assinatura errada
Sites falsos de mint, páginas de Discord clonadas e links de claim são comuns. Eles trocam uma letra do domínio, usam subdomínios confusos ou anúncios de busca para parecerem oficiais. O objetivo é levar você a conectar a carteira e assinar.
Use bookmarks e desconfie de DMs. Moderador legítimo não costuma oferecer mint secreto em conversa privada. Qualquer mensagem que cria urgência artificial merece pausa.
Permissão se concede uma vez e serve muitas. Leia como contrato, não como botão.
Approval malicioso: o risco escondido no pop-up
Em NFTs, permissões como setApprovalForAll podem autorizar um contrato a mover uma coleção inteira. Em marketplace oficial isso pode ser necessário para listar. Em site falso, é o caminho para roubo.
Leia o que a carteira pede. Se você foi «verificar elegibilidade» e a carteira pede controle de ativos, cancele. Depois de usar marketplace, revise permissões antigas em explorer ou Revoke.cash.
Presente que você não pediu não é presente.
Airdrop falso que aparece do nada
Qualquer pessoa pode enviar NFT para seu endereço público. Golpistas usam isso para mandar imagem com URL de prêmio ou claim. O NFT estranho não significa que você ganhou algo; pode ser uma isca.
Não clique no link do token, não conecte a carteira e esconda o item se necessário. Para entender melhor, veja airdrop NFT.
Conta grande pode ser invadida ou imitada. Nome não é prova.
Falso apoio de celebridade ou influencer
Nome conhecido cria confiança rápida. Golpistas simulam perfil verificado, recortam vídeo antigo ou compram divulgação sem explicar que é anúncio. Endosso não elimina risco de contrato, liquidez ou preço.
Verifique no site oficial do artista, do projeto ou em canais que podem ser checados de forma independente. Nunca use celebridade como única prova.
Volume alto não é o mesmo que demanda real.
Wash trading: volume fabricado
Wash trading é comprar e vender entre carteiras controladas pelo mesmo grupo para inflar volume e preço aparente. Quem olha só o gráfico acha que há demanda real e entra tarde.
Veja se compradores são variados, se o volume dura mais de um dia e se transações passam por poucos endereços. Volume sem distribuição é frágil.
Mesmo no servidor certo, quem chama primeiro no privado quase nunca é a equipe.
Suporte falso em Discord, Telegram e X
Golpistas entram em grupos e mandam DM como se fossem admins. Oferecem reembolso, whitelist ou ajuda técnica. O objetivo é levar você a um site, pedir seed phrase ou orientar uma assinatura perigosa.
Suporte legítimo não pede seed phrase, OTP ou transferência para «carteira segura». Prefira perguntas públicas e bloqueie DMs de servidores grandes.
As três coisas mais fáceis de falsificar
Muita gente verifica exatamente aquilo que custa menos para o golpista imitar.
- A aparência do site. Copiar layout, fontes e imagens é trivial e leva minutos. Se a sua verificação para em «parece igual», ela não verificou nada.
- O nome e o selo dentro do marketplace. Nome de coleção se repete, imagem se copia, e páginas falsas às vezes exibem indicadores que parecem oficiais. O que não se falsifica é o endereço do contrato conferido na fonte oficial do projeto.
- A identidade de quem fala com você. Foto, nome de usuário e histórico de mensagens podem ser reproduzidos. Suporte real não inicia conversa privada, e essa é a regra que sobrevive a qualquer imitação.
Repare no padrão: os três itens fáceis de falsificar são visuais, e os dois que resistem são endereços e procedimentos. Quando a decisão depende do que você viu, você está no terreno do golpista. Quando depende do que você conferiu, não está.
Phishing de assinatura: sem gas e sem rastro
Os golpes acima quase sempre pedem uma transação. Este não pede, e é justamente por isso que ele é o mais difícil de perceber: depois de assinar, nada muda na sua carteira.
Antes de seguir, separe as duas coisas que a carteira abre, porque o risco delas é bem diferente:
| Comparação | Transação | Assinatura |
|---|---|---|
| Cobra gas | Sim, mostra uma estimativa | Não, esse campo nem existe |
| Fica registrada on-chain | Sim, dá para conferir depois | Não, não deixa rastro |
| Aparece quando | Comprar, transferir, dar approval | Entrar no site, listar, approval Permit |
| Dá para perceber depois | Sim, está no histórico | Praticamente não |
Justamente por não custar nada e não ficar registrada, a assinatura é a mais perigosa. Pedem que você assine para «verificar elegibilidade», mas o que você aprova é uma ordem de venda que coloca seu NFT por um valor quase nulo. O golpista envia essa ordem ao marketplace, a venda acontece, e on-chain não existe registro de você ter concordado com nada.
Como reconhecer
- Não há estimativa de gas: o sinal mais direto, veja a tabela acima
- Aparecem campos como
offer,consideration,endTime: isso é uma ordem, não um login - O valor é absurdamente baixo: ninguém vende de verdade por perto de zero
- Insistem que «não custa nada, é seguro»: não custar e ser seguro são coisas diferentes
Como se proteger
- Só faça listagem dentro do site do próprio marketplace, nunca em página de campanha de terceiros
- Use carteira ou extensão que traduza o conteúdo da assinatura para linguagem humana
- Cancele listagens antigas: listar é assinatura, e cancelar às vezes é grátis (o marketplace invalida no próprio sistema) e às vezes é transação on-chain com gas; o pop-up mostra qual dos dois. Por preguiça, muita ordem barata de meses atrás continua valendo
- Não deixe o que tem valor na carteira do dia a dia
Envenenamento de endereço: a última cilada antes de colar
Esse golpe não rouba o seu approval. Ele engana a sua mão.
O golpista envia para a sua carteira uma transferência de valor zero ou com token falso, e o endereço do outro lado tem os mesmos primeiros e últimos caracteres do endereço que você costuma usar, mudando só o meio. O objetivo é um só: que na próxima transferência você copie do histórico um endereço que «parece familiar».
O que realmente funciona
- Nunca copie o endereço de destino do histórico de transações. Pegue do seu próprio catálogo ou da origem
- Não confira só quatro caracteres de cada ponta: o endereço envenenado foi feito exatamente para passar nesse teste
- Antes de um valor alto, mande um teste pequeno
- Salve os endereços recorrentes no catálogo da carteira, uma vez só
Se ficar em dúvida quanto ao formato, use o verificador de endereço Ethereum daqui. Ele roda no seu navegador e não envia nada. Mas é preciso dizer com clareza: ele confere o formato, não de quem é o endereço.
Revisão de approvals em cinco minutos por mês
De tudo o que está acima, o hábito que mais compensa é um só: revisar as permissões que você mesmo assinou, uma vez por mês.
- Confirme o domínio letra por letra e não entre por anúncio de busca. Ferramentas assim são muito clonadas
- Conecte a carteira e só olhe: aparecem todas as permissões ainda ativas para aquele endereço
- Filtre com uma pergunta: ainda lembro por que dei essa permissão? Se não lembra, vai para a lista de revogação
- Comece pelas
setApprovalForAll: são as de maior alcance, revogá-las rende mais - Revogue uma a uma: cada revogação é uma transação on-chain e custa gas, então escolha um momento de rede tranquila
- Aproveite e limpe listagens antigas nos marketplaces que você usa
Já caiu? A ordem dos primeiros trinta minutos
Começando pela parte desagradável: na esmagadora maioria dos casos não se recupera nada. Transferência on-chain não se desfaz, os endereços são anônimos, e o que de fato volta costuma envolver casos grandes com autoridades atuando.
Ainda assim, quem percebe cedo consegue salvar algo. A ordem importa, e muita gente erra logo no primeiro passo.
- Primeiro mova, não revogue. A revogação precisa entrar na fila da rede e o script do outro lado pode ser mais rápido. O passo correto é levar o que sobrou para uma carteira totalmente nova: seed phrase nova, endereço novo, e não outro endereço antigo seu
- Descubra o que vazou. Se foi só um approval malicioso, trocar de carteira e revogar resolve. Mas se a seed phrase foi digitada em algum lugar, fotografada ou guardada em nuvem ou em conversa, essa carteira deixou de ser sua e precisa ser abandonada de vez
- Com os ativos seguros, aí sim revogue com calma
- Guarde as provas: hash da transação, horário e endereço de destino
- Avise pelos canais oficiais do projeto e do marketplace. Alguns marcam a coleção roubada, mas não conte com a devolução
- Registre boletim de ocorrência pela delegacia online do seu estado, com prints, hashes e endereços. Se você pagou alguma coisa ao golpista por Pix, peça ao seu banco a análise pelo MED, o mecanismo de devolução do Banco Central, em até 80 dias depois do Pix. Cripto enviada para um endereço não tem mecanismo parecido. Mais detalhes em como checar uma plataforma antes do Pix
Hábitos simples que reduzem muito o risco
- Carteira separada para mint e testes.
- Domínios oficiais salvos em bookmark.
- Leitura de cada assinatura antes de confirmar.
- Revogação de approvals que não usa mais.
- Valor pequeno para aprender.
Segurança não depende de uma ferramenta milagrosa. Ela vem de repetir hábitos chatos, especialmente quando a comunidade está gritando para agir rápido.
Outro sinal de golpe é a promessa de atendimento privado rápido demais. Quando você pergunta algo em canal público e recebe uma mensagem direta antes de qualquer resposta oficial, desconfie. O golpista quer tirar você do ambiente onde outras pessoas poderiam alertar sobre o link ou a assinatura.
Tenha uma regra simples para urgência: se a oportunidade exige que você ignore verificações básicas, ela não é oportunidade para iniciante. Projeto legítimo pode ter janela curta, mas não precisa pedir seed phrase, OTP ou aprovação que não combina com a ação.
Se já assinou algo duvidoso, documente antes de agir no desespero: endereço da carteira, contrato, hash da transação e domínio usado. Esses dados ajudam a entender o dano e decidir se basta revogar aprovação ou se é melhor migrar ativos para uma carteira nova.
Perguntas finais
Se eu cair em golpe, dá para recuperar?
Na maioria dos casos é muito difícil. Transações blockchain não são revertidas por suporte. Revogue permissões, mova ativos restantes e guarde evidências.
Hardware wallet evita todos os golpes?
Não. Ela protege a chave privada, mas ainda pode assinar uma transação ruim se você aprovar.
Só conectar a carteira já rouba NFT?
Conectar geralmente apenas mostra endereço público. O perigo maior está em assinar approvals, permits ou transações que dão permissão ao contrato.
Como identificar site falso rápido?
Confira domínio, contrato, origem do link, urgência exagerada e o que o pop-up pede. Se algo não combina, cancele.
Revogar permissão custa dinheiro?
Revogar é uma transação on-chain, então há um gas pequeno. Reveja suas permissões a cada poucos meses, ou depois de qualquer período em que testou vários sites novos, e retire o que não usa mais.
Assinar sem gastar gas pode dar prejuízo?
Pode. Existem assinaturas que não movem nada na hora, mas autorizam alguém a transferir seus itens depois. Por isso a pergunta certa não é quanto custa, e sim o que aquela assinatura permite.
Onde conferir
Use as fontes abaixo para conferir conceitos, contratos e documentação por conta própria.