Tipos de fraude
Address poisoning: endereços enganosos no histórico
Como um endereço semelhante aparece no histórico, quando ocorre a perda e que provas permitem reconstruir os acontecimentos.
Neste artigo
O ataque visa o endereço que copia
O address poisoning introduz uma entrada enganosa no histórico de transações de uma carteira. O atacante usa um endereço semelhante ao de um destinatário legítimo, esperando que o proprietário o copie num pagamento posterior. Uma transferência recebida sem ter sido solicitada não autoriza, por si só, a movimentação dos fundos da carteira recetora. A perda ocorre quando um pagamento de saída é depois aprovado para o endereço errado. MetaMask explains the transfer-history mechanism.
O engano explora a forma como lemos endereços. Uma carteira pode mostrar apenas os primeiros e os últimos caracteres, ocultando a parte central. Dois endereços diferentes podem, por isso, parecer idênticos nessa apresentação abreviada. Uma abreviatura reconhecível facilita a leitura, mas não verifica uma identidade. O mesmo problema existe quando se copia um endereço do histórico de levantamentos de uma plataforma ou de uma captura de ecrã.
Reconstruir a sequência de operações
Considere uma empresa hipotética que já pagou ao fornecedor A. Mais tarde, a contabilidade encontra uma pequena transferência associada ao endereço B, cujo início e fim visíveis são semelhantes aos de A. Copia B para o pagamento seguinte. Existem pelo menos 3 registos relevantes: o pagamento legítimo anterior, a entrada enganosa e a transferência posterior para B. A última transação, isoladamente, não explica como foi escolhido o destino.
Guarde esses registos separadamente. Anote a blockchain, os endereços completos, os identificadores das transações, o contrato do token e as datas e horas. O nome apresentado de um token não basta: um atacante pode atribuir uma designação conhecida a um ativo sem relação. Um valor mínimo também não torna uma entrada fiável. No exemplo, a pequena transferência foi útil pela sua posição na interface, não pelo seu valor económico.
Verificar o destino por uma via independente
Obtenha o endereço do destinatário a partir de uma lista de contactos previamente verificada ou confirme-o através de um canal de contacto estabelecido. Compare o endereço completo, incluindo os caracteres centrais, no ecrã de confirmação final. A MetaMask adverte expressamente contra o uso do histórico copiado como uma lista fiável de endereços. Um alerta sobre um endereço desconhecido ou semelhante exige uma verificação independente. Ignorá-lo porque a abreviatura parece familiar repete o erro inicial.
Um pagamento de teste pode demonstrar que o destinatário recebeu uma pequena quantia, mas apenas se este confirmar a receção de forma independente. Verificar somente que a transação foi concluída demonstra que o endereço introduzido recebeu o pagamento. Não demonstra que pertença à pessoa pretendida. O pagamento seguinte, de valor superior, deve manter exatamente o mesmo destino verificado.
O que os registos demonstram
Uma forte semelhança visual e uma sequência coerente de transferências podem sustentar a explicação de address poisoning. Não identificam automaticamente quem controla o endereço recetor. O relatório deve distinguir a sequência observada, o relato do utilizador sobre a cópia do endereço e as provas adicionais de atribuição. Esta separação torna a conclusão útil sem apresentar uma etiqueta da blockchain como uma identidade comprovada.