O token que não era de graça

Setembro 2024. Um titular em Fortaleza nota um novo token na barra lateral do MetaMask: "USDT Airdrop Reward — reivindicar 5.000". O Etherscan mostra que o contrato vem distribuindo esse token a milhares de carteiras que têm USDT. A página de claim parece bem feita, e a recompensa projetada é 5.000 USD em USDT real após "verificação".

A página de verificação pede uma assinatura para "comprovar a posse da carteira". A assinatura é uma mensagem em lote do Permit2, um pedido EIP-712 typed-data. Como ele já tinha feito swaps na Uniswap, o USDT e o USDC dele estavam aprovados para o Permit2, o contrato de aprovações compartilhado que a Uniswap usa — um passo perfeitamente normal na época. Aquela única assinatura deu ao endereço do atacante o direito de gastar os dois tokens por meio do Permit2. Os dois saldos somem.

O padrão "poeira e isca"

Passo 1: o atacante manda um token sem valor para milhares de carteiras, nomeado para imitar um airdrop real. O token aparece nas UIs de carteira automaticamente. Passo 2: o nome ou o símbolo do token traz o endereço de um site de "claim". Passo 3: a página de claim pede uma assinatura que transforma aprovações que o visitante já tinha dado (ao Permit2, por exemplo) em direito de gasto para o atacante — o token que chegou nunca foi o alvo.

Três regras

  • Tokens não solicitados são isca, não presente. Se um token aparece na sua carteira que você não comprou, fez swap ou recebeu de fonte conhecida, trate como isca de phishing. Não clique no endereço do contrato.
  • Airdrops reais não exigem assinatura com escopo de gasto de tokens. Um claim real é ou uma transação chamando claim(amount, proof) ou — para airdrops retroativos — uma transferência direta que já chegou. Não precisa de assinatura para "verificar posse".
  • Esconda, não interaja. No MetaMask, abra o menu do token de spam e escolha Ocultar. Não clique no nome, não visite o site, não deixe a curiosidade dirigir o próximo movimento.

A defesa proativa

Audite aprovações todo mês no revoke.cash. Quem usa DeFi há algum tempo costuma carregar dezenas de aprovações antigas de experimentos passados — cada uma é uma porta aberta. Revogue tudo que você não está usando ativamente. O custo de gas é único; a melhora de segurança é permanente.

Como tokens "poeira" parecem em 2026

Os nomes evoluíram: "BlackRock Bitcoin ETF Claim", "USDC Compensation Pool", "Coinbase Layer-2 Bonus". O padrão é o mesmo — explorar um evento real para fazer o token falso parecer plausível.