O lance que você não sabia ter dado

Janeiro 2025. Um titular em São Paulo lista três CryptoPunks no Blur para uma queima de venda. Dias depois, um membro do Discord o procura com uma "oferta exclusiva de colecionador" via um fluxo de assinatura personalizado num site "Blur Pro". A assinatura que ele é convidado a fornecer é um bid permit do Blur de 0,1 ETH por Punk.

Os lances são aceitos instantaneamente. Três Punks no floor de 38 ETH cada saem da carteira por 0,1 ETH cada. Perda: 113,7 ETH, ou aproximadamente 230 mil USD na época.

Por que bid permits do Blur são a pior superfície de ataque em NFTs

O Blur permite que usuários façam lances assinando mensagens off-chain com EIP-712. O vendedor não precisa transmitir nada. Um golpista que engana você para assinar um bid permit malicioso pode então aceitar esse lance — usando uma carteira que ele controla como o comprador — e drenar o NFT pelo preço que você "concordou".

Os cinco sinais

  • O site de assinatura não é blur.io. "Blur Pro", "Blur Plus", "Blur OTC" são todos falsos. Gerenciamento de lances acontece só em blur.io.
  • O valor do lance está absurdamente abaixo do floor. Colecionadores reais não mandam mensagem oferecendo 0,001 ETH por um NFT de 30 ETH.
  • A assinatura mostra o endereço do contrato do NFT. Se o prompt typed-data referencia seu contrato Punks e um preço minúsculo, esse é o exploit acontecendo ao vivo.
  • Urgência em DM do Discord. "Oferta expira em 10 minutos" existe para pular a etapa de verificação.
  • IDs de Discord são spoofáveis. Um golpista pode se passar pelo handle da equipe Blur com diferença de um caractere.

O checklist de recuperação

Se você assinou: vá à página de gerenciamento de aprovação do próprio Blur (blur.io/settings) e revogue todas as ofertas pendentes. Depois mova todo NFT na carteira afetada para uma carteira fresca. Depois desabilite a aceitação de lances completamente até entender o que você assinou.

A postura permanente

Trate toda assinatura em marketplace de NFT como um contrato que você está prestes a assinar na vida real: leia, nomeie a contraparte, nomeie o preço, nomeie a duração. Se qualquer um dos três espaços está em branco, recuse.