Antes de começar. O que vem a seguir é um caso didático sintético: a pessoa, as datas e os valores foram montados a partir de pedidos de ajuda parecidos, para deixar a mecânica visível, e não descrevem um leitor específico. A técnica em si é real: uma extensão sósia captura a seed phrase enquanto você configura a carteira e depois espera até o saldo valer a pena.

Dezesseis dias sem nada de errado

Daniel busca MetaMask na Chrome Web Store e aparecem três extensões com esse nome. Escolhe a do ícone mais novo e da nota mais alta. A instalação corre exatamente como nos tutoriais: criar carteira, anotar doze palavras, definir senha. Nas duas semanas seguintes ele movimenta quantias pequenas, conecta a um par de dApps e nada parece errado. É justamente esse o ponto: a essa altura nada deveria parecer errado ainda.

O décimo sexto dia

Ele transfere 6 ETH de uma corretora, abre uma DEX para adicionar liquidez e volta algumas horas depois para uma carteira quase vazia. Não assinou nada e não concedeu nenhuma permissão — no histórico há apenas uma transferência comum, saindo do endereço dele para um endereço que ele nunca viu. Uma carteira que envia fundos sem pedir assinatura significa uma coisa só: a chave privada saiu da máquina muito antes do dinheiro.

O que ele instalou de verdade

Abra chrome://extensions/, clique em Detalhes e leia os três campos separadamente. No MetaMask verdadeiro eles são fixos: o ID da extensão é nkbihfbeogaeaoehlefnkodbefgpgknn — a mesma string que encerra o endereço da página dele na Chrome Web Store —, o nome é MetaMask e o desenvolvedor é metamask.io. A cópia que o Daniel instalou trazia outro ID. Nome igual e ícone parecido não provam nada sozinhos: se um dos três campos não bater, não instale.

Por que a versão que demora é a pior

Um drainer imediato ao menos avisa na hora: você sabe o horário, sabe o que acabou de instalar e consegue avisar outras pessoas. O tipo adiado leva a seed phrase na criação da carteira e espera o saldo ficar interessante — quando enfim dispara, você já passou duas semanas visitando centenas de sites e instalando outras coisas, e cada uma delas vira suspeita. Não encontrei nenhum levantamento público confiável de quantas pessoas essas extensões sósias atingiram, nem de quanto foi levado, e não vou inventar um número. O que dá para usar é o formato do ataque, não a escala dele.

A verificação antes de instalar qualquer extensão de carteira

  • Chegue pelo site oficial. No caso do MetaMask, metamask.io, que leva à página na loja. Escolher a partir da busca da loja é exatamente onde isso desanda: a ordem dos resultados é manipulável.
  • Confira o ID da extensão. Qualquer coisa diferente de nkbihfbeogaeaoehlefnkodbefgpgknn não é MetaMask, por mais que a página da loja diga o contrário.
  • Confira o campo do desenvolvedor. Deve estar escrito metamask.io. Nome é fácil de imitar; olhe o desenvolvedor junto com ele, não no lugar dele.
  • Várias extensões de mesmo nome lado a lado? Trate todas como suspeitas, a menos que você tenha chegado ali pelo site oficial.
  • As permissões dizem pouco aqui. O MetaMask verdadeiro também pede para ler os dados dos sites que você visita — é exatamente por isso que uma falsa consegue fazer tudo o que a verdadeira faz.

Se você já instalou uma

Desinstalar não é recuperação: a seed phrase já foi. Considere queimado qualquer endereço que aquela carteira tenha guardado. De um dispositivo limpo, mova o que sobrou para um endereço novo de hardware wallet e passe um antivírus na máquina antiga; se for o mesmo notebook que você usa para o banco, reinstalar o sistema é a decisão prudente.

O que eu faço no lugar disso

Mantenho um perfil de navegador só para extensões de carteira, sem mais nada instalado nele: a carteira, um bloqueador de anúncios, e a lista acaba aí. Não me deixa imune a uma instalação ruim, mas mantém o estrago pequeno.