O "agregador DEX" que drenou 12 carteiras

Setembro 2024. Um trader em São Paulo instala "Uniswap+ Pro Trading", uma extensão do Chrome que promete "proteção MEV e roteamento de 0% de slippage". A extensão tem 23 mil downloads e uma landing page polida. Ele conecta sua carteira principal e troca 40 mil USDC por ETH. O swap passa. Duas horas depois, os saldos de tokens dele — 283 mil USD em stablecoins e versões wrapped das majors — tinham sumido. Não houve assinatura escondida: ele clicou nos pop-ups. Em volta do swap, a extensão enfiou pedidos extras no fluxo, disfarçados de "permissões de roteamento": aprovações ilimitadas para os outros tokens dele, com o endereço do atacante como spender. O MetaMask mostrou exatamente esses pedidos, e ele clicou em Confirmar como sempre faz.

O que uma extensão de carteira maliciosa pode realmente fazer

Uma extensão com permissão para ler e alterar dados em todos os sites pode reescrever as páginas que você usa, inclusive o pedido que a dApp manda para a sua carteira. Ela troca o destinatário, o spender ou o valor antes de o MetaMask receber o pedido — e aí o pop-up da carteira mostra, fielmente, a versão adulterada — enquanto a própria página continua exibindo o swap que você pretendia fazer. O que ela não consegue é assinar por você. Por isso o pop-up da carteira é o último lugar para pegar a fraude, e o único que vale a pena ler devagar.

As três regras para extensões de navegador e dinheiro

  • Nenhuma extensão deveria ter acesso à aba da sua carteira. Use um perfil de navegador limpo com só sua extensão de carteira e um ad-blocker. Sem "ajudantes de trading", sem "agregadores", sem "protetores de MEV". Se a funcionalidade é útil, o protocolo real vai entregar.
  • Só o site do próprio protocolo diz se uma extensão é verdadeira. A maioria dos protocolos DeFi não tem extensão nenhuma. A Uniswap Labs publica, sim, uma extensão oficial de carteira, e o jeito seguro de instalá-la é o link de download em wallet.uniswap.org. Um "Uniswap+ Pro" — ou qualquer listagem de mesmo nome para a qual o site oficial não aponta — não é deles.
  • Audite suas extensões instaladas mensalmente. Abra chrome://extensions. Se você não lembra de instalar, remova. Se você não lembra por que instalou, remova.

A recuperação pós-comprometimento

Mova todo ativo de toda carteira já conectada nesse navegador para uma carteira fresca gerada em outro dispositivo. Revogue toda aprovação no revoke.cash dos endereços comprometidos. Reinstale o perfil afetado ou o laptop inteiro se a extensão tinha permissões amplas.

Por que a isca funciona

"Proteção MEV" e "roteamento 0% slippage" são termos reais do vocabulário DeFi. O golpista pega emprestada a linguagem para fazer a extensão falsa parecer ferramenta de trader legítimo. A defesa é aprender o que cada termo realmente significa — e notar que as ferramentas que de fato oferecem esses recursos não precisam de extensão de trading à parte: a CoW Swap entrega pelo app web, e o Flashbots Protect é um endpoint RPC que você adiciona à carteira.