O QR code que chegou pelo correio

Outubro 2024. Um titular em Curitiba recebe um cartão postal não solicitado com logo cripto polido e a mensagem "Você se qualifica para o airdrop NexDrop — escaneie o QR para reivindicar seus 500 tokens NXDR". O QR resolve para uma página wallet-connect que parece legítima. Ele conecta o MetaMask e aprova o que a página chama de "verificação". Na verdade é uma série de transações setApprovalForAll, uma para cada uma das coleções de NFT mais valiosas dele, entregando ao atacante o controle de todas. Drenado em 90 segundos.

Por que airdrops por carta parecem reais

O phishing por email treinou a maioria dos titulares a serem céticos. Um cartão físico na caixa de correio aciona uma categoria mental diferente — "documento oficial", "correspondência real", "alguém pagou pelo selo". É essa credibilidade extra que faz o golpista achar que vale pagar a postagem.

As quatro regras duras

  • Nenhum airdrop legítimo é entregue por correio físico. Airdrops reais são reivindicados via transações on-chain, sinalizados pelo X/Discord do próprio projeto, e exigem segurar um token específico ou completar uma ação específica on-chain. Nada nesse workflow exige que o projeto saiba seu endereço físico.
  • QR codes em correspondência não solicitada são phishing. Mesmo modelo de ameaça que links de email — o QR resolve para uma URL que o atacante controla. Trate QR code impresso com a mesma desconfiança de um link suspeito.
  • Wallet-connect de URL desconhecida é a armadilha. Uma vez que um site malicioso tem a sessão da sua carteira, cada pedido de assinatura é escolha do atacante. A defesa é nunca conectar a uma URL que você mesmo não digitou.
  • Uma "verificação" que na verdade é uma aprovação é a carga útil universal do golpe. A elegibilidade para um airdrop é decidida pelo que o seu endereço já tem ou já fez on-chain; resgatar nunca exige entregar o controle de outros ativos. Se um pedido chamado "verificar" se revela um setApprovalForAll, um approve ou uma assinatura de permit, é o drainer.

Se você assinou

Vá em revoke.cash imediatamente e revogue toda aprovação a contratos não-mainstream. Mova todo NFT e token de alto valor que restou para uma carteira nova que você controla. Não conclua que escapou só porque nada saiu ainda: uma aprovação continua valendo até você revogá-la, e alguns drainers esperam antes de recolher.

O que faço com esses cartões

Picoto. O cartão me diz uma coisa só: alguém já ligou o meu endereço residencial a cripto, então espero novas tentativas, talvez mais convincentes, e fico atento. O QR code em si é lixo.