Uma mensagem falsa pode imitar uma exchange, uma carteira ou o suporte de uma empresa para levar você a informar sua frase de recuperação ou acessar um site malicioso. Antes de clicar, conectar a carteira ou transferir valores, confira o remetente e o endereço por um canal oficial que você acessou por conta própria.
- Phishing pode imitar exchanges, carteiras e suportes para roubar credenciais ou a frase de recuperação.
- Confira o endereço completo e o remetente por um canal oficial acessado por conta própria.
- Não digite a frase de recuperação em mensagens, formulários ou pop-ups.
- Se houver golpe, registre o caso e denuncie à CVM ou ao CERT.br, conforme a situação.
Phishing é uma tentativa de obter informações ou acesso por meio de uma comunicação enganosa. Em cripto, o cuidado é especialmente importante: uma transação registrada em blockchain é irreversível, e recuperar os valores pode ser incerto. Reconhecer sinais de fraude antes de agir ajuda a evitar que uma mensagem urgente transforme uma dúvida em prejuízo.
Como o golpe começa
O contato pode chegar por e-mail, mensagem direta em rede social, Telegram ou Discord. A pessoa por trás da conta pode se apresentar como suporte de uma exchange, fabricante de carteira ou projeto de cripto. Também pode usar nome, imagem e linguagem parecidos com os de uma empresa conhecida. Essa aparência familiar não confirma que a conta seja legítima.
O objetivo costuma ser fazer você revelar login, senha ou frase de recuperação, também chamada de seed phrase. Essa sequência permite restaurar o acesso à carteira e, por isso, deve ser tratada como informação extremamente sensível. Nenhum suporte legítimo deve pedir que você a envie por mensagem ou a digite em um formulário recebido por link. A orientação publicada pelo InfoMoney destaca que a frase é necessária para backup ou recuperação da carteira, não para atendimento por pop-up.
Outra abordagem é direcionar você a uma página falsa que imita a tela de acesso de uma exchange, de uma carteira ou de um fabricante de hardware wallet. Se você digita seus dados ali, pode entregá-los diretamente a quem montou a página. A mensagem pode falar em problema na conta, distribuição de ativos, atualização de segurança ou oportunidade de investimento. O assunto muda; o pedido para agir sem verificar é o ponto em comum.
Sinais de alerta na mensagem
Observe com atenção o endereço do site e o perfil que entrou em contato. Golpistas podem usar uma URL parecida com a verdadeira, alterando letras, acrescentando termos ou mudando a extensão do domínio. Uma página bem-feita, com logotipo e cores familiares, não prova que o endereço seja oficial. Confira o domínio completo, não apenas o nome exibido no link ou na prévia da mensagem.
Desconfie de promessa de lucro fácil, pressão para investir rápido e ameaça de bloqueio caso você não responda imediatamente. Também merece cautela um atendimento que só aceita conversar por WhatsApp ou Telegram, especialmente quando pede credenciais, frase de recuperação ou transferência de cripto. Esses sinais não provam, isoladamente, que toda mensagem seja fraudulenta, mas justificam interromper a conversa e verificar por outra via.
Perfis falsos podem aparecer em redes sociais e comunidades de cripto, inclusive usando nomes de empresas conhecidas. Uma resposta pública de alguém que parece ser do suporte também pode ser uma tentativa de iniciar contato privado. A KriptoBR descreve golpes com páginas que imitam exchanges, carteiras e fabricantes de hardware wallet, além de destacar que suporte legítimo não pede a seed phrase.
Verifique por um canal oficial
Não use o próprio link recebido para descobrir se a mensagem é verdadeira. Feche a página e procure o endereço oficial da empresa por um caminho independente, como um aplicativo que você já instalou ou um site que tenha conferido antes. Se precisar de suporte, comece uma conversa pelos canais publicados nesse ambiente oficial, em vez de responder à conta que chamou você.
Compare com cuidado o endereço do site, o nome do perfil e as informações de contato. Uma pequena diferença no domínio pode ser difícil de notar quando você está com pressa. Se a mensagem disser que há um problema na sua conta, verifique diretamente no aplicativo ou na página oficial, sem abrir o atalho enviado. Se não conseguir confirmar a origem, não informe dados e não conecte a carteira.
Antes de transferir valores para uma plataforma, confira se ela aparece nos registros do Banco Central e, quando houver valores mobiliários, da CVM, considerando as regras de transição e os processos de autorização e pesquise se há alertas oficiais sobre ela. A ausência de um alerta, sozinha, não comprova que uma oferta seja legítima. E encontrar uma empresa em uma lista não valida qualquer perfil, domínio ou mensagem que use o nome dela: golpistas podem se passar por organizações reais.
Antes de conectar a carteira
Conectar uma carteira a um site é diferente de apenas visitar uma página. Por isso, não aceite pedidos de conexão só porque a mensagem promete um benefício ou diz que a ação é necessária para proteger sua conta. Pare e confirme se você chegou ao endereço correto por um canal confiável e se entende o que a página está solicitando.
Não digite a frase de recuperação em pop-ups, formulários ou chats. Se uma página disser que precisa dela para liberar uma recompensa, validar sua carteira ou resolver um erro, encerre o processo. A frase não é uma senha comum para atendimento: quem a obtém pode conseguir acesso à carteira. Também evite compartilhar capturas de tela ou arquivos que revelem palavras de recuperação.
Leia com calma as solicitações apresentadas pela carteira e não confirme uma ação que você não compreende. Se tiver dúvida, cancele e procure informação nos canais oficiais do serviço, sem continuar pela página recebida. Essa pausa é útil mesmo quando a mensagem parece vir de uma empresa conhecida. Não há necessidade de decidir sob pressão criada por um desconhecido.
Se você já clicou ou compartilhou dados
Se apenas abriu um link, feche a página e não informe dados nem conecte a carteira. Se digitou login ou senha, acesse o serviço por um canal oficial e procure as opções disponíveis para proteger a conta. Se compartilhou a frase de recuperação ou autorizou uma ação que não entende, trate a situação como uma possível exposição e busque orientação pelos canais oficiais da carteira ou da plataforma, sem voltar ao link suspeito.
Se houve transferência, guarde as mensagens, endereços de sites e demais registros relacionados ao caso. Registre um boletim de ocorrência, denuncie ofertas irregulares à CVM e reporte sites de phishing ao CERT.br. A Decripte também aponta esses canais de denúncia. Como transações em blockchain são irreversíveis, não conte com a recuperação dos valores. Desconfie ainda de quem aparecer depois prometendo recuperar os ativos mediante pagamento ou pedindo mais dados.
Você também pode avisar a plataforma cujo nome foi usado para aplicar o golpe, usando o contato encontrado no site ou aplicativo oficial. Esse aviso não desfaz uma transação, mas permite que a empresa receba o relato sobre o perfil ou domínio falso. Ao registrar o ocorrido, descreva o que aconteceu sem publicar sua frase de recuperação, senhas ou outros dados que permitam acesso à conta.
Regulação não substitui a checagem
As regras do Banco Central para prestadoras de serviços de ativos virtuais exigem que essas empresas solicitem autorização antes de iniciar a prestação dos serviços, ressalvadas as regras de transição para aquelas que já estavam em atividade. Esse contexto ajuda a entender por que vale conferir a situação regulatória de uma plataforma, inclusive quanto às regras de transição e ao processo de autorização. A regulamentação sobre prestadoras de serviços de ativos virtuais e a análise da entrada em vigor das regras tratam desse enquadramento.
Mas uma regra para empresas não impede que alguém copie o nome de uma prestadora, crie uma página parecida ou envie mensagens falsas em nome dela. A verificação precisa considerar tanto a plataforma quanto o canal específico com que você está falando. Uma empresa real pode ser usada como isca por um perfil falso; por isso, não confie apenas no logotipo, no nome de usuário ou na aparência do site.
Se a mensagem pede sua frase de recuperação, promete lucro fácil ou tenta impedir que você confira o endereço, pare antes de agir. Abra o serviço por um caminho conhecido, confirme quem está falando e só prossiga quando entender o que está sendo solicitado. Em cripto, a prevenção começa com uma pergunta simples: consigo verificar essa mensagem sem usar o link que ela me enviou?
Perguntas frequentes
O suporte de uma carteira pode pedir minha frase de recuperação?
Não. Não envie a frase por mensagem nem a digite em pop-ups ou formulários recebidos por link. Ela deve ser tratada como informação confidencial.
Como confiro se um link de cripto é legítimo?
Não use o link recebido para verificar. Acesse o serviço por um aplicativo ou endereço oficial que você já tenha conferido e procure ali as informações de contato.
O que fazer se caí em phishing de cripto?
Guarde os registros, procure os canais oficiais da plataforma, registre um boletim de ocorrência e reporte sites de phishing ao CERT.br. Para ofertas irregulares, denuncie à CVM.
Fontes
- Resolução BCB Nº 520 DE 10/11/2025 – LegisWeb
- Banco Central publica a regulamentação de ativos virtuais – Pinheiro Neto Advogados
- Golpes com Criptomoedas: Como Identificar e Evitar – KriptoBR
- Golpe de investimento em cripto: identificar e denunciar – Decripte
- Golpes com NFT: quais são os mais comuns e como evitá-los – InfoMoney
Este conteúdo tem caráter exclusivamente informativo e não constitui recomendação de investimento. Rentabilidade passada não é garantia de rentabilidade futura. Investimentos envolvem riscos. Leia os documentos do produto antes de investir.
