Um token desconhecido pode aparecer na sua carteira sem ser legítimo, negociável ou ligado ao projeto que o nome sugere. Você não precisa tentar trocá-lo, transferi-lo ou removê-lo: evite interagir com o ativo e, se quiser investigar, consulte o endereço do contrato e as transações por fontes independentes.
- Um token exibido na carteira não tem origem ou negociabilidade comprovadas apenas por aparecer na tela.
- Evite trocar, transferir ou resgatar o ativo e não siga links ou instruções associados a ele.
- Para investigar, consulte o endereço do contrato em um explorador acessado por canal confiável e compare com fontes oficiais do projeto.
- Se já assinou uma operação suspeita, verifique permissões; desconectar a carteira não as revoga automaticamente.
A cautela importa porque alguns tokens são usados para atrair a pessoa a sites falsos ou induzi-la a assinar permissões que podem dar a um contrato acesso a outros ativos. Isso não significa que todo ativo inesperado seja uma fraude: distribuições gratuitas, chamadas de airdrops, também podem ser legítimas. O ponto é que a aparência na tela, por si só, não confirma a origem.
Por que um token aparece sem você ter comprado
Uma carteira pode exibir ativos recebidos sem uma compra feita por você. Em alguns casos, isso acontece por uma distribuição de tokens. Em outros, alguém pode enviar um token com nome, símbolo ou descrição que imita um projeto conhecido ou promete liberar um suposto valor.
A carteira funciona como uma interface para consultar e movimentar ativos em uma rede. Ver um nome e um saldo na tela não equivale a uma verificação independente de quem criou o token, se existe mercado para negociá-lo ou se o valor exibido pode ser realizado. A exibição também não é uma ordem para agir.
Por isso, não trate um saldo inesperado como dinheiro disponível nem como prova de que você foi selecionado para receber uma recompensa. A decisão mais segura diante da dúvida é não tocar no token e não seguir instruções que aparecem junto dele.
O risco pode estar na tentativa de negociar
Um token suspeito pode ser configurado de modo que uma tentativa de movimentação falhe. A falha, por si só, não prova que seja golpe. Mas mensagens associadas a uma transação malsucedida podem servir de isca para levar você a um site fraudulento, onde alguém tenta obter sua frase-semente, sua chave privada ou uma autorização para gastar ativos.
Evite tentar trocar, transferir, resgatar ou “queimar” o token. Também não use links, QR codes ou instruções que apareçam no nome, na descrição ou no histórico do ativo. Se um site prometer liberar o valor, não conecte sua carteira só para conferir. A MetaMask descreve esse tipo de isca e recomenda pesquisar antes de tentar negociar um token inesperado.
Um contrato inteligente é um programa que executa operações na rede. Ao assinar uma aprovação, você pode permitir que esse contrato mova determinados tokens da sua carteira. Por isso, uma tela de assinatura não deve ser tratada como um simples botão de confirmação: se você não entende o site, o contrato e a operação descrita, não assine.
Como investigar sem interagir com o token
Se decidir verificar a origem, comece pelo endereço do contrato, não apenas pelo nome ou símbolo. O contrato identifica o ativo na rede; nomes e símbolos podem ser copiados por terceiros. Consulte o endereço e o histórico em um explorador de blocos que você acessou digitando o endereço conhecido ou usando um favorito confiável, e não por um link fornecido pelo próprio token.
Depois, compare o endereço do contrato com o que aparece nos canais oficiais do projeto, caso eles existam. A comparação ajuda a identificar se o contrato consultado corresponde ao ativo anunciado pelo projeto, mas não é uma garantia de que o token seja seguro, tenha liquidez ou possa ser negociado. Um resultado de busca ou uma cotação mostrada em outra página também não basta para confirmar autenticidade.
Investigar pelo explorador é diferente de conectar a carteira a um aplicativo. A consulta de informações não exige que você aprove uma operação para o token. Se a página pedir conexão, assinatura, frase-semente ou dados pessoais para mostrar detalhes ou liberar uma suposta recompensa, interrompa a interação.
Para entender melhor como comparar o contrato e a rede antes de movimentar cripto, veja também como conferir um endereço de cripto antes de transferir. A orientação de conferir o endereço é útil, mas, neste caso, não significa que você deva transferir o ativo desconhecido.
O que nunca fornecer nem aprovar
Não informe sua frase-semente, chave privada ou dados pessoais a sites ou pessoas que prometam liberar, validar ou resgatar o token. A frase-semente e a chave privada dão acesso à carteira, e uma promessa de suporte não muda esse risco. Um serviço que pede a frase-semente para verificar um ativo não deve ser tratado como confiável.
Não assine uma transação ou aprovação apenas porque a carteira exibe uma mensagem que parece técnica, porque alguém diz que é necessário para “desbloquear” o saldo ou porque uma tentativa anterior falhou. Antes de qualquer aprovação, seria preciso identificar o site, o contrato e o alcance da permissão. Se você não consegue fazer essa verificação com segurança, não aprove.
Também não instale ferramentas indicadas por mensagens inesperadas nem confie em perfis que se apresentam como suporte e entram em contato por causa do token. Acesse os canais de ajuda por meios que você já conhece, sem usar links enviados na mensagem suspeita.
Se você já conectou a carteira ou assinou algo
Desconectar a carteira de um site encerra a conexão com aquele aplicativo, mas não cancela automaticamente permissões de gasto que você já concedeu. Verifique as permissões de tokens na rede correspondente e, se encontrar uma autorização que não reconhece, avalie revogá-la por uma ferramenta acessada por canal confiável. A orientação do ethereum.org explica que revogar exige uma nova transação e pode cobrar uma taxa da rede.
Revogar uma permissão também não é o mesmo que apagar o token desconhecido da carteira. A medida serve para cancelar uma autorização de contrato; ela pode precisar ser concedida novamente se você voltar a usar aquele serviço. Evite, porém, abrir ferramentas de revogação por links encontrados dentro do ativo ou em mensagens que prometam resolver o problema.
Se você suspeitar que sua frase-semente foi exposta, trate a carteira como comprometida e transfira os ativos legítimos para uma carteira nova e segura. Não use a carteira comprometida para continuar investigando o token. Guarde hashes de transação, endereços, capturas de tela e mensagens; esse registro pode ajudar em uma eventual denúncia, conforme orienta a página do ethereum.org sobre golpes e proteção dos ativos restantes.
Uma regra prática para decidir o próximo passo
Se o ativo chegou sem que você o solicitasse, não reconhece o projeto ou traz instruções para clicar, conectar, assinar ou informar dados, deixe-o sem interação. Não é necessário provar que o token é malicioso para decidir não tocá-lo. A dúvida já é motivo para evitar operações e buscar informação fora dos caminhos indicados pelo próprio ativo.
Se a investigação independente não confirmar a origem, não transforme a incerteza em uma tentativa de negociação. E, se os detalhes parecerem coerentes, lembre-se de que verificar um endereço não comprova, sozinho, que o ativo seja negociável ou adequado. O objetivo da consulta é entender melhor o que apareceu, sem assumir um compromisso com o token.
Não foi identificada, nas fontes consultadas para esta matéria, uma regra brasileira específica que obrigue você a negociar, remover ou denunciar um token desconhecido exibido na carteira. As orientações aqui são medidas de segurança operacional: não interagir com o ativo, proteger as credenciais e verificar permissões caso você já tenha assinado algo.
Perguntas frequentes
Um token desconhecido na carteira significa que fui hackeado?
Não necessariamente. Um token pode aparecer por uma distribuição ou ser usado como isca. A exibição, sozinha, não comprova que sua carteira foi comprometida.
Posso simplesmente deixar o token na carteira?
Sim. Você não precisa negociar, transferir, resgatar ou queimar um token desconhecido. Evite links, conexões e assinaturas associados a ele.
Desconectar a carteira do site cancela uma aprovação que assinei?
Não. Desconectar encerra a conexão com o aplicativo, mas permissões de gasto já concedidas podem continuar válidas até serem revogadas.
Fontes
- Token safety practices — MetaMask Help Center
- Failed transaction scams — MetaMask Help Center
- Ajuda e denúncia de golpes — ethereum.org
- How to revoke smart contract access to your crypto funds — ethereum.org
Este conteúdo tem caráter exclusivamente informativo e não constitui recomendação de investimento. Rentabilidade passada não é garantia de rentabilidade futura. Investimentos envolvem riscos. Leia os documentos do produto antes de investir.
