Como funcionam os sites falsos de resgate de airdrop e os domínios de phishing?

Como é uma campanha falsa de airdrop?

Parece um anúncio do projeto, um link e um pop-up de carteira que parece rotineiro. O relato da MalwareTips de 23 de abril de 2025 documenta uma campanha contra um token de staking. Ela se espalhou por e-mails de spam, mensagens no Discord, perfis falsos de redes sociais se passando por equipe do projeto, anúncios de busca e de sites cripto e grupos no Telegram, e dizia aos detentores que se qualificavam para uma alocação maior. Usou três formatos de domínio: um prefixo claims- no .net, um nome project-airdrop no .xyz e um nome project-rewards no .org. A página copiava a identidade visual do projeto e levava o visitante por conectar carteira, verificar elegibilidade, resgatar e bloquear tokens. Depois que a carteira conectava, um script solicitava aprovações de tokens em segundo plano e movia os ativos que conseguia alcançar; nenhuma frase semente foi pedida.

A etapa final explica por que o domínio importa. O usuário não é hackeado: ele assina, em um site que parece o do projeto, em um endereço que parece o do projeto.

Por que os drainers continuam usando domínios novos?

Porque domínios são baratos de trocar e as listas de bloqueio levam tempo para acompanhar. O relatório da Check Point Research de 7 de maio de 2025 sobre o Inferno Drainer descreve mais de 30.000 novas vítimas entre setembro de 2024 e março de 2025 e pelo menos $9,000,000 em perdas em seis meses, observando que o total pode ser maior. Ele lista uma dúzia de domínios de destino imitando um mesmo serviço de verificação comunitária e diz que eles eram trocados a cada poucos dias, e descreve uma isca de airdrop separada para uma memecoin política em um domínio parecido próprio.

O mesmo relatório mostra que o domínio é apenas um elo da cadeia. Na campanha do Discord que descreve, os atacantes reivindicaram links de convite personalizados expirados de projetos cripto, então usuários que tinham salvo um link antigo entravam no servidor do atacante e encontravam um bot falso sem o selo Verified App. Um projeto que deixa um convite personalizado expirar, ou deixa um domínio expirar, entrega ao atacante um nome confiável. Como manter as renovações em dia é tratado em como evitar que seus domínios expirem.

Quais nomes um projeto deve registrar antes de um airdrop?

Registre o nome exato nas extensões principais, depois as palavras claim, airdrop e rewards nas terminações que os phishers preferem. Os dados da Interisle de 1 de maio de 2025 a 30 de abril de 2026 contam 869,180 domínios de phishing sob .com, 130,945 sob .pro, 99,602 sob .info, 93,987 sob .xyz, 79,625 sob .shop e 74,786 sob .icu. Todas essas extensões estão no catálogo da Wardmint.

Uma ordem prática para um airdrop:

1. O conjunto básico (.com, .net, .org, .io, .xyz, .app, $128.94 por ano) para o nome exato.
2. As palavras que você vai usar no anúncio, como claim, airdrop e rewards, unidas ao nome do projeto no .com, .xyz e .org.
3. As terminações que os phishers usam (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support, $212.41 por ano) para o nome exato.
4. Os erros de digitação comuns do nome, encontrados com as ferramentas gratuitas em como encontrar domínios parecidos da sua marca.

O cronograma completo em torno de um evento de token está em quais domínios registrar antes do lançamento de um token. A Wardmint registra as variantes próprias de um projeto para esse projeto, nunca domínios parecidos com os de outra marca, e não vende o .top, uma das dez extensões da lista da Interisle.

Como um projeto deve alertar os usuários?

Diga antecipadamente onde o resgate está e onde não está. O guia da Kerberus de 10 de abril de 2026 lista os sinais de alerta que os usuários devem verificar: nenhum anúncio nos canais verificados do projeto, um pedido de frase semente ou chave privada, um pagamento antecipado para receber tokens, valores irreais e tokens não solicitados na carteira. Ele também aconselha salvar o site oficial nos favoritos e alerta que domínios parecidos usam pequenas trocas de caracteres e letras cirílicas.

Um projeto pode transformar essa lista no próprio anúncio:

• Publique um endereço de resgate, em um domínio que você possui, antes do evento.
• Diga que você nunca pedirá uma frase semente nem um pagamento para receber tokens.
• Fixe a mesma declaração em todos os canais verificados.
• Redirecione cada nome defensivo para a página oficial com encaminhamento, para que um link de resgate digitado errado caia no seu site, e não no de um estranho.
• Conheça o caminho de denúncia: como denunciar um domínio de phishing indica os contatos do registrador, do host e das listas de bloqueio.

A Wardmint fornece encaminhamento de URL e de e-mail gratuito a partir da área do cliente e um modelo de DNS sem e-mail (MX nulo, SPF -all, DMARC p=reject) para os nomes não usados.

Quantas das extensões mais abusadas a Wardmint vende?

Segundo a pesquisa da Wardmint de 12 de novembro de 2026, 6 das 10 extensões com mais domínios de phishing nos dados 2025-2026 da Interisle (.com, .pro, .info, .xyz, .shop e .icu) estão em seu catálogo de 29, e 4 (.top, .cn, .vip e .cc) não estão. Um nome defensivo registrado pelo projeto não pode ser registrado por um operador de drainer.

Duas frases citáveis: um domínio de airdrop falso é uma cópia do nome do projeto com uma palavra de resgate acrescentada; a primeira defesa é possuir os óbvios antes do anúncio. A Wardmint não afirma que registrar nomes acaba com a fraude, já que o phishing também usa subdomínios de plataformas e canais sequestrados. Domínios parecidos construídos com letras estrangeiras são explicados em o que é um ataque de homógrafo IDN.