Resposta rápida
O que fazer quando um site de phishing se passa pelo seu projeto?
Quando um site de phishing se passa pelo seu projeto, primeiro verifique se o seu próprio domínio ainda resolve corretamente, depois avise os usuários por canais verificados com o seu endereço real, denuncie o site ao registrador e à hospedagem em paralelo e troque todos os acessos que um atacante possa ter. A Chainalysis contou um aumento de cerca de 1,400% nos golpes de falsa identidade em 2025. A Wardmint age dentro de 24 horas após um relatório bem documentado.
A primeira hora, minuto a minuto
| Janela | Ação | Dono |
|---|---|---|
| 0 a 10 minutos | Confirme a falsificação, verifique seu próprio DNS, indique um responsável pelo incidente | Responsável de segurança |
| 10 a 25 minutos | Publique um aviso em todos os canais verificados com o endereço real; pause qualquer campanha de assinatura | Responsável pela comunidade |
| 25 a 40 minutos | Envie o dossiê de provas ao registrador e à hospedagem; sinalize a URL em listas de alerta | Responsável de segurança |
| 40 a 60 minutos | Verifique o acesso à conta do registrador, troque senhas e 2FA, revise os registros de DNS | Responsável de operações |
| Depois da primeira hora | Acompanhe as denúncias, atualize os usuários, decida sobre uma reclamação UDRP | Responsável pelo incidente |
A lista de verificação da primeira hora
Separe um domínio parecido de um sequestro
Faça a verificação de DNS abaixo. Um domínio parecido é um domínio diferente; os usuários que digitaram ou clicaram errado caíram ali. Um sequestro significa que o seu próprio domínio agora aponta para outro lugar, e o caso é uma emergência no seu registrador.
Indique um responsável pelo incidente
Uma pessoa cuida do cronograma, da pasta de provas e de cada mensagem enviada. Os outros executam; não improvisam.
Avise os usuários por canais em que eles confiam
Publique o endereço real no banner do seu site, nas redes sociais, no servidor da comunidade e nos canais de integração de carteiras. Diga com clareza: nunca assine um pedido vindo de qualquer outro endereço. Escreva o endereço falso desativado, como example[.]com, para que ninguém clique nele.
Inicie as denúncias em paralelo
Primeiro o registrador e a hospedagem, depois Safe Browsing, Netcraft, Chainabuse e listas de bloqueio de carteiras. O guia de denúncia tem os comandos RDAP.
Proteja seus próprios acessos
Revise os logins da conta do registrador, do provedor de DNS e da hospedagem. Troque as senhas, substitua o 2FA por SMS por uma chave de hardware e confira os registros de DNS linha por linha. Veja como proteger sua conta de registrador contra tomada.
Ajude os usuários que já assinaram
Diga-lhes que movam os fundos restantes para uma carteira nova, que revisem e revoguem as aprovações de tokens com um verificador de aprovações de explorador de blocos e que lhe enviem o hash da transação. Não prometa reembolso na primeira mensagem.
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'
# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijackComo distinguir um site parecido de um sequestro do seu próprio domínio?
Se o seu domínio ainda resolve para os seus servidores e seus servidores de nomes são os seus, a falsificação está em outro domínio. A verificação leva menos de um minuto com os comandos acima. Um domínio parecido significa que o atacante possui um domínio diferente e conta com usuários que digitam errado, clicam em um anúncio ou seguem um link.
Um sequestro é diferente. Em 12 de maio de 2025, o domínio da Curve Finance foi redirecionado em nível de registrador por volta das 20:55 UTC; a equipe descobriu às 21:20 UTC e disse aos usuários para usarem curve.finance como endereço provisório, e afirmou que os contratos e os dados dos usuários não foram afetados. Na noite de 30 de outubro de 2026, domínios de cerca de uma dúzia de front-ends DeFi registrados na Name.com foram redirecionados para um kit drenador, e a The Block informou que dez domínios foram suspensos às 8:32 a.m. no horário do leste dos EUA na manhã seguinte. Em um sequestro, ligue para o seu registrador antes de qualquer outra coisa.
O que o aviso aos usuários deve dizer?
Um bom aviso dá o endereço real, diz o que recusar e não aponta ninguém como culpado. Mantenha em quatro linhas: o que aconteceu, o único endereço oficial, a instrução de rejeitar qualquer pedido de assinatura vindo de outro endereço e a hora da próxima atualização.
Não coloque link para o site falso. Não especule sobre perdas. O aviso da Curve de maio de 2025 é um modelo da forma: disse o que foi redirecionado, qual endereço usar e que os contratos não foram tocados. Fixe o aviso em todos os canais e edite-o no próprio lugar quando os fatos mudarem, com a hora de cada edição. O passo de mais longo prazo é um conjunto defensivo das suas próprias variantes, para que as falsificações óbvias não estejam à venda para um atacante.
O que fazer sobre as denúncias e as provas?
Envie um único dossiê de provas a todos os destinatários na mesma hora. O dossiê contém a URL, capturas de tela datadas, o pedido de assinatura, os endereços de carteira que recebem e a saída do RDAP. A ordem completa de contatos está em como derrubar um site de phishing que copia o seu dApp.
Mantenha um registro de cada denúncia com a hora, o destinatário e o número de referência. Uma reclamação UDRP posterior, uma reclamação ao ICANN Compliance ou um boletim de ocorrência começam desse registro. As perdas com drenadores são grandes: a ScamSniffer contou 106,106 vítimas e USD 83.85 million em perdas com drenadores de carteira em redes EVM em 2025, então um registro limpo ajuda os usuários que fazem suas próprias denúncias.
Quanto a preparação muda a primeira hora?
Um manual escrito poupa os minutos que você não pode perder. Segundo o levantamento da Wardmint de 12 de novembro de 2026, seu arquivo de pesquisa contém quatro registros de sequestro com fonte primária desde julho de 2024: a onda da Squarespace (julho de 2024), a Curve Finance (maio de 2025), um grupo de cinco projetos (fevereiro de 2026) e clientes da Name.com (outubro de 2026). Cada fonte liga o ataque à camada de domínio, de registrador ou de DNS, e não aos contratos inteligentes, embora a causa de outubro de 2026 seja disputada entre a Name.com e a Vercel. Anote, antes de precisar: quem é o dono do login do registrador, onde ficam as chaves de 2FA, os registros de DNS esperados e o contato de cada canal.
Para o reforço antes de um incidente, veja como proteger seu domínio contra sequestro de DNS. Suporte na Wardmint: respostas por e-mail em até 12 horas, 7 dias por semana, incluindo ajuda com DNSSEC, registros CAA e denúncias de abuso.
Perguntas sobre incidentes de falsa identidade
Devo tirar meu site verdadeiro do ar durante um incidente?
Somente se o seu próprio domínio for sequestrado ou comprometido. Para um domínio parecido em outro domínio, mantenha seu site no ar e torne o endereço real mais visível.
Devo anunciar o incidente publicamente?
Sim, depois de confirmá-lo. Os usuários assinam o pedido falso nos minutos antes de saberem dele, então um aviso curto e factual vindo de canais verificados faz mais bem do que um relatório completo escrito depois.
Os usuários podem recuperar seus fundos?
Não prometa isso. Diga aos usuários como proteger os fundos restantes e peça que compartilhem os hashes das transações; a recuperação depende da rede, do drenador e de qualquer ação das autoridades.
Com que rapidez o registrador agirá sobre minha denúncia?
Nenhum prazo obriga todos os registradores. A ICANN exige desde 5 de abril de 2024 que os registradores credenciados ajam prontamente diante de evidências acionáveis de phishing. Na Wardmint, a ação vem dentro de 24 horas após um relatório bem documentado.
Em resumo
- Verifique primeiro o seu próprio DNS: um domínio parecido e um sequestro exigem ligações diferentes.
- Avise os usuários por canais verificados com o endereço real e sem link ativo para o falso.
- Envie as denúncias ao registrador e à hospedagem em paralelo, com um único dossiê de provas.
- Troque os acessos de registrador, DNS e hospedagem e passe para o 2FA por hardware.
- A Chainalysis contou um aumento de cerca de 1,400% nos golpes de falsa identidade em 2025.
- A ScamSniffer contou USD 83.85 million perdidos para drenadores de carteira em redes EVM em 2025.
- A Wardmint age dentro de 24 horas após um relatório bem documentado.
Fontes (7)
- Incidente de domínio da Curve — Curve Finance (lido em 2026-11-12)
- Hackers sequestram uma dúzia de sites DeFi, todos registrados na Name.com — The Block (lido em 2026-11-12)
- Golpes cripto 2026: relatório da Chainalysis — Chainalysis (lido em 2026-11-12)
- Relatório 2025 da ScamSniffer: perdas com phishing em cripto caem 83% para $84 million — ScamSniffer (lido em 2026-11-12)
- Sequestro de front-end e a superfície de ataque da Web2 — Blockaid (lido em 2026-11-12)
- Pesquisadores: padrões de segurança fracos permitiram sequestros de domínios da Squarespace — Krebs on Security (lido em 2026-11-12)
- Emendas Globais de 2024 ao Acordo de Credenciamento de Registradores: abuso de DNS — ICANN (lido em 2026-11-12)