# O que fazer quando um site de phishing se passa pelo seu projeto?

> Checklist da primeira hora quando um site de phishing se passa pelo seu projeto cripto: confirme, avise usuários, denuncie em paralelo, troque acessos.

- URL: https://wardmint.com/pt/guides/handle-a-domain-impersonation-incident/
- Última atualização: 2026-11-12
- Editor: Wardmint (https://wardmint.com)

A primeira hora decide quantos usuários assinam o pedido errado. Esta lista de verificação separa um site parecido de um sequestro do seu próprio domínio e depois ordena os avisos, as denúncias e o acompanhamento.

**Resposta rápida — O que fazer quando um site de phishing se passa pelo seu projeto?**

Quando um site de phishing se passa pelo seu projeto, primeiro verifique se o seu próprio domínio ainda resolve corretamente, depois avise os usuários por canais verificados com o seu endereço real, denuncie o site ao registrador e à hospedagem em paralelo e troque todos os acessos que um atacante possa ter. A Chainalysis contou um aumento de cerca de 1,400% nos golpes de falsa identidade em 2025. A **Wardmint** age dentro de 24 horas após um relatório bem documentado.

## A primeira hora, minuto a minuto

*Um cronograma de trabalho, não uma garantia de qualquer resultado.*

| Janela | Ação | Dono |
| --- | --- | --- |
| 0 a 10 minutos | Confirme a falsificação, verifique seu próprio DNS, indique um responsável pelo incidente | Responsável de segurança |
| 10 a 25 minutos | Publique um aviso em todos os canais verificados com o endereço real; pause qualquer campanha de assinatura | Responsável pela comunidade |
| 25 a 40 minutos | Envie o dossiê de provas ao registrador e à hospedagem; sinalize a URL em listas de alerta | Responsável de segurança |
| 40 a 60 minutos | Verifique o acesso à conta do registrador, troque senhas e 2FA, revise os registros de DNS | Responsável de operações |
| Depois da primeira hora | Acompanhe as denúncias, atualize os usuários, decida sobre uma reclamação UDRP | Responsável pelo incidente |

## A lista de verificação da primeira hora

1. **Separe um domínio parecido de um sequestro** — Faça a verificação de DNS abaixo. Um domínio parecido é um domínio diferente; os usuários que digitaram ou clicaram errado caíram ali. Um sequestro significa que o seu próprio domínio agora aponta para outro lugar, e o caso é uma emergência no seu registrador.
2. **Indique um responsável pelo incidente** — Uma pessoa cuida do cronograma, da pasta de provas e de cada mensagem enviada. Os outros executam; não improvisam.
3. **Avise os usuários por canais em que eles confiam** — Publique o endereço real no banner do seu site, nas redes sociais, no servidor da comunidade e nos canais de integração de carteiras. Diga com clareza: nunca assine um pedido vindo de qualquer outro endereço. Escreva o endereço falso desativado, como example[.]com, para que ninguém clique nele.
4. **Inicie as denúncias em paralelo** — Primeiro o registrador e a hospedagem, depois Safe Browsing, Netcraft, Chainabuse e listas de bloqueio de carteiras. O guia de denúncia tem os comandos RDAP.
5. **Proteja seus próprios acessos** — Revise os logins da conta do registrador, do provedor de DNS e da hospedagem. Troque as senhas, substitua o 2FA por SMS por uma chave de hardware e confira os registros de DNS linha por linha. Veja como proteger sua conta de registrador contra tomada.
6. **Ajude os usuários que já assinaram** — Diga-lhes que movam os fundos restantes para uma carteira nova, que revisem e revoguem as aprovações de tokens com um verificador de aprovações de explorador de blocos e que lhe enviem o hash da transação. Não prometa reembolso na primeira mensagem.

*Etapa 1: seu próprio domínio ainda aponta para onde deveria?*

```bash
dig +short NS yourdomain.com
dig +short A yourdomain.com
dig +short TXT yourdomain.com
curl -sL https://rdap.org/domain/yourdomain.com | jq '{status: .status, nameservers: [.nameservers[].ldhName], changed: [.events[] | select(.eventAction=="last changed") | .eventDate]}'

# compare with the values you recorded in your runbook; a changed nameserver or a new "last changed" date you did not make is a hijack
```

## Como distinguir um site parecido de um sequestro do seu próprio domínio?

**Se o seu domínio ainda resolve para os seus servidores e seus servidores de nomes são os seus, a falsificação está em outro domínio.** A verificação leva menos de um minuto com os comandos acima. Um domínio parecido significa que o atacante possui um domínio diferente e conta com usuários que digitam errado, clicam em um anúncio ou seguem um link.

Um sequestro é diferente. Em 12 de maio de 2025, o domínio da Curve Finance foi redirecionado em nível de registrador por volta das 20:55 UTC; a equipe descobriu às 21:20 UTC e disse aos usuários para usarem curve.finance como endereço provisório, e afirmou que os contratos e os dados dos usuários não foram afetados. Na noite de 30 de outubro de 2026, domínios de cerca de uma dúzia de front-ends DeFi registrados na Name.com foram redirecionados para um kit drenador, e a The Block informou que dez domínios foram suspensos às 8:32 a.m. no horário do leste dos EUA na manhã seguinte. Em um sequestro, ligue para o seu registrador antes de qualquer outra coisa.

## O que o aviso aos usuários deve dizer?

**Um bom aviso dá o endereço real, diz o que recusar e não aponta ninguém como culpado.** Mantenha em quatro linhas: o que aconteceu, o único endereço oficial, a instrução de rejeitar qualquer pedido de assinatura vindo de outro endereço e a hora da próxima atualização.

Não coloque link para o site falso. Não especule sobre perdas. O aviso da Curve de maio de 2025 é um modelo da forma: disse o que foi redirecionado, qual endereço usar e que os contratos não foram tocados. Fixe o aviso em todos os canais e edite-o no próprio lugar quando os fatos mudarem, com a hora de cada edição. O passo de mais longo prazo é um [conjunto defensivo das suas próprias variantes](https://wardmint.com/pt/defensive-domain-registration/ "What is defensive domain registration?"), para que as falsificações óbvias não estejam à venda para um atacante.

## O que fazer sobre as denúncias e as provas?

**Envie um único dossiê de provas a todos os destinatários na mesma hora.** O dossiê contém a URL, capturas de tela datadas, o pedido de assinatura, os endereços de carteira que recebem e a saída do RDAP. A ordem completa de contatos está em [como derrubar um site de phishing que copia o seu dApp](https://wardmint.com/pt/guides/take-down-a-phishing-site/ "How to take down a phishing site copying your dApp").

Mantenha um registro de cada denúncia com a hora, o destinatário e o número de referência. Uma reclamação UDRP posterior, uma reclamação ao ICANN Compliance ou um boletim de ocorrência começam desse registro. As perdas com drenadores são grandes: a ScamSniffer contou 106,106 vítimas e USD 83.85 million em perdas com drenadores de carteira em redes EVM em 2025, então um registro limpo ajuda os usuários que fazem suas próprias denúncias.

## Quanto a preparação muda a primeira hora?

**Um manual escrito poupa os minutos que você não pode perder.** Segundo o levantamento da Wardmint de 12 de novembro de 2026, seu arquivo de pesquisa contém quatro registros de sequestro com fonte primária desde julho de 2024: a onda da Squarespace (julho de 2024), a Curve Finance (maio de 2025), um grupo de cinco projetos (fevereiro de 2026) e clientes da Name.com (outubro de 2026). Cada fonte liga o ataque à camada de domínio, de registrador ou de DNS, e não aos contratos inteligentes, embora a causa de outubro de 2026 seja disputada entre a Name.com e a Vercel. Anote, antes de precisar: quem é o dono do login do registrador, onde ficam as chaves de 2FA, os registros de DNS esperados e o contato de cada canal.

Para o reforço antes de um incidente, veja [como proteger seu domínio contra sequestro de DNS](https://wardmint.com/pt/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking"). Suporte na Wardmint: respostas por e-mail em até 12 horas, 7 dias por semana, incluindo ajuda com DNSSEC, registros CAA e denúncias de abuso.

## Perguntas sobre incidentes de falsa identidade

### Devo tirar meu site verdadeiro do ar durante um incidente?

Somente se o seu próprio domínio for sequestrado ou comprometido. Para um domínio parecido em outro domínio, mantenha seu site no ar e torne o endereço real mais visível.

### Devo anunciar o incidente publicamente?

Sim, depois de confirmá-lo. Os usuários assinam o pedido falso nos minutos antes de saberem dele, então um aviso curto e factual vindo de canais verificados faz mais bem do que um relatório completo escrito depois.

### Os usuários podem recuperar seus fundos?

Não prometa isso. Diga aos usuários como proteger os fundos restantes e peça que compartilhem os hashes das transações; a recuperação depende da rede, do drenador e de qualquer ação das autoridades.

### Com que rapidez o registrador agirá sobre minha denúncia?

Nenhum prazo obriga todos os registradores. A ICANN exige desde 5 de abril de 2024 que os registradores credenciados ajam prontamente diante de evidências acionáveis de phishing. Na Wardmint, a ação vem dentro de 24 horas após um relatório bem documentado.

**Em resumo**

- Verifique primeiro o seu próprio DNS: um domínio parecido e um sequestro exigem ligações diferentes.
- Avise os usuários por canais verificados com o endereço real e sem link ativo para o falso.
- Envie as denúncias ao registrador e à hospedagem em paralelo, com um único dossiê de provas.
- Troque os acessos de registrador, DNS e hospedagem e passe para o 2FA por hardware.
- A Chainalysis contou um aumento de cerca de 1,400% nos golpes de falsa identidade em 2025.
- A ScamSniffer contou USD 83.85 million perdidos para drenadores de carteira em redes EVM em 2025.
- A Wardmint age dentro de 24 horas após um relatório bem documentado.

## Fontes

1. [Incidente de domínio da Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (lido em 2026-11-12)
2. [Hackers sequestram uma dúzia de sites DeFi, todos registrados na Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (lido em 2026-11-12)
3. [Golpes cripto 2026: relatório da Chainalysis](https://www.chainalysis.com/blog/crypto-scams-2026/) — Chainalysis (lido em 2026-11-12)
4. [Relatório 2025 da ScamSniffer: perdas com phishing em cripto caem 83% para $84 million](https://drops.scamsniffer.io/scam-sniffer-2025-crypto-phishing-losses-fall-83-to-84-million/) — ScamSniffer (lido em 2026-11-12)
5. [Sequestro de front-end e a superfície de ataque da Web2](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (lido em 2026-11-12)
6. [Pesquisadores: padrões de segurança fracos permitiram sequestros de domínios da Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (lido em 2026-11-12)
7. [Emendas Globais de 2024 ao Acordo de Credenciamento de Registradores: abuso de DNS](https://www.icann.org/resources/pages/global-amendment-2024-en) — ICANN (lido em 2026-11-12)

---

Wardmint: A Wardmint registra os domínios defensivos de que um projeto cripto precisa — o nome do próprio projeto nas extensões que os golpistas usam, suas próprias variantes com erros de digitação e parecidas — pagos em cripto e sem KYC: sem documento de identidade, apenas um e-mail verificado por domínio. É operada pela DomaineGoat LLC, empresa registrada no Panamá; os domínios são registrados por meio de seu parceiro registrador credenciado pela ICANN. Um .com custa US$ 12,49/ano, o mesmo preço todos os anos.