Como saber se um site cripto é falso?

Por que o domínio exato é a primeira verificação?

O domínio é a única parte de uma página que um atacante não pode copiar. Design, logotipos e textos podem ser clonados de graça, mas o nome na barra de endereços pertence a quem o registrou. O guia da Kerberus de 10 de abril de 2026 observa que golpistas registram domínios parecidos com pequenas trocas de caracteres e que alguns usam letras cirílicas idênticas às latinas.

Leia a parte imediatamente antes da primeira barra simples. Em https://examplecoin.com.claim-rewards.example/start, o site é claim-rewards.example, e examplecoin.com é apenas um rótulo colocado à frente dele. O mesmo truque funciona com um nome com hífen, como examplecoin-claim.com, que é um domínio diferente de examplecoin.com. Muitos celulares encurtam endereços longos, então abra o endereço completo antes de decidir.

Um cadeado prova que um site cripto é real?

Não: um cadeado mostra que a conexão está criptografada, não quem administra o site. O relatório da Blockaid de 19 de março de 2026 sobre os sequestros de front-end de fevereiro de 2026 afirma que os atacantes emitiram novos certificados SSL para cada domínio comprometido no dia do ataque, incluindo certificados pagos da Sectigo e certificados gratuitos da Let's Encrypt e da Google Trust Services, e que os certificados mantinham os sites com aparência segura, com cadeado.

O mesmo relatório descreve um caso em que usuários eram enviados a um host parecido enquanto certificados wildcard eram emitidos para o nome real, então até um domínio legítimo sequestrado pode exibir um certificado válido. O cadeado responde a uma pergunta, se um terceiro pode ler o tráfego. Deixa em aberto a pergunta que importa para você, se o dono deste endereço é o projeto. A própria FAQ da Let's Encrypt, por sua vez, orienta os usuários a denunciar ao Google Safe Browsing e ao Microsoft SmartScreen os sites que abusam de seus certificados.

E as letras parecidas e o punycode?

Os navegadores escondem alguns domínios parecidos mostrando xn-- no lugar das letras, mas um endereço digitado é a defesa confiável. A documentação do Chromium explica que o Chrome verifica cada rótulo de um nome de host e mostra punycode quando uma verificação falha: escritas misturadas, como latim com cirílico ou grego, caracteres confundíveis, substituições por dígitos e rótulos cuja estrutura coincide com a de um domínio de topo. O resultado não depende das configurações de idioma do navegador, e o Chrome também mostra um aviso separado de página inteira para alguns acessos parecidos.

Essas proteções têm limites: outro navegador pode aplicar outras regras, e um atacante pode usar letras comuns, como rn no lugar de m. O mecanismo, com exemplos, está em o que é um ataque de homógrafo IDN, e as principais formas de nomes parecidos estão em quais tipos de domínios parecidos os phishers registram.

Onde obter os links oficiais de um projeto?

Dos canais verificados do próprio projeto, confirmados em dois lugares. A Kerberus indica como primeiro sinal de alerta a ausência de anúncio nos canais verificados do projeto, e aconselha salvar o site oficial nos favoritos e acessá-lo diretamente em vez de seguir links. Aplique nesta ordem:

1. Abra o site do projeto a partir do seu favorito.
2. Leia ali o link de resgate ou de mint, não numa mensagem que o enviou até você.
3. Confira se a conta social verificada aponta para o mesmo endereço.
4. Ignore mensagens diretas que ofereçam tokens, suporte ou acesso antecipado.
5. Recuse qualquer página que peça uma frase semente ou um pagamento para receber tokens: a Kerberus observa que airdrops reais são gratuitos.

Se suspeitar de um site, não conecte uma carteira. Denuncie-o seguindo as etapas em como denunciar um domínio de phishing.

Por que isso importa agora?

Os golpes de falsificação de identidade cresceram muito nos dados mais recentes da Chainalysis. A Chainalysis, em seu relatório de 13 de janeiro de 2026, afirma que os golpes de falsificação de identidade cresceram mais de 1,400% em relação a 2024, que o valor médio pago a esses grupos subiu mais de 600%, e que o pagamento médio do golpe passou de $782 para $2,764. O relatório da Interisle de 9 de setembro de 2025 constatou que 77% dos domínios de phishing foram registrados de forma maliciosa, e que mais de 1,5 milhão de nomes de domínio foram usados em phishing de maio de 2024 a abril de 2025.

Esses números descrevem uma oferta de sites falsos que os usuários não conseguem inspecionar um a um. O projeto também precisa agir.

O que o projeto pode fazer para que os usuários não precisem identificar os falsos sozinhos?

Registre os nomes óbvios, aponte-os para o site oficial e publique uma lista única de links oficiais. Um usuário que digitar examplecoin.co ou examplecoin.xyz errado cai no site real, e não na página de um estranho. Combine isso com uma página curta de "links oficiais" no site principal, que todos os canais verificados repetem, e com os controles em como proteger um projeto cripto contra domínios de phishing.

Segundo a pesquisa da Wardmint de 12 de novembro de 2026, o conjunto básico de seis extensões (.com, .net, .org, .io, .xyz, .app) custa $128.94 por ano e as nove terminações que os phishers usam custam $212.41 por ano, com o mesmo preço na renovação. A Wardmint registra somente as variantes do próprio projeto, não domínios parecidos com os de outra marca, e não faz monitoramento nem remoções; os guias mostram as ferramentas gratuitas e as vias oficiais de denúncia.