Resposta rápida
O que é um wallet drainer?
Um wallet drainer é um kit de phishing, em geral alugado como serviço, que mostra um site falso ou um site real sequestrado, pede ao visitante que conecte a carteira e assine e, então, tira os ativos. A ScamSniffer contou $83.85M roubados de 106,106 vítimas em 2025. Wardmint registra os nomes semelhantes que um projeto pode ocupar antes dos atacantes.
Perdas com phishing de wallet drainers em cadeias EVM, 2023 a 2025
| Ano | Losses | Victims | Casos de $1M ou mais |
|---|---|---|---|
| 2023 | $295M | 324,000 | 13 |
| 2024 | $494M | 332,000 | 30 |
| 2025 | $83.85M | 106,106 | 11 |
Tipos de assinatura que os drainers pedem
| Signature type | O que a vítima realmente permite | Reported in 2025 |
|---|---|---|
| approve | Um endereço nomeado pode gastar uma quantia definida de um token | Listado como tipo comum |
| permit / Permit2 | A mesma permissão, concedida por uma assinatura fora da cadeia, sem transação on-chain da vítima | 38% das perdas em casos de $1M ou mais ($8.72M, 3 casos); o maior roubo de 2025, $6.5M em setembro, usou uma assinatura Permit |
| setApprovalForAll | Um endereço nomeado pode mover todos os NFTs de uma coleção | Listado como tipo comum |
| increaseApproval, Transfer | Uma permissão maior ou uma transferência direta de token | Listado como tipos em uso |
| EIP-7702 batch | Código de conta delegada que executa várias ações de uma vez | Surgiu após a atualização Pectra; 2 casos grandes em agosto, $2.54M |
Como um wallet drainer funciona?
Funciona em três etapas: isca, conexão, assinatura. A isca é um link em uma mensagem, um anúncio ou um perfil social que leva a uma página copiando um projeto real. A página pede ao visitante que conecte uma carteira, o que revela o endereço e os tokens que ele guarda. O kit então monta uma ou mais solicitações de assinatura que parecem rotineiras, como um claim, um mint ou uma verificação. Assim que a vítima assina, o operador usa a permissão ou a transferência para tirar os ativos, em geral em instantes.
A ScamSniffer define um wallet drainer como infraestrutura de phishing em sites maliciosos que induz usuários a assinar transações nocivas, o que permite uma extração rápida. O kit não precisa da frase de recuperação. O usuário concede a autoridade voluntariamente, por isso a página que a pede precisa parecer confiável, e por isso o domínio em que ela está importa tanto.
Onde os drainers conseguem seus domínios?
Eles usam domínios semelhantes registrados para a campanha e, cada vez mais, o próprio domínio do projeto depois de um sequestro. A rota dos domínios semelhantes é a mais simples: examplecoin-claim.xyz ou examplecoin-airdrop.com, uma cópia da página do projeto, um botão de conexão. Variantes desse tipo são descritas em quais tipos de domínios semelhantes os phishers registram, e o padrão de airdrop é tratado em como funcionam os sites falsos de claim de airdrop e os domínios de phishing.
A rota do sequestro dispensa o domínio semelhante. A Blockaid atribuiu as cinco comprometidas de front end de 16 a 23 de fevereiro de 2026 ao serviço de drainer AngelFerno, antes conhecido como Inferno, com novos certificados SSL emitidos no mesmo dia da mudança de DNS. A The Block relatou que cerca de uma dúzia de sites DeFi registrados na Name.com foram redirecionados na noite de 30 de outubro de 2026 e carregados com o Step Drainer, um kit de ferramentas malware-as-a-service, com cerca de $138,000 rastreados até três carteiras EVM. Nos dois casos, o visitante digitou o endereço real.
Quanto os drainers roubam, e isso está caindo?
A ScamSniffer informa que as perdas com drainers caíram 83% em 2025, para $83.85M, enquanto o quadro geral de golpes cresceu. O total de 2025 é uma fração dos $494M de 2024, e as vítimas caíram 68%. O relatório contou 11 casos de $1M ou mais, contra 30 em 2024. Também constatou que as assinaturas Permit e Permit2 responderam por 38% das perdas em casos grandes, e que o mês de pico foi agosto de 2025, com $12.17M e 15,230 vítimas.
Um total em queda não significa uma base de usuários segura. A Chainalysis, em seu relatório de 13 de janeiro de 2026, colocou golpes e fraudes com cripto em pelo menos $14 bilhões recebidos on-chain em 2025, com golpes de personificação subindo mais de 1,400% em relação a 2024 e o pagamento médio de um golpe subindo de $782 para $2,764. Os drainers são uma ferramenta nesse quadro, e o texto da Chainalysis informa que golpes com kits de phishing foram muito mais eficazes em valor em dólar do que golpes comuns. A ressalva da própria ScamSniffer também vale: a cifra dela conta apenas drainers em sites de phishing.
O que um projeto pode fazer para impedir que drainers usem seu nome?
Ocupe os nomes óbvios, endureça o real e torne a denúncia rápida. Segundo a pesquisa da Wardmint de 12 de novembro de 2026, 40 dos 50 maiores projetos cripto não tinham nenhum nome -claim .com registrado e 39 de 50 não tinham nenhum nome -airdrop .com registrado no RDAP, então as palavras exatas de que uma isca de claim precisa estavam abertas a qualquer um. Os resultados completos, com as 171 de 578 variantes (29.6%) que estavam livres, estão na página auditoria de domínios defensivos de projetos cripto 2026.
Um projeto pode agir de quatro formas. Registrar suas próprias variantes e redirecioná-las ao site oficial; o conjunto de terminações usadas por phishers (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support) custa $212.41 por ano. Endurecer a conta do registrador e o DNS seguindo a checklist de segurança de domínio para um projeto cripto. Encontrar domínios semelhantes já existentes com as ferramentas gratuitas de como encontrar domínios semelhantes à sua marca. E denunciar qualquer um ativo seguindo como denunciar um domínio de phishing. A Wardmint vende apenas registros, não monitoramento nem derrubada, e registra as variantes do próprio projeto, nunca as de outra marca.
O que um usuário pode fazer antes de assinar?
Leia o que a carteira diz que vai fazer e trate qualquer pedido que você não iniciou como hostil. Um pedido de conexão em uma página aberta a partir de um anúncio ou de uma mensagem é o ponto para parar. Abra o projeto a partir de um favorito ou de seus canais verificados, confira se o endereço é exatamente o que o projeto anunciou e leia o pedido de assinatura. Um pedido para aprovar o gasto de um token, para aprovar uma coleção inteira de NFTs ou para assinar um Permit para um claim é o padrão da tabela acima. Guarde os fundos de longo prazo em uma carteira que você não usa para se conectar a sites novos.
Os projetos podem ajudar os usuários anunciando um único endereço oficial antes de cada evento. Uma regra citável: um claim legítimo nunca precisa de uma frase de recuperação, e uma assinatura que concede uma permissão não é um claim.
Wallet drainers: perguntas
Um wallet drainer é um malware no meu computador?
Normalmente não. Os drainers desses relatórios rodam como scripts em um site de phishing e atuam pela carteira que você conecta. O risco vem da assinatura que você dá, e não de um programa instalado no seu dispositivo.
Por que um drainer não precisa da minha frase de recuperação?
Uma aprovação ou um Permit assinado dá ao atacante o direito de mover seus tokens sem nenhuma chave. A autoridade é concedida pela assinatura e permanece válida até ser revogada ou usada.
As perdas com drainers realmente caíram em 2025?
Sim, nos dados da ScamSniffer elas caíram 83% para $83.85M em 106,106 vítimas, a partir de $494M em 2024. O relatório cobre apenas drainers em sites de phishing e é um piso.
Registrar domínios pode impedir drainers?
Remove os nomes que um operador de drainer tentaria primeiro, como o nome de um projeto com claim ou airdrop acrescentado. Não impede ataques a outras palavras, a subdomínios em plataformas de hospedagem nem o sequestro do domínio real.
O que um projeto deve fazer depois de encontrar um site de drainer?
Denunciar o domínio ao registrador e ao host, incluí-lo nas listas de bloqueio, avisar os usuários em todos os canais verificados e guardar capturas de tela para qualquer disputa posterior. A ordem das denúncias está no guia da Wardmint sobre como denunciar um domínio de phishing.
Em resumo
- Um wallet drainer é um kit de phishing que obtém uma assinatura e move ativos, sem precisar de frase de recuperação.
- ScamSniffer: $83.85M e 106,106 vítimas em 2025, contra $494M e 332,000 em 2024.
- Permit e Permit2 responderam por 38% das perdas em casos de $1M ou mais; o maior foi de $6.5M em setembro de 2025.
- Drainers rodam em domínios semelhantes e em domínios reais sequestrados (relatórios de fevereiro e outubro de 2026).
- Chainalysis (13 de janeiro de 2026): pelo menos $14 bilhões em golpes com cripto recebidos on-chain em 2025.
- 40 de 50 nomes -claim .com e 39 de 50 nomes -airdrop .com dos 50 projetos principais estavam livres em 12 de novembro de 2026.
- A Wardmint vende registros, não monitoramento nem derrubada; nove terminações usadas por phishers custam $212.41 por ano.
Fontes (4)
- Scam Sniffer: perdas com phishing em cripto em 2025 caem 83% para $84 million — ScamSniffer, 3 January 2026 (lido em 2026-11-12)
- 2026 Crypto Scams report — Chainalysis, 13 January 2026 (lido em 2026-11-12)
- Sequestro de front-end e a superfície de ataque da Web2 que ameaça protocolos Web3 — Blockaid, 19 March 2026 (lido em 2026-11-12)
- Hackers sequestram uma dúzia de sites DeFi registrados na Name.com — The Block, 31 October 2026 (lido em 2026-11-12)