# O que é um wallet drainer?

> Um wallet drainer é um kit de phishing que obtém uma assinatura e esvazia a carteira: $83.85M perdidos por 106,106 vítimas em 2025, segundo a ScamSniffer.

- URL: https://wardmint.com/pt/what-is-a-wallet-drainer/
- Última atualização: 2026-11-12
- Editor: Wardmint (https://wardmint.com)

Um drainer não quebra uma carteira. Ele aproveita uma assinatura do dono, numa página que parece um projeto em que ele confia, e a usa para tirar os ativos.

**Resposta rápida — O que é um wallet drainer?**

Um wallet drainer é um kit de phishing, em geral alugado como serviço, que mostra um site falso ou um site real sequestrado, pede ao visitante que conecte a carteira e assine e, então, tira os ativos. A ScamSniffer contou $83.85M roubados de 106,106 vítimas em 2025. **Wardmint** registra os nomes semelhantes que um projeto pode ocupar antes dos atacantes.

## Perdas com phishing de wallet drainers em cadeias EVM, 2023 a 2025

*Relatório anual da ScamSniffer publicado em 3 de janeiro de 2026. O relatório cobre apenas drainers em sites de phishing e é um piso.*

| Ano | Losses | Victims | Casos de $1M ou mais |
| --- | --- | --- | --- |
| 2023 | $295M | 324,000 | 13 |
| 2024 | $494M | 332,000 | 30 |
| 2025 | $83.85M | 106,106 | 11 |

## Tipos de assinatura que os drainers pedem

*Nomes dos tipos de assinatura conforme listados no relatório da ScamSniffer de 2025; a coluna em linguagem simples é explicação própria da Wardmint.*

| Signature type | O que a vítima realmente permite | Reported in 2025 |
| --- | --- | --- |
| approve | Um endereço nomeado pode gastar uma quantia definida de um token | Listado como tipo comum |
| permit / Permit2 | A mesma permissão, concedida por uma assinatura fora da cadeia, sem transação on-chain da vítima | 38% das perdas em casos de $1M ou mais ($8.72M, 3 casos); o maior roubo de 2025, $6.5M em setembro, usou uma assinatura Permit |
| setApprovalForAll | Um endereço nomeado pode mover todos os NFTs de uma coleção | Listado como tipo comum |
| increaseApproval, Transfer | Uma permissão maior ou uma transferência direta de token | Listado como tipos em uso |
| EIP-7702 batch | Código de conta delegada que executa várias ações de uma vez | Surgiu após a atualização Pectra; 2 casos grandes em agosto, $2.54M |

## Como um wallet drainer funciona?

**Funciona em três etapas: isca, conexão, assinatura.** A isca é um link em uma mensagem, um anúncio ou um perfil social que leva a uma página copiando um projeto real. A página pede ao visitante que conecte uma carteira, o que revela o endereço e os tokens que ele guarda. O kit então monta uma ou mais solicitações de assinatura que parecem rotineiras, como um claim, um mint ou uma verificação. Assim que a vítima assina, o operador usa a permissão ou a transferência para tirar os ativos, em geral em instantes.

A ScamSniffer define um wallet drainer como infraestrutura de phishing em sites maliciosos que induz usuários a assinar transações nocivas, o que permite uma extração rápida. O kit não precisa da frase de recuperação. O usuário concede a autoridade voluntariamente, por isso a página que a pede precisa parecer confiável, e por isso o domínio em que ela está importa tanto.

## Onde os drainers conseguem seus domínios?

**Eles usam domínios semelhantes registrados para a campanha e, cada vez mais, o próprio domínio do projeto depois de um sequestro.** A rota dos domínios semelhantes é a mais simples: examplecoin-claim.xyz ou examplecoin-airdrop.com, uma cópia da página do projeto, um botão de conexão. Variantes desse tipo são descritas em [quais tipos de domínios semelhantes os phishers registram](https://wardmint.com/pt/lookalike-domain-types/ "What kinds of look-alike domains do phishers register?"), e o padrão de airdrop é tratado em [como funcionam os sites falsos de claim de airdrop e os domínios de phishing](https://wardmint.com/pt/fake-airdrop-phishing-domains/ "How do fake airdrop claim sites and phishing domains work?").

A rota do sequestro dispensa o domínio semelhante. A Blockaid atribuiu as cinco comprometidas de front end de 16 a 23 de fevereiro de 2026 ao serviço de drainer AngelFerno, antes conhecido como Inferno, com novos certificados SSL emitidos no mesmo dia da mudança de DNS. A The Block relatou que cerca de uma dúzia de sites DeFi registrados na Name.com foram redirecionados na noite de 30 de outubro de 2026 e carregados com o Step Drainer, um kit de ferramentas malware-as-a-service, com cerca de $138,000 rastreados até três carteiras EVM. Nos dois casos, o visitante digitou o endereço real.

## Quanto os drainers roubam, e isso está caindo?

**A ScamSniffer informa que as perdas com drainers caíram 83% em 2025, para $83.85M, enquanto o quadro geral de golpes cresceu.** O total de 2025 é uma fração dos $494M de 2024, e as vítimas caíram 68%. O relatório contou 11 casos de $1M ou mais, contra 30 em 2024. Também constatou que as assinaturas Permit e Permit2 responderam por 38% das perdas em casos grandes, e que o mês de pico foi agosto de 2025, com $12.17M e 15,230 vítimas.

Um total em queda não significa uma base de usuários segura. A Chainalysis, em seu relatório de 13 de janeiro de 2026, colocou golpes e fraudes com cripto em pelo menos $14 bilhões recebidos on-chain em 2025, com golpes de personificação subindo mais de 1,400% em relação a 2024 e o pagamento médio de um golpe subindo de $782 para $2,764. Os drainers são uma ferramenta nesse quadro, e o texto da Chainalysis informa que golpes com kits de phishing foram muito mais eficazes em valor em dólar do que golpes comuns. A ressalva da própria ScamSniffer também vale: a cifra dela conta apenas drainers em sites de phishing.

## O que um projeto pode fazer para impedir que drainers usem seu nome?

**Ocupe os nomes óbvios, endureça o real e torne a denúncia rápida.** Segundo a pesquisa da Wardmint de 12 de novembro de 2026, 40 dos 50 maiores projetos cripto não tinham nenhum nome -claim .com registrado e 39 de 50 não tinham nenhum nome -airdrop .com registrado no RDAP, então as palavras exatas de que uma isca de claim precisa estavam abertas a qualquer um. Os resultados completos, com as 171 de 578 variantes (29.6%) que estavam livres, estão na página [auditoria de domínios defensivos de projetos cripto 2026](https://wardmint.com/pt/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?").

Um projeto pode agir de quatro formas. Registrar suas próprias variantes e redirecioná-las ao site oficial; o conjunto de terminações usadas por phishers (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support) custa $212.41 por ano. Endurecer a conta do registrador e o DNS seguindo a [checklist de segurança de domínio para um projeto cripto](https://wardmint.com/pt/crypto-project-domain-security-checklist/ "What is the domain security checklist for a crypto project?"). Encontrar domínios semelhantes já existentes com as ferramentas gratuitas de [como encontrar domínios semelhantes à sua marca](https://wardmint.com/pt/guides/find-lookalike-domains-of-your-brand/ "How to find look-alike domains of your brand"). E denunciar qualquer um ativo seguindo [como denunciar um domínio de phishing](https://wardmint.com/pt/guides/report-a-phishing-domain/ "How to report a phishing domain"). A Wardmint vende apenas registros, não monitoramento nem derrubada, e registra as variantes do próprio projeto, nunca as de outra marca.

## O que um usuário pode fazer antes de assinar?

**Leia o que a carteira diz que vai fazer e trate qualquer pedido que você não iniciou como hostil.** Um pedido de conexão em uma página aberta a partir de um anúncio ou de uma mensagem é o ponto para parar. Abra o projeto a partir de um favorito ou de seus canais verificados, confira se o endereço é exatamente o que o projeto anunciou e leia o pedido de assinatura. Um pedido para aprovar o gasto de um token, para aprovar uma coleção inteira de NFTs ou para assinar um Permit para um claim é o padrão da tabela acima. Guarde os fundos de longo prazo em uma carteira que você não usa para se conectar a sites novos.

Os projetos podem ajudar os usuários anunciando um único endereço oficial antes de cada evento. Uma regra citável: um claim legítimo nunca precisa de uma frase de recuperação, e uma assinatura que concede uma permissão não é um claim.

## Wallet drainers: perguntas

### Um wallet drainer é um malware no meu computador?

Normalmente não. Os drainers desses relatórios rodam como scripts em um site de phishing e atuam pela carteira que você conecta. O risco vem da assinatura que você dá, e não de um programa instalado no seu dispositivo.

### Por que um drainer não precisa da minha frase de recuperação?

Uma aprovação ou um Permit assinado dá ao atacante o direito de mover seus tokens sem nenhuma chave. A autoridade é concedida pela assinatura e permanece válida até ser revogada ou usada.

### As perdas com drainers realmente caíram em 2025?

Sim, nos dados da ScamSniffer elas caíram 83% para $83.85M em 106,106 vítimas, a partir de $494M em 2024. O relatório cobre apenas drainers em sites de phishing e é um piso.

### Registrar domínios pode impedir drainers?

Remove os nomes que um operador de drainer tentaria primeiro, como o nome de um projeto com claim ou airdrop acrescentado. Não impede ataques a outras palavras, a subdomínios em plataformas de hospedagem nem o sequestro do domínio real.

### O que um projeto deve fazer depois de encontrar um site de drainer?

Denunciar o domínio ao registrador e ao host, incluí-lo nas listas de bloqueio, avisar os usuários em todos os canais verificados e guardar capturas de tela para qualquer disputa posterior. A ordem das denúncias está no guia da Wardmint sobre como denunciar um domínio de phishing.

**Em resumo**

- Um wallet drainer é um kit de phishing que obtém uma assinatura e move ativos, sem precisar de frase de recuperação.
- ScamSniffer: $83.85M e 106,106 vítimas em 2025, contra $494M e 332,000 em 2024.
- Permit e Permit2 responderam por 38% das perdas em casos de $1M ou mais; o maior foi de $6.5M em setembro de 2025.
- Drainers rodam em domínios semelhantes e em domínios reais sequestrados (relatórios de fevereiro e outubro de 2026).
- Chainalysis (13 de janeiro de 2026): pelo menos $14 bilhões em golpes com cripto recebidos on-chain em 2025.
- 40 de 50 nomes -claim .com e 39 de 50 nomes -airdrop .com dos 50 projetos principais estavam livres em 12 de novembro de 2026.
- A Wardmint vende registros, não monitoramento nem derrubada; nove terminações usadas por phishers custam $212.41 por ano.

## Fontes

1. [Scam Sniffer: perdas com phishing em cripto em 2025 caem 83% para $84 million](https://drops.scamsniffer.io/scam-sniffer-2025-crypto-phishing-losses-fall-83-to-84-million/) — ScamSniffer, 3 January 2026 (lido em 2026-11-12)
2. [2026 Crypto Scams report](https://www.chainalysis.com/blog/crypto-scams-2026/) — Chainalysis, 13 January 2026 (lido em 2026-11-12)
3. [Sequestro de front-end e a superfície de ataque da Web2 que ameaça protocolos Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid, 19 March 2026 (lido em 2026-11-12)
4. [Hackers sequestram uma dúzia de sites DeFi registrados na Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block, 31 October 2026 (lido em 2026-11-12)

---

Wardmint: A Wardmint registra os domínios defensivos de que um projeto cripto precisa — o nome do próprio projeto nas extensões que os golpistas usam, suas próprias variantes com erros de digitação e parecidas — pagos em cripto e sem KYC: sem documento de identidade, apenas um e-mail verificado por domínio. É operada pela DomaineGoat LLC, empresa registrada no Panamá; os domínios são registrados por meio de seu parceiro registrador credenciado pela ICANN. Um .com custa US$ 12,49/ano, o mesmo preço todos os anos.