Assinaturas Drainer em DEXs de Perpétuos: como funcionam e como identificar

Ataques do tipo Drainer se tornaram uma das categorias de golpe com maior impacto financeiro no ecossistema DeFi. Pesquisas recentes da Chainalysis mostram que o modelo Drainer-as-a-Service já está altamente industrializado: atacantes podem assinar kits prontos e usá-los para aplicar golpes sofisticados de assinatura contra usuários de DEXs de perpétuos.

Para quem opera com frequência em plataformas como Hyperliquid, dYdX, GMX e outras DEXs de perps, entender como uma assinatura Drainer funciona é um primeiro passo essencial de autoproteção.

O que é um ataque de assinatura Drainer

Um ataque de assinatura Drainer consiste em induzir o usuário, por engenharia social ou phishing, a assinar uma solicitação que parece inofensiva, mas que na prática autoriza a movimentação de ativos.

Diferente de um roubo direto de chave privada, esse tipo de ataque explora mecanismos legítimos do ecossistema Ethereum, como:

• Approve de tokens ERC-20: permite que um endereço terceiro movimente uma quantidade específica de tokens.
• Assinaturas Permit via EIP-2612: autorizam gastos por assinatura off-chain, sem uma transação on-chain de Approve feita diretamente pelo usuário.
• Assinaturas de dados estruturados EIP-712: usadas para autorizar diferentes tipos de operações estruturadas.
• Autorizações em lote relacionadas à abstração de conta EIP-4337.

Esses mecanismos são úteis e necessários em interações normais com DApps. O problema é que atacantes se aproveitam da complexidade técnica para disfarçar autorizações maliciosas como se fossem interações comuns com um protocolo.

Riscos específicos em DEXs de perpétuos

Interações frequentes criam janelas de risco

Traders de perpétuos interagem com contratos de DEXs o tempo todo: abrir posição, aumentar margem, ajustar colateral, fechar posição, sacar fundos, coletar funding e assim por diante. Quanto maior a frequência de assinaturas, maior a chance de o usuário criar o hábito de confirmar solicitações no automático — e menor a atenção a pedidos anormais.

Grandes aprovações em USDC são um alvo comum

Em DEXs de perpétuos, é comum que usuários autorizem valores relevantes de USDC para contratos do protocolo. Em uma página de phishing, um Drainer pode imitar essa experiência e exibir uma autorização aparentemente parecida, mas trocando o endereço de destino por um contrato controlado pelo atacante.

Se você se acostuma a confirmar “aprovação de USDC” sem conferir o endereço do contrato, pode acabar concedendo permissão para que o atacante movimente uma parte grande — ou até a totalidade — dos seus fundos.

Por que assinaturas Permit são especialmente perigosas

O padrão EIP-2612 Permit permite que o usuário autorize o gasto de tokens por meio de uma assinatura off-chain, sem enviar uma transação de Approve e sem pagar gas naquele momento. Isso significa que:

• o processo de assinatura não gera uma transação on-chain imediata;
• sua carteira pode não mostrar um “histórico de autorização” emitido por você;
• depois de obter a assinatura, o atacante pode enviar a transação on-chain por conta própria e transferir os tokens;
• do ponto de vista do usuário, a autorização pode só ficar evidente quando os ativos já tiverem sido drenados.

Na interface da carteira, uma assinatura Permit pode parecer muito semelhante a uma assinatura comum de login, como Sign-In With Ethereum. Por isso, ela é uma das formas de Drainer mais difíceis de identificar para usuários não técnicos.

Anatomia técnica de uma assinatura Drainer

Uma solicitação típica de Drainer usando EIP-712 pode conter campos como:

Tipo: assinatura de dados estruturados EIP-712

Domain:
name: [nome do protocolo imitado]
version: 1
chainId: 1 ou 42161, por exemplo
verifyingContract: [endereço do contrato Drainer, disfarçado como contrato da DEX]

Mensagem:
owner: [endereço da vítima]
spender: [endereço do contrato atacante]
value: [todo ou quase todo o saldo do usuário]
deadline: [timestamp futuro]
nonce: [nonce atual obtido automaticamente]

Se a carteira exibe esses campos em formato legível, você consegue verificar se verifyingContract e spender correspondem de fato aos contratos oficiais do protocolo. Mas, se a carteira mostra apenas dados hexadecimais brutos, a maioria dos usuários não tem como perceber a diferença com segurança.

Como identificar uma assinatura Drainer: checklist prático

Antes de assinar qualquer solicitação, confira:

• Endereço verifyingContract: é exatamente o contrato oficial da DEX que você está usando, caractere por caractere?
• Endereço spender: em assinaturas Permit, o spender deve ser um contrato que você conhece e confia.
• Campo value: o valor solicitado é compatível com a operação ou parece alto demais, especialmente próximo ao seu saldo total?
• Campo deadline: o prazo faz sentido? Operações normais costumam ter janelas curtas, não anos no futuro.
• Origem da solicitação: você iniciou a ação no site oficial ou a assinatura apareceu de forma inesperada?

Como a OneKey ajuda a reduzir o risco de Drainer

A carteira OneKey oferece recursos específicos para ajudar na defesa contra esse tipo de ataque:

• Visualização de assinaturas EIP-712: a carteira interpreta dados estruturados e mostra campos importantes, como owner, spender e value, em formato mais compreensível, em vez de apenas hex bruto.
• Sinalização de endereços de risco: endereços de contratos maliciosos conhecidos podem ser marcados com alertas.
• Prévia por simulação de transação: em operações on-chain de Approve, a carteira pode simular o resultado antes da assinatura e mostrar algo como “você autorizará X USDC para o endereço Y”.
• Alertas para aprovações elevadas: quando a autorização solicitada representa uma parcela relevante do saldo, a carteira pode destacar o risco com avisos adicionais.
• Validação por código aberto: os repositórios GitHub da OneKey permitem que pesquisadores de segurança revisem de forma independente a lógica de proteção.

Uma hardware wallet também tem papel importante: o atacante não consegue automatizar uma assinatura sem a confirmação física na tela do dispositivo. Além disso, o que aparece na tela da hardware wallet não pode ser alterado por malware rodando no computador ou navegador.

Ainda assim, hardware wallet não é uma solução mágica. Se você confirma no dispositivo sem entender o conteúdo, um ataque ainda pode funcionar. A proteção depende tanto da ferramenta quanto da sua atenção ao que está sendo assinado.

Também é recomendável revisar periodicamente aprovações antigas em serviços como Revoke.cash e revogar permissões que você não usa mais. Isso reduz a superfície disponível para ataques.

Vetores comuns de alto risco

Alguns contextos merecem atenção redobrada:

• links patrocinados ou resultados de busca que imitam a página oficial de uma DEX;
• mensagens em redes sociais ou Discord oferecendo airdrop, bônus de trading ou campanha de reembolso;
• sites que pedem assinatura antes de mostrar qualquer informação útil;
• frontends clonados de DEXs conhecidas;
• solicitações de Permit ou Approve com valores muito acima do necessário;
• pop-ups de carteira que aparecem sem uma ação clara iniciada por você.

Perguntas frequentes

Q1: Qual é a diferença entre uma assinatura Permit e uma aprovação comum de Approve?

Resposta: Approve é uma transação on-chain, exige gas e deixa um registro visível de autorização na blockchain. Permit é uma assinatura off-chain: você assina fora da cadeia, e a outra parte pode enviar a transação depois. Como ela não aparece imediatamente como uma transação enviada por você, pode ser mais difícil de perceber e reagir a tempo. Do ponto de vista de segurança, as duas podem colocar seus ativos em risco.

Q2: Já assinei algo suspeito. O que devo fazer?

Resposta: Se foi uma autorização do tipo Approve, tente revogar imediatamente a permissão em Revoke.cash ou ferramenta equivalente confiável. Se foi uma assinatura Permit, a revogação pode não resolver caso o atacante já tenha usado a assinatura; nesse caso, mover os tokens afetados para um novo endereço pode ser a medida mais urgente. O tempo é crítico — em muitos casos, a janela de reação pode ser de poucos minutos.

Q3: Usar uma hardware wallet OneKey impede totalmente ataques Drainer?

Resposta: Não totalmente. Uma hardware wallet aumenta bastante a dificuldade do ataque, porque toda assinatura precisa ser confirmada fisicamente no dispositivo, e a tela do hardware não pode ser manipulada por malware no computador. Mas, se o usuário aprova uma solicitação sem entender os campos exibidos, o ataque ainda pode acontecer. A proteção real vem da combinação entre hardware seguro, boa interface de assinatura e verificação ativa pelo usuário.

Q4: O que é Drainer-as-a-Service?

Resposta: É um modelo em que kits de ataque Drainer são comercializados como serviço. O atacante não precisa desenvolver tudo do zero: ele assina ou usa uma ferramenta pronta e divide parte dos valores roubados com o operador do serviço. Esse modelo reduz a barreira técnica para golpes e ajuda a explicar o crescimento desse tipo de ataque.

Q5: A própria DEX de perpétuos não bloqueia esse tipo de golpe?

Resposta: Plataformas legítimas podem filtrar endereços maliciosos conhecidos em seus frontends oficiais. O problema é que ataques Drainer normalmente acontecem em páginas de phishing controladas pelo atacante, fora do frontend oficial. Por isso, a camada da carteira — com interpretação de assinatura, simulação e alertas — é uma proteção importante em qualquer contexto de acesso.

Conclusão: segurança começa por entender cada assinatura

Ataques Drainer funcionam porque usuários confirmam solicitações que não entendem. Ferramentas de segurança ajudam a traduzir assinaturas e transações para algo mais legível, mas a decisão final ainda é sua: conferir antes de assinar.

Baixe ou experimente a OneKey Wallet, use recursos como interpretação de assinaturas e simulação de transações, e opere com mais consciência de risco no mercado de perpétuos descentralizados por meio do OneKey Perps.

Aviso de risco: este conteúdo é apenas educacional e não constitui recomendação de investimento, aconselhamento financeiro, aconselhamento jurídico ou garantia de segurança. Técnicas de Drainer evoluem continuamente, e nenhuma medida oferece proteção completa. Ativos on-chain roubados geralmente não podem ser recuperados. Negocie criptoativos apenas depois de entender os riscos; trading com alavancagem pode causar perdas superiores ao capital inicial.