Nem Wang Chun Escapou: "Mensalidade" de US$ 50 Milhões e Por que o Envenenamento de Endereços Ainda Funciona

A perda de quase US$ 50 milhões em USDT em 20 de dezembro de 2025 reacendeu o debate sobre um dos golpes mais simples, porém mais eficazes do mundo cripto: o envenenamento de endereços. Investigadores on-chain relataram no X que a vítima copiou um endereço semelhante de uma transação recente e enviou 49.999.950 USDT para uma carteira falsa — um erro explorado pelo golpista em questão de minutos. Dados públicos da Etherscan confirmam que o endereço receptor foi posteriormente marcado como responsável por phishing, e que a vítima havia acabado de retirar os fundos da Binance antes de cometer o erro. Matérias de grandes portais reforçam a trilha dos fundos e a armadilha do endereço parecido. (etherscan.io)

O que realmente aconteceu no golpe dos US$ 50 milhões

• A vítima inicialmente enviou um teste de 50 USDT para o endereço correto, terminando em …F8b5.
• Um golpista rapidamente criou um endereço personalizado com os mesmos primeiros e últimos caracteres e "envenenou" o histórico da vítima com uma pequena transferência.
• Poucos minutos depois, a vítima copiou o endereço errado do histórico e transferiu os 49.999.950 USDT para a carteira do criminoso.

Diversos resumos do incidente confirmam essa sequência e as duas carteiras visualmente parecidas. (blockchain.news)

Após o golpe, o atacante agiu para evitar qualquer tentativa de congelar os fundos, convertendo os USDT em DAI, e depois em ETH, antes de lavar os ativos utilizando o Tornado Cash. Essa estratégia é comum para minimizar riscos de bloqueio e dificultar a recuperação. (phemex.com)

Você pode acompanhar a trilha on-chain diretamente: carteira da vítima 0xcB80784…0819 e carteira do golpista 0xBaFF2F…08f8b5 na rede Ethereum. (etherscan.io)

Por que o envenenamento de endereços continua funcionando

Esse golpe não fura a criptografia — ele se aproveita de hábitos humanos e atalhos das interfaces:

• A maioria das carteiras encurta os endereços, levando os usuários a verificar só o começo e o fim. Golpistas criam endereços com os mesmos padrões e "semeiam" o histórico da vítima com pequenas quantias. Quando a vítima copia o último endereço da lista, pode acabar colando o falso. Entenda melhor no guia da Central de Ajuda da MetaMask. (support.metamask.io)
• A verificação de integridade EIP‑55 do Ethereum serve para detectar erros de digitação, não endereços visualmente idênticos mas válidos. Entender o EIP‑55 e seus limites é fundamental — checksums não vão impedir um endereço falso com aparência legítima. (eips.ethereum.org)

"Nem veteranos escapam": o alerta de Wang Chun

Wang Chun, cofundador da F2Pool, publicou no X que suspeitou de um vazamento de chave privada em 2024 e resolveu “testar” a hipótese enviando 500 BTC para o endereço suspeito. Resultado: 490 BTC desapareceram, restando apenas 10 BTC. O caso mostra que perdas grandes ainda surgem mais por falhas operacionais do que por bugs em protocolos. A postagem gerou repercussão significativa na mídia especializada. (theblockbeats.info)

“Por que não congelar o USDT?”

Tecnicamente, é possível congelar tokens USDT através de ações do emissor. Mas isso não acontece instantaneamente, e os criminosos sabem disso — correndo contra o tempo. Estudo recente mostrou atrasos e trâmites nos processos de bloqueio em grandes redes, oferecendo uma janela para os golpistas trocarem por ativos não bloqueáveis ou lavarem via mixers. Por isso, muitos convertem para DAI ou ETH antes de executar o esquema. (cointelegraph.com)

O panorama maior de 2025: carteiras pessoais sob ataque

Segundo o relatório anual da Chainalysis, os roubos em cripto totalizaram mais de US$ 3,4 bilhões em 2025 — com um aumento marcante nas invasões a carteiras pessoais, enquanto os ataques a plataformas DeFi apresentaram queda relativa. Embora poucos casos de alto impacto concentrem a maior parte dos valores, erros individuais como envenenamento de endereços estão ficando cada vez mais caros no total. (chainalysis.com)

Um guia prático e testado para evitar o envenenamento de endereços

Siga este checklist a cada transferência significativa:

1. Verifique o endereço inteiro, não só o início/fim. Se não conseguir revisar cada caractere, não envie. A MetaMask é direta: nunca copie endereços do histórico de transações. (support.metamask.io)
2. Use uma agenda de endereços/aprovações. Crie contatos nomeados e confiáveis para destinatários frequentes e restrinja os envios às entradas autorizadas quando possível.
3. Confirme na tela do hardware. Verifique o destino diretamente no dispositivo físico, protegendo-se contra malwares, alteração na área de transferência ou histórico comprometido.
4. Verificação fora de banda. Para grandes quantias, valide o endereço com a contraparte via mensagem assinada ou canal seguro pré-acordado (PGP, Signal).
5. Simulação e análise de risco. Utilize ferramentas confiáveis para simular swaps e identificar endereços suspeitos ou permissões maliciosas antes de assinar.
6. Use nomes legíveis como ENS para pagamentos recorrentes, mas ainda verifique se o endereço resolvido corresponde ao seu contato no momento da assinatura.
7. Procedimentos internos para times e instituições. Exija controle duplo para envios, listas de endereços aprovados e prints da tela do hardware em cada autorização.

Para usuários da OneKey

Se você já utiliza OneKey, aproveite ao máximo os recursos do dispositivo:

• Confirme sempre o endereço de destino na tela da OneKey antes de assinar. A exibição clara no dispositivo impede que o app ou histórico malicioso substitua o endereço no último momento.
• Use listas de contatos/aprovações no app para destinatários frequentes. Em operações de alto valor, combine com políticas de múltiplas autorizações.
• Mantenha o firmware e o app OneKey atualizados; sua base open-source e as verificações de integridade autenticam o software que você está usando.

Nada garante invulnerabilidade — mas isso dificulta muito a execução prática do golpe.

Considerações finais

O envenenamento de endereços revela um fato desconfortável sobre o mundo cripto: os maiores riscos são operacionais, não técnicos. O caso dos US$ 50 milhões mostra como um simples copiar-colar pode equivaler a apagar anos de trabalho. Se você movimenta grandes valores, adote um mindset paranoico: trate endereços como dados bancários. Verifique por fora, no dispositivo, toda vez.

Referências: resumos de incidentes, dados on‑chain, dicas de segurança para carteiras e tendências principais de 2025. Confira o relato completo da Cointelegraph, registros da Etherscan, o guia da MetaMask, a especificação do EIP‑55, o panorama da Chainalysis e as matérias em chinês sobre Wang Chun no BlockBeats. (cointelegraph.com)

Se você ainda não usa uma carteira de hardware e uma rotina segura, agora é a hora de começar. Para quem já está com a OneKey, lembre-se: “verifique no dispositivo”, salve contatos confiáveis e exija checagens múltiplas para transferências altas — hábitos simples que neutralizam diretamente o truque principal do envenenamento de endereços.