Golpes de phishing em cripto: os 7 ataques que miram sua carteira

KriptoBR Blog · 12 de Maio de 2026 · leitura de 9 min

Em janeiro de 2026, clientes da Ledger — a fabricante de hardware wallets mais vendida do mundo — foram avisados de que seus nomes, contatos e detalhes de pedidos haviam vazado através da Global-e, parceira de pagamentos da empresa. Nenhuma criptomoeda foi tocada. Nenhuma senha, nenhuma frase de recuperação. E mesmo assim, dias depois, as caixas de entrada dessas pessoas começaram a encher de emails urgentes, cartas com QR code e ligações de um “suporte” muito prestativo.

Isso não é coincidência. É a mecânica do phishing em cripto: o criminoso não invade o seu cofre — ele convence você a abrir a porta. E como transações em blockchain são irreversíveis, não existe “estornar no cartão” depois.

Neste guia, você vai ver como esses golpes funcionam na prática, usando como estudo de caso a lista oficial de campanhas de phishing que a própria Ledger mantém — um catálogo do que os criminosos estão fazendo agora contra donos de carteiras. E o que vale para usuários Ledger vale para todo o mercado: Trezor, SecuX, corretoras, MetaMask… a isca muda de logo, o anzol é o mesmo.

O que é phishing em cripto (e por que é tão eficiente)

Phishing é a fraude em que o criminoso se passa por uma empresa ou serviço legítimo para “pescar” suas informações — e, no mundo cripto, o troféu é quase sempre um destes três:

• Sua frase de recuperação (as 12 ou 24 palavras) — com ela, o golpista recria sua carteira em qualquer lugar do mundo e saca tudo;
• Uma assinatura maliciosa — ele induz você a aprovar uma transação ou permissão que drena seus fundos;
• A instalação de um app ou extensão falsos — que capturam o que você digita ou trocam endereços de destino.

Repare no detalhe: em nenhum dos três cenários o criminoso “quebra” a criptografia da carteira. O alvo do ataque não é a máquina — é o ser humano na frente dela. A Ledger Academy resume os truques de engenharia social em três ingredientes: imitação de marcas conhecidas, urgência (“você tem 4 horas”) e medo (“sua conta será bloqueada”). Sob pressão, até veterano clica.

Por que esses golpes explodiram

Golpistas trabalham com listas — e o mercado cripto forneceu listas de altíssima qualidade:

Quem compra uma hardware wallet declara, sem querer, duas coisas ao vazador: “tenho cripto suficiente para proteger” e “este é meu email”. É o público-alvo perfeito. O resultado são campanhas de phishing personalizadas, que chamam você pelo nome e às vezes citam o modelo do dispositivo que você comprou. Parecem legítimas — e é exatamente essa a armadilha.

Os 7 golpes documentados contra usuários de carteiras

A lista abaixo vem do catálogo oficial de campanhas ativas que a Ledger publica e atualiza — adaptada com o olhar KriptoBR para o contexto brasileiro. Se você usa qualquer carteira ou corretora, os mesmos padrões se aplicam.

1. O email “oficial” com domínio maquiado

Emails pedindo para “atualizar o firmware”, “ativar 2FA” ou “verificar sua conta” — visualmente idênticos aos verdadeiros, mas enviados de domínios como ledger.com-a42-encryption…cloud. O truque: o nome da marca aparece no começo do endereço para enganar o olho apressado. Após o caso Global-e, surgiram ondas de emails falsos usando exatamente esse gancho (“seus dados vazaram, proteja seus fundos agora”).

2. A carta física com QR code

Sim, golpe pelo correio: cartas impressas com papel timbrado, mandando escanear um QR code e “validar” a carteira digitando as 24 palavras — por segurança, claro. Existe até variação pedindo transferência para um “endereço-cofre”. Grave isto: fabricante de carteira não manda carta. Recebeu? É golpe, sem exceção.

3. A ligação do “suporte” prestativo

O golpista liga (às vezes em português impecável), diz que houve “tentativa de recuperação da sua conta em outro país” e chega a abrir um ticket de suporte real para ganhar credibilidade — há casos de criminosos se passando pela CoinCover, parceira do serviço Ledger Recover. O objetivo é sempre o mesmo: guiar você “passo a passo” até entregar a frase ou aprovar uma transação. Empresa séria não liga para você.

4. O app ou site clonado

Réplicas convincentes do Ledger Wallet (e de outras carteiras) que, após um “erro inesperado”, pedem a frase de recuperação para “restaurar seu acesso”. Também circulam sites com URLs quase idênticas às oficiais — o clássico opensea.it no lugar de opensea.io. Baixe apps somente pelo link do site oficial (no caso da Ledger, ledger.com/ledger-live) e digite o endereço à mão.

5. O airdrop-isca (NFTs e tokens misteriosos)

Do nada, aparece um NFT ou token na sua carteira prometendo um prêmio — basta “resgatar” num site. O site pede uma assinatura que parece inofensiva… e drena a carteira. Token desconhecido que caiu sozinho não se vende, não se transfere e não se “resgata”: oculta e ignora.

6. O falso funcionário nas redes sociais

Perfis se passando por suporte ou funcionários respondem seu comentário no X, Discord ou Instagram em minutos, sempre puxando a conversa para o privado e para “outra plataforma”. Suporte de verdade não desliza na sua DM — e nunca atende por WhatsApp ou Telegram.

7. O SMS/WhatsApp de urgência (o preferido no Brasil)

“Detectamos um acesso suspeito”, “seu dispositivo será desativado”, com link encurtado. No Brasil, a variante via WhatsApp é a mais comum — inclusive com golpistas oferecendo “hardware wallet com desconto” em marketplaces e grupos. Dispositivo de segurança comprado de estranho ou usado pode vir adulterado: compre somente de revendedor oficial.

A regra de ouro das 24 palavras

O que a Ledger (e nenhuma empresa séria) jamais vai fazer

A própria Ledger mantém uma lista pública do que nunca fará. Vale colar na parede mental — e aplicar a qualquer empresa do mercado:

Na dúvida, feche tudo e digite o endereço oficial à mão no navegador. Trinta segundos de paciência valem mais que qualquer antivírus.

Checklist KriptoBR: 10 hábitos que blindam sua carteira

1. Frase de recuperação só no papel (ou placa de metal), offline, longe de câmeras — jamais em foto, nuvem ou gerenciador de senhas.
2. Endereços oficiais nos favoritos — e o hábito de digitar à mão em vez de clicar em links.
3. Confira o remetente letra por letra — domínio parecido não é domínio igual.
4. Urgência = alarme. Prazo apertado e ameaça de bloqueio são assinatura de golpe, não de empresa.
5. Nunca assine o que não entende. Leia o que aparece na tela do dispositivo antes de aprovar; se não bate com o que você quis fazer, rejeite.
6. Segregue suas carteiras — uma para o dia a dia e testes, outra (hardware wallet) para a reserva de longo prazo.
7. 2FA com chave física no email e na corretora — SMS é o elo mais fraco.
8. Token ou NFT que caiu do céu: oculte e ignore — nunca interaja.
9. Firmware e apps só pelo canal oficial — nada de “atualização” que chega por email.
10. Hardware wallet só de revendedor oficial, lacrada e nova — dispositivo usado ou “promoção” de marketplace pode vir com a frase pré-configurada pelo golpista.

Caí no golpe — e agora?

Velocidade importa mais que vergonha. O roteiro:

• Apareceu uma transação estranha para aprovar? Rejeite no dispositivo e pronto — nada sai sem a sua assinatura física;
• Recebeu ligação “do suporte”? Desligue. Se surgiu um ticket que você não abriu, reporte-o como fraude;
• Denuncie: encaminhe o email ou link para [email protected] (golpes envolvendo a marca), reporte a página no Google Safe Browsing e registre boletim de ocorrência na delegacia virtual do seu estado;
• Avise sua comunidade — golpe denunciado cedo é carteira alheia salva.

Perguntas frequentes