Site falso de Trezor toma o topo do Google e a confiança do usuário

A ferramenta que todo usuário de carteira física usa para chegar ao site oficial virou a porta de entrada do golpe. Uma página falsa se passando pela Trezor subiu para o topo dos resultados patrocinados do Google quando alguém pesquisava por Trezor wallet, e a empresa confirmou que o incidente é real. Quem confiava no caminho mais óbvio acabou entregando a chave da própria carteira a um estranho.

O anúncio levava a uma página hospedada em sites.google.com/view/start-trezor-suite.

O detalhe explica o alcance do golpe. O endereço começava em sites.google.com, um domínio que a maioria das pessoas trata como confiável por associação com a própria Google, e a página imitava a interface oficial da Trezor com fidelidade suficiente para enganar quem não olhasse duas vezes. A parceria implícita com uma marca conhecida foi o que convenceu as vítimas a digitar o que nunca deveriam digitar fora do aparelho.

Pelo menos uma vítima relatou ter perdido toda a economia de vida.

O usuário David, da conta ReallyBadDay99 no X, descreveu na quinta-feira que perdeu o que tinha depois de clicar no resultado patrocinado ao procurar por Trezor wallet. Ele chegou a divulgar o endereço de coleta para investigadores de blockchain como ZachXBT e CertiK, pedindo que acompanhassem os fundos e tentando dar uma pista do tamanho do estrago.

Os registros on-chain desse endereço mostram cerca de 24 bitcoins entrando, algo em torno de US$ 1,5 milhão.

O número, porém, não deve ser lido como cifra fechada. A alegação da vítima de que a operação estaria recolhendo milhões não foi verificada de forma independente, e o montante exato segue em aberto até que os investigadores fechem a conta das carteiras atingidas. O dado de 24 bitcoins é o que a blockchain mostra, não a sentença final.

Como o golpe com a frase de recuperação funciona

A chave do golpe é a frase de recuperação. Quem entra com as 12 ou 24 palavras da carteira em um site falso entrega, na prática, o controle de tudo para o atacante, que pode reconstruir a carteira em outro aparelho e transferir os ativos sem precisar do hardware original. O dispositivo físico deixa de ser uma proteção quando a própria sequência de palavras vaza, e é exatamente essa sequência que a página falsa pedia em troca de uma falsa sensação de segurança.

A resposta da Trezor e a defesa do usuário

A Trezor reconheceu o caso na sexta-feira e disse que trabalha com o Google para tirar o anúncio fraudulento do ar, além de alertar para o aumento de sites de phishing se passando por ela em resultados patrocinados que parecem extremamente convincentes.

A regra que a empresa repetiu é a mais básica da segurança crypto.

Nunca digitar a frase de recuperação em um site.

O caso também não é inédito. Golpes com anúncios patrocinados no Google miram usuários de crypto há pelo menos dois anos, e um esquema semelhante com sites falsos da Uniswap em maio teria custado mais de US$ 400 mil a vítimas. A recorrência expõe a fraqueza da revisão de anúncios da própria plataforma.

Para quem usa carteira física, a defesa é simples e repetida. Salvar o site oficial nos favoritos em vez de buscar toda vez, nunca entrar com a frase de recuperação em uma página e tratar qualquer resultado patrocinado com desconfiança. Quem já digitou a frase em um site suspeito deve considerar a carteira comprometida e mover os fundos para uma nova, criada com um backup limpo e guardado longe de telas.

A lição de hoje é direta. O caminho mais curto até a carteira virou a armadilha mais eficiente, e a confiança automática na primeira resposta do Google é o que o golpe explora melhor.