Envenenamento de endereço na TRON: como um sósia entra no seu histórico

Como aparece

Você envia USDT com frequência para o mesmo destinatário: um fornecedor, uma exchange, um colega. Um dia surge uma linha nova no histórico da carteira — uma transferência de 0 USDT ou de alguns centavos. O endereço começa e termina exatamente como o do seu destinatário: os mesmos quatro primeiros e quatro últimos caracteres. O meio é diferente, mas a carteira costuma abreviá-lo com reticências.

Um dia ou uma semana depois você paga a mesma pessoa de novo, abre o histórico, copia o endereço «dela» da última linha — e o dinheiro vai para o golpista.

Por que um endereço sósia é tão fácil de forjar

Um endereço TRON tem 34 caracteres. Um computador comum encontra em poucas horas um endereço com os primeiros e últimos 4–5 caracteres iguais. Os golpistas não precisam da sua chave nem da sua assinatura: a blockchain é pública, então eles veem para quem você paga e criam um sósia exatamente para esse destinatário.

O sósia chega ao seu histórico de três formas:

• Poeira. Uma quantia mínima de TRX ou USDT enviada do sósia para você.
• Transferência de 0 USDT. O contrato do USDT permite que qualquer um dispare uma transferência de valor zero em nome de outra pessoa sem permissão. No explorador parece que você mesmo enviou 0 USDT ao sósia.
• Token falso. Um token chamado «USDT» num contrato alheio. A linha no histórico parece um pagamento real.

Quem vira alvo

Principalmente quem envia valores altos para os mesmos endereços: compradores e vendedores em negociações OTC, contadores, caixas de casas de câmbio, quem recarrega a conta da exchange com frequência. Quanto maiores e mais regulares seus envios, mais compensa ao golpista gastar com um sósia e poeira.

Três hábitos que protegem

1. Agenda de endereços, não histórico. Salve o endereço verificado do destinatário na agenda da carteira com um nome claro. Envie só pela agenda. O histórico de transações não é uma lista de contatos.
2. Confira cada caractere. Se precisar colar um endereço, compare-o inteiro, não só o começo e o fim. O mais prático é um QR code que o destinatário mostra no próprio aparelho ou uma mensagem dele por outro canal.
3. Envio de teste e verificação. Antes de um valor alto, mande um pequeno e peça ao destinatário para confirmar a chegada. Verifique o endereço novo no GuardPay /check: um endereço de poucos dias que manda poeira para dezenas de carteiras desconhecidas é motivo para parar.

O que fazer se o sósia já está no histórico

Não envie nada para esse endereço, nem para «devolver a poeira». Oculte a linha ou o token se a carteira permitir e pare de copiar endereços do histórico por um tempo. Avise quem você paga com frequência: essas pessoas também podem ter recebido um sósia.

Se uma transferência para o sósia já saiu, aja rápido: rastreie para onde o dinheiro foi antes que ele se dilua em casas de câmbio. Como fazer está em «Caí em golpe na TRON: o que fazer nas primeiras horas».

Para empresas

Assine pagamentos da carteira compartilhada apenas para endereços de uma lista aprovada com antecedência. Um endereço entra na lista a partir de um contrato ou de uma mensagem assinada pela contraparte, nunca do histórico. Uma pessoa prepara a transferência e outra confere o endereço inteiro. Endereços abreviados como «TXy…4k7» em planilhas e chats são exatamente a forma da qual o envenenamento depende.