Aprovações e assinaturas

Assinar mensagem na carteira: quando «só fazer login» é perigoso

Atualizado 3 min de leitura

Em resumo

  • Assinar mensagem não custa taxa, por isso parece seguro. Mas uma assinatura pode entregar uma aprovação de tokens ou confirmar a transação de outra pessoa.
  • Assinar um texto legível é seguro: «Entrar em example.com, código 4821».
  • Uma longa sequência hexadecimal, dados tipados com valor ou endereço, um aviso da carteira — motivos para recusar.

Por que sites pedem assinatura

Há um único motivo honesto: provar que o endereço é seu sem enviar transação. Muitos serviços fazem login assim. O texto dessa assinatura é legível: endereço do site, data, código de uso único.

Golpistas exploram o fato de a assinatura ser «grátis» e não parecer uma transferência.

Assinaturas perigosas

  • Assinatura às cegas. Mostram uma sequência como 0x8f3a… sem explicação. Pode ser a impressão digital de uma transação: ao assiná-la, você confirma uma transferência ou mudança de permissões que o golpista envia depois à rede.
  • Dados tipados (TIP-712 e similares). Dentro há campos como spender, amount, deadline. É uma aprovação dos seus tokens ou uma ordem de venda, feita sem transação.
  • Assinatura «para verificação AML» ou «para desbloquear». Nem verificar um endereço nem descongelar exige assinatura: o /check funciona só com o endereço.

Como ler a janela da carteira

  • Encontre o endereço do site que pede a assinatura. Bate com o que você abriu?
  • Procure as palavras spender, amount, approve, permit, endereços e valores. Login não precisa de nada disso.
  • Aviso de risco ou de «tipo de dado desconhecido» basta para recusar.

Se você já assinou

  1. Verifique as aprovações do endereço no GuardPay /revoke e revogue as desconhecidas, veja aprovações ilimitadas.
  2. Verifique se as permissões da conta mudaram, veja a armadilha da multiassinatura.
  3. Se houver sinais, passe os fundos para um endereço novo e siga o que fazer se você caiu num golpe.

Verifique e revogue aprovações

Quem pode gastar seus USDT, lido direto do contrato. Revogue na sua própria carteira: uma assinatura por aprovação, suas chaves ficam com você.

Verificar aprovações

Perguntas frequentes

Dá para cancelar uma assinatura de mensagem?

A assinatura em si não se retira. Se ela concedeu aprovação de tokens, dá para revogar com uma transação na carteira. Se assinou a transação de outra pessoa, ela já está na rede, e só ajuda passar o resto para um endereço novo.

Fazer login num site com assinatura é seguro?

Sim, se a janela mostra texto legível com o endereço do site e um código, sem valores nem endereços de destino. Essa assinatura não serve para mover dinheiro.

Este guia explica como os esquemas funcionam e como se proteger. Não é aconselhamento jurídico nem financeiro.

Leia também