EntrarCadastrar

Publicado em · Atualizado em

Como identificar um site falso de airdrop: o link de resgate é o ataque

Todo prazo de airdrop dá a largada para uma corrida, e o site falso de airdrop é a arma que o outro lado usa para vencê-la. Quem tem direito corre para resgatar, enquanto as páginas falsas de resgate correm para fisgar essas pessoas primeiro. Veja o que os dados dizem sobre os dois lados dessa corrida e como confirmar o domínio oficial antes de conectar qualquer coisa.

Uma placa vermelha e amarela de "DANGER" (perigo) presa a um poste em um litoral de pedras
Foto: ornaw / Pixabay

Por que os links de resgate importam: valor real, prazos rígidos

Airdrops movimentam dinheiro de verdade. O ranking da CoinGecko com os 50 maiores airdrops soma um valor total de US$ 26,6 bilhões, medido pelo preço máximo histórico de cada token, e não pelo que os destinatários de fato embolsaram (ranking de 21 de dezembro de 2023).

Parte desse valor depende de um prazo. Dois projetos publicaram prazos rígidos de resgate para outubro de 2026, e os dois já passaram:

  • Sonic. O blog oficial da Sonic Labs (2 de abril de 2026) dizia que aproximadamente 32.690.000 S das Temporadas 1 e 2 continuavam sem ser resgatados e "serão queimados em 15 de outubro de 2026 se não forem resgatados antes do prazo". O post apontava my.soniclabs.com/airdrop como o portal de resgate.
  • Pharos. O FAQ do airdrop da Pharos diz: "Você terá 180 dias a partir de 28 de abril para resgatar seus tokens. Depois de 25 de outubro, todos os tokens não resgatados após o prazo serão devolvidos à Pharos Foundation." O FAQ fica em claim.pharos.xyz, um subdomínio do site principal do projeto, pharos.xyz.
Linha do tempo marcando o prazo da Sonic em 15 de outubro de 2026 e o prazo da Pharos em 25 de outubro
Gráfico: os dois prazos de resgate de outubro, como publicados pelos projetos. O gráfico não diz nada sobre quem é elegível. Fontes: Sonic Labs (2 abr. 2026), FAQ da Pharos (ambos conferidos novamente em 2 out. 2026). Gráfico feito pelo PoolIndex com os dados citados.

Este artigo não diz quem se qualifica para nenhum dos dois programas, e nem poderia. Só os portais e documentos dos próprios projetos podem dizer isso. O que dá para prever é que prazos trazem urgência, e urgência é exatamente o que as páginas falsas de resgate vendem. Depois que o prazo passa, qualquer página que ainda ofereça "resgatar" é falsa.

O problema: "Tomem cuidado por aí"

Em 24 de setembro de 2023, a janela de resgate do airdrop da Arbitrum fechou no bloco 18208000 do Ethereum. A documentação oficial da Arbitrum Foundation hoje diz com todas as letras: "$ARB não pode mais ser resgatado." Quando os 69.448.385 ARB que sobraram foram transferidos para o tesouro da DAO, a fundação acrescentou um alerta. Segundo o The Block, em reportagem de 25 de setembro de 2023, a fundação publicou: "Esses tokens não podem ser resgatados em lugar nenhum. Tomem cuidado por aí."

Um projeto que acabou de fechar uma janela de resgate não precisa pedir cuidado a ninguém, a menos que alguma coisa esteja à espreita. A mesma documentação traz esta frase desde o lançamento: "O único site oficial do airdrop $ARB é https://arbitrum.foundation. Não existe pré-venda." O FAQ da Starknet é ainda mais direto: "A Starknet Foundation é o único órgão que conduz as distribuições de STRK. Qualquer um que diga estar conduzindo distribuições paralelas está aplicando um golpe."

Os projetos escrevem essas frases porque é previsível que surja uma versão falsa da sua página de resgate.

CITAÇÃO
"Qualquer um que diga estar conduzindo distribuições paralelas está aplicando um golpe." (FAQ da Starknet Foundation)

Close de um anzol afiado disfarçado de isca colorida
Foto: herriest / Pixabay

Constatação 1: o phishing de airdrop funciona como uma franquia

Um estudo acadêmico de 2025 sobre "Drainer-as-a-Service" no Ethereum, resumido pela BlockSec em 21 de outubro de 2025, descreve uma indústria, não golpistas isolados. Operadores criam e alugam kits de drainer, e afiliados os espalham "por meio de redes sociais, airdrops falsos e contas comprometidas". Os pesquisadores rastrearam mais de US$ 135 milhões roubados de 76.582 vítimas entre março de 2023 e abril de 2025, e identificaram e denunciaram 32.819 sites de phishing.

Uma conclusão chama a atenção de quem confia em listas de bloqueio: "apenas 10,8% dos endereços ligados a DaaS no conjunto de dados tinham sido sinalizados antes em rastreadores públicos como o Etherscan".

Card com os principais números: US$ 135 milhões roubados, 76.582 vítimas, 32.819 sites de phishing, 10,8% dos endereços de drainers sinalizados antes
Gráfico: números-chave do Drainer-as-a-Service. Fonte: BlockSec sobre o artigo do ACM IMC 2025, 21 out. 2025. Gráfico feito pelo PoolIndex com os dados citados.

Constatação 2: as perdas caíram, mas a máquina continua de pé

O relatório de 2025 da Scam Sniffer (3 de janeiro de 2026) registrou US$ 83,85 milhões em perdas para wallet drainers, com 106.106 vítimas em redes EVM. Uma queda em relação aos US$ 494 milhões de 2024. A Scam Sniffer trata essa queda com cuidado: o número é um "piso", e "a queda nas perdas rastreáveis pode refletir, em parte, uma migração para vetores de ataque mais difíceis de rastrear". A frase que resume o relatório é "Lower losses ≠ gone threats" (perdas menores não significam ameaças extintas).

Barras mostrando US$ 295 milhões em 2023, US$ 494 milhões em 2024 e US$ 83,85 milhões em 2025 perdidos para wallet drainers
Gráfico: perdas e vítimas de drainers, de 2023 a 2025. Fonte: Scam Sniffer, 3 jan. 2026. Gráfico feito pelo PoolIndex com os dados citados.

A Scam Sniffer também concluiu que as perdas acompanham a atividade do mercado. Em 2025, as perdas mensais foram de US$ 2,04 milhões (dezembro) a US$ 12,17 milhões (agosto), e o trimestre de pico coincidiu com a maior alta do ETH no ano. Mercado aquecido traz mais resgates, mais links e mais vítimas.

Gráfico de linha das perdas mensais com drainers em 2025, com pico de US$ 12,17 milhões em agosto
Gráfico: perdas mensais com drainers em 2025. Fonte: Scam Sniffer, 3 jan. 2026. Gráfico feito pelo PoolIndex com os dados citados.

O quadro geral é pior. A Chainalysis estima (13 de janeiro de 2026) que US$ 17 bilhões foram roubados em golpes e fraudes com cripto em 2025, com os golpes de falsificação de identidade crescendo 1.400% em relação ao ano anterior. Uma página falsa de resgate é uma forma de falsificação de identidade.

Constatação 3: links de "Base airdrop checker" aparecem até onde não existe token

Tokens que só existem em boatos atraem páginas falsas de resgate tanto quanto os reais. A Base, a layer 2 da Coinbase no Ethereum, disse no BaseCamp 2025 que está "começando a explorar um token de rede". Em seu post oficial de 15 de setembro de 2025, acrescentou: "Estamos nas fases iniciais da nossa exploração e não temos detalhes para compartilhar sobre prazo, design ou governança." Na data desse post, não havia nada para resgatar. Qualquer "Base token checker" deve ser conferido nos canais oficiais da Base, e não em um link deixado numa resposta. Mais em existe um token da Base? (em inglês) e rumores de token e verificadores usados como isca (em inglês).

Como identificar um site falso de airdrop: confirme o domínio a partir do próprio projeto

1. Pegue a URL de resgate com o próprio projeto, não em um resultado de busca

Comece pelo blog, pela documentação ou pela conta verificada do próprio projeto. O blog da Sonic indicava o seu portal, e a documentação da Arbitrum indicava o único site oficial. Depois, digite você mesmo esse endereço. Veja como encontrar os links oficiais de um projeto (em inglês).

2. Leia o domínio da direita para a esquerda: o teste do site de resgate falso

A parte que vem logo antes do domínio de topo indica quem é o dono. claim.project.example pertence a project.example. Um domínio parecido, como project-claim.example ou claim.project.example.support-page.example, pertence a outra pessoa. O portal da Pharos passa nesse teste porque claim.pharos.xyz está sob pharos.xyz. Fique de olho em letras trocadas e palavras a mais. Para praticar: como ler uma URL da direita para a esquerda (em inglês).

Diagrama mostrando claim.project.example como subdomínio legítimo e dois domínios parecidos marcados com alertas vermelhos
Diagrama: feito pelo PoolIndex em código. Usa apenas domínios reservados .example.

3. Confira o prazo na página oficial

Se a janela fechou, como aconteceu com a da Arbitrum, não sobrou nada para resgatar, e qualquer página que diga o contrário é falsa.

4. Saiba o que é preciso para "verificar" e o que não é

Para verificar, basta o seu endereço público, nada além disso. Você conecta uma carteira apenas para resgatar, e somente no portal oficial. Frase-semente ou chave privada nunca fazem parte de nenhuma das duas etapas.

5. Leia cada pedido de assinatura

O que os kits de drainer buscam é uma assinatura. Se o pedido for uma aprovação (approval) ou permissão (permit) que você não entende, não assine. Se você já assinou algo, leia aprovações de tokens: o que o histórico da sua carteira revela (em inglês).

6. Não confie em urgência, DMs ou "suporte"

Respostas nos posts de um projeto, DMs oferecendo ajuda e resultados patrocinados são caminhos comuns para links falsos. Veja pesquise uma URL de resgate antes de clicar (em inglês).

TESTE RÁPIDO: ESTE AIRDROP É LEGÍTIMO?
Recebi este link pelo canal do próprio projeto? Lendo da direita para a esquerda, o domínio pertence ao projeto? A janela continua aberta na página oficial? Esta página está pedindo uma assinatura só para "verificar"?

Onde o PoolIndex entra

Aviso: o PoolIndex publica este guia.

O PoolIndex é uma ferramenta para Windows e Android que pesquisa resgates públicos de cripto. Cada resultado mostra a rede e como foi verificado, e os resultados de airdrop têm link para a fonte oficial. As fontes que falham aparecem marcadas como falha, em vez de ficarem escondidas. Você também pode pesquisar uma URL de resgate antes de abri-la: o PoolIndex mostra o que foi encontrado naquele link, com a evidência e a fonte de cada achado, para que você mesmo avalie. Ele não dá um veredito de "seguro" ou "inseguro", e os canais do próprio projeto continuam sendo a única fonte para elegibilidade e para o domínio oficial de resgate. Para pesquisar um endereço em vez de um link, veja como verificar um endereço de carteira sem conectá-la (em inglês).

O PoolIndex verifica usando apenas o endereço público da sua carteira, o mesmo endereço que qualquer pessoa já consegue ver na blockchain. Ele nunca pede sua frase-semente nem sua chave privada, então não tem em mãos nada que possa movimentar seus fundos.

Veja como o PoolIndex funciona. Baixe na Microsoft Store (Windows) ou no Google Play (Android). Grátis após o cadastro: verifique 1 carteira e 5 links por mês. Windows e Android.

Perguntas frequentes

Como identifico um site falso de airdrop?
Pegue o link no blog, na documentação ou na conta verificada do próprio projeto, leia o domínio da direita para a esquerda para confirmar que ele pertence ao projeto, confira o prazo na página oficial e recuse qualquer pedido de assinatura ou de frase-semente feito só para "verificar".

Como sei se um airdrop de cripto é legítimo?
Só os canais do próprio projeto podem confirmar um airdrop e o seu portal de resgate. Se o link veio de uma DM, de uma resposta ou de um anúncio, ou se a página pede uma frase-semente ou que você envie fundos primeiro, trate-o como falso.

Um site de resgate que pede para conectar a carteira é golpe?
Não necessariamente. Portais oficiais, como o da Pharos, pedem que você conecte uma carteira para resgatar. O sinal de alerta é receber um pedido para conectar ou assinar só para verificar, ou encontrar o link em qualquer lugar que não sejam os canais do próprio projeto.

O prazo acabou. Alguém ainda pode me ajudar a resgatar?
Não. A fundação da Arbitrum foi direta: "Esses tokens não podem ser resgatados em lugar nenhum."

Existe um verificador oficial de airdrop da Base?
O post oficial da Base diz que ela está apenas explorando um token de rede e não tem detalhes sobre prazo, design ou governança. Desconfie de qualquer "Base airdrop checker" ou página de resgate de token da Base.

Alguma ferramenta pode me dizer que um site de resgate é seguro?
Nenhuma ferramenta pode garantir isso. A pesquisa resumida pela BlockSec concluiu que só 10,8% dos endereços ligados a drainers tinham sido sinalizados antes em rastreadores públicos. Trate o resultado de qualquer ferramenta como uma evidência a ser avaliada e confirme o domínio pelos canais do próprio projeto.

O que faço se assinei algo em um site falso de airdrop?
Pare de interagir com o site e revise suas aprovações de tokens em uma ferramenta que você acessa digitando o endereço por conta própria; revogue tudo o que você não pretendia autorizar. Se você digitou uma frase-semente, considere essa carteira comprometida.

Fontes

As fontes estão em inglês. As citações neste artigo são traduções livres do PoolIndex.