A equipe de segurança da Trust Wallet confirmou que um site que anunciava um cartão de pagamento de criptomoedas com benefícios excepcionalmente generosos é fraudulento e alertou os usuários para não conectarem suas carteiras à plataforma.
Resumo
- A equipe de segurança da Trust Wallet confirmou que um site que anunciava um cartão de pagamento de criptomoedas com benefícios premium é fraudulento e alertou os usuários para não conectarem suas carteiras.
- O site falso promete um limite de gastos de US$ 100.000, cashback de até 8%, nenhum requisito de KYC e acesso a salas VIP de aeroportos, com a emissão do cartão anunciada por apenas US$ 1.
- O pesquisador de segurança Daniel sinalizou o site após descobrir que ele usava a marca da Trust Wallet para promover três níveis de cartão e alegava possuir licenças em quatro países.
- A Trust Wallet esclareceu que suas ofertas legítimas estão disponíveis por meio de seu aplicativo e site oficiais, alertando os usuários para não aprovarem solicitações suspeitas de conexão de carteira ou assinaturas.
O pesquisador de segurança de criptomoedas Daniel, conhecido como @0xDani no X, sinalizou o cartão falso da Trust Wallet em uma publicação em 28 de outubro, apontando para um site que usava a marca do provedor de carteira para promover um cartão de pagamento com limite de gastos de US$ 100.000, recompensas de cashback de até 8% e vários benefícios premium.
O site anunciava o cartão como uma forma de gastar criptomoedas em qualquer lugar, com suporte para Apple Pay e Google Pay, zero taxas de câmbio e nenhum requisito de verificação de identidade.
James Bro, que se identificou como porta-voz da equipe de segurança da Trust Wallet, respondeu ao alerta e confirmou que o site não estava associado à empresa.
Cartão falso da Trust Wallet promete benefícios premium por US$ 1
De acordo com as capturas de tela de Daniel, o site fraudulento apresentava o que parecia ser uma oferta de cartão de criptomoedas totalmente desenvolvida, completa com vários níveis de associação e um cartão de metal premium.
Seu material promocional anunciava um limite de gastos de até US$ 100.000, juntamente com recompensas de cashback que chegavam a 8% para usuários que escolhessem o nível de cartão mais alto.
A oferta incluía acesso a salas VIP de aeroportos, zero taxas de câmbio, suporte a serviços de pagamento móvel e um cartão físico de metal, tudo isso alegando que os usuários precisariam pagar apenas US$ 1 para ter seu cartão emitido.
Uma das características mais incomuns era a promessa de nenhuma verificação Know Your Customer, comumente chamada de KYC, apesar de o site anunciar serviços de pagamento e alegar possuir licenças em quatro países.
As capturas de tela compartilhadas por Daniel mostravam três níveis de cartão, incluindo Lite, Signature e Metal, cada um com o nome e o logotipo da Trust Wallet.
O cartão Lite de nível básico prometia cashback de até 3%, enquanto a versão Signature anunciava recompensas que chegavam a 5%, juntamente com zero taxas de câmbio e suporte prioritário.
Enquanto isso, o nível Metal era promovido com 8% de cashback, acesso ilimitado a salas VIP de aeroportos e serviços de concierge 24 horas por dia.
No entanto, a oferta exigia que os usuários conectassem suas carteiras de criptomoedas, o que Daniel identificou como a parte perigosa do esquema.
Equipe de segurança da Trust Wallet nega ligação com o site
Respondendo ao alerta de Daniel no X, James Bro confirmou que o site não pertencia à Trust Wallet e direcionou os usuários ao aplicativo e site oficiais da empresa.
Ele explicou que as ofertas legítimas da Trust Wallet estão disponíveis por meio de seus canais oficiais e alertou os usuários para não conectarem suas carteiras ou aprovarem solicitações suspeitas para obter um cartão de pagamento.
O alerta abordou especificamente o requisito de conexão de carteira do site, que era apresentado como parte do processo para acessar os benefícios anunciados.
Embora o site usasse o nome da Trust Wallet, designs de cartões de pagamento e material promocional, a resposta da equipe de segurança estabeleceu que a oferta não era um produto autorizado da empresa.
Nenhuma perda financeira confirmada, endereços de carteira afetados ou detalhes sobre os operadores por trás do site fraudulento foram fornecidos nas postagens.
O alerta segue casos anteriores de criminosos se passando pela Trust Wallet por meio de aplicativos e sites não oficiais.
Em junho de 2024, o crypto.news noticiou que a Trust Wallet havia alertado os usuários sobre versões falsificadas de seu aplicativo aparecendo nas lojas de aplicativos Xiaomi e Amazon.
Na época, a empresa disse que havia solicitado a remoção dos aplicativos fraudulentos e incentivado os usuários a obter seu software de carteira por meio de canais de download verificados.
Sites falsos de criptomoedas podem usar aprovações de carteira para roubar fundos
Sites fraudulentos de criptomoedas comumente tentam obter acesso aos ativos dos usuários persuadindo-os a aprovar transações maliciosas ou assinar permissões que parecem fazer parte de um serviço legítimo.
Uma conexão de carteira sozinha não dá automaticamente a um site permissão para transferir criptomoedas. No entanto, os atacantes podem usar solicitações de transação ou assinaturas subsequentes para obter permissões de gasto sobre tokens específicos.
Tais permissões podem permitir que um contrato inteligente controlado pelo atacante transfira ativos sem exigir que a vítima revele sua frase de recuperação.
Em julho, um usuário de Ethereum teria perdido quase US$ 1 milhão após aprovar uma transação maliciosa que permitiu aos atacantes mover criptomoedas da carteira afetada.
O incidente seguiu outro roubo relatado envolvendo aproximadamente US$ 1,65 milhão, no qual uma vítima se conectou a um site de exchange fraudulento e assinou um contrato inteligente malicioso.
Métodos semelhantes foram identificados no início deste mês quando a empresa de segurança de blockchain Salus vinculou saques não autorizados de USDG a assinaturas de permissão que concederam aos atacantes permissões ilimitadas de gasto de tokens.
De acordo com as descobertas da empresa, os atacantes usaram essas permissões para transferir fundos após obter autorização, sem precisar de acesso às chaves privadas das vítimas.
