Address poisoning: confira o destinatário antes de enviar

Para evitar o address poisoning, obtenha o endereço do destinatário de forma independente e compare o destino completo antes de confirmar. Não reutilize um endereço apenas porque uma linha recente de transação parece familiar. Uma entrada no histórico informa que uma atividade foi registrada; não estabelece que o endereço pertence à pessoa que você quer pagar.

Este guia oferece uma conferência do destinatário que pode ser repetida. Ele não pede que você mova fundos, assine uma transação de teste ou interaja com um token desconhecido.

Por que o endereço no histórico pode parecer certo

Em um golpe de address poisoning, um atacante cria um endereço parecido e o coloca no seu histórico por meio de uma transferência de valor insignificante ou zero. O objetivo é fazer você copiar esse endereço para um pagamento posterior. A explicação da MetaMask descreve o mecanismo e alerta contra confiar em começos e finais iguais: o meio pode ser diferente.

Receber uma entrada assim, por si só, não demonstra que suas chaves de assinatura foram comprometidas. O perigo está no destino que você escolher em seguida.

Imagine dois rótulos abreviados:

• Destinatário pretendido: MESMO-INÍCIO [meio verificado] MESMO-FINAL
• Imitação: MESMO-INÍCIO [meio diferente] MESMO-FINAL

São rótulos simbólicos, não endereços de carteiras. Se a interface esconde o meio, as duas linhas podem parecer igualmente familiares. Expandir uma linha revela mais caracteres, mas você ainda precisa de uma referência independente para saber qual endereço completo é o pretendido.

Prepare uma referência do destinatário antes de abrir Enviar

Escreva a finalidade da transferência em palavras simples: sua própria carteira de recebimento, a carteira de uma pessoa específica ou um depósito na sua conta em um serviço. Essa finalidade determina de onde a referência deve vir.

Destino pretendido	Referência independente
Sua própria carteira	Seu endereço completo de recebimento
Outra pessoa	Endereço confirmado por um canal de contato conhecido
Depósito em um serviço	Página atual de depósito dentro da conta oficial

Para outra pessoa, faça uma pergunta específica: “Este é seu endereço de recebimento para esta rede?” Envie o endereço candidato completo pelo canal que você já usa com ela. Uma resposta de uma conta desconhecida não confirma que você está falando com seu contato habitual.

Para um serviço, leia as instruções atuais junto com o endereço. Confira o ativo e a rede selecionados, além de qualquer informação adicional de destino exigida pelo serviço. Um nome de conta familiar ou uma captura antiga de depósito não resolve uma divergência com as instruções de hoje. Se o destino continuar pouco claro, pare antes de criar a transferência.

Se o destinatário usa um nome legível, nosso guia de nome ENS para endereço explica como inspecionar o registro de endereço correspondente. Consultar um nome e verificar a pessoa pretendida são conferências separadas.

Compare o endereço completo depois de colar

Mantenha a referência independente disponível enquanto prepara a transferência. As orientações da Trezor também pedem conferir cada caractere antes de confirmar, inclusive quando o destino é sua própria carteira. Esta é uma lista editorial para aplicar a conferência do endereço completo, não um recurso atribuído a uma carteira específica.

1. Escolha a rede e o ativo pretendidos. Verifique se a referência corresponde ao mesmo contexto de destino.
2. Cole o endereço completo do destinatário a partir da fonte verificada. Expanda o campo de destino se ele mostrar apenas um rótulo abreviado.
3. Compare cada parte do valor colado. Percorra toda a sequência em grupos fáceis de conferir, incluindo o meio. Não encerre a conferência por causa de um prefixo igual.
4. Leia a confirmação final. Confira o destinatário real, a rede e o valor exibidos para a transferência que você vai autorizar. Se o destinatário completo não estiver disponível, você não concluiu esta conferência.
5. Pare diante de qualquer divergência. Volte à fonte confiável e estabeleça o endereço pretendido novamente. Não escolha a linha do histórico que mais se parece.

A MetaMask recomenda contatos verificados e descreve a exibição do destinatário em uma carteira de hardware como outro ponto de conferência. Um contato salvo só é útil depois que seu endereço foi conferido. A tela de um dispositivo oferece outro lugar para comparar; confirmar o mesmo endereço errado em duas telas não estabelece o destinatário certo.

Separe as conferências do destinatário da limpeza do portfólio

Uma entrada indesejada no histórico, um ativo indesejado e uma permissão de gasto levam a perguntas diferentes. Nosso guia de tokens spam e NFTs trata da identidade dos ativos e da limpeza da exibição. O guia de aprovações de tokens trata das permissões de quem pode gastar. Nem esconder uma linha nem desconectar um site verifica o destino do próximo pagamento.

O Owlio lê os ativos de endereços públicos. Adicionar um endereço a um rastreador pode ajudar você a inspecionar a carteira escolhida, mas o saldo não prova que ela pertence ao destinatário pretendido. O Owlio não assina nem envia sua transferência, e este guia não afirma que ele detecta entradas manipuladas no histórico.

Se você já confirmou uma transferência para um endereço suspeito, preserve o identificador da transação, a rede e o destino completo para investigação. Consulte sua carteira de envio ou o serviço pelo canal oficial de suporte. Atualizar o portfólio, editar um contato ou esconder uma linha não desfaz o pagamento confirmado, e esta lista não pode prometer recuperação.

Para a próxima transferência, a regra de parada é simples: prossiga somente quando o destino completo corresponder à referência do destinatário verificada de forma independente na confirmação de envio. Uma linha recente do histórico não pode fornecer essa verificação por si só.