Uma carteira de Ethereum criada no bloco gênese da rede, em julho de 2015, movimentou US$ 4,6 milhões na noite de segunda-feira (9) e só não caiu em um golpe porque o destinatário foi conferido. O endereço passou 11 anos sem nenhuma transferência de saída; a primeira movimentação, um teste de 0,05 ETH (aproximadamente US$ 106), serviu de gatilho para criminosos armarem a fraude em minutos — e falharem.
A janela de 38 minutos entre o teste e o envio final
A transação inicial partiu da carteira histórica rumo a um endereço novo e foi captada pelo serviço de monitoramento Whale Alert. Três minutos depois, começaram a chegar microtransferências de ETH vindas de dois endereços construídos para imitar o destinatário legítimo, repetindo os caracteres do começo e do fim do código verdadeiro. Registros do Etherscan mostram que essas carteiras foram abastecidas por contas marcadas pela plataforma como Fake_Phishing, etiqueta aplicada a atividades suspeitas. Uma delas disparou 43 envios minúsculos com um objetivo específico: gravar o endereço falso no histórico da vítima.
Às 19h42 de Brasília, 38 minutos após o primeiro movimento, o proprietário transferiu 2.154,94 ETH, equivalentes a US$ 4,6 milhões, para o endereço correto. Antes disso, o destino ainda devolveu quase integralmente uma transferência de 0,01 ETH recebida minutos antes. Os recursos chegaram ao local pretendido e nenhum valor foi desviado.
| Etapa do episódio | Marca temporal | Valor movimentado |
|---|---|---|
| Transferência de teste | início da noite de segunda-feira (9) | 0,05 ETH (~US$ 106) |
| IsCas dos golpistas | 3 minutos após o teste | microtransferências de ETH |
| Envio principal | 19h42, horário de Brasília | 2.154,94 ETH (~US$ 4,6 milhões) |
| Duração total do cerco | 38 minutos | patrimônio preservado |
Por que o histórico da carteira vira armadilha
A técnica é conhecida como address poisoning, ou envenenamento de endereços. O golpe explora uma limitação de interface: aplicativos e exchanges costumam exibir apenas as pontas de um endereço, escondendo o miolo do código. O criminoso gera uma carteira com as mesmas sequências nas extremidades, envia uma quantia irrisória e passa a aparecer no histórico de transações do alvo. Na transferência seguinte, o usuário copia o registro errado — e o dinheiro segue para o fraudador.
No caso da carteira de 2015, o padrão sugere uso de sistemas automatizados: a detecção do teste aparentemente disparou o envio das iscas em três minutos, apostando que um volume muito maior viria em seguida.
O tamanho do problema: 8 milhões de carteiras atingidas
O episódio isolado é pequeno diante do volume agregado. Levantamento da Bitquery, empresa de análise de blockchain, cobrindo os 12 meses encerrados em julho de 2026, contabilizou quase 8 milhões de carteiras de Ethereum alvo de tentativas de envenenamento de endereço, com perdas identificadas de aproximadamente US$ 76,1 milhões. O caso mais pesado do período: um investidor enviou cerca de US$ 50 milhões em USDT para um endereço falso em dezembro de 2025.
O fenômeno também contamina a leitura de dados on-chain. Em janeiro, analistas do Citi avaliaram que a multiplicação desses ataques distorcia indicadores de atividade do Ethereum, já que parte relevante do crescimento de transações vinha de operações abaixo de US$ 1, padrão típico de campanhas automatizadas de fraude.
O que conferir antes de confirmar uma transferência
O próprio Etherscan mantém um guia com procedimentos básicos de proteção: conferir o endereço inteiro antes de assinar o envio, trabalhar com listas de contatos confiáveis e nunca reaproveitar um código copiado do histórico de transações. São rotinas simples, mas que dependem de disciplina justamente nos momentos de maior pressa.
Carteiras dormentes também entram no radar
Endereços antigos e sem atividade são alvos atraentes porque o dono tende a confiar na memória e nos atalhos da interface. O episódio de segunda-feira mostra que o risco não escolhe tamanho de patrimônio: começa na primeira transferência de teste e se resolve na conferência caractere por caractere do destinatário.