Fraude com faturas cripto: um endereço trocado

Um fornecedor que já pagaste nove vezes envia a fatura número dez. O mesmo modelo, a mesma assinatura, a mesma pessoa com quem falaste na terça-feira. Só uma linha está diferente: o endereço da carteira. Pagas. Noventa segundos depois os fundos foram trocados, divididos e movidos, e não há banco nenhum para contactar de um lado ou do outro.

O Internet Crime Complaint Center do FBI registou 24 768 queixas de business email compromise em 2025, com 3,05 mil milhões de dólares em prejuízos declarados, contra 21 442 queixas e 2,77 mil milhões no ano anterior. A maior parte desse dinheiro continua a mover-se por transferência bancária. Mas esta fraude segue o canal que a vítima usa de facto, e uma fatia crescente das faturas é hoje liquidada em USDT e USDC.

Ninguém ataca a blockchain

A cadeia não é a parte frágil. O fio de e-mail é.

Há dois formatos comuns. No primeiro, alguém está dentro de uma caixa de correio — a tua ou a do teu fornecedor — a ler correspondência verdadeira. Espera que saia uma fatura genuína e envia então uma mensagem curta: mudámos de prestador bancário, usa o endereço atualizado abaixo. Chega no mesmo fio, com o mesmo nome visível, muitas vezes citando a mensagem anterior. O IC3 descreve a versão clássica numa linha: um fornecedor com quem lidas regularmente envia uma fatura com um endereço de pagamento atualizado.

No segundo, nada é reescrito a não ser a própria sequência de caracteres. O atacante substitui o endereço por outro cujos primeiros quatro e últimos quatro caracteres coincidem com os do verdadeiro. Quem confere um destino de pagamento como quase toda a gente confere — olhar para o início, olhar para o fim, aprovar — deixa passar. É a mesma fraqueza que o address poisoning explora, aplicada a um documento em vez de a um histórico de transações.

Ambos funcionam pela mesma razão. Não se está a pedir nada de invulgar à vítima. Está a pedir-se que pague uma fatura que já esperava.

Em cripto não há segunda oportunidade

Uma transferência bancária mal endereçada é mau. Também é, às vezes, recuperável. Há um banco correspondente, um procedimento de devolução, um departamento de compliance na instituição recetora e uma janela medida em horas ou dias.

Um pagamento on-chain mal endereçado fica liquidado em segundos e pertence a quem tem a chave. Não há devolução. A única alavanca que resta é o emitente do token, e os emitentes não são um balcão de apoio ao cliente.

A Tether colocou perto de 10 000 endereços na lista negra e congelou mais de 5 mil milhões de dólares em USDT. A lista da Circle é bem mais curta: cerca de 370 endereços e aproximadamente 109 milhões de dólares. Esses congelamentos são reais e devolveram dinheiro real a vítimas reais. Mas Jeremy Allaire, da Circle, disse em abril de 2026 que o USDC não será congelado sem uma ordem judicial, e que a empresa não trata essa capacidade como discricionária. Conseguir uma ordem judicial significa advogados, uma jurisdição, um réu identificado e semanas que não tens. Encara um congelamento como um bilhete de lotaria, não como um plano de recuperação.

"Mas o endereço apareceu limpo"

Aqui vem a parte incómoda, e quem te vende screening devia dizê-la em voz alta: a carteira acabada de criar de um burlão passa muitas vezes numa verificação de sanções. Foi criada há uma hora. Não tem histórico e não consta de nenhuma lista. Limpo não é o mesmo que seguro.

Ainda assim, o screening justifica-se, por três razões.

Primeiro, boa parte deste dinheiro não fica muito tempo numa carteira nova. Vai parar a endereços de recolha reutilizados que já têm reputação. A Chainalysis calculou as entradas ilícitas em pelo menos 154 mil milhões de dólares em 2025, um salto de 162 % face ao ano anterior, com uma subida de 694 % no valor recebido por entidades sancionadas. É um volume enorme de destinos já conhecidos, e um pagamento encaminhado para um deles é um pagamento que queres travar antes de sair.

Segundo, o screening diz-te algo sobre idade e comportamento, não apenas sobre constar de uma lista. Um endereço que existe há duas horas e nunca recebeu nada não é a conta de tesouraria de uma empresa que te faturou nove vezes. É essa incoerência o sinal. O acerto na lista é o extra.

Terceiro, se fores pago para uma carteira que mais tarde se revela ter recebido produto de crime, o teu próprio endereço herda esse histórico. As exchanges filtram os depósitos à entrada. Ficas a saber do problema quando o teu levantamento é retido para revisão, não quando a transferência chega.

Há também o truque inverso, do lado de quem recebe. Desde que o GENIUS Act entrou em vigor em julho de 2025, a empresa de segurança Blockaid contou mais de 54 000 stablecoins falsas entre os mais de 17 milhões de tokens emitidos nesse período. Um pagamento pode "chegar" em algo que na interface da carteira parece USDC e não vale nada. Verifica o contrato, não o ticker.

O que realmente trava isto

Nada disto exige tecnologia nova. Exige que o endereço de pagamento deixe de ser uma linha de texto editável dentro de uma mensagem.

• Confirma qualquer endereço novo ou alterado por um canal diferente daquele por onde o pedido chegou. Liga para o número que já tinhas, não para o da assinatura.
• Compara a sequência inteira. Não os primeiros quatro caracteres e os últimos quatro.
• Envia um pequeno pagamento de teste para qualquer destino novo e pede a quem recebe que confirme o valor antes da transferência a sério.
• Analisa o endereço antes de pagares, não depois de o pagamento estar em disputa.
• Tira o endereço do e-mail por completo — emite a fatura de modo a que o endereço de pagamento fique fixado no momento da criação, e quem paga vê um link em vez de uma sequência que alguém pode reescrever.

Se és tu quem recebe, aplica-se a imagem ao espelho. Quando um cliente insiste que pagou e nada chegou, o documento adulterado pode muito bem ter sido o teu. Enviar dados de pagamento como texto simples no corpo de uma mensagem significa que cada cópia reencaminhada dessa mensagem é uma oportunidade para outra pessoa. Significa também que não tens forma de provar o que enviaste originalmente.

Define uma regra interna e põe-na por escrito: qualquer alteração de dados de pagamento, venha de quem vier e seja qual for o valor, é verificada por voz antes de sair uma transferência. Fá-la aborrecida e inegociável, para que ninguém tenha de decidir caso a caso às seis da tarde de uma sexta-feira quando o fornecedor soa irritado.

Ninguém nesta história é descuidado. A pessoa das finanças pagou uma fatura que esperava, de uma empresa que conhecia, num fio que lia há meses. É precisamente esse o ponto: o ataque foi desenhado para parecer trabalho de rotina. O hábito que não custa nada é tratar um endereço de pagamento alterado como um incidente e não como uma atualização, e verificar para onde vai realmente o dinheiro antes de ele ir.