Esse endereço de cripto é seguro? Como verificar

Em 21 de fevereiro de 2025, hackers drenaram cerca de US$ 1,5 bilhão em Ethereum da exchange Bybit no maior roubo de cripto já registrado. O FBI atribuiu o ataque ao Lazarus Group da Coreia do Norte em questão de dias e divulgou 51 endereços Ethereum ligados à lavagem. O dinheiro roubado se moveu depressa: em 48 horas, uma parte considerável já havia sido lavada por carteiras novas e trocada entre blockchains. Cada um desses endereços de destino parecia, à primeira vista, exatamente uma carteira comum: uma sequência de caracteres, sem nome, sem histórico que você notaria a menos que fosse procurar.

É esse o problema com os endereços de cripto. Eles não vêm com uma reputação anexada. A carteira que pertence a um mixer sancionado e a carteira do seu novo cliente são os mesmos 42 caracteres em hexadecimal. Se você enviar dinheiro para a errada, ou aceitar um pagamento que se rastreia até um mixer ou um cluster de fundos roubados, não há como recuperá-lo. Então, antes de o dinheiro se mover, vale a pena de fato olhar. Eis como eu faço, o que é gratuito e onde uma ferramenta justifica o seu custo.

Comece pelos sinais de alerta que realmente importam

Nem toda carteira "desconhecida" é perigosa. A maioria é apenas nova. Os sinais que valem a atenção são específicos.

Correspondências com sanções. Esse é o que tem peso jurídico. O OFAC do Tesouro dos EUA publica uma lista de Specially Designated Nationals e, desde 2018, essa lista inclui endereços de cripto específicos. Veja o Sinbad, um mixer de Bitcoin que lavou dinheiro para o Lazarus Group, incluindo parte dos US$ 100 milhões roubados de usuários da Atomic Wallet em junho de 2023. O OFAC o sancionou em 29 de novembro de 2023, com endereços nomeados na lista SDN, e o FBI e o FIOD holandês apreenderam o site no mesmo dia. Se um endereço está nessa lista, tocá-lo não é um julgamento de risco. É uma violação de compliance, e o OFAC a aplica com base em responsabilidade objetiva, o que significa que a intenção não te salva.

Exposição a mixers. Mixers agrupam fundos de muitos usuários para quebrar o rastro. O Tornado Cash é o mais famoso. A história dele ficou complicada: o OFAC o sancionou em agosto de 2022, o Quinto Circuito decidiu em novembro de 2024 que o Tesouro havia extrapolado ao sancionar contratos inteligentes imutáveis, e o OFAC o retirou formalmente da lista em 21 de março de 2025. Portanto, o protocolo em si não está mais sancionado. Mas o dinheiro que saiu direto de um mixer ainda soa como sinal de alerta para toda exchange e contraparte, porque não dá para ver onde ele esteve antes. E a remoção das sanções não inocentou as pessoas: em 6 de agosto de 2025, um júri condenou o cofundador Roman Storm por conspiração para operar um negócio de transmissão de dinheiro sem licença. Retirado da lista não significa limpo.

Carteiras descartáveis recém-financiadas. Uma carteira criada ontem, financiada uma única vez, sem outro histórico, pedindo que você envie primeiro, é o padrão mais antigo do manual. Lavadores criam essas aos milhares. Por si só não é prova de nada, mas combinada com a pressão para agir rápido, deve fazer você parar.

Endereços conhecidos de golpes e drainers. Wallet drainers, contratos maliciosos que esvaziam uma carteira assim que você os aprova, levaram cerca de US$ 494 milhões de aproximadamente 332.000 endereços em 2024, segundo a Scam Sniffer. No total, a receita de golpes on-chain alcançou pelo menos US$ 14 bilhões em 2025, e a Chainalysis espera que esse número suba para mais de US$ 17 bilhões à medida que mais endereços forem identificados. Muitas dessas carteiras já estão etiquetadas. Você só precisa verificar.

As verificações gratuitas que qualquer um pode fazer

Você pode ir surpreendentemente longe sem pagar nada.

• Um explorador de blocos. Para Ethereum e a maioria das chains EVM, o Etherscan é o padrão; o Bitcoin tem o Blockstream e o Mempool.space; a Solana tem o Solscan. Cole o endereço e leia. Qual a idade dele? Quantas transações? O saldo e o fluxo parecem os de uma pessoa real ou os de um ponto de passagem? O Etherscan e seus pares também aplicam etiquetas públicas. Endereços flagrados em golpes recebem uma etiqueta bem visível de "Fake_Phishing" na própria página, além de avisos sobre contratos sabidamente ruins. Se você vir esse banner, acabou. Vá embora.
• A lista SDN do OFAC. Ela é pesquisável gratuitamente em sanctionssearch.ofac.treas.gov e inclui endereços de cripto. Para uma verificação pontual antes de um pagamento grande, leva um minuto.
• Sites de etiquetagem comunitária. O Chainabuse e bases de denúncias de golpes semelhantes permitem pesquisar um endereço contra relatos de fraude enviados por usuários. Não são fontes autoritativas, mas um resultado positivo é um sinal forte.

A pegadinha do caminho manual: é lento, é chain por chain, e só captura o que já está etiquetado e é óbvio. Ele não vai te dizer que um endereço está a dois saltos de um mixer, ou que recebeu fundos de um cluster de fundos roubados na semana passada. Ler bem um explorador de blocos exige prática, e a maioria das pessoas que aceita um pagamento não tem dez minutos para rastrear um grafo de transações à mão.

Onde uma ferramenta de screening economiza tempo

Uma ferramenta de screening faz em uma consulta o que te levaria uma tarde inteira: verifica o endereço contra listas de sanções em todas as principais chains de uma vez, mede o quão perto ele está de mixers, clusters de golpes, mercados da darknet e fundos roubados, e devolve uma pontuação de risco com os motivos. O valor não é mágica. É cobertura e velocidade. Você obtém a exposição indireta que uma verificação manual perde, e obtém em segundos em vez de abas.

Isso importa mais na UE agora, não menos. Sob o Transfer of Funds Regulation reformulado, que vigora ao lado do MiCA desde 30 de dezembro de 2024, os provedores de cripto precisam anexar informações verificadas do remetente e do destinatário às transferências e, para transferências acima de € 1.000 de ou para uma carteira auto-hospedada, verificar quem a controla. A janela de transição para provedores legados se fecha em 1º de julho de 2026. Mesmo que você seja um freelancer e não um provedor regulado, a direção é clara: "eu não sabia de quem era a carteira" já não é uma boa resposta.

Se você emite faturas para clientes, a versão mais limpa disso é o screening embutido no fluxo de pagamento, para que a carteira do pagador seja verificada automaticamente antes de o dinheiro chegar e você nunca precise lembrar de fazê-lo. É essa a ideia por trás da verificação de risco de endereço da Constatum: cole uma carteira, ou faça-a rodar sobre o pagador por trás de uma fatura, e obtenha uma resposta direta antes de se comprometer.

A conclusão honesta

Screening não é uma garantia. Um resultado limpo hoje pode dar errado amanhã se aquela carteira fizer algo estúpido na semana que vem, e um resultado sinalizado às vezes significa apenas que o endereço tocou em algo arriscado três saltos atrás, sem culpa de seu dono. Trate a pontuação como evidência, não como veredito. Mas, considerando que dinheiro roubado passou por carteiras novas em menos de dois dias após a Bybit, e considerando que uma correspondência com sanções é um problema jurídico e não apenas uma má vibração, os trinta segundos que leva para olhar são o seguro mais barato do mundo cripto. Olhe antes de enviar. Olhe antes de aceitar. O endereço não vai te contar sozinho.