Drenador como serviço: como os golpistas alugam kits de drenagem de carteira

Explicação do escorredor como serviço: como os kits de drenagem de carteira são alugados para golpistas não técnicos

• A rápida evolução dos ecossistemas descentralizados introduziu oportunidades sem precedentes para geração de riqueza, soberania financeira e inovação sem permissão. Finanças descentralizadas (DeFi), tokens não fungíveis (NFTs) e redes modulares de contratos inteligentes cresceram de experimentos de nicho para mercados multibilionários.

• No entanto, este influxo maciço de capital também funcionou como um íman incrivelmente lucrativo para algumas das redes de crime cibernético mais organizadas e persistentes do mundo.

• Historicamente, executar um grande roubo de criptomoeda exigia conhecimento técnico profundo e especializado. Um agente de ameaça tinha que escrever um código assembly personalizado, descobrir vulnerabilidades de contratos inteligentes de dia zero ou coordenar manualmente cadeias complexas de exploração de rede.

No cenário moderno de ameaças, essa íngreme barreira técnica à entrada foi completamente dissolvida.

• Através da ascensão de Escorredor como serviço (DaaS), a economia clandestina do crime cibernético passou por uma enorme onda de industrialização.

Desenvolvedores altamente qualificados e especializados agora escrevem, hospedam e mantêm pacotes prontos para “descarregar carteiras”.

• Em vez de implantarem eles próprios essas explorações, eles alugam sua infraestrutura maliciosa para afiliados não técnicos em troca de uma porcentagem automatizada dos ativos roubados.

• Essa mudança de estilo corporativo reduziu drasticamente a barreira de entrada, permitindo uma onda gigantesca de campanhas automatizadas de phishing que visam sistematicamente os ativos digitais dos participantes varejistas da Web3 em todo o mundo.

Para compreender plenamente o domínio destrutivo do modelo DaaS, devemos primeiro analisar a mudança estrutural na forma como os sindicatos do crime cibernético operam.

• Nos primórdios da tecnologia descentralizada, as campanhas de phishing eram altamente localizadas e conduzidas manualmente. Um único golpista construiria uma replicação grosseira de uma interface de carteira popular, tentaria enganar um usuário para que digitasse sua frase de recuperação mnemônica de doze palavras em um formulário da web não criptografado e, em seguida, transferiria manualmente os tokens da carteira comprometida.

Este modelo inicial apresentava enormes gargalos operacionais.

• Era altamente trabalhoso, sofria de baixas taxas de sucesso e exigia que o golpista possuísse uma gama diversificada de habilidades: eles tinham que entender o desenvolvimento web front-end, lidar com armazenamento seguro de banco de dados, gerenciar provedores de hospedagem e interagir manualmente com livros contábeis na cadeia.

• O surgimento do Drainer-as-a-Service revolucionou esse cenário ao dividir a mão de obra em um modelo de negócios altamente otimizado, refletindo a estrutura de redes corporativas legítimas de Software como Serviço (SaaS).

Essa divisão de trabalho permite que cada ator da cadeia se especialize naquilo que faz de melhor:

• Os Desenvolvedores (Os Arquitetos de Sistema): Estes são programadores de elite que se concentram exclusivamente em estudar blockchain , investigação de bibliotecas de integração de carteira, descoberta de vulnerabilidades de desvio de segurança e desenvolvimento de código de integração de contrato inteligente furtivo e altamente otimizado. Eles não perdem tempo comercializando golpes para as vítimas.

• Os Afiliados (Os Comerciantes): Esses são atores de ameaças menos técnicos que assinam ou alugam os serviços de drenagem. Eles não têm experiência em codificação, mas são altamente qualificados em engenharia social, manipulação de otimização de mecanismos de pesquisa (SEO), compra de contas comprometidas e distribuição de spam em massa.

Ao reduzir os requisitos de habilidade necessários para lançar uma exploração sofisticada, o DaaS basicamente tornou o crime cibernético comoditizador.

• Qualquer pessoa com uma conexão à Internet, uma conta no Telegram e um conhecimento básico de marketing de mídia social agora pode alugar um drenador de carteira criptografada altamente evasivo de classe mundial e começar imediatamente a atingir usuários ativos da Web3.

2. A anatomia de um kit de drenagem

• Quando um afiliado não técnico se inscreve em uma rede DaaS, ele recebe um painel totalmente pronto para uso e hospedado na nuvem que gerencia todos os aspectos de sua operação maliciosa.

Um kit padrão de drenagem de carteira compreende vários componentes altamente integrados, projetados para trabalhar em conjunto para executar explorações em milissegundos:

Modelos de front-end maliciosos

Os operadores DaaS fornecem aos seus afiliados um catálogo extenso e continuamente atualizado de clones perfeitos de páginas Web3 populares.

Isso inclui portais de lançamento aéreo de tokens falsos, interfaces de criação de NFT enganosas, painéis de alerta de segurança e painéis de migração de plataforma.

• Os estilos visuais desses frontends são completamente indistinguíveis dos aplicativos legítimos e verificados que eles personificam, muitas vezes utilizando logotipos idênticos, animações incorporadas e contadores de transações ao vivo para fabricar pressão psicológica de alta urgência.

O mecanismo de varredura de ativos em tempo real

O verdadeiro núcleo de um kit DaaS é sua automação Script JavaScript incorporado silenciosamente na interface de phishing.

No instante em que a vítima conecta sua carteira Web3 ao site enganoso, o script inicia uma auditoria silenciosa e rápida do portfólio total da carteira na rede.

Ao consultar provedores de nós públicos e indexadores de blockchain de alta velocidade, o script inventaria o conteúdo da carteira em milissegundos.

Ele compila instantaneamente uma lista de alvos priorizados, classificando os ativos com base no valor atual do mercado fiduciário:

• Prioridade 1: Ativos de gás nativo (como ETH, SOL ou BNB) necessários para financiar taxas de execução.

• Prioridade 2: Stablecoins de alta liquidez (USDC, USDT, DAI) e tokens blue-chip ERC-20.

• Prioridade 3: Tokens não fungíveis (NFTs) valiosos e altamente líquidos.

• Prioridade 4: Altcoins de baixa liquidez e posições de protocolo ilíquidas com rendimento.

Essa priorização garante que mesmo que a vítima entre em pânico e revogue as aprovações ou desconecte sua carteira no meio da interação, o drenador já tenha varrido a grande maioria do valor econômico da carteira.

Camuflagem furtiva e anti-simulação

• Para evitar que pesquisadores de segurança, provedores de hospedagem na web e extensões de carteira identifiquem e sinalizem seus sites maliciosos, os desenvolvedores de DaaS criam soluções avançadas filtros anti-bot e anti-simulação.

O script de drenagem detecta se o visitante recebido está executando uma sandbox do navegador, um scanner de segurança automatizado ou um console de análise do pesquisador.

Se uma ferramenta de segurança ou um rastreador de mecanismo de pesquisa limpo carregar a página, o servidor exibirá um site fictício completamente benigno e inofensivo.

• A lógica maliciosa de conexão e drenagem de carteira só é injetada e carregada quando o script verifica se um usuário Web3 de varejo genuíno e ativo com uma extensão de carteira ativa acessou a página.

Painéis de gerenciamento de afiliados

Para incentivar e organizar sua força de trabalho afiliada, as operadoras de DaaS criam consoles administrativos robustos de nível empresarial.

• Através desses portais protegidos por senha, os afiliados podem gerar links de rastreamento exclusivos, monitorar métricas de tráfego de visitantes ao vivo, receber notificações do Telegram em tempo real quando uma vítima conecta sua carteira e rastrear seu registro de saque acumulado.

Para maximizar sua presença no mercado, os sindicatos de DaaS não cobram taxas de licenciamento antecipadas caras.

Em vez disso, eles operam com base em comissões puras modelo de participação nas receitas.

• Essa configuração reduz drasticamente a barreira de entrada dos afiliados, pois eles não precisam de nenhum capital inicial para implantar uma campanha altamente sofisticada.

• A divisão de comissão padrão normalmente varia entre 10% e 20% para o desenvolvedor DaaS, com o restante 80% a 90% indo diretamente para o afiliado que levou a vítima ao site de phishing.

Para garantir confiança absoluta e transparência entre os desenvolvedores e suas afiliadas não técnicas, esta divisão é tratada programaticamente na cadeia.

• Quando uma vítima é enganada para autorizar uma transação, o script DaaS não transfere os fundos roubados para uma única carteira de propriedade do afiliado ou do desenvolvedor.

Em vez disso, a transação encaminha os ativos através de um serviço especializado contrato divisor.

• O contrato divisor calcula instantaneamente a porcentagem exata de comissão, encaminha a parte do desenvolvedor diretamente para o cofre seguro do sindicato DaaS e encaminha o restante dos ativos roubados para a carteira de pagamento designada do afiliado.

• Essa execução programática e confiável garante que nenhuma das partes possa fugir com todo o saque, promovendo uma rede criminosa altamente colaborativa.

4. Tabela 1: Dinâmica Operacional DaaS

Para ilustrar a rígida divisão operacional de trabalho entre desenvolvedores e afiliados, considere este mapa de alto nível de suas funções estruturais:

Personagem Operacional	Foco na plataforma central
Desenvolvedor DaaS	Escreve código de execução, mantém servidores e projeta scripts de bypass.
Golpista afiliado	Concentra-se inteiramente na engenharia social e no direcionamento do tráfego de vítimas.

5. Mecânica de desvio técnico: como o DaaS evita as carteiras modernas

• Um dos equívocos mais persistentes entre os usuários do Web3 é que um drenador de carteira é um “hack” direto na criptografia central do blockchain.

• Falemos com franqueza direta e ponto a ponto: Os próprios blockchains são incrivelmente seguros e suas chaves privadas não podem ser quebradas por um script da web.

Em vez disso, os kits DaaS exploram o estruturas de permissão combináveis de contratos inteligentes modernos e padrões de token.

• Eles usam engenharia social para induzi-lo a assinar permissões abrangentes e altamente elevadas que entregam o controle total dos gastos de seus tokens diretamente ao invasor.

Os principais vetores de desvio técnico projetados por desenvolvedores modernos de DaaS incluem:

Abuso de licenças ERC-20 e assinaturas de licença2

• Nas interações de token ERC-20 padrão, a transferência de um ativo exige que o usuário execute uma transação inicial cara em gás para conceder um subsídio de gastos a um contrato de terceiros, seguida por uma segunda transação de execução para movimentar os fundos.

Para agilizar esse fluxo de usuário, os desenvolvedores introduziram o Licença EIP-2612 Padrão e Uniswap Permissão2 Motor .

Esses padrões permitem que os usuários autorizem permissões de gastos por meio de um assinatura criptográfica sem gás.

Ao assinar uma mensagem Permit, você não está executando uma transação on-chain.

Em vez disso, você está assinando uma carga útil de permissão fora da cadeia.

Os kits DaaS exploram isso exibindo um botão completamente inofensivo em seus sites, como "Verificar propriedade" ou "Reivindicar tokens gratuitos".

No momento em que você clica nesse botão, o site solicita que a extensão da sua carteira assine uma mensagem de permissão.

Como assinar uma licença custa zero gás, muitos usuários tratam isso como uma interação sem riscos.

• Uma vez assinado, o script DaaS captura sua assinatura, envia-a diretamente para o blockchain a partir de seu próprio endereço financiado e usa a permissão recém-autorizada para drenar seus ativos.

Pré-implantação de endereço determinístico (CREATE2)

Para proteger seus usuários, extensões de segurança e carteiras de navegador executam mecanismos de simulação de transações em tempo real.

• Esses simuladores analisam a transação que você está prestes a assinar, avaliam como ficará o estado da sua carteira posteriormente e sinalizam o endereço de destino se ele estiver na lista negra ou vinculado a atividades maliciosas.

Para contornar essas proteções de simulação, os desenvolvedores de DaaS utilizam o Código de operação CREATE2.

Normalmente, os endereços de contrato são gerados dinamicamente com base no histórico do implementador.

• CREATE2 permite aos desenvolvedores pré-calcular o endereço exato onde um contrato será implantado antes seu código é realmente escrito no blockchain.

O kit DaaS faz com que a vítima assine uma permissão de token ou transfira permissão para este endereço pré-calculado e completamente vazio.

Como o endereço atualmente contém zero bytecode, os simuladores de carteira e as listas negras o consideram uma conta segura e inativa e não acionam nenhum alerta de aviso.

• Na fração de segundo em que você assina essa aprovação, o script DaaS executa uma transação que implanta o contrato de drenagem malicioso naquele endereço pré-computado, usa instantaneamente a permissão aprovada para varrer seus tokens e se exclui: tudo exatamente no mesmo bloco de transação.

Contratos de multichamadas e lotes de múltiplos ativos

Para evitar que um usuário perceba que está sendo drenado e revogue permissões no meio do ataque, os kits DaaS aproveitam roteamento multichamada.

• Em vez de solicitar uma série de solicitações de aprovação individuais e lentas para cada token em sua carteira, o script agrupa várias aprovações de transferência em uma carga útil de transação única e complexa.

• Você assina uma vez e o contrato multicall transfere simultaneamente suas stablecoins, ativos nativos e NFTs líquidos para o endereço do invasor em um único bloco.

6. O funil de marketing: como os afiliados geram tráfego

Como os kits DaaS são totalmente plug-and-play, o sucesso de um afiliado depende inteiramente de sua capacidade de gerar funis de tráfego de alta conversão.

Os afiliados implantam uma ampla gama de estratégias de marketing enganosas e de alto alcance para direcionar as vítimas aos seus portais de drenagem:

Mídias Sociais e Sequestro de Identidade

A maneira mais eficaz de convencer um usuário a conectar sua carteira e assinar uma transação é apresentar o link de uma fonte confiável e verificada.

Os afiliados têm como alvo as contas oficiais de mídia social de fundadores proeminentes da Web3, artistas NFT populares e os principais protocolos DeFi.

Ao comprar credenciais de conta comprometidas ou implantar malware que rouba cookies de sessão, eles sequestram perfis verificados do Twitter/X ou Discord.

No momento em que ganham o controle de um perfil verificado, eles lançam um anúncio de alta urgência:

"AVISO DE SEGURANÇA URGENTE: Nosso pool de staking primário sofreu uma pequena exploração. Para proteger seus ativos, clique aqui para conectar sua carteira e revogar todas as permissões ativas imediatamente!"

Com medo de perder seus fundos, os usuários correm para o site vinculado, conectam suas carteiras e assinam a transação, autorizando, sem saber, o contrato exato de drenagem que estavam tentando evitar.

Tabela 2: Matriz de Ameaças

Rota de Exploração	Foco de Exploração
Permitir2 Abuso	Explora assinaturas sem gás para autorizar transferências de tokens.
Sequestro Social	Explora contas confiáveis para publicar links de emergência falsos.

Intoxicação por publicidade em mecanismos de pesquisa (malvertising)

Os golpistas também compram espaços de publicidade patrocinados em mecanismos de pesquisa populares como Google e Bing.

Eles têm como alvo consultas de pesquisa de alto volume, como “Download de extensão MetaMask”, “Uniswap Exchange” ou “Portal de piquetagem de Lido”.

• O anúncio de pesquisa parece 100% correto e exibe o URL legítimo, mas o hiperlink subjacente redireciona o usuário por meio de uma série de servidores de cloaking antes de colocá-lo em uma réplica clonada com tecnologia DaaS.

O papel da IA na engenharia social de 2026

• À medida que navegamos no cenário de ameaças de 2026, a integração da inteligência artificial ampliou significativamente o alcance e a eficácia das operações DaaS.

Os afiliados agora utilizam tradução avançada baseada em IA, deepfakes de voz e scripts automatizados de mídia social.

• Eles implantam centenas de personas de IA automatizadas e altamente conversacionais no Telegram, Discord e X para construir a confiança dos usuários em bate-papos da comunidade, eventualmente direcionando-os para portais de drenagem personalizados e altamente direcionados sob o pretexto de reivindicações de parceria exclusivas ou oportunidades de investimento privado.

O mercado DaaS é altamente centralizado, com alguns grandes desenvolvedores dominando o espaço.

Esses operadores funcionam como startups de software profissionais, completos com equipes de suporte ao cliente e campanhas de marketing competitivas:

Drenador de anjo ($ 53 milhões + roubado)

• Surgindo em meados de 2023, Angel Drainer se tornou uma grande força no cenário do crime cibernético da Web3, oferecendo opções de gerenciamento altamente avançadas e segurança operacional premium para suas afiliadas.

• Angel Drainer especializou-se na implantação de front-ends complexos de engenharia social de alta frequência e foi fortemente promovido por grupos de ameaças proeminentes, como o GhostSec, em canais privados do Telegram.

• Eles implementaram barreiras de entrada rígidas para sua rede de afiliados, exigindo um depósito de segurança de até US$ 10.000 para filtrar operadores amadores e manter um controle rígido sobre seus sistemas backend.

Inferno Drainer ($ 59 milhões + roubado)

• Inferno Drainer é uma das operações DaaS mais prolíficas e altamente organizadas da história da Web3, responsável por desviar mais de US$ 80 milhões de milhares de carteiras individuais.

• Mesmo depois que os principais desenvolvedores anunciaram publicamente que estavam encerrando suas operações para se aposentar, a base de código subjacente, os scripts personalizados e os clones de sua configuração continuam a ser negociados e implantados por grupos spin-off fragmentados para usuários-alvo.

Escorredor rosa ($ 14 milhões + roubado)

A Pink Drainer conquistou sua participação no mercado concentrando-se fortemente no sequestro de contas de mídia social.

Eles construíram painéis administrativos especializados que permitiram que os afiliados implantassem rapidamente scripts de drenagem em perfis de mídia social comprometidos.

• Pink Drainer foi notoriamente associado a comprometimentos massivos de servidores Discord e invasões de contas Twitter/X de alto perfil, usando o alcance confiável de contas hackeadas para redirecionar milhões de seguidores para seus frontends de phishing.

8. Medidas defensivas ativas: como proteger seus ativos

Como os kits DaaS são projetados para ignorar avisos de carteira padrão e simulações de transações, proteger seu patrimônio requer uma estratégia de segurança proativa e em várias camadas.

Você deve fazer a transição de uma abordagem passiva para um modelo de segurança ativo e robusto:

Implementar a Estratégia de Compartimentação "Blast Radius"

Nunca mantenha todo o seu portfólio dentro de um único endereço de carteira ativo.

Em vez disso, divida seus ativos digitais em diferentes contas com base em seus perfis de risco:

• O cofre de armazenamento refrigerado (80% - 90% da riqueza): Esta conta deve ser protegida por uma carteira de hardware (como Ledger ou Trezor) comprada diretamente do fabricante. Deve nunca ser conectado a aplicativos descentralizados ou usado para assinar permissões de contratos inteligentes. É usado estritamente para retenção de longo prazo.

• A carteira Hot DeFi (10% - 20% da riqueza): Um navegador padrão ou carteira móvel contendo apenas os fundos necessários para negociação semanal ativa, piquetagem ou geração de rendimento.

• Carteira Burner (teste de baixo valor): Uma conta separada e descartável usada para reivindicar airdrops especulativos, participar de novas moedas NFT ou interagir com dApps não verificados. Mantenha apenas o mínimo de fundos de gás dentro desta carteira. Se uma carteira gravadora for atingida por um script DaaS, sua riqueza principal permanecerá completamente isolada.

Desativar assinatura cega em dispositivos de hardware

Se você usa uma carteira de hardware, nunca autorize uma transação se o seu dispositivo estiver configurado para o modo "Assinatura Cega".

A assinatura cega permite que seu dispositivo assine interações de contratos inteligentes sem exibir os parâmetros exatos em sua tela física.

• Se o seu dispositivo estiver configurado para sinal cego, um kit DaaS pode alimentá-lo com uma aprovação de transferência de ativos maliciosos e você o autorizará sem ver o aviso.

• Sempre verifique o endereço de destino exato, o tipo de token e o limite de gastos diretamente na tela física da sua carteira de hardware antes de pressionar o botão.

Auditar regularmente e revogar subsídios para gastos

Cada vez que você interage com um protocolo DeFi ou troca ativos em um DEX, você concede a esse contrato permissão para gastar seus tokens.

Essas permissões abertas se acumulam com o tempo, criando uma superfície de ataque massiva e esquecida.

• Se um desses protocolos for comprometido posteriormente ou se você acidentalmente conceder aprovações ilimitadas a um site de phishing, seus ativos poderão ser esgotados a qualquer momento.

• Use ferramentas verificadas como Revoke.cash ou Rabby Wallet para auditar periodicamente seus limites de gastos ativos e revogar quaisquer permissões desnecessárias.

9. Telemetria em tempo real e segurança on-chain via DEXTools

No ambiente Web3 moderno e de alta velocidade, é essencial manter a visibilidade ativa sobre suas transações e pools de liquidez.

• Quando você está negociando altcoins de tendência, participando de pools DeFi recém-implantados ou investigando ativos de investimento em potencial, confiar estritamente em links de mídia social ou recomendações de salas de bate-papo expõe você a clones de tokens falsos e front-running severos e aborda riscos de envenenamento.

• DEXTools fornece telemetria analítica crítica em tempo real necessária para identificar contratos inteligentes fraudulentos, clonados ou maliciosos antes mesmo de você conectar sua carteira.

Você pode acessar DEXTools aqui e comece a negociar hoje!

Golpe de site de reivindicação de lançamento aéreo falso: como os drenadores roubam sua carteira (e como verificar) Lista de verificação para puxar tapete: verificações do explorador de 10 pares para evitar golpes Congelar autoridade em Solana: risco de lista negra e controle de transferência (2026) Como usar o Lido Finance: apostar ETH, receber stETH e gerenciar riscos (2026)