Wallet Drainer Explicado: Como Eles Roubam R$ 1 Bilhão Por Ano (2026)

O que é um wallet drainer#

Um drainer é smart contract deployado por atacantes que:

1. Engana a vítima a assinar uma transação ou assinatura específica.
2. Usa essa assinatura para transferir os tokens da vítima para o atacante.

O drainer não quebra criptografia nem rouba seed phrase. Explora mecanismos padrão de approval ERC-20.

Drainers modernos (Inferno, Pink, Angel) são vendidos como drainer-as-a-service: qualquer um pode alugar contrato drainer, deployar DApp falsa, e começar a caçar. Operador do drainer pega 20–30% dos fundos roubados; afiliado fica com resto.

Como approval drainer funciona — passo a passo#

1. Atacante deploya o drainer no mainnet Ethereum. O contrato tem funções padrão de transfer que parecem inofensivas em inspeção casual.
2. Atacante cria DApp falsa — talvez clonada do Uniswap, OpenSea, ou projeto anunciando "airdrop".
3. Vítima visita a DApp falsa via ad de busca, post comprometido no Twitter, ou link do Telegram.
4. Vítima clica "conectar wallet" — acesso só-leitura. Seguro até aqui.
5. Vítima clica "mint NFT" ou "claim airdrop". MetaMask mostra solicitação de assinatura.
6. A assinatura, decodificada, é chamada approve() concedendo ao contrato drainer permissão de gastar ilimitadamente um token específico (frequentemente USDC, USDT ou WETH).
7. Vítima assina. O approval está agora armazenado on-chain para sempre.
8. Horas, dias ou semanas depois, o contrato drainer chama transferFrom() para mover os tokens aprovados. Sem mais interação da vítima necessária.

Por que são tão difíceis de detectar#

Solicitações padrão de assinatura do MetaMask mostram dados hex brutos mais nome de token e quantidade. Para usuário não-técnico, approval para US$ 1.000.000 de USDC parece similar a approval rotineira para swap de US$ 50. Não há grande aviso vermelho.

A DApp falsa também obscurece intenção: "Clique para claim NFT grátis" não tem conexão de superfície com "assinar approval de token". O fluxo é socialmente engenheirado para maximizar assinatura sem compreensão.

Drainers Permit2 — variante gasless#

Permit2 é sistema gasless do Uniswap, projetado para tornar trading mais barato. Uma única assinatura off-chain pode autorizar gasto em vários tokens. Drainers abusam: interface Uniswap falsa te faz assinar Permit2 que parece swap rotineiro mas autoriza gasto ilimitado de todo token principal na sua carteira.

Assinaturas Permit2 são particularmente perigosas porque não aparecem em ferramentas padrão de approval — são off-chain até o atacante submeter. Defesa exige vigilância extra: não assine mensagens Permit2 em sites não verificados profundamente.

Drainers EIP-7702 — a fronteira de 2025#

EIP-7702 (live no mainnet desde 2025) permite que EOAs se comportem temporariamente como contas de smart contract. Usado legitimamente: melhor UX, transações em batch. Abusado: atacantes criam delegações 7702 que dão controle a contrato malicioso pela duração de uma única transação — tempo suficiente para drenar tudo.

Defesa: não assine delegações 7702 em sites desconhecidos. Wallets modernas (Rabby, MetaMask 12+) mostram avisos explícitos. Trate como alto risco por padrão.

As 5 regras que previnem drainer#

1. Salve nos favoritos cada DApp. Sempre navegue para Uniswap, OpenSea, Aave via favoritos — nunca ads ou links sociais.
2. Use Rabby ou wallet com simulação de transação. Rabby mostra "Você vai perder 1.000 USDC" antes de assinar. Mude.
3. Revogue approvals trimestralmente. revoke.cash ou Etherscan. Remova qualquer approval que não precisa.
4. Leia CADA assinatura antes de aprovar. Se você não consegue explicar em uma frase, não assine.
5. Hardware wallet para holdings > ~R$ 25.000. Mesmo assinaturas drainer passam pelo display.

O que fazer se você foi drenado#

1. Imediatamente mova fundos restantes para carteira nova com seed phrase nova.
2. Revogue todos approvals pendentes na carteira comprometida via revoke.cash.
3. Documente os transaction hashes — necessários para claims fiscais e relatórios de polícia.
4. Reporte à polícia federal (DPF no Brasil) ou equivalente. Pequena chance de recuperação mas cria evidência.
5. Reporte o endereço do contrato drainer no Etherscan, MetaMask phishing list, firmas de segurança.
6. NÃO pague "serviços de recuperação." São golpes de segundo estágio. Recuperação real é via polícia, não serviços pagos.

Por que corretoras centralizadas não têm esse problema#

Quando você tradeia na Binance ou Mercado Bitcoin, você não assina transações de approval — a corretora segura as chaves da sua conta custodiada. Trade-off: você confia que a corretora não vai perder ou congelar (risco de contraparte), mas não se expõe a drainer de approval.

Self-custody é a resposta ao risco de contraparte. Consciência de drainer é o custo de self-custody.

Conclusão#

Drainers agora são industrializados. A defesa não é mais software — é um pequeno conjunto de hábitos chatos: navegar via favoritos, simular antes de assinar, dividir fundos entre hot e cold, revogar approvals antigos em calendário. Faça esses quatro e a indústria de drainers funciona em outras pessoas, não em você.

Leituras seguintes: Phishing crypto: 7 padrões · MetaMask: instalar e proteger · Como configurar Ledger.