Negociador perde 1 milhão de dólares num ataque de phishing com Permit2 na Uniswap

Um comerciante de criptomoedas perdeu aproximadamente 1 milhão de dólares após ser vítima de um ataque de phishing que explorou a funcionalidade Permit2 do Uniswap, de acordo com relatórios recentes. O atacante enganou a vítima fazendo-a assinar uma mensagem maliciosa que concedia acesso total à carteira, sem que houvesse vulnerabilidade no protocolo ou violação técnica envolvida. O incidente ocorreu numa epidemia mais ampla de phishing que gerou um total de 14 mil milhões de dólares em perdas de golpes onchain em 2025, contra 12 mil milhões em 2024, segundo o Relatório de Crime Cripto de 2026 da Chainalysis. O ataque teve sucesso porque o comerciante assinou uma autorização fora da cadeia que acreditava ser legítima, demonstrando como a funcionalidade de conveniência do Permit2 pode tornar-se um vetor de ataque quando os utilizadores interagem com interfaces enganosas.

Comerciante perde 1 milhão de dólares num ataque de phishing Permit2 do Uniswap

A perda de 1 milhão de dólares resultou de um ataque de phishing que explorou o contrato Permit2 do Uniswap, um sistema de aprovação de tokens desenhado para simplificar interações DeFi. Permit2 permite uma assinatura única fora da cadeia para aprovar múltiplas interações de tokens de uma só vez, eliminando a necessidade de transações separadas na cadeia para cada interação com o protocolo. Uma vítima separada perdeu aproximadamente 196 mil dólares num ataque semelhante envolvendo o token $VIRTUAL . Em ambos os casos, não ocorreu violação técnica no protocolo do Uniswap — os ataques tiveram sucesso através de engano ao utilizador, e não por vulnerabilidades nos contratos inteligentes. Sites de phishing imitaram interfaces legítimas de DeFi, incluindo páginas de reivindicação de airdrops e telas de troca, para apresentar pedidos de assinatura Permit2 convincentes em momentos oportunos. Uma vez assinados, os contratos maliciosos obtiveram acesso imediato a toda a carteira das vítimas, sem prompts adicionais de confirmação.

Phishing de Aprovação gera 14 mil milhões de dólares em perdas de golpes onchain em 2025

Golpes onchain geraram pelo menos 14 mil milhões de dólares em perdas durante 2025, contra 12 mil milhões em 2024, segundo o Relatório de Crime Cripto de 2026 da Chainalysis. Só em janeiro de 2026, phishing e engenharia social representaram 370 milhões de dólares em perdas totais de criptoativos, com um incidente a contribuir com 284 milhões de dólares desse total, segundo dados da CertiK. Desde 2021, o phishing de aprovação é responsável por mais de 1 mil milhão de dólares em perdas reportadas. As perdas relacionadas com esvaziamento de carteiras caíram 83% em 2025, para cerca de 84 milhões de dólares, indicando que operações de desmantelamento de infraestruturas específicas reduziram esse vetor de ataque. Contudo, o phishing de aprovação opera numa infraestrutura diferente, explorando mecanismos legítimos do protocolo, ao invés de contratos maliciosos implantáveis. A operação Atlantic, realizada em abril de 2026, resultou no congelamento de aproximadamente 12 milhões de dólares ligados a esquemas de phishing de aprovação.

Revoke.cash e ferramentas de verificação oferecem defesa contra phishing Permit2

Revoke.cash permite aos utilizadores auditar e cancelar aprovações de tokens pendentes, incluindo permissões Permit2. Realizar uma verificação de revogação após interagir com qualquer protocolo novo ou desconhecido limita a janela de dano caso uma aprovação maliciosa seja concedida. Verificar os endereços dos contratos antes de assinar qualquer pedido de aprovação é essencial, pois sites de phishing são criados para serem visualmente indistinguíveis de plataformas legítimas. Carteiras de hardware acrescentam uma camada de confirmação física, mas não protegem contra assinatura de mensagens maliciosas num site comprometido — se um utilizador conectar uma carteira de hardware a um site malicioso e confirmar manualmente um pedido de assinatura Permit2, o dispositivo físico torna-se parte do ataque, não uma defesa. Práticas defensivas incluem verificar os endereços dos contratos em cada pedido de assinatura contra endereços legítimos conhecidos, realizar auditorias regulares com Revoke.cash ou ferramentas equivalentes, e tratar com ceticismo pedidos de assinatura Permit2 inesperados até serem verificados.

FAQ

O que é o Permit2 do Uniswap e por que cria risco de phishing?

Permit2 permite aos utilizadores assinar uma única mensagem fora da cadeia para aprovar múltiplas interações de tokens de uma só vez. Uma assinatura maliciosa pode conceder a um atacante acesso amplo e imediato a toda a carteira de um utilizador, sem passos adicionais de confirmação.

Como é que os atacantes exploraram o Permit2 no incidente de perda de 1 milhão de dólares?

Os atacantes criaram sites que imitavam plataformas legítimas de DeFi e solicitaram aos utilizadores que assinassem mensagens Permit2. Como o Permit2 não gera aviso ou confirmação na cadeia, as vítimas não tinham indicação de que estavam a autorizar um contrato malicioso, resultando em transferências de fundos não autorizadas e imediatas.

Qual tem sido o impacto financeiro do phishing de aprovação na indústria cripto?

O phishing de aprovação causou mais de 1 mil milhão de dólares em perdas reportadas desde 2021. Contribuiu para os 14 mil milhões de dólares em perdas totais de golpes onchain registados pela Chainalysis em 2025, e os dados da CertiK mostram que phishing e engenharia social sozinhos causaram 370 milhões de dólares em perdas em janeiro de 2026.