Como identificar uma exchange falsa antes de enviar
Equipe NoxSwap
A forma mais comum de perder cripto num swap não é um ataque hacker. É uma cópia: um site idêntico ao de uma exchange de verdade, muitas vezes encontrado por um anúncio no buscador ou por um link num chat, com um único detalhe diferente, justamente o que importa. O endereço de depósito pertence ao golpista. Depois que as moedas vão para lá, ninguém consegue trazê-las de volta. A boa notícia é que algumas checagens levam menos de um minuto e barram quase todo golpe desse tipo. Veja o que observar e como uma assinatura PGP permite provar que uma exchange é mesmo quem diz ser.
Como funciona o golpe da exchange falsa
Os golpistas copiam o visual, os textos e até o fluxo de pedido de uma exchange real e colocam tudo num domínio quase igual: uma letra a mais, outra terminação, como .co no lugar de .io, ou um hífen no meio. Eles compram anúncios no buscador com o nome da marca, espalham o link em grupos de Telegram e fóruns ou respondem a quem pede ajuda com um swap.
No site falso, tudo parece funcionar. Você escolhe o par, informa o seu endereço e recebe uma cotação e um endereço de depósito. A única coisa que mudou é esse endereço. Alguns clones mostram até uma tela de progresso convincente depois do envio, e a vítima passa horas esperando antes de perceber que nada vai chegar.
O mesmo truque existe no Tor. Qualquer pessoa pode gerar um endereço onion que começa com as mesmas letras de um verdadeiro, então um espelho falso pode parecer legítimo numa olhada rápida.
Sinais de alerta que você confere em segundos
Olhe o endereço completo na barra do navegador, não só o logotipo. Digite o domínio você mesmo ou use um favorito, em vez de clicar em links de anúncios, chats ou e-mails. Se você chegou ao site por um resultado patrocinado na busca, feche a página e vá para o endereço que você conhece.
Desconfie de tudo que procura você primeiro. O suporte de uma exchange de verdade não puxa conversa na sua DM, nunca pede a sua seed phrase ou as suas chaves privadas e nunca pede um pagamento de teste para uma carteira pessoal. Cotações muito melhores que as de todos os concorrentes são outro sinal de alerta: uma oferta que bate o mercado em 10% é isca, não pechincha.
Veja para onde levam os canais de suporte. Se o único jeito de falar com o serviço é uma conta no Telegram que não aparece em nenhum link do site oficial, trate esse contato como não verificado.
O que uma assinatura PGP prova
O PGP é um padrão com décadas de uso para assinar mensagens. O serviço guarda em segredo uma chave privada e publica a chave pública correspondente. Qualquer coisa assinada com a chave privada pode ser conferida por quem tem a chave pública, e a verificação falha se um único caractere do texto assinado for alterado.
Um clone consegue copiar um site pixel por pixel, mas não consegue gerar uma assinatura válida sem a chave privada. Por isso, serviços de privacidade sérios assinam o que importa: os endereços oficiais e os dados de cada pedido.
Como a NoxSwap usa cartas de garantia assinadas
Todo pedido na NoxSwap vem com uma carta de garantia assinada com a nossa chave PGP. Ela registra o ID do pedido, o que você envia e para qual endereço de depósito, o que você recebe e em qual endereço de destino, além do prazo de depósito. A carta fica na página do seu pedido, logo abaixo do ID, com botões para copiar, baixar e verificar.
Antes de pagar, verifique a carta e compare o endereço de depósito que aparece nela com o endereço para o qual você vai enviar. Os dois precisam ser iguais. Se um site não consegue mostrar uma carta, ou se a assinatura é inválida, não envie nada.
A nossa lista de endereços oficiais, com o site e o espelho Tor, é assinada com a mesma chave e publicada na nossa página de verificação PGP como mirrors.txt.
Três formas de verificar uma assinatura
A mais rápida é o verificador da nossa página PGP: cole a carta inteira e a checagem roda no seu navegador, sem enviar o texto a lugar nenhum. O botão Verificar da página do pedido abre o verificador com a sua carta já preenchida.
Se você prefere não depender do nosso próprio site, o BitList, um diretório independente de serviços de privacidade, publica a nossa chave pública em página própria e verifica as cartas da NoxSwap com um clique.
Para uma checagem totalmente offline, use o GnuPG: importe a chave de noxswap.io/pgp.txt, salve a carta como arquivo de texto e rode gpg --verify nele. Seja qual for a ferramenta, compare a impressão digital da chave com a que está publicada no BitList e no nosso site. Se algum dia forem diferentes, não confie na chave.
Se você acha que encontrou um site falso
Não envie nada e não digite a seed phrase nem a senha da sua carteira. Anote o endereço do site e onde você encontrou o link, depois avise a gente em info@noxswap.io, para que possamos alertar outros usuários e pedir à hospedagem ou ao registrador do domínio que tire a página do ar.
Se você já enviou fundos para um endereço falso, nenhuma exchange consegue reverter a transação, nem mesmo a verdadeira. Denuncie na plataforma onde você encontrou o link e registre ocorrência na polícia do seu país; o registro da transação na blockchain ajuda na denúncia.
Pronto para trocar?
Taxa fixa garantida, todas as taxas incluídas, pagamento de um endereço novo.
Começar um swap