Erros em DeFi que levam à perda de fundos
A maioria das perdas em DeFi resulta de uma lista curta de erros: assinar em sites falsos, deixar aprovações ilimitadas de tokens, comprar tokens copiados, enviar para a rede errada, perseguir rendimentos sem origem clara e tomar empréstimos muito perto da liquidação.
A maioria das perdas em DeFi resulta de uma lista curta de erros: assinar em sites falsos, deixar aprovações ilimitadas de tokens, comprar tokens copiados, enviar para a rede errada, perseguir rendimentos sem origem clara e tomar empréstimos muito perto da liquidação. Cada um acontece em um momento previsível, por isso cada um pode ser evitado com uma verificação rápida.
Os erros acontecem em momentos específicos
Uma transação em DeFi passa por uma sequência de momentos: encontrar o aplicativo, conectar a carteira, aprovar tokens, escolher o que comprar ou para onde enviar, deixar dinheiro em uma posição e, por fim, sair. Quase todas as perdas comuns acontecem em um desses pontos. Saber em qual momento você está e o que costuma dar errado ali é mais útil do que memorizar uma lista.
Antes de conectar
Os erros mais caros começam antes de qualquer transação. Um anúncio de busca, uma resposta em redes sociais ou uma mensagem em um grupo de chat levam a uma cópia de um aplicativo real, feita para parecer idêntica. Conectar-se a ele não causa dano por si só, mas tudo o que você assinar depois vai para o atacante.
O hábito: acesse aplicativos DeFi apenas por meio de favoritos que você mesmo salvou ou por links da documentação oficial do protocolo. Se você chegou por outro caminho, feche a aba e comece de novo a partir de um favorito. Veja como identificar sites falsos de exchanges de criptomoedas.
Quando sua carteira pede algo
A janela pop-up da carteira é o último momento em que você pode interromper uma transação ruim, e é justamente o momento em que a maioria das pessoas se apressa. As aprovações são o principal perigo. Muitos aplicativos pedem permissão para movimentar uma quantidade ilimitada de um token, e as aprovações não expiram. Se esse contrato for explorado mais tarde, ou se você aprovou um contrato malicioso por engano, o token pode ser drenado muito depois de você ter esquecido o aplicativo.
Figura: Seis erros comuns e o hábito que evita cada um.
| O que a carteira mostra | O que significa | O que verificar |
|---|---|---|
| Connect (Conectar) | Compartilha seu endereço | Que você está no site real |
| Approve ou set allowance (Aprovar ou definir allowance) | Permite que um contrato movimente um token | O spender (quem gasta) e o valor |
| Permit ou sign message (Permit ou assinar mensagem) | Pode autorizar gastos sem uma transação | Se nomeia um spender e um token |
| Set approval for all (Definir aprovação para todos) | Permite que um operador movimente todos os itens de uma coleção | Se você reconhece o operador |
| Swap ou deposit (Troca ou depósito) | Movimenta seus tokens imediatamente | Quantidade recebida, taxa e slippage |
O hábito: aprove apenas o valor necessário, leia quem é o spender e trate qualquer pedido de assinatura inesperado como hostil. Veja o que é um wallet drainer.
Ao escolher o que comprar ou para onde enviar
Dois erros se concentram aqui. O primeiro é comprar um token copiado: qualquer pessoa pode criar um token com o mesmo nome, ticker e logo de um token real, e aplicativos de troca o listarão se alguém criar um pool. O segundo é enviar para a rede errada: o mesmo token existe em muitas blockchains, e um endereço que funciona em uma pode não ser suportado em outra pela plataforma receptora. Pontes desconhecidas acrescentam o risco de perder fundos durante a transferência.
O hábito: copie endereços de contrato apenas das fontes oficiais do projeto, confirme a rede dos dois lados de cada transferência e use pontes conhecidas, começando com um valor pequeno de teste. Veja o que é um rug pull e como escolher a rede blockchain correta.
Enquanto seu dinheiro está rendendo
Depois que os fundos são depositados, os riscos mudam. Rendimentos anunciados muito altos atraem dinheiro para protocolos não testados, pagos em tokens de recompensa que estão em queda ou projetados para colapsar. Tomar empréstimos perto do máximo, ou usar fundos emprestados para depositar mais, deixa quase nenhuma margem para que os preços se movam antes da liquidação e da sua penalidade.
O hábito: descubra quem paga o rendimento antes de depositar, tome empréstimos bem abaixo do limite e configure alertas para saber de variações de preço antes dos liquidadores. Veja de onde vem o rendimento do DeFi e como funcionam o fator de saúde e o preço de liquidação.
Quando você terminar
O último momento é o que a maioria das pessoas ignora. Aprovações concedidas meses atrás continuam ativas depois que você deixa de usar um aplicativo. Pequenos saldos esquecidos em protocolos seguem expostos a explorações futuras. E muitas trocas, recompensas e saques geram registros fiscais que são difíceis de reconstruir depois.
O hábito: ao sair de um protocolo, revogue as aprovações com um verificador de aprovações em um explorador de blocos, saque os saldos residuais de que não precisa mais e exporte seu histórico de transações. Veja como manter registros das suas transações com criptomoedas.
O fio condutor: a pressa
Olhando para esses momentos, um padrão se destaca: quase todo erro custoso acontece com pressa. Uma contagem regressiva em uma página de mint, um rendimento que pode desaparecer amanhã, uma mensagem avisando que sua carteira será bloqueada, um token que sobe enquanto você lê sobre ele. A urgência é a ferramenta mais confiável do atacante, porque empurra as pessoas para além das verificações que normalmente fariam. Tratar qualquer sensação de pressa como sinal de alerta e afastar-se por alguns minutos antes de assinar evita mais perdas do que qualquer precaução técnica isolada. Com o tempo, essas verificações se tornam tão automáticas quanto olhar para os dois lados antes de atravessar a rua, e custam apenas alguns segundos a cada vez, e não dinheiro.
Uma configuração que previne a maioria desses problemas
Muitos usuários experientes mantêm duas carteiras: uma carteira principal, que guarda a maior parte dos fundos e raramente assina qualquer coisa, e uma carteira separada, com um pequeno saldo, para conectar-se a novos aplicativos, reivindicar airdrops e fazer testes. Um erro na segunda carteira custa apenas o que ela contém. Combinado com favoritos salvos, leitura cuidadosa dos pedidos da carteira e revisões regulares de aprovações, esse arranjo elimina a maioria dos caminhos pelos quais usuários de DeFi perdem dinheiro.
Se algo der errado
Transfira os fundos restantes da carteira afetada para uma nova, revogue aprovações que ainda possam ser usadas e registre o que aconteceu, incluindo os hashes das transações e o site envolvido. Denuncie o incidente ao protocolo e às plataformas para onde fundos roubados possam ser enviados. Desconfie de quem oferecer recuperar fundos mediante pagamento. Veja como recuperar uma conta de criptomoedas invadida.
Para uma lista completa de verificação antes do depósito, leia como verificar um protocolo DeFi antes de depositar. Para o básico, veja o que é DeFi.
Este artigo é conteúdo educacional e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Ativos digitais são voláteis e você pode perder o valor que investir.