---
title: "Envenenamento de Endereço Ethereum: Como Evitar | Ethereum IA"
url: "https://ethereum.ia.br/blog/envenenamento-endereco-ethereum-address-poisoning-brasil/"
markdown_url: "https://ethereum.ia.br/blog/envenenamento-endereco-ethereum-address-poisoning-brasil.MD"
description: "Envenenamento de endereço no Ethereum: como o golpe de lookalike funciona, como conferir o destinatário e o que documentar se você enviou cripto errado."
date: "2026-08-04"
author: "Equipe Ethereum IA"
---

# Envenenamento de Endereço Ethereum: Como Evitar | Ethereum IA

Envenenamento de endereço no Ethereum: como o golpe de lookalike funciona, como conferir o destinatário e o que documentar se você enviou cripto errado.


**Envenenamento de endereço (address poisoning) é um golpe de copiar e colar, não um “hack” da seed phrase.** O atacante fabrica um endereço Ethereum visualmente parecido com um destinatário que você já usou e envia uma transferência de valor zero ou irrisório para a sua [carteira](/glossario/wallet/). No próximo envio, se você copiar o endereço do histórico da carteira ou do explorador sem conferir o texto completo, o dinheiro pode ir para o impostor — e a rede confirma a transação de forma praticamente irreversível.

Esse conteúdo é exclusivamente educacional. Não constitui recomendação de investimento, carteira, token, protocolo ou estratégia, nem aconselhamento financeiro, jurídico, tributário, contábil ou de segurança individualizado. Criptomoedas e [ativos virtuais](https://www.bcb.gov.br/estabilidadefinanceira/ativosvirtuais) envolvem risco de perda total e de erro operacional.

## Resposta rápida

| Pergunta | Resposta educativa |
|---|---|
| O que o atacante faz? | Envia tx de valor zero/pequeno de um endereço lookalike |
| O que a vítima erra? | Copia o endereço falso do histórico e envia valor real |
| A seed phrase vazou? | Não necessariamente; o erro é de seleção do destinatário |
| Dá para cancelar depois? | Em geral, não, se a tx já confirmou |
| Proteção principal | Endereço completo, favoritos/allowlist, teste com valor pequeno |
| No Brasil | Documente hash e valor; BO e contador quando couber |

Se você está montando o fluxo básico de envio, leia também [como enviar e receber Ethereum com segurança](/blog/como-enviar-e-receber-ethereum-brasil/) e o [checklist antes de assinar transações](/blog/checklist-assinar-transacoes-ethereum-brasil/).

## Como o golpe funciona na prática

Endereços Ethereum são longos: começam com `0x` e têm 40 caracteres hexadecimais depois do prefixo. Interfaces de carteira, exchanges e exploradores costumam **abreviar** o endereço para algo como `0x25A6…3cD1`. A abreviação melhora a leitura, mas reduz a capacidade humana de distinguir dois textos quase iguais.

O fluxo típico do envenenamento:

1. Você envia ETH, [USDC](/blog/usdt-vs-usdc-diferencas-brasil/) ou outro [token ERC-20](/glossario/erc-20/) para um endereço legítimo — exchange, amigo, carteira fria, fornecedor.
2. O atacante observa a cadeia (ou varre endereços ativos) e gera um endereço que **repete o começo e o fim** do destinatário legítimo, ou outro padrão visualmente próximo.
3. O atacante envia para a sua carteira uma transferência de valor zero, um token sem liquidez ou um valor minúsculo a partir desse endereço lookalike.
4. A transferência entra no histórico da carteira e do [explorador](/blog/tutorial-ler-etherscan/).
5. Na próxima transferência, você abre o histórico, copia “o mesmo endereço de sempre” e cola no campo de destino.
6. A carteira assina e a rede confirma. O valor vai para o impostor.

Não é necessário que o atacante invada o celular, leia a [seed phrase](/glossario/seed-phrase/) ou quebre a criptografia. O ataque aproveita hábito humano: confiar no histórico, confiar nos primeiros e últimos caracteres e apressar a confirmação.

### Por que valor zero ou token lixo?

Transferências de valor zero e tokens sem utilidade são baratas de produzir em massa e poluem o histórico sem chamar atenção pelo montante. Em alguns casos, o token falso carrega nome ou símbolo parecido com o de um ativo conhecido — o que reforça a confusão visual. Isso é diferente de [phishing de permit](/blog/permit-assinaturas-ethereum-phishing-brasil/) ou de [aprovações ERC-20 infinitas](/blog/aprovacoes-token-erc20-revogar-permissoes/), que exploram permissões de gasto. No poisoning, o vetor principal é o **campo de destinatário**.

## Address poisoning não é o mesmo que outros erros de envio

Misturar conceitos atrasa a resposta correta. Compare:

| Situação | O que aconteceu | Primeiro foco |
|---|---|---|
| Envenenamento de endereço | Você copiou um lookalike do histórico | Conferência de destinatário e higiene de histórico |
| [Rede errada](/blog/cripto-rede-errada-endereco-errado-brasil/) | Token/rede incompatível (ex.: mainnet vs L2) | Rede, contrato do token e custódia do destino |
| Endereço de terceiro digitado errado | Erro tipográfico ou colagem incompleta | Mesma irreversibilidade; sem lookalike necessariamente |
| Site ou dApp falso | Phishing de interface | Não assinar; revogar permissões; isolar carteira |
| Carteira comprometida | Seed/chave exposta | Mover fundos restantes para carteira nova em ambiente limpo |

O guia de [cripto pela rede errada ou endereço errado](/blog/cripto-rede-errada-endereco-errado-brasil/) cobre recuperação quando o problema é rede ou destino controlado por você. O envenenamento, quando bem-sucedido, costuma cair na categoria “destino de terceiro não cooperativo”.

## Sinais de que o histórico pode estar envenenado

Nem toda transferência pequena é maliciosa. Ainda assim, trate como suspeita:

- transferência de valor zero logo após um envio legítimo para exchange ou carteira fria;
- token desconhecido que “aparece sozinho” no saldo ou no histórico;
- endereço que **bate com o começo e o fim** de um contato frequente, mas difere no miolo;
- várias microtransferências de endereços diferentes com o mesmo padrão visual;
- mensagens privadas oferecendo “ferramenta de limpeza de histórico” ou “resgate automático”.

Receber o token ou a microtransferência **não** significa que a carteira foi invadida. O erro crítico é usar aquele endereço como destino em um envio real.

## Como conferir o destinatário antes de enviar

A proteção mais eficaz é procedural. Não depende de um produto específico.

### 1. Prefira contatos salvos e allowlist

Muitas carteiras permitem marcar um endereço como favorito ou contato. Algumas setups mais disciplinadas usam [carteiras separadas, allowlist e limites](/blog/carteiras-separadas-allowlist-limites-ethereum-brasil/). Para valores relevantes, o destino deve vir de um contato previamente verificado — não do feed de atividades recentes.

### 2. Compare o endereço completo

Não confie só em `0xAB12…9F3C`. Cole o endereço em um editor de texto e compare **caractere a caractere** com a fonte original (e-mail corporativo verificado, tela da exchange logada pelo domínio oficial, QR físico conferido, papel do backup). Em hex, um único caractere diferente já muda o destino.

### 3. Use QR e canais oficiais da exchange

Ao sacar de uma corretora ou depositar nela, abra o endereço na área logada do site oficial ou app oficial. Evite copiar endereços de chats, planilhas antigas sem conferência e prints de terceiros. O guia de [como sacar Ethereum da corretora para carteira própria](/blog/como-sacar-ethereum-corretora-carteira-propria/) reforça a mesma disciplina no sentido inverso.

### 4. Faça teste com valor pequeno

Para um destino novo ou pouco usado, envie um valor mínimo, confirme o crédito no destino e só então envie o restante. O teste não elimina todos os riscos (um lookalike ainda pode receber o teste), mas reduz a perda se o processo de cópia estiver errado. Combine com [simulação de transação](/blog/simulacao-transacoes-carteira-ethereum-brasil/) quando a carteira oferecer o recurso — a simulação ajuda a ver o que o contrato fará, mas **não substitui** a conferência do endereço de destino em um simples envio nativo.

### 5. Desconfie de “histórico recente” como atalho

O atalho mental “já enviei para esse endereço ontem” é exatamente o que o poisoning explora. Se o histórico mostra dois endereços quase iguais, trate o mais recente e o de valor zero como suspeitos até prova contrária.

### 6. Em hardware wallet, confira a tela do dispositivo

Uma [carteira hardware](/guias/guia-carteiras-hardware/) protege a chave privada, mas não impede que você aprove um destinatário errado. Leia o endereço (ou o máximo possível) na tela do dispositivo antes de confirmar. O hardware reduz malware de assinatura; o poisoning ataca a decisão humana.

## O que fazer se você já copiou ou já enviou

### Se ainda não assinou

1. Apague o campo de destino.
2. Feche abas e extensões suspeitas.
3. Recupere o endereço da fonte original confiável.
4. Compare o texto completo.
5. Só então monte a transação de novo.

### Se a transação ainda está pendente

Às vezes ainda é possível [cancelar ou acelerar uma transação presa](/blog/transacao-presa-ethereum-cancelar-acelerar/) reutilizando o nonce, antes da confirmação. Isso não é garantido e depende de taxas, mempool e carteira. Não aumente gas às cegas e não compartilhe a seed.

### Se a transação já confirmou para o endereço envenenado

1. **Não** digite seed phrase em site de “recovery”, “whitelist rescue” ou suporte de mensagem privada.
2. Preserve provas: hash, rede, valor, token, endereço de origem e destino, data, prints da carteira e do explorador, cotação em reais se houver.
3. Trate como incidente: o guia [golpe cripto no Brasil, boletim e provas](/blog/golpe-cripto-brasil-boletim-provas-carteira/) e o de [carteira Ethereum roubada: o que fazer](/blog/carteira-ethereum-roubada-o-que-fazer-imediatamente/) descrevem a lógica de evidência, BO e isolamento.
4. Se o destino for uma plataforma conhecida (caso raro neste golpe), contate apenas canais oficiais.
5. Revise se há [aprovações de token](/blog/aprovacoes-token-erc20-revogar-permissoes/) ou conexões [WalletConnect](/blog/walletconnect-como-conectar-carteira-dapp-seguranca/) abertas em paralelo — o poisoning pode coexistir com outros vetores.
6. Para orientação jurídica processual, use fontes oficiais e, se necessário, conteúdo jurídico especializado; este site não substitui advogado.

A irreversibilidade on-chain é a mesma regra geral das [transações Ethereum](/glossario/ethereum/): uma vez incluída e finalizada o suficiente, não há “estorno Pix” nativo.

## Contexto brasileiro: regulação, prova e tributação

No Brasil, o [Marco Legal dos Criptoativos (Lei 14.478/2022)](https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2022/lei/l14478.htm) organiza prestadores de serviços de ativos virtuais e criminaliza condutas específicas ligadas a fraudes com criptoativos, sem transformar a blockchain em sistema de chargeback. O [Banco Central](https://www.bcb.gov.br/estabilidadefinanceira/ativosvirtuais) trata da supervisão de prestadores no âmbito de sua competência; a [CVM, no Parecer de Orientação 40](https://conteudo.cvm.gov.br/legislacao/pareceres-orientacao/pare040.html), distingue criptoativos que podem ou não se enquadrar como valores mobiliários. Nada disso cria garantia tipo [FGC](/blog/fgc-cobre-criptomoedas-protecao-exchanges-brasil/) para erro de envio ou golpe de endereço.

Do ponto de vista documental, a [IN RFB 1.888/2019](https://normas.receita.fazenda.gov.br/sijut2consulta/link.action?idAto=100592) exige informação de operações com criptoativos em hipóteses previstas na norma. Um envio para endereço errado ainda é uma movimentação on-chain com data, valor e contraparte. O tratamento contábil e fiscal de “perda”, “doação involuntária” ou ajuste em declaração **não é automático** e deve ser analisado por profissional habilitado com base nos documentos. Guarde:

- hash da transação e rede;
- endereços de origem e destino;
- quantidade e ativo (ETH ou contrato do token);
- cotação em reais na data, se usada na sua escrituração;
- prints e linha do tempo do erro;
- protocolos de BO ou comunicações oficiais, se houver.

Este parágrafo é educativo. Não afirma se a perda é dedutível, se configura alienação ou como preencher a declaração.

## Checklist prático antes de cada envio relevante

Use como rotina, não como exceção:

1. Confirme a **rede** (Ethereum mainnet, Arbitrum, Base, etc.).
2. Confirme o **ativo** e, se for token, o **contrato** oficial.
3. Obtenha o endereço de uma **fonte salva ou oficial**, não do feed de spam.
4. Cole o destino e compare o **endereço inteiro**.
5. Verifique se a carteira mostra o mesmo texto na tela de revisão (e no hardware, se houver).
6. Avalie a [taxa de gas](/blog/gas-fees-ethereum-como-economizar/) e o valor total.
7. Para destino novo, envie **teste pequeno**.
8. Após o envio, confira o hash no explorador e o crédito no destino.
9. Arquive o comprovante se a operação for contábil ou empresarial.

Para o dia a dia de [MetaMask](/blog/como-usar-metamask-guia-completo/) e de [dApps](/glossario/dapp/), o [guia de segurança cripto](/guias/guia-seguranca-cripto/) e o de [golpes cripto](/blog/golpes-cripto-como-evitar/) completam o mapa de ameaças (phishing, rug pull, suporte falso). O envenenamento de endereço é a fatia específica do problema “copiar do lugar errado”.

## Perguntas frequentes

### Receber uma transferência suspeita de valor zero já compromete minha carteira?

Não por si só. O recebimento não revela a seed phrase. O risco começa se você interagir com o token desconhecido, assinar permissões ou **reutilizar o endereço do remetente** como destino de um envio real.

### Como conferir se o endereço de destino é o correto?

Compare o texto completo com a fonte original. Use favoritos, allowlist, QR oficial e, em valores altos, teste com quantia mínima. Não use apenas os quatro primeiros e os quatro últimos caracteres.

### Enviei cripto para um endereço envenenado. Dá para reverter?

Em geral, não há estorno nativo após a confirmação. Preserve provas, evite ferramentas de recuperação que peçam a seed e siga o fluxo de incidente. A recuperação depende de fatores externos e costuma ser improvável em golpes.

### Address poisoning é crime no Brasil?

Condutas de fraude e estelionato podem ter enquadramento penal conforme o caso, e a Lei 14.478/2022 trata de crimes relacionados a ativos virtuais em hipóteses específicas. A tipificação concreta depende dos fatos e de análise jurídica. O caminho prático imediato para a vítima é preservar evidências e registrar ocorrência quando couber, sem promessa de recuperação.

### Preciso declarar a perda ou o envio errado?

Você deve documentar a operação. O dever formal de informação e o tratamento na declaração de imposto de renda dependem dos limites e regras aplicáveis e da análise de um contador. A blockchain registra o envio; a classificação fiscal não se resolve só com o hash.

## Conclusão

O envenenamento de endereço Ethereum é barato para o atacante e caro para quem confia no histórico abreviado. A defesa não é um indicador de preço nem um “modo seguro” mágico: é disciplina de destinatário — fonte oficial, texto completo, contatos salvos, testes pequenos e recusa a ferramentas que pedem a frase de recuperação.

Para aprofundar a trilha de segurança no site, combine este artigo com [como enviar e receber Ethereum](/blog/como-enviar-e-receber-ethereum-brasil/), [checklist de assinatura](/blog/checklist-assinar-transacoes-ethereum-brasil/), [aprovações ERC-20](/blog/aprovacoes-token-erc20-revogar-permissoes/), [permit e phishing](/blog/permit-assinaturas-ethereum-phishing-brasil/), [rede ou endereço errado](/blog/cripto-rede-errada-endereco-errado-brasil/) e o [guia de segurança cripto](/guias/guia-seguranca-cripto/). Em caso de dúvida operacional ou fiscal, consulte profissionais habilitados e fontes oficiais brasileiras.

*Conteúdo informativo. Não é recomendação de investimento nem consultoria personalizada.*