Como um SIM swap pode causar uma perda em cripto
Uma boa defesa começa com uma seed phrase devidamente armazenada, mas essa medida não protege uma conta em exchange. O fraudador começa mirando o número de celular. Ele convence a operadora a transferir a linha, explora um portal ou corrompe um intermediário. O telefone da vítima perde o sinal, enquanto o novo chip passa a receber chamadas e SMS.
Com o número em mãos, o invasor procura os serviços associados. Vazamentos de dados, perfis públicos e e-mails antigos ajudam a identificar a plataforma utilizada. Ele inicia uma redefinição de senha, intercepta o código enviado por SMS e tenta alterar a autenticação e o endereço de saque.
O e-mail costuma desempenhar um papel central. Se ele também usa SMS como método de recuperação, o controle do número pode abrir várias portas. Em seguida, o fraudador apaga os alertas ou cria regras de encaminhamento para ocultar suas ações.
Uma wallet não custodial devidamente protegida não depende do número de telefone para assinar uma transação. Ainda assim, um aplicativo móvel pode conter a seed, um backup na nuvem ou um código de acesso recuperável. Nesse caso, o SIM swap se torna um ponto de partida, e não uma chave criptográfica direta.
Sinais que exigem uma reação imediata
A perda repentina de sinal é o sinal mais conhecido. O telefone exibe “sem serviço” embora a área tenha cobertura normal e outros assinantes estejam usando a rede. Reiniciar o aparelho não resolve o problema. Nesse contexto, não espere várias horas antes de entrar em contato com a operadora usando outro dispositivo.
E-mails de redefinição não solicitados, notificações de alteração de senha ou códigos 2FA recebidos sem nenhuma ação também indicam uma tentativa de ataque. Um alerta sobre a adição de um dispositivo ou de uma nova chave de API exige a mesma urgência.
Em uma plataforma cripto, monitore alterações de endereço, saques pendentes, desativação de um fator de autenticação e criação de uma whitelist. Alguns serviços impõem um prazo após uma mudança de segurança. Esse intervalo pode salvar os fundos se o usuário agir rápido o suficiente.
O desaparecimento de mensagens não significa que a conta está segura. O acesso ao e-mail permite apagar alertas. Consulte as sessões ativas, o histórico de login, as regras de encaminhamento e os dispositivos reconhecidos usando um terminal seguro.
Por que o SMS não é suficiente como segundo fator
O SMS adiciona uma barreira em relação a uma simples senha, mas depende do controle administrativo do número. Quem consegue convencer a operadora pode receber os códigos sem ter o seu telefone. As fragilidades da rede de telecomunicações e dos procedimentos de suporte aumentam esse risco.
A CISA recomenda, entre outras medidas, chaves FIDO e um código PIN na operadora para reduzir a exposição ao SIM swap. Uma chave física FIDO2/WebAuthn é mais resistente a phishing porque verifica o domínio antes de validar o login. Um fraudador não consegue copiar um código e reutilizá-lo em um site falso.
Um aplicativo TOTP gera códigos localmente e evita o envio por SMS. Ainda assim, continua vulnerável a phishing em tempo real: o usuário pode inserir o código em uma página falsa que o encaminha imediatamente. Por isso, a chave FIDO oferece proteção superior quando o serviço aceita esse recurso.
As passkeys são outra opção, vinculada a um dispositivo ou a um gerenciador seguro. Sua recuperação deve ser analisada com cuidado. Se a conta na nuvem que sincroniza as passkeys ainda depender do número comprometido, o ganho de segurança diminui.
Bloqueie a conta na operadora móvel
Solicite um PIN ou uma senha distinta para qualquer alteração na linha. Evite códigos derivados de data de nascimento ou de informações públicas. Algumas operadoras oferecem “port freeze”, bloqueio de transferência ou verificação reforçada em loja.
Remova perguntas de segurança fracas quando houver uma alternativa. Nome de solteira, escola ou local de nascimento às vezes aparecem em bases de dados comprometidas. Uma frase secreta única e não reutilizada reduz esse risco.
Verifique quem está autorizado na conta familiar ou corporativa. Um segundo titular mal protegido pode permitir uma alteração na linha principal. As empresas devem documentar quem pode solicitar um eSIM, substituir um dispositivo ou entrar em contato com o suporte.
Usar um número pouco exposto em contas sensíveis pode limitar o direcionamento dos ataques. Essa linha não deve aparecer em redes sociais, anúncios públicos ou formulários comerciais. Ainda assim, ela não substitui uma autenticação forte.
Proteja o e-mail antes da plataforma cripto
Comece com uma senha longa e exclusiva, armazenada em um gerenciador confiável. Ative uma chave de segurança ou uma passkey e remova o SMS como método de recuperação quando o provedor permitir. Mantenha códigos de recuperação offline, em um local protegido.
Analise os endereços de recuperação. Uma antiga caixa de e-mail esquecida pode oferecer um caminho mais fraco. Verifique também aplicativos de terceiros, senhas de aplicativos, sessões e regras automáticas.
Um endereço exclusivo para serviços financeiros reduz a exposição. Ele não deve ser usado em newsletters, fóruns ou pequenos cadastros. Seu nome não deve reproduzir exatamente a sua identidade pública.
O gerenciador de senhas também ajuda a detectar um domínio falsificado: ele não preenche as credenciais em um endereço diferente. Essa proteção complementa a verificação manual da URL, mas não a substitui.
Reforce a segurança de uma conta em exchange
Ative o fator de autenticação mais robusto disponível. Uma chave FIDO física, idealmente em duas unidades armazenadas separadamente, oferece uma boa base. Se a plataforma disponibilizar apenas TOTP, proteja o aplicativo e armazene sua chave de recuperação fora do telefone principal.
Crie uma whitelist de endereços de saque e imponha um prazo para qualquer alteração. Adicione um código antiphishing aos e-mails, se a exchange oferecer esse recurso. Desative chaves de API desnecessárias e limite as permissões das que continuarem ativas.
Os fundos destinados à poupança não precisam permanecer em uma plataforma. Um saque para uma wallet controlada pelo usuário reduz a exposição da conta, mas transfere a responsabilidade pelas chaves. Os critérios para escolher uma plataforma cripto também ajudam a avaliar as proteções oferecidas antes de manter valores elevados nela.
Não mantenha os códigos de recuperação na mesma caixa de e-mail que recebe os alertas. Evite também uma captura de tela na galeria sincronizada. Uma cópia em papel ou um dispositivo criptografado offline limita o comprometimento simultâneo.
O que fazer durante um ataque
Ligue imediatamente para a operadora usando outro telefone. Solicite o bloqueio da linha, o cancelamento da transferência e o registro de fraude na conta. Anote o horário, o número do protocolo e a identidade do serviço contatado.
Usando um dispositivo confiável e uma rede segura, altere a senha do e-mail principal. Revogue as sessões, remova regras desconhecidas e substitua os métodos de recuperação. Depois, passe às plataformas financeiras, de acordo com a urgência dos ativos acessíveis.
Entre em contato com a exchange pelo canal oficial, nunca por uma mensagem privada recebida após uma publicação pública. Solicite o bloqueio dos saques e forneça as provas pedidas. Um suporte legítimo não solicita seed phrase nem uma transferência de “verificação”.
Se houver risco de comprometimento de uma wallet não custodial, transfira os fundos para uma wallet criada em um dispositivo saudável, usando uma nova seed. A operação deve evitar endereços enviados por desconhecidos. Em uma multisig, siga o procedimento de rotação previsto.
Guarde e-mails, SMS, capturas de tela, TXIDs, endereços, registros de login e conversas com a operadora. Denuncie os fatos às autoridades competentes. Uma transação confirmada geralmente não pode ser anulada, mas as provas facilitam uma investigação e a identificação de uma passagem por uma plataforma regulada.
As falsas boas ideias
Alterar apenas a senha da exchange não é suficiente se o e-mail e o número continuarem comprometidos. Reativar a linha sem substituir os métodos de recuperação também deixa uma porta aberta. A resposta deve abranger toda a cadeia de identidade.
Uma VPN não bloqueia um SIM swap. Ela protege parte do tráfego de rede, mas não a transferência administrativa do número. Um aplicativo de autenticação instalado no mesmo dispositivo comprometido também pode perder sua vantagem.
Multiplicar os alertas por SMS não oferece segurança estrutural. Quando o invasor controla a linha, ele próprio recebe essas mensagens. Prefira notificações enviadas por vários canais independentes.
Por fim, publicar imediatamente todos os detalhes nas redes sociais pode ajudar o fraudador e atrair falsos canais de suporte. Primeiro, compartilhe as informações com a operadora, as plataformas e as autoridades; depois, comunique o caso sem revelar elementos de recuperação.
Construa uma proteção duradoura
Separe duas chaves FIDO: uma principal e uma reserva. Teste o funcionamento delas sem excluir o método anterior antes da confirmação. Mantenha os códigos de recuperação em dois locais físicos distintos.
Programe uma verificação trimestral das sessões, dos fatores de autenticação, das whitelists e dos dados de recuperação. Uma mudança de telefone, operadora ou colaborador deve desencadear uma revisão imediata.
Em uma equipe, separe a pessoa que inicia um saque daquela que o aprova. Use várias contas nominais em vez de um identificador compartilhado. A leitura das permissões de um smart contract complementa essa governança para wallets que interagem com aplicações descentralizadas.
A segurança nunca depende de uma única barreira. O bloqueio na operadora retarda a transferência, a chave FIDO protege o login, a whitelist limita o saque e a wallet não custodial retira parte dos fundos da conta. Mesmo que uma camada falhe, as outras devem preservar tempo e reduzir os danos.
O SIM swap explora principalmente a recuperação de conta e a urgência. Trate uma perda inexplicável de sinal como um incidente, entre imediatamente em contato com a operadora e proteja primeiro o e-mail e depois as plataformas. No longo prazo, remova o SMS dos acessos críticos, separe as identidades e teste seus procedimentos antes de precisar deles.
