Voltar ao Blog
discordmetamaskphishingengenharia-social
Confiança da Comunidade Quebrada: Discord, MetaMask e o Fim do "Clique para Assinar"
Quando um anúncio verificado no Discord drena sua carteira, em quem você pode confiar? A resposta é: no código, não na plataforma.
Miguel Treviño•
Resumo:
- A Ameaça: Atacantes estão tomando controle de canais de anúncios verificados no Discord para enganar usuários fiéis a assinar transações maliciosas.
- A Vulnerabilidade: "Assinatura Cega" — onde usuários aprovam strings hexadecimais complexas na pressa (FOMO) — se tornou um vetor primário para drenagem de carteiras.
- O Padrão: A confiança da comunidade é transformada em arma; a "fonte verificada" contorna a cautela padrão do usuário.
- A Defesa: A Zelf quebra esse ciclo com Verificação de Intenção — exigindo uma ação biométrica deliberada via seu app mobile standalone, prevenindo drenagens acidentais de "um clique".
O padrão está se tornando deprimentemente familiar.
- Um projeto NFT popular ou protocolo tem seu servidor Discord comprometido.
- Um hacker posta um link "MINT SURPRESA!" no canal oficial
#announcements. - Milhares de usuários leais verificam a fonte, clicam no link e assinam uma transação.
- Carteira Drenada.
Como destacado por FlakySpecial, isso aconteceu novamente, contornando os firewalls mentais padrão de usuários experientes porque a "fonte" era verificada.
O Problema da Assinatura Cega
A causa raiz não é apenas a segurança do Discord; é a Assinatura Cega.
Quando você usa uma carteira de extensão de navegador como MetaMask, frequentemente é apresentado com uma string hexadecimal confusa ou um vago pedido de "Set Approval For All". No calor do momento (FOMO), usuários clicam em "Confirmar" sem perceber que estão assinando uma sentença de morte para seus ativos.
Fricção é um Recurso
A Zelf introduz uma camada necessária de fricção que te salva de si mesmo.
- Verificação de Intenção: A Zelf não pede apenas um clique. Como usa ZK Face Proofs, o ato de assinar requer uma ação biométrica deliberada. Você tem que olhar para seu celular.
- Desacoplado do Navegador: A Zelf Wallet é um app mobile standalone, não uma extensão de navegador. Um link malicioso no Discord não pode automaticamente abrir uma janela de transação no seu app Zelf da mesma forma contínua (e perigosa). Você deve iniciar a conexão via WalletConnect ou QR code, dando-lhe um momento crucial para pausar e pensar: "Isso é real?"
- Análise Inteligente: Nosso objetivo é traduzir
0x...em "Você está dando acesso a TODO o seu USDT." legível por humanos.
Não podemos consertar o Discord. Mas podemos consertar a ferramenta que você usa para interagir com ele.