Demonstração interativa gratuita
O software malicioso da área de transferência não invade a sua carteira. Altera aquilo que cola. Copie o endereço fictício abaixo, ligue o interruptor de ataque claramente identificado, cole e veja a troca acontecer consigo. Senti-lo uma vez vale mais do que ler sobre isso dez vezes.
Apenas endereços fictícios. A sua área de transferência só é tocada pelo seu próprio copiar e colar.
Imagine que um amigo lhe acabou de enviar este endereço para pagar. É fictício e propositadamente inválido, mas a sua área de transferência trata-o como qualquer outro texto. É precisamente esse o ponto.
bc1qdemox7k4fyn2vw9plt8u3sa6hqe5cg0notrealDESLIGADO: a cópia é honesta e coloca na área de transferência exatamente aquilo que vê
Este formulário de envio é um cenário. O botão nunca envia nada, a ninguém, jamais. Cole o endereço que acabou de copiar e olhe com atenção antes de «enviar».
Aquilo que viu (e julgou copiar)
Aquilo que a sua área de transferência entregou de facto
Os primeiros 8 e os últimos 8 caracteres são idênticos. Os atacantes geram endereços «vanity» para fazer coincidir as pontas, porque as pontas são tudo o que a maioria das pessoas confere.
Nesta demonstração a troca sobreviveu a uma vista de olhos às duas pontas. Eis o que ela não sobrevive:
Não dois ou três. Compare uma sequência sólida em cada ponta (oito ou mais) e verifique o meio por amostragem. Os kits de envenenamento fazem coincidir pontas curtas de forma barata. Cada caractere a mais que verifica multiplica o custo deles. Leia-o diretamente do ecrã do destinatário, não de memória.
Para qualquer transferência que doesse, envie primeiro uma quantia minúscula. Confirme com o destinatário, por outro canal, que chegou. Um endereço trocado rouba a pequena quantia de teste, não o saldo. Só então envie a quantia a sério, para o endereço que o teste comprovou.
Uma carteira de hardware mostra o destino verdadeiro no seu próprio ecrã, fora do alcance do software malicioso. Se o endereço no ecrã do dispositivo não corresponder ao que pretendia pagar, o computador está a mentir-lhe. Esse ecrã existe exatamente para este ataque.
Porque falha verificar poucos caracteres: gerar um endereço cujos primeiros e últimos caracteres coincidam com um alvo é só força bruta. É barato com 3 caracteres por ponta, caro com 8, e o meio nunca coincide. O sósia da demonstração faz coincidir 8 + 8 de propósito.
O software malicioso que reescreve a sua área de transferência corre na mesma máquina onde as pessoas guardam frases-semente em aplicações de notas, chaves privadas em ficheiros de texto e códigos de recuperação 2FA em capturas de ecrã. Um vigia da área de transferência não se limita a trocar endereços. Vasculha tudo o que por ela passa à procura de qualquer coisa com forma de chave. Texto não cifrado numa máquina infetada já está perdido. A troca de endereço é apenas a versão que consegue ver a acontecer. Esse é o argumento para manter chaves e códigos num cofre cifrado no seu dispositivo, e para nunca deixar uma frase-semente verdadeira tocar numa área de transferência.
As duas cadeias da demonstração são fictícias E comprovadamente inválidas. Contêm a letra «o», um dos quatro caracteres (1, b, i, o) que o formato de endereço bc1 exclui deliberadamente para evitar leituras erradas. Por isso nenhuma carteira as aceitará, e não podem colidir com os fundos de ninguém. O software malicioso da área de transferência real vigia e reescreve a sua área de transferência continuamente, em segundo plano, para sempre. Esta demonstração faz a troca apenas no momento em que carrega em Copiar com o interruptor de ataque visivelmente ligado. A página nunca chama nenhuma API de leitura da área de transferência. O único texto que vê é o que cola no seu único campo, e esse é comparado localmente com as duas cadeias da demonstração e descartado. Nada é guardado, nada é enviado, e recarregar repõe tudo.
O Sealby encripta códigos e registos de apoio num cofre bloqueado. A encriptação não garante privacidade para texto que copia para a área de transferência ou outra app. Para carteiras, guarde inventários e indicações para localizar as cópias offline; mantenha as palavras-semente reais offline.
iPhone e iPad · iOS 17+ · Grátis