Alertas de dApp malicioso da Phantom: o que significam e o que fazer
A Phantom mostra um alerta quando um site está na sua lista de bloqueio, quando um domínio é novo ou ainda não foi revisado, ou quando ela não consegue simular o que uma transação vai fazer. O padrão seguro é parar, fechar a aba e voltar ao site por um favorito confiável. Apps novos e legítimos também podem disparar alertas, mas você só deve prosseguir se tiver certeza de que o site é real e entender o que está assinando.
Passos rápidos
- Rejeite a solicitação. Clique em rejeitar ou feche a janela da Phantom; nada acontece até você assinar.
- Confira de onde veio o link. Trate como suspeitos links vindos de DMs, respostas, anúncios de busca e e-mails de resgate.
- Compare o endereço. Procure letras a mais, hifens, uma terminação diferente ou caracteres parecidos no endereço do site.
- Volte por um favorito. Abra o projeto por um endereço que você mesmo digitou ou por um favorito salvo e veja se o alerta continua.
- Desconecte e revogue. Se você conectou, remova o site em Configurações, Connected Apps e revogue as aprovações de tokens EVM.
- Aja rápido se fundos foram movidos. Se você assinou e perdeu fundos, mova o que sobrou para uma carteira nova criada em um dispositivo limpo.
A Phantom verifica sites e transações antes de você assinar. Ela adquiriu em novembro de 2024 a empresa de segurança Blowfish, cuja tecnologia alimentava suas prévias de transações, e também usa provedores terceirizados, como a Blockaid, para verificar tokens (blog da Phantom, 2024; documentação para desenvolvedores da Phantom, 2026). Seus alertas não são perfeitos, mas sites drainers dependem de as pessoas os ignorarem. A maior parte dos fundos roubados de carteiras Phantom vem da assinatura de algo malicioso, não de uma invasão da Phantom.
Os alertas e o que significam
| Texto do alerta | Por que aparece | O que fazer |
|---|---|---|
This domain is new or has not been reviewed yet. Proceed with caution. [Este domínio é novo ou ainda não foi revisado. Prossiga com cautela.] | A Phantom ainda não revisou o site. A Phantom diz que, para sites legítimos, isso normalmente se resolve em poucos dias. | Confira o endereço com uma fonte confiável. Na dúvida, espere. |
This dApp could be malicious. Do not proceed unless you are certain it is safe. [Este dApp pode ser malicioso. Não prossiga a menos que tenha certeza de que é seguro.] | A Phantom não conseguiu simular a transação de forma confiável antes do envio, então não consegue mostrar o que vai mudar. | Não assine, a menos que confie totalmente no site e entenda a transação. |
Request Blocked – dApp May Be Malicious [Solicitação bloqueada – o dApp pode ser malicioso] | A Phantom bloqueou a solicitação como provavelmente maliciosa. | Trate o site como drainer. Feche-o. |
| Alerta de lista de bloqueio em página inteira | O endereço está na lista pública de bloqueio de URLs maliciosas da Phantom. | Saia do site. Não clique para continuar. |
This app's identity could not be verified. It may be impersonating another app. [Não foi possível verificar a identidade deste app. Ele pode estar se passando por outro app.] | No Android, um app que pede conexão não conseguiu provar que é quem diz ser. | Rejeite e desinstale apps que você não baixou da loja oficial. |
This transaction will burn a valuable prediction market token. Please use the Phantom app to close the position first. [Esta transação vai queimar um token valioso de mercado de previsão. Use o app da Phantom para fechar a posição primeiro.] | Uma transação destruiria um token de posição de mercado de previsão. | Rejeite-a e feche a posição dentro da Phantom. |
Fontes: o primeiro, o segundo, o quinto e o sexto textos vêm da página da documentação para desenvolvedores da Phantom sobre alertas de domínio e de transação (2026); o terceiro é a redação relatada por desenvolvedores no GitHub da Phantom (2025).
"This dApp could be malicious" em detalhe
A central de ajuda da Phantom explica que esse alerta aparece quando a Phantom não consegue simular com precisão uma transação antes do envio, por exemplo porque a transação se comporta de forma dinâmica ou fora do padrão (central de ajuda da Phantom, 2026). A simulação é o que normalmente permite à Phantom mostrar "você vai enviar X e receber Y". Sem ela, você está assinando às cegas.
Isso não prova que o site é malicioso. Mas drainers constroem de propósito transações difíceis de simular, e assinar às cegas é exatamente o que eles querem. A recomendação da Phantom é prosseguir apenas se você confiar totalmente no app e entender os riscos, e parar para pesquisar se tiver dúvida.
Como funciona a lista de bloqueio da Phantom
A Phantom mantém no GitHub uma lista pública de bloqueio de URLs maliciosas. Segundo o repositório, a extensão guarda a lista localmente e verifica os endereços no seu dispositivo, então a Phantom não coleta seus dados de navegação. Novas entradas chegam aos usuários em menos de 15 minutos. Se você visitar um site da lista, a Phantom redireciona você para uma página de alerta; uma solicitação de conexão vinda de um site da lista mostra um alerta na tela de conexão (repositório da lista de bloqueio da Phantom, 2026).
Você pode clicar para continuar, e a Phantom passa a lembrar daquele site como permitido no seu dispositivo. É por isso que clicar para continuar por impulso é arriscado: você desliga a proteção para aquele site dali em diante.
O que fazer quando vir um alerta
- Rejeite a solicitação. Nada acontece até você assinar, então rejeitar é sempre seguro.
- Confira como você chegou ali. Links em DMs, respostas no X, anúncios no Discord, anúncios de busca e e-mails de "resgate" são as principais rotas para drainers. Sites falsos de airdrop e de "token da Phantom" são comuns; não existe token da Phantom.
- Compare o endereço. Procure letras a mais, hifens, uma terminação diferente ou caracteres parecidos. Nosso verificador de links detecta truques comuns de imitação dos domínios da própria Phantom.
- Volte por uma rota confiável. Digite você mesmo o endereço do projeto ou use um favorito salvo antes e veja se o alerta continua.
- Se você já conectou, desconecte o site em Configurações, Connected Apps [Apps conectados], e nas redes EVM revogue as aprovações de tokens que concedeu.
- Se você já assinou e perdeu fundos, siga imediatamente o que fazer se sua carteira foi esvaziada.
Falsos positivos: quando um site real é sinalizado
Projetos novos ou pequenos são, sim, sinalizados. O alerta de domínio novo aparece automaticamente para sites que a Phantom não revisou e costuma sumir em dias. O alerta "could be malicious" pode vir da forma como um app legítimo monta suas transações. Desenvolvedores relataram no GitHub da Phantom que solicitações bloqueadas foram liberadas após cerca de uma semana, e a equipe da Phantom os orientou a escrever para [email protected] (discussão no GitHub da Phantom, 2025).
Como usuário, você não consegue distinguir um falso positivo de um drainer real olhando o site. Cópias de dApps reais são idênticas. Uma regra útil: se o projeto é genuíno, esperar alguns dias custa pouco; se é um drainer, clicar para continuar pode custar tudo.
Se o site sinalizado é seu
A documentação para desenvolvedores da Phantom descreve as causas e as soluções. Para o alerta de simulação, a Phantom recomenda transações mais simples e fáceis de simular (com limites explícitos de computação e de dados de conta e, quando possível, um único signatário), deixando a Phantom assinar e enviando depois pelo seu próprio RPC com verificações de preflight. Se um alerta persistir, a documentação da Phantom indica um formulário de solicitação de revisão de domínio; para alertas de identidade no Android, indica um arquivo Digital Asset Links correto. As respostas da Phantom no GitHub também encaminharam desenvolvedores para [email protected] (documentação para desenvolvedores da Phantom, 2026).
Sinais de alerta em qualquer situação
- Um site, pop-up ou "agente de suporte" pedindo sua frase de recuperação ou chave privada. A Phantom nunca pede isso.
- Um pop-up dizendo que a Phantom precisa de uma "atualização" ou "verificação" urgente por um site. Atualizações vêm apenas da loja oficial.
- Uma mensagem dizendo que você precisa "validar", "sincronizar" ou "retificar" sua carteira.
- Qualquer pessoa dizendo para ignorar o alerta da Phantom porque "é um bug".
Para uma visão geral, leia a carteira Phantom é segura e golpes com carteira Phantom falsa.
Perguntas frequentes
O alerta significa que o site é golpe com certeza?
Não. Significa que a Phantom encontrou um risco ou não conseguiu verificar a transação. Mas sites drainers reais são idênticos aos genuínos, então a escolha segura é parar e verificar.
Por que um dApp novo e legítimo é sinalizado?
A Phantom mostra um alerta de domínio novo para sites que ainda não revisou, e ele costuma sumir em poucos dias. Transações difíceis de simular também podem disparar alertas.
O que acontece se eu clicar para continuar em um alerta da lista de bloqueio?
A Phantom adiciona o site a uma lista de permitidos no seu dispositivo e para de redirecionar você, então você perde essa proteção para o site dali em diante.
Assinei depois de ver o alerta. E agora?
Confira sua carteira em um explorador. Se algo saiu, siga imediatamente os passos para carteira esvaziada. Se nada saiu, desconecte o site e revogue as aprovações EVM.
Como os desenvolvedores pedem revisão de um site?
A documentação para desenvolvedores da Phantom indica um formulário de solicitação de revisão de domínio, e a equipe da Phantom já encaminhou desenvolvedores para [email protected].