Durante o ano passado, vimos muitos usuários perderem todos os seus portfólios em um instante – sem aviso prévio.

O que é mais chocante? O invasor nem precisou que eles enviassem tokens.

Bastou uma assinatura – uma transação carregando Hex Data.

Pode ter parecido uma ação simples: reivindicar um NFT, ingressar em um lançamento aéreo, conectar um DApp ou fazer login em um site.

Aparentemente inofensivo: ​0 ETH, enviado para um endereço de contrato inteligente.

Mas a verdadeira ameaça estava escondida dentro dos Hex Data.

É aí que os invasores codificam chamadas de funções maliciosas, como:

· aprovar()

· aumentarAllowance()

· transferirDe()

· setApprovalForAll()

· sweepToken() (funções de contrato maliciosas personalizadas)

Cada uma dessas funções concede o controle de seus ativos ao invasor.

Uma vez assinado, o jogo termina – eles podem drenar seus tokens ERC-20 ou NFTs à vontade, sem aprovação adicional.

Cada transação em cadeia – mesmo sem transferência de ativos, é essencialmente uma chamada de contrato inteligente.

Os chamados Hex Data são apenas “método + parâmetros” codificados em ABI.

Exemplo:

0xa9059cbb000000000000000000000008e8...0000000000000000000000000000000000000000000000000005f5e100

· Os primeiros 4 bytes 0xa9059cbb: seletor de função, neste caso transfer(address,uint256)

· O resto: parâmetros codificados – endereço do token, destinatário, valor, etc.

Para um invasor, este é um passe universal para executar lógica arbitrária.

Para um usuário desatento, é apenas uma sequência sem sentido – como um feitiço enigmático em um idioma que ele não entende.

E é aí que reside a armadilha: assinatura cega.

O que parece ser uma transação de valor 0 para você… …parece acesso total à sua carteira para o invasor.

Esses golpes tendem a compartilhar um conjunto de características comuns:

· 💸 0 ETH ou transação de pequeno valor: para desarmar seu ceticismo.

· 🧬 Hex Data carrega intenção maliciosa: disfarçada como uma ação simples.

· 🧠 Destinatário é um contrato inteligente: não uma pessoa — mas uma armadilha.

· ⚠️ Assinatura = execução: um clique dá controle total.

E o que é pior: Esses ataques são totalmente automatizados.

Os golpistas usam scripts para implantar contratos maliciosos em massa, criar sites de phishing, gerar links fraudulentos e promovê-los por meio de:

· Anúncios em mecanismos de pesquisa

· Grupos de discórdia

· Respostas do Twitter/X

· Brindes falsos e lançamentos aéreos NFT

Eles estão apenas esperando por aquele momento – quando você clica. Uma assinatura e seus ativos serão deles.

A segurança nunca deve ser um fardo apenas do usuário. Na UKey, estamos construindo uma defesa em várias camadas para fechar essas lacunas ocultas.

Aqui está o que fizemos (e continuamos melhorando):

Quando um usuário habilita a opção de "mostrar dados hexadecimais" em uma transação,UKy exibe imediatamente um aviso claro:

⚠️ Esta transação inclui dados hexadecimais e pode envolver interação de contrato inteligente ou aprovações de token. Seja cauteloso.

Não é um arrependimento pós-assinatura. É uma defesa preventiva, logo no primeiro clique.

Queremos que os usuários permaneçam vigilantes — porque o Hex Data é uma ferramenta poderosa, mas também uma arma nas mãos erradas.

Para todas as cadeias EVM, o UKey agora fornece decodificação ABI em tempo real + análise de risco de função:

· Mostra claramente o método que está sendo chamado

· Destaca comportamentos de alto risco antes de assinar, incluindo:

o 🧾 Visibilidade do endereço de destino — Este é um contrato conhecido como seguro ou um endereço suspeito?

o 🕵️ Interações históricas — Você já assinou com este endereço antes?

o 💰 Token e valor — O que exatamente você está aprovando ou enviando?

Com isso, os usuários não assinam mais cegamente — mas com contexto real e total consciência.

Com o UKey Pro, você não vê strings hexadecimais brutas.

Você vê informações reais e legíveis diretamente na tela do seu dispositivo:

· 🔍 Nome da função — Saiba o que você está realmente assinando.

· 💵 Tipo e valor do token — Você está autorizando todo o seu saldo?

· 📍 Endereço de destino — Isso é familiar ou é um sinal de alerta?

Cada campo está aqui para ajudá-lo a tomar uma decisão informada, não é um palpite cego.

Não há “desfazer” no blockchain. Cada assinatura é final.

Sabemos como é fácil pensar:

“Achei que estava apenas conectando minha carteira…”

É por isso que construímos cada camada do UKey com a proteção real do usuário em mente.

Cada assinatura é uma questão de confiança. E o UKey está aqui para ser a defesa mais confiável que você tem.