Golpes de phishing: como identificar sites, emails e mensagens falsos da Kraken

• Sites que imitam o original. O endereço é parecido com o da Kraken, mas não idêntico: uma letra a mais, uma letra trocada, ou "kraken" seguido de palavras como "-support" ou "-verify".
• Anúncios nos resultados de busca. Os golpistas pagam por anúncios para que o site falso apareça acima do real nas buscas.
• Emails e mensagens urgentes. Mensagens como "Login incomum detectado", "Sua conta está suspensa" ou "Saque pendente" direcionam para uma página de login falsa. Mensagens de texto podem até aparecer no mesmo histórico de conversa que mensagens verdadeiras da Kraken.
• QR codes em emails, mensagens ou cartas que abrem um site falso.
• Páginas falsas de "verificação de humano" que pedem para você colar um comando no computador. Isso instala Malware. Veja Riscos do software de acesso remoto.
• Aplicativos e extensões de navegador falsos que copiam o nome e o logotipo da Kraken.
• Sites que drenam carteiras. Airdrops falsos ou páginas de "resgatar seus tokens" pedem que você conecte uma carteira de autocustódia e aprove uma transação que a esvazia.

• Use chaves de acesso como 2FA para login. Uma chave de acesso está vinculada ao site real da Kraken e não funciona em sites falsos, mesmo que você seja enganado. Use um Aplicativo autenticador somente se as chaves de acesso não estiverem disponíveis, e leia Riscos de usar um aplicativo autenticador primeiro. Veja O que é uma chave de acesso?
• Digite o endereço ou use um favorito. Acesse https://id.kraken.com/sign-in digitando diretamente na barra de endereços do navegador (confira se não há erros de digitação) e salve nos favoritos se você acessa com frequência. Não use um mecanismo de busca para chegar à Kraken ou a outros sites que exijam login.
• Verifique o domínio, não o cadeado. Um cadeado ou «https» indica apenas que a conexão está criptografada. Sites falsos também os têm. O domínio é a parte imediatamente antes da primeira barra simples: em kraken.com.example.net/sign-in, o domínio é example.net, não Kraken.
• Não clique em links de mensagens inesperadas. Acesse a Kraken diretamente e verifique se há algum alerta por lá. Para verificar o remetente de um email, veja Este email é da Kraken?
• Nunca insira sua frase-semente em nenhum site. A Kraken jamais solicitará essa informação.
• Baixe os aplicativos da Kraken somente pela App Store ou Google Play, usando os links disponíveis em kraken.com.
• Adicione uma segunda camada de proteção. Mantenha sua Master Key em um dispositivo diferente do seu 2FA para login e ative o bloqueio das configurações globais (GSL) para que, mesmo que alguém acesse sua conta, não consiga alterar suas configurações de segurança.
• Opcional: ative a criptografia PGP para emails. A Kraken pode criptografar os emails enviados a você usando sua chave PGP, tornando-os muito mais difíceis de falsificar. Veja O que é a criptografia PGP/GPG?

• Compartilhar seu nome de usuário, senha, códigos de 2FA ou Master Key.
• Compartilhar ou encaminhar um email de Aprovação do dispositivo, ou o link contido nele.
• Compartilhar sua frase-semente (também chamada de frase de recuperação), de nenhuma carteira.
• Remover ou alterar seu 2FA, Master Key ou bloqueio das configurações globais (GSL), a menos que você tenha nos contatado primeiro pelos nossos canais oficiais para obter ajuda.
• Instalar softwares de acesso remoto como AnyDesk ou TeamViewer. Consulte Riscos do software de acesso remoto.
• Enviar cripto ou transferir seus fundos para uma carteira ou endereço “seguro” ou “protegido”.
• Fazer um pagamento para liberar, desbloquear ou “verificar” seus fundos.

Entre em contato com o Suporte da Kraken imediatamente usando este formulário. Responda às perguntas com sinceridade e o máximo de detalhes possível.

Se você ainda conseguir entrar, acesse a Kraken diretamente (por um favorito ou digitando o endereço), troque sua senha e atualize seu 2FA para login e Master Key. Verifique se todos os seus endereços de saque, chaves de API e dispositivos são reconhecidos, e exclua os que não forem.

Se você inseriu uma frase-semente, transfira os fundos dessa carteira para uma nova carteira com uma nova frase-semente, configurada em um dispositivo de confiança.

Veja também Como faço para relatar um incidente de phishing? e Minha conta foi comprometida, o que devo fazer?