Golpes de phishing: como identificar sites, emails e mensagens falsos do Krak

• Sites clonados. O endereço é parecido com o do Krak, mas não idêntico: uma letra a mais, trocada, ou palavras como "-support" ou "-verify" após "krak".
• Anúncios em buscadores. Golpistas pagam por anúncios para que o site falso apareça acima do real nos resultados de pesquisa.
• Emails e mensagens de texto urgentes. Mensagens como "Login incomum detectado", "Sua conta foi suspensa" ou "Saque pendente" redirecionam para uma página de login falsa. As mensagens de texto podem até aparecer no mesmo histórico de conversa que as mensagens legítimas do Krak.
• Códigos QR em emails, mensagens de texto ou cartas que abrem um site falso.
• Páginas falsas de "verificação de humanidade" que pedem para você colar um comando no computador. Isso instala malware. Consulte Riscos de softwares de acesso remoto.
• Aplicativos falsos e extensões de navegador que copiam o nome e o logo do Krak.
• Sites esvaziadores de carteira. Páginas falsas de airdrop ou de "resgatar seus tokens" pedem que você conecte uma carteira de autocustódia e aprove uma transação que a esvazia.

• Use chaves de acesso para o 2FA para login. Uma chave de acesso está vinculada ao site real do Krak e não funciona em sites falsos, mesmo que você seja enganado. Use um Aplicativo autenticador somente se as chaves de acesso não estiverem disponíveis, e leia Riscos de usar um aplicativo autenticador antes. Consulte O que é uma chave de acesso?
• Digite o endereço ou use um favorito. Acesse https://id.kraken.com/sign-in digitando diretamente na barra de endereços do seu navegador (verifique se não há erros de digitação) e salve nos favoritos se acessar com frequência. Não use um buscador para acessar o Krak ou outros sites sensíveis.
• Verifique o domínio, não o cadeado. Um cadeado ou «https» apenas indica que a conexão está criptografada. Sites falsos também os exibem. O domínio é a parte logo antes da primeira barra simples: em krak.app.example.net/sign-in, o domínio é example.net, não Krak.
• Não clique em links de mensagens inesperadas. Abra o Krak você mesmo e verifique se há alertas. Para confirmar o remetente de um email, veja Este email é do Krak?
• Nunca insira sua frase-semente em nenhum site. O Krak jamais vai solicitá-la.
• Baixe os aplicativos do Krak somente pela App Store ou pelo Google Play, usando os links em krak.app.
• Adicione uma segunda camada de proteção. Mantenha sua Master Key em um dispositivo diferente do seu 2FA para login e ative o bloqueio das configurações globais (GSL) para que, mesmo que alguém consiga acesso, não consiga alterar suas configurações de segurança.
• Opcional: ative a criptografia de email por PGP. O Krak pode criptografar os emails enviados a você usando sua chave PGP, tornando-os muito mais difíceis de falsificar.

• Compartilhar seu nome de usuário, senha, códigos de 2FA ou Master Key.
• Compartilhar ou encaminhar um email de Aprovação do dispositivo, ou o link contido nele.
• Compartilhar sua frase-semente (também chamada de frase de recuperação) de nenhuma carteira.
• Remover ou alterar seu 2FA, Master Key ou bloqueio das configurações globais (GSL), a menos que você tenha nos contatado antes pelos canais oficiais para pedir ajuda.
• Instalar softwares de acesso remoto, como AnyDesk ou TeamViewer. Veja Riscos do uso de software de acesso remoto.
• Enviar cripto ou transferir seus fundos para uma carteira ou endereço “seguro” ou “protegido”.
• Fazer um pagamento para liberar, desbloquear ou "verificar" seus fundos.

Entre em contato com o Suporte da Krak imediatamente usando este formulário. Responda às perguntas com sinceridade e com o máximo de detalhes possível.

Se ainda conseguir entrar, acesse a Krak diretamente (por um favorito ou digitando o endereço), altere sua senha e atualize seu 2FA para login e Master Key. Verifique se seus endereços de saque, chaves de API e dispositivos são reconhecidos, e exclua qualquer um que não identificar.

Se você inseriu uma frase-semente, transfira os fundos dessa carteira para uma nova carteira com uma nova frase-semente, configurada em um dispositivo de confiança.

Veja também Como reportar um incidente de phishing? e Minha conta foi comprometida: o que devo fazer?