Phishing: como identificar sites, e-mails e SMS falsos da Kraken

• Sites com aspeto semelhante. O endereço é parecido com o da Kraken, mas não é igual: uma letra a mais ou trocada, ou «kraken» seguido de palavras como «-support» ou «-verify».
• Anúncios em motores de pesquisa. Os burlões pagam por anúncios para que o seu site falso apareça acima do real nos resultados de pesquisa.
• E-mails e SMS urgentes. Mensagens como «Início de sessão invulgar detetado», «A sua conta está suspensa» ou «Levantamento pendente» redirecionam para uma página de início de sessão falsa. Os SMS podem até aparecer no mesmo fio de conversa que mensagens genuínas da Kraken.
• Códigos QR em e-mails, SMS ou cartas que abrem um site falso.
• Páginas falsas de «verificação de identidade humana» que lhe pedem para colar um comando no computador. Isto instala malware. Consulte Riscos do software de acesso remoto.
• Aplicações falsas e extensões de browser que copiam o nome e o logótipo da Kraken.
• Sites de esvaziamento de carteiras. Páginas falsas de airdrops ou de «reivindicar tokens» pedem-lhe que ligue uma Carteira de autocustódia e aprove uma transação que a esvazia.

• Utilize Chaves de acesso para o Início de sessão com 2FA. Uma Chave de acesso está associada ao site real da Kraken, pelo que não funciona num site falso, mesmo que seja enganado. Só use uma Aplicação autenticadora se as Chaves de acesso não estiverem disponíveis, e leia primeiro Riscos de utilizar uma aplicação autenticadora. Consulte O que é uma Chave de acesso?
• Introduza o endereço manualmente ou use um marcador. Aceda a https://id.kraken.com/sign-in digitando o endereço na barra de endereço do seu browser (verifique se não há gralhas) e adicione-o aos marcadores se o visitar regularmente. Não utilize um motor de pesquisa para aceder à Kraken ou a outros sites sensíveis.
• Verifique o domínio, não o cadeado. Um cadeado ou «https» significa apenas que a ligação está encriptada. Os sites falsos também os têm. O domínio é a parte imediatamente antes da primeira barra simples: em kraken.com.example.net/sign-in, o domínio é example.net, não Kraken.
• Não clique em links de mensagens inesperadas. Abra a Kraken diretamente e verifique se há alertas. Para confirmar o remetente de um e-mail, consulte Este e-mail é da Kraken?
• Nunca introduza a sua frase de recuperação em nenhum site. A Kraken nunca a pedirá.
• Descarregue as aplicações da Kraken apenas a partir da App Store ou do Google Play, utilizando os links em kraken.com.
• Adicione uma segunda camada de proteção. Mantenha a sua Chave mestra num dispositivo diferente do utilizado para o Início de sessão com 2FA e ative o Bloqueio de definições global (GSL), para que quem aceder à sua conta não consiga alterar as definições de segurança.
• Opcional: ative a encriptação PGP de e-mail. A Kraken pode encriptar os e-mails que lhe envia com a sua chave PGP, tornando-os muito mais difíceis de falsificar. Consulte O que é a encriptação PGP/GPG?

• Partilhar o seu nome de utilizador, palavra-passe, códigos 2FA ou Chave mestra.
• Partilhar ou reencaminhar um e-mail de Aprovação de dispositivo, ou o link que contém.
• Partilhar a sua frase de recuperação (também designada por «recovery phrase»), relativa a qualquer carteira.
• Remover ou alterar o seu 2FA, Chave mestra ou Bloqueio de definições global (GSL), a menos que nos tenha contactado previamente para obter ajuda através dos nossos canais oficiais.
• Instalar software de acesso remoto, como o AnyDesk ou o TeamViewer. Consulte Riscos do software de acesso remoto.
• Enviar cripto, ou transferir os seus fundos para uma carteira ou endereço «seguro» ou «de confiança».
• Efetuar um pagamento para libertar, desbloquear ou «verificar» os seus fundos.

Contacte o Apoio Kraken de imediato através de este formulário. Responda às perguntas com honestidade e da forma mais completa possível.

Se ainda conseguir iniciar sessão, aceda ao Kraken diretamente (através de um marcador ou digitando o endereço), altere a sua palavra-passe e atualize o Início de sessão com 2FA e a Chave mestra. Verifique se os endereços de levantamento, as chaves de API e os dispositivos associados lhe são familiares, e elimine os que não reconhecer.

Se introduziu uma frase de recuperação, transfira os fundos dessa carteira para uma nova carteira com uma nova frase de recuperação, configurada num dispositivo em que confie.

Consulte também Como reporto um incidente de phishing? e A minha conta foi comprometida — o que devo fazer?