A Trust Wallet é segura? Como revogar aprovações na TRON

A Trust Wallet é segura agora?

Até 15 de novembro de 2026, nenhuma falha no app Trust Wallet foi confirmada: a Bitquery, que rastreou a recente onda de roubos de USDT na TRON, diz não ter encontrado provas de uma, embora não possa descartá-la ^[1]. Seu relatório, com números verificados em 12 de novembro, conta pelo menos US$ 5,42 milhões em USDT levados de 454 carteiras TRON entre 5 de outubro e 11 de novembro ^[1].

O nome da Trust Wallet está ligado ao caso porque vítimas dizem que a usavam e porque o kit de invasão de iPhone associado a alguns roubos procura por ela, explica a Bitquery ^[1]. A blockchain mostra o dinheiro passando entre endereços, não o celular ou o app por trás deles, por isso a Bitquery só conseguiu ligar um roubo ao relato publicado de um dono de iPhone ^[1].

As orientações da própria Trust Wallet apontam para o celular, não para o app. Em uma publicação de 6 de novembro, ela disse que dois kits de exploração, Coruna e DarkSword, miram iPhones com versões antigas do iOS, Coruna no iOS 13.0 a 17.2.1 e DarkSword no iOS 18.4 a 18.7, e que "aparelhos com a versão mais recente do iOS não são afetados por eles" ^[2]. Em 11 de novembro, acrescentou que seus usuários de iOS não são afetados por outro exploit chamado worse_query e que nunca armazena frases de recuperação ou chaves privadas em texto simples ^[8].

Então a resposta honesta é: não está provado que o app em si foi invadido, mas uma carteira só é tão segura quanto o aparelho e a frase de recuperação por trás dela. Para a cronologia completa dos roubos, veja o guia da Pouyam Trust Wallet Hacked? How to Protect Your USDT on TRON. Este guia trata da próxima pergunta de muitos leitores: revogar aprovações de tokens os protege, e como fazer isso.

O que é uma aprovação de token na TRON?

Uma aprovação de token é uma permissão que você assina para que um contrato inteligente possa tirar da sua carteira um token TRC-20, como o USDT, até um limite definido, sem perguntar de novo ^[4][6]. Tecnicamente, sua carteira chama approve(spender, amount) no contrato do token; o contrato aprovado pode então chamar transferFrom para pegar tokens dentro desse limite ^[4].

Aprovações são normais. Corretoras e apps de troca e empréstimo na TRON as pedem para movimentar seus tokens quando você negocia ^[5]. O risco é que elas continuam ativas depois que você sai do app. A Trust Wallet observa que a maioria dos usuários não percebe que as aprovações valem por tempo indeterminado e que, se um contrato "se tornar malicioso depois", pode esvaziar tokens "sem outra confirmação" ^[3].

Muitos apps pedem um valor ilimitado para poupar você de aprovar de novo. A central de ajuda do TronLink alerta que essas aprovações permitem que outros endereços e contratos transfiram ativos "sem aviso prévio" e recomenda verificar se um produto é de código aberto e auditado antes de aprovar ^[5]. O TRON Guide descreve a aprovação ilimitada como aquela em que o limite é definido no maior valor possível e chama essas aprovações de a maior superfície de ataque na TRON ^[6].

Cada aprovação também vale para um único token. Revogar sua aprovação de USDT para um app não cancela a que você deu ao mesmo app para outro token, então cada uma é verificada e revogada separadamente ^[10].

As aprovações de tokens causaram os roubos de USDT na TRON?

Nenhuma prova aponta nessa direção: a Bitquery diz que os ladrões da recente onda na TRON já tinham as chaves das carteiras, o que é diferente de um site drainer que engana você para ceder seus tokens com uma assinatura ^[1]. Essa diferença define o que protege você.

A Bitquery descreve o padrão que usou para achar as vítimas. Uma carteira de taxas, ou um coletor financiado por ela, enviava ao endereço da vítima alguns TRX para pagar a taxa da rede; segundos depois, todo o saldo de USDT saía em um único pagamento, e então o TRX restante também ia embora ^[1]. Em um caso de 25 de outubro, chegaram 18 TRX e, 18 segundos depois, saíram 519.093 USDT ^[1]. A Bitquery interpreta essa sequência como obra de alguém que já tinha a chave privada ou a frase de recuperação ^[1]. A Coindaro, ao noticiar as primeiras conclusões da Bitquery, observa que a Bitquery só contava uma carteira como vítima quando um único pagamento esvaziava todo o seu USDT, "o padrão de um esvaziamento feito por alguém que tem a chave privada" ^[7].

Um roubo por aprovação é diferente: o contrato do atacante puxa os tokens com transferFrom e paga a própria taxa, então a carteira da vítima não precisa de TRX ^[4]. O relatório da Bitquery diz claramente: "Aqui, o ladrão já tem as chaves" ^[1].

A Bitquery também mostra por que isso importa. Uma carteira foi esvaziada duas vezes: perdeu 19.069 USDT em 26 de outubro e, depois de receber dinheiro novo, mais 4.140 USDT em 10 de novembro ^[1]. "Uma carteira esvaziada continua aberta aos ladrões enquanto sua frase de recuperação" estiver em uso, diz o relatório ^[1]. Revogar aprovações não teria fechado essa porta. Continua sendo uma boa prática, e a lista de segurança da própria Trust Wallet inclui revogar aprovações desconhecidas ^[9], mas é um segundo passo, não a cura para uma chave roubada.

Como revogar aprovações de tokens na Trust Wallet?

Abra a versão mais recente da Trust Wallet, selecione a aba Approvals na seção de ativos, revise a lista e toque em Revoke ao lado de qualquer app em que você não confia mais ^[3]. A Trust Wallet diz que o recurso registra as aprovações quando você as concede, mostra a quais tokens cada app tem acesso e em que quantidade, sinaliza contratos ligados a golpes conhecidos e remove a aprovação na blockchain quando você a revoga ^[3].

1. Atualize primeiro a Trust Wallet pela App Store ou Google Play; os passos da Trust Wallet especificam a versão mais recente ^[3].
2. Na tela inicial, abra a aba Approvals na seção de ativos ^[3].
3. Confira cada item: o token, o app ou contrato e o limite. Dê mais atenção ao USDT e às aprovações ilimitadas.
4. Toque em Revoke em tudo que você não reconhece, não usa mais ou que a carteira marca como arriscado, e confirme a transação ^[3].
5. Mantenha um pouco de TRX na carteira: na TRON, revogar é uma transação que consome bandwidth e Energy ^[4].

Uma limitação: o anúncio da Trust Wallet não diz quais blockchains a aba Approvals cobre ^[3][10]. Se suas aprovações da TRON não aparecerem lá, ou se você quiser uma segunda verificação, use o TronScan, que lista todas as aprovações concedidas por um endereço, como descrito na próxima seção ^[4][6].

Revogar só atua sobre aprovações. Não desfaz uma transferência já feita nem protege uma carteira cuja frase de recuperação outra pessoa conhece ^[10].

Como revogar aprovações TRC-20 no TronScan?

Pesquise seu endereço TRON no TronScan, abra a lista de aprovações na página da conta, cancele cada aprovação indesejada e assine a transação na sua carteira; isso zera o limite ^[4][6]. O TronScan adicionou esse recurso de cancelamento em 14 de maio de 2021 e também mostra um histórico de alterações de aprovação ^[4].

1. Digite você mesmo tronscan.org no navegador; não siga um link de um chat ou anúncio ^[10].
2. Cole seu endereço, que começa com T, na barra de busca ^[6].
3. Na página da conta, abra a aba de aprovações, chamada Approval ou List of Approval conforme o layout ^[4][6].
4. Em cada item, veja o token, o contrato que recebeu a aprovação e o valor. Priorize contratos desconhecidos ou não verificados e aprovações ilimitadas; o TRON Guide recomenda revogar um contrato que você não consiga identificar com segurança ^[6].
5. Clique em Cancel ou Revoke na linha e conecte uma carteira compatível, como o TronLink, para esse endereço ^[6].
6. Leia a tela de assinatura: ela deve chamar approve no contrato do token com valor 0. Se pedir qualquer outra coisa, pare ^[10].
7. Atualize a lista após a confirmação; na TRON isso costuma levar alguns segundos ^[6].

Usuários do TronLink podem fazer o mesmo dentro da carteira: a central de ajuda do TronLink indica Wallet Management e depois Approval Management para ver ou cancelar aprovações ^[5]. Cada cancelamento, e qualquer nova aprovação depois, consome bandwidth e Energy; sem Energy própria, a rede queima TRX para pagar ^[4].

Quais aprovações de tokens devo revogar?

Revogue qualquer aprovação que você não saiba explicar, qualquer aprovação ilimitada a um app que deixou de usar e tudo o que foi concedido a sites de airdrop, "verificação" ou aluguel de Energy ^[6][10]. Mantenha só as aprovações de serviços que você usa e em que confia, e aprove de novo se voltar a algum deles.

A tabela abaixo resume os casos comuns. Um teste simples ajuda: se você não sabe dizer o que é um endereço autorizado, ele não deveria poder gastar seu USDT ^[10].

Cuidado com tokens de imitação. Aprovações em um "USDT" falso, que não é o contrato real da Tether, não conseguem mexer no seu USDT real ^[10]. O contrato real do USDT na TRON é TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t; confira esse endereço na página do token no TronScan antes de agir.

A Bitquery encontrou um truque relacionado nos dados dos roubos: mais da metade dos endereços que pagaram a um coletor eram bots enviando valores ínfimos e tokens falsos de endereços parecidos, um método chamado envenenamento de endereço, na esperança de que alguém copie depois o endereço errado ^[1]. Sempre copie um endereço de destino de uma fonte confiável, nunca do seu histórico de transações.

O que fazer se minha frase de recuperação pode ter sido exposta?

Trate a carteira como comprometida: crie uma carteira nova com uma frase de recuperação nova em um aparelho atualizado e limpo, transfira o que restar e pare de usar a antiga ^[1][10]. A Bitquery diz que quem tem a frase de recuperação tem o dinheiro e não precisa de senha nem de acesso ao celular ^[1].

1. Atualize primeiro o celular. A Trust Wallet orienta usuários de iPhone a instalar a versão mais recente do iOS disponível para o aparelho e a ativar o Lockdown Mode se não for possível atualizar na hora ^[2].
2. Crie a carteira nova e anote a nova frase de recuperação em papel. Não a guarde em fotos, capturas de tela ou notas, que os kits Coruna e DarkSword vasculham, segundo a Trust Wallet ^[2].
3. Envie um pequeno valor de teste para o novo endereço e depois transfira o resto. Mantenha TRX suficiente para as taxas.
4. Deixe a carteira antiga vazia. Se chegar dinheiro novo nela, os ladrões podem levá-lo de novo, como aconteceu com uma carteira rastreada pela Bitquery ^[1].
5. Se algo parecer errado, fale com o suporte da Trust Wallet informando o endereço da carteira e o hash da transação; a Trust Wallet diz que nunca pedirá sua frase de recuperação e nunca manda mensagem primeiro ^[2].

Considere uma carteira de hardware para saldos maiores, comprada direto do fabricante. Se fundos já foram roubados, avise rapidamente a Tether e qualquer corretora para onde o dinheiro foi, porque a Bitquery observa que o USDT só pode ser congelado antes de se mover de novo ^[1]. Ignore quem oferecer serviços pagos de recuperação. Esta é uma orientação geral de segurança, não aconselhamento financeiro.

Como identificar um falso verificador de aprovações?

Use apenas o TronScan, o TronLink ou a aba Approvals da sua própria carteira, digitando o endereço você mesmo, porque sites falsos de "verificação de aprovações" são um golpe de phishing conhecido em que o botão Revoke assina uma nova aprovação ^[10]. Uma revogação real sempre zera o valor.

• Nenhuma ferramenta real de revogação pede sua frase de recuperação ou chave privada. Nunca as cole em um site de "revogar tudo".
• Antes de assinar, leia a função e o valor: approve com 0 é uma revogação; approve com um número grande, uma transferência ou uma mudança de permissões não é ^[10].
• Desconfie de sites de aluguel de "Energy barata" e de airdrops: segundo a TronTransfer, alguns pedem que você autorize um aluguel cuja assinatura é, na verdade, uma aprovação ilimitada de USDT ^[10].
• Confira também as permissões da conta no TronScan: alguns golpes na TRON mudam quem controla um endereço, e revogar aprovações não desfaz isso ^[10].
• Ignore mensagens diretas de quem diz ser suporte da Trust Wallet; a Trust Wallet diz que nunca manda mensagem primeiro ^[2].

Se você perdeu dinheiro para um falso atendente ou serviço de recuperação, registre ocorrência na polícia ou na unidade de crimes cibernéticos do seu país e guarde uma cópia. Para o contexto mais amplo da segurança do iPhone, veja What Are Passkeys? How Passwordless Sign-In Works and Why It Is Safer, que explica por que a segurança do celular agora protege mais de uma conta.