Cartas falsas do IRS miram criptomoedas: proteja-se

Você tem criptomoedas? Recebeu uma carta dizendo que precisa se registrar em um suposto "Portal de Conformidade de Ativos Digitais"? Se sim, pare imediatamente. Isso é golpe. O alerta é da Receita Federal dos EUA (IRS), que identificou criminosos enviando cartas com aparência oficial para roubar dados e ativos digitais.

Segundo o time de segurança da Coinbase, as cartas pedem que a vítima escaneie um QR code e se cadastre em um portal falso. O site fraudulento imita o IRS.gov, mas o IRS não opera nenhum portal desse tipo.

Este ataque não é isolado. Ele se conecta a um cenário mais amplo de ameaças emergentes, onde cibercriminosos exploram a confiança em instituições e a urgência para roubar ativos digitais. E o pior: quem tem celular roubado ou furtado pode estar ainda mais vulnerável a esses golpes.

Como funciona o golpe da carta falsa do IRS

O golpe começa com uma carta física, enviada pelo correio, em envelope sem identificação. Ela imita uma notificação real do IRS, com número de aviso (CP14-432RA) e referência ao ano fiscal de 2017 a 2026. O remetente falso é "Department of the Treasury, Internal Revenue Service, Austin, TX".

Ao escanear o QR code, a vítima cai em um site fraudulento com visual idêntico ao do IRS. O site pergunta onde você guarda suas criptomoedas (hardware wallets como Ledger e Trezor, ou exchanges como Coinbase e Binance) e estima o valor total, com opções até "$100.000+". Isso ajuda os criminosos a priorizar os alvos mais lucrativos.

Depois, o site pede seu número de telefone para "verificação". Em seguida, um falso suporte liga e tenta convencê-lo a entregar senhas, códigos 2FA ou frases-semente. Com esses dados, os golpistas esvaziam suas carteiras em minutos.

Por que esse golpe é tão perigoso?

O IRS realmente tem apertado as regras para declaração de criptomoedas. Por isso, uma carta sobre ativos digitais não parece absurda. Os criminosos exploram essa familiaridade para enganar até usuários experientes.

Investigações da Coinbase e da DarkTower revelaram que o domínio usado no ataque foi registrado dias antes do envio das cartas, por um registrador em Hong Kong, com hospedagem na Romênia. A infraestrutura já era associada a campanhas de phishing contra bancos e instituições financeiras. Não é crime amador — é uma operação internacional bem organizada.

O elo com celular roubado ou furtado

Se seu celular for roubado ou furtado, o criminoso pode acessar seus aplicativos de exchange e carteiras se não houver proteção adequada. Muitos golpistas combinam ataques físicos e digitais: roubam o aparelho para obter códigos 2FA via SMS ou e-mail, e depois usam engenharia social para extrair a frase-semente.

No golpe da carta falsa, o pedido de número de telefone é crucial. Com seu número, o golpista pode tentar SIM swap (clonagem de chip) ou interceptar códigos de autenticação. Se você já teve o celular roubado recentemente, redobre a atenção: seus dados podem estar circulando em fóruns criminosos.

O que fazer se receber a carta falsa do IRS

• Não escaneie o QR code nem visite sites mencionados.
• Nunca compartilhe senhas, códigos 2FA ou frases-semente com ninguém, mesmo que pareçam oficiais.
• Verifique os fatos de forma independente: acesse diretamente irs.gov (site oficial) e busque orientações.
• Se já entregou dados sensíveis, corte contato com os golpistas, troque senhas, avise sua exchange e preserve todas as evidências (cartas, e-mails, mensagens).
• Registre um boletim de ocorrência e reporte o caso ao IRS.

Como proteger suas criptomoedas e identidade digital

Além de evitar o golpe imediato, adote uma postura proativa:

• Use autenticação de dois fatores (2FA) baseada em aplicativo, não SMS. Aplicativos como Google Authenticator ou Authy são mais seguros.
• Armazene suas frases-semente offline, em local físico seguro. Nunca as digite em sites ou aplicativos.
• Monitore seus dados pessoais regularmente. Vazamentos podem expor seu número de telefone e e-mail, facilitando golpes direcionados.
• Ative alertas de transações em suas contas de exchange e carteiras.
• Desconfie de qualquer comunicação urgente que peça ação imediata, especialmente envolvendo QR codes ou links.

O papel da Kzarka na sua defesa

Golpes como esse prosperam quando seus dados pessoais já estão expostos. Se seu e-mail, telefone ou outros dados vazaram, os criminosos podem usá-los para personalizar ataques. A Kzarka monitora vazamentos de dados e alerta você sobre exposições em tempo real. Assim, você age antes que o golpe chegue à sua porta.

Não espere receber uma carta falsa. Verifique agora se seus dados vazaram e monitore sua identidade digital continuamente. Acesse https://kzarka.com e assuma o controle da sua segurança.

Perguntas frequentes (FAQ)

O IRS realmente envia cartas sobre criptomoedas?

Sim, o IRS pode enviar cartas legítimas sobre obrigações fiscais de criptomoedas. Porém, nunca pede para escanear QR codes ou acessar portais externos. Verifique sempre o site oficial irs.gov.

Como identificar uma carta falsa do IRS?

Fique atento a erros de gramática, remetente suspeito, pedidos urgentes de ação e solicitação de dados sensíveis. Cartas legítimas do IRS geralmente incluem seu número de identificação fiscal e instruções claras para contato oficial.

O que fazer se escaneei o QR code e forneci meus dados?

Aja imediatamente: troque todas as senhas, ative 2FA, entre em contato com sua exchange para bloquear saques, e preserve evidências. Registre um boletim de ocorrência e reporte ao IRS.

Celular roubado aumenta o risco de golpes com criptomoedas?

Sim. Se o celular for roubado, o criminoso pode acessar aplicativos de exchange e tentar burlar a autenticação. Use bloqueio de tela forte, 2FA por aplicativo e nunca armazene frases-semente no dispositivo.

Como a Kzarka pode ajudar na proteção contra esses golpes?

A Kzarka monitora vazamentos de dados e alerta se suas informações pessoais aparecerem em fóruns ou bancos de dados criminosos. Isso permite que você tome medidas preventivas antes de ser alvo de phishing direcionado.

É seguro usar QR codes em comunicações oficiais?

Desconfie de QR codes em cartas ou e-mails não solicitados. Eles podem levar a sites falsos. Prefira digitar o endereço oficial manualmente no navegador.