Resumo. A Phantom Wallet sofreu três golpes significativos no Q1 2026: uma queda de 3,5 horas que deixou os saldos zerados, um roubo de $264.000 por envenenamento de endereços documentado publicamente pelo pesquisador ZachXBT, e a onda de choque do hack de $285 milhões ao Drift Protocol. Este relatório analisa cada incidente, as vulnerabilidades de design que os tornaram possíveis e o que um usuário pode fazer para se proteger hoje.
A queda de 6 de abril: 3 horas sem saldos
Em 6 de abril de 2026, às 16h42 PDT, milhões de usuários da Phantom viram seus saldos exibirem zero. Os preços congelaram. As extensões de navegador e a versão desktop pararam de funcionar. A rede Solana operava normalmente — o problema era exclusivamente da camada centralizada da Phantom.
A falha durou 3 horas e 30 minutos. O aplicativo móvel continuou funcionando, o que sugere que utiliza um cluster de nós RPC diferente com maior redundância.
| Métrica | Dado |
|---|---|
| Duração total | 3h 30min |
| Plataformas afetadas | Extensão de navegador + desktop |
| App móvel | Operacional (resiliência superior) |
| Rede Solana | 100% operacional durante todo o incidente |
| Resolução | Patch nos servidores de indexação de backend |
A página de status mentiu
Enquanto plataformas externas como StatusGator detectaram a queda imediatamente, a página oficial da Phantom manteve o indicador em "Operacional" durante a maior parte do incidente. Auditores externos atribuíram uma classificação de precisão "D" (Ruim), com um atraso médio de 2–4 horas no reconhecimento de incidentes.
Relatos de usuários continuaram chegando até 24 horas após a suposta resolução, com problemas de sincronização em regiões dispersas — da Carolina do Norte aos Países Baixos.
Lição-chave. Sua carteira pode mostrar zero mesmo que seus fundos estejam intactos na blockchain. Se a Phantom falhar, você pode verificar seus saldos diretamente no Solscan ou no Solana FM. Para ter acesso contínuo, mantenha uma segunda carteira (como Solflare ou Jupiter) configurada com as mesmas chaves.
Envenenamento de endereços: $264.000 roubados por um erro de cópia
O envenenamento de endereços (address poisoning) não requer hackear sua chave privada. É mais simples — e por isso funciona. Os atacantes criam carteiras cujos endereços compartilham os mesmos primeiros e últimos caracteres que os seus, e então enviam transações de dust para aparecer no seu histórico.
O truque: quando você copia um endereço do histórico recente, a Phantom exibe endereços truncados (por exemplo, 0x85c...11D8f6). Se o atacante gerou um endereço que coincide nesses caracteres visíveis, você copia o dele sem perceber.
| Tática do atacante | Como funciona | Risco |
|---|---|---|
| Endereço vanity | Gera carteiras com caracteres idênticos no início e no final | Alta probabilidade de confusão |
| Transação de dust | Envia quantias mínimas para aparecer no histórico | O endereço malicioso se mistura com os legítimos |
| Transferência de valor zero | Usa contratos inteligentes para criar entradas sem custo | Engano visual sem gasto para o atacante |
| Truncamento de UI | A Phantom exibe apenas as extremidades do endereço | Facilita a falsificação |
O caso ZachXBT: 3,5 WBTC perdidos
Em fevereiro de 2026, um usuário perdeu 3,5 Wrapped Bitcoin ($264.000) ao copiar um endereço envenenado do seu histórico. O pesquisador on-chain ZachXBT documentou o caso e criticou publicamente a Phantom por não implementar filtros de spam agressivos que ocultem automaticamente essas transações fraudulentas.
A simulação de transações da Phantom — sua ferramenta de segurança mais poderosa — não consegue detectar esse tipo de ataque. O motor simula se o contrato de destino é malicioso, mas não pode saber se o endereço é o que o usuário realmente queria.
Como se proteger. Nunca copie endereços do histórico de transações. Use sempre o catálogo de endereços da Phantom ou um gerenciador de contatos verificado. Para transações de alto valor, verifique cada caractere na tela física da sua hardware wallet.
O hack do Drift Protocol: $285 milhões em 12 minutos
Em 1º de abril de 2026, o Drift Protocol — a principal exchange de perpétuos na Solana — perdeu $285 milhões. Não foi uma falha de código: foi engenharia social de alto nível combinada com uma funcionalidade legítima da Solana chamada "durable nonces".
Como o ataque funcionou
Os atacantes dedicaram seis meses a se infiltrar no círculo de confiança dos desenvolvedores do Drift. Compareceram a conferências sob identidades falsas de uma firma quantitativa e obtiveram gradualmente aprovações de multisig para transações pré-assinadas.
| Fase | Ação | Consequência |
|---|---|---|
| Infiltração (6 meses) | Relações pessoais com a equipe, reuniões presenciais | Acesso a aprovações de multisig |
| Manipulação de oracle | Wash trading do token CVT para inflar seu valor | CVT aceito como colateral a valor inflado |
| Execução (12 min) | Transações pré-assinadas via durable nonces | $285M drenados, TVL de $550M para <$250M |
| Lavagem (6 horas) | $230M movidos via Circle CCTP da Solana para Ethereum | Circle não interveio para congelar os fundos |
Os usuários da Phantom com depósitos no Drift viram seus saldos desaparecer instantaneamente da interface. Não houve aviso prévio. A carteira não tinha como saber que o Drift estava comprometido até que já era tarde demais.
A polêmica da Circle
A investigação posterior revelou que a Circle processou $230 milhões em USDC roubados durante 6 horas sem intervir. Escritórios jurídicos como Gibbs Mura iniciaram investigações de ação coletiva, questionando por que a Circle congelou carteiras de negócios legítimos dias antes do hack, mas não agiu diante de um roubo confirmado.
Phantom Chat: inovação ou risco?
A Phantom planeja lançar um sistema de mensagens nativo em 2026, permitindo comunicação direta entre carteiras. A ideia é facilitar o comércio de NFTs e transações P2P. O roteiro tem sido claro: comunidades do Telegram (2024), integração com o X (2025), chat nativo (2026).
O problema: introduzir um canal de comunicação dentro do mesmo ambiente onde você gerencia chaves privadas é exatamente o que os atacantes precisam. Uma mensagem que pareça vir de um contato conhecido, junto com um endereço envenenado, multiplica a probabilidade de erro.
O consenso entre profissionais de segurança como ZachXBT é direto: o Phantom Chat precisa de filtros de spam de nível bancário e verificação de identidade robusta antes de ser implantado. A prioridade deveria ser corrigir o envenenamento de endereços, não adicionar mais superfície de ataque.
O que a Phantom faz bem: o firewall da Blowfish
Após a aquisição da Blowfish, a Phantom integrou um motor de simulação de transações que analisa cada operação antes de assiná-la. Os números são relevantes:
- 85 milhões de transações analisadas até o momento
- 18.000+ tentativas de drenagem total de fundos evitadas
- Detecção de assinaturas
setAuthorityque poderiam ceder o controle da sua conta - Blocklist open-source com mais de 2.000 domínios maliciosos
- 600.000+ NFTs fraudulentos queimados por usuários (recuperando aluguel de SOL)
O sistema funciona bem contra contratos maliciosos e dApps fraudulentas. Onde falha é precisamente nos ataques que não envolvem um contrato malicioso — como o envenenamento de endereços, onde o usuário seleciona voluntariamente o endereço errado.
O contexto da Solana: Firedancer e Alpenglow
O desempenho da Phantom está diretamente ligado à evolução da rede Solana. No Q1 2026, duas atualizações mudam as regras:
| Atualização | O que muda | Impacto na Phantom |
|---|---|---|
| Firedancer | Novo cliente validador com maior resiliência | Menos transações com falha por congestionamento |
| Alpenglow (SIMD-0326) | Finalidade reduzida de 12 segundos para ~150ms | Confirmações quase instantâneas, menos duplicações |
A rede também registrou crescimento massivo na tokenização de ativos reais (RWA): a Solana superou o Ethereum em detentores de RWA, alcançando $2 bilhões em valor bloqueado, com Mastercard, Worldpay e Western Union utilizando a plataforma. Isso eleva a responsabilidade da Phantom: ela não gerencia apenas memecoins, mas também folhas de pagamento internacionais, pagamentos de e-commerce e cartões Visa integrados.
Recomendações: o que fazer hoje
Os três incidentes do Q1 2026 revelam o mesmo padrão: a Phantom não foi hackeada diretamente, mas sua interface facilitou as perdas. Estas são as medidas mais eficazes:
- Use sempre o catálogo de endereços. Nunca copie endereços do histórico de transações. É a única defesa real contra o envenenamento.
- Mantenha uma segunda carteira. Se a Phantom cair, você precisa de acesso aos seus fundos. Configure a Solflare ou Jupiter com as mesmas chaves como backup.
- Verifique no hardware. Para transações acima de $1.000, confirme cada caractere do endereço na tela da sua Ledger ou Trezor.
- Desconfie do Phantom Chat. Quando for lançado, trate qualquer mensagem com solicitação de fundos como maliciosa por padrão até verificar por outro canal.
- Monitore suas aprovações. Revise periodicamente quais contratos têm permissões sobre seus tokens. O CleanSky mostra todas as suas aprovações ativas e seu nível de risco.
A conclusão. A Phantom continua sendo a porta de entrada mais popular para a Solana, mas em 2026 ficou claro que a segurança da interface importa tanto quanto a segurança da blockchain. Enquanto a Phantom resolve os problemas de truncamento de endereços, filtragem de spam e transparência na sua página de status, a responsabilidade recai sobre o usuário: verificar, diversificar e nunca confiar cegamente no que a tela exibe.