Um proxy residencial é a internet de alguém. Não um abstrato "pool de 100 milhões de IPs", mas um roteador, uma televisão ou um telefone específico, através do qual o tráfego de outra pessoa está passando naquele momento. A pergunta que quase nunca é feita na hora da compra: quem e por quanto concordou em ceder esse canal. A resposta determina tanto a qualidade do pool quanto seu status jurídico, e a probabilidade de que você esteja compartilhando o nó de saída com malware de terceiros.
Em 2026, surgiram os primeiros números concretos para essa pergunta. A Bitsight TRACE listou nós de 30 serviços de proxy, a Infoblox analisou o problema do ponto de vista das redes corporativas, e os pagamentos dos serviços de "renda passiva" estão disponíveis publicamente. Vamos juntar tudo e calcular a economia.
Três fontes de IPs residenciais
Qualquer pool residencial é formado de uma das três maneiras, e elas são fundamentalmente diferentes.
- Compartilhamento voluntário por dinheiro. A pessoa instala um aplicativo como Honeygain, Pawns.app ou EarnApp e recebe pagamentos pelo tráfego cedido. O consentimento existe, é consciente, e o proprietário pode desligar o aplicativo a qualquer momento.
- SDK dentro de software gratuito. O desenvolvedor embute uma biblioteca de proxy em seu aplicativo — VPN, conversor de arquivos, cliente de streaming — e recebe dinheiro por cada dispositivo instalado. O usuário "concordou" formalmente ao aceitar o EULA, mas não fez uma escolha consciente.
- Infecção. O dispositivo entra no pool através de um infostealer ou um backdoor pré-instalado em um dispositivo de TV barato. Não há consentimento algum.
Essas três categorias são vendidas sob uma única bandeira de "proxies residenciais" e pelo mesmo preço. A diferença só é visível por meio de sinais indiretos — e é exatamente por isso que vale a pena saber lê-los.
Quanto pagam por gigabyte de tráfego residencial
As tarifas do primeiro canal são públicas, e não é difícil compará-las:
- Pawns.app — fixos $0,20 por gigabyte, pagamento mínimo de $5.
- EarnApp — cerca de $0,36 por gigabyte nos EUA e até $0,24 em outras regiões; segundo outras estimativas, a faixa é mais ampla, de $0,30 a $0,90, dependendo da geolocalização. O mínimo é $2,50.
- Honeygain — 3 créditos por 10 MB, a demanda e a tarifa real dependem muito do país (o tráfego dos EUA custa mais que o da Índia). Pagamento mínimo de $20.
O resultado realista para uma conexão residencial nos EUA, com vários aplicativos rodando ao mesmo tempo, é em torno de um dólar por dia. Essa é a parte superior do "rendimento passivo": não é um negócio, mas uma quantia pequena para uma assinatura.
Agora, a segunda metade da equação. O preço de varejo do tráfego residencial em grandes provedores em 2026 varia de $3,75 por gigabyte na Decodo (ex-Smartproxy) até $8 por gigabyte na Bright Data na tarifa pay-as-you-go. O tráfego de data center, por sua vez, custa cerca de $0,60 por gigabyte.
Compare: o proprietário do canal recebe $0,20 a $0,36, e o comprador final paga $3,75 a $8. A diferença de 15 a 30 vezes não é ganância do intermediário, mas o custo de tudo que está entre: infraestrutura de rotação, filtragem de nós mortos, geotargeting, suporte, riscos jurídicos. Mas entender a ordem de grandeza dos números explica o principal: uma parte do mercado tem um forte incentivo a não pagar ao proprietário do dispositivo. É de lá que surgem os canais dois e três.
O pool voluntário também tem uma limitação estrutural, sobre a qual raramente se fala. A pessoa disposta a manter um aplicativo ligado por um dólar por dia é um público restrito, e sua distribuição é desigual: há muitos participantes onde a internet é barata, e poucos onde a demanda por endereços é máxima. Daí surge a constante escassez de geos "caros" e o incentivo a obtê-los através de SDK em software gratuito, onde o proprietário do dispositivo não precisa ser pago. Quando um provedor promete dezenas de milhões de endereços em um determinado país ocidental a um preço significativamente abaixo do mercado, a aritmética de um canal voluntário não explica tal volume.
15% dos nós estão infectados: medição em vez de suposições
A Bitsight TRACE fez um levantamento de nós de 19 de janeiro a 15 de março de 2026 — 55 dias de observação, 53.346.368 IPs únicos e quase 990 milhões de eventos em 30 serviços de proxy. Os maiores pools por atividade de pico: NetNut — 2,3 milhões de nós, LunaProxy — 1,85 milhões, 711Proxy — 1,65 milhões, 922Proxy — 1,64 milhões, ThunderProxy — 1,47 milhões.
Em seguida, os pesquisadores compararam esses endereços com a telemetria de malware:
- 15,49% dos endereços (8.222.677 IPs) mostraram sinais de infecção ativa;
- 12,78% (6.785.708 IPs) — atividade de riskware;
- entre as famílias encontradas — Vo1d, Badbox, RootSTV/Pandoraspear, Gamarue.
Aqui é necessário ter cautela na interpretação. O nível básico global de infecção em todos os endereços é comparável — 14–21%, ou seja, a porcentagem por si só não prova que os pools são compostos por botnets. O mais importante é que os nós de serviços específicos se sobrepõem de forma consistente com famílias específicas de malware de TV. Um episódio emblemático foi a operação de janeiro de 2026 contra a IPIDEA: antes do desligamento, sua infraestrutura era responsável por 302.238 infecções Vo1d, ou seja, 55% de toda a botnet global, e um terço dos nós RootSTV. Já em 24 de janeiro, o serviço se recuperou para 2,24 milhões de nós e cerca de 300 mil infecções Vo1d anteriores.
Uma imagem semelhante foi vista no episódio mais notório do ano: em 2 de julho de 2026, o Google Threat Intelligence Group, junto com o FBI, IRS-CI e Lumen, desligou a NetNut — uma rede baseada em mais de dois milhões de smart TVs, dispositivos de streaming e dispositivos Android sequestrados. Em uma semana de junho, foram contados 316 clusters de ameaças distintas que usavam nós de saída para mascarar sua identidade. Uma análise detalhada de como plataformas como a LG começou a remover o proxy-SDK de televisores foi feita separadamente.
65% das redes corporativas já estão participando disso
A parte mais subestimada da história é que o "tráfego residencial" muitas vezes acaba sendo tráfego de escritório. A Infoblox analisou as solicitações DNS de seus clientes em nuvem e obteve um resultado difícil de ignorar:
- mais de 65% dos clientes em 2026 acessaram domínios de serviços de proxy residenciais;
- na indústria farmacêutica e alimentícia — mais de 90% das organizações;
- nos setores bancário e público — mais de 60%;
- no mínimo em qualquer vertical — 40%;
- o volume total de solicitações DNS a domínios de proxy cresceu de cerca de 300–400 bilhões por mês no início de 2025 para mais de 500 bilhões em abril de 2026.
A mecânica é simples: um funcionário instala em seu laptop de trabalho um aplicativo para ganhar dinheiro com tráfego, uma extensão de navegador ou um cliente de streaming gratuito com SDK embutido — e o endereço corporativo começa a atender solicitações de terceiros. Para o departamento de segurança, isso significa que o tráfego de saída da empresa de repente deixa de pertencer à empresa, e seu IP pode ser colocado em listas negras devido às ações de terceiros.
O que o administrador deve fazer com isso: procurar nos logs DNS acessos a domínios de serviços de monetização de tráfego, bloqueá-los no resolvedor, proibir a instalação de tais aplicativos por meio de políticas e verificar separadamente dispositivos que de repente geram muitas conexões de saída fora do horário de trabalho. Para tarefas de trabalho legítimas, onde é necessário um endereço externo, existem proxies gerenciados em nível de rede — com logs, controle e responsabilidade clara.
O que isso significa para o comprador de proxies
A conclusão prática não é "proxies residenciais são ruins" — eles continuam a ser uma ferramenta útil onde um endereço residencial real é necessário. A conclusão é que a origem do pool deixou de ser uma abstração e afeta diretamente o que você receberá pelo seu dinheiro.
Efeito prático de um pool sujo: seu nó de saída é usado simultaneamente por malware de terceiros para password spray ou envio de spam; o endereço vai parar em listas de bloqueio; sua taxa de sucesso cai, e você atribui isso a "sistemas anti-bot fracos". Além disso, há o risco reputacional e jurídico: o tráfego passa por um dispositivo cujo proprietário não sabe de você.
O que perguntar ao provedor antes da compra:
- De onde vem o IP. Uma resposta clara seria "aplicativos parceiros com pagamentos" ou "faixas de ISP por contrato", e não "a maior rede do mundo".
- Há filtragem. O provedor remove nós que apareceram em listas de bloqueio e feeds de malware — e com que frequência.
- Quais são as garantias sobre o tráfego. Reembolso por solicitações malsucedidas e faturamento transparente indicam que o provedor confia na qualidade dos nós.
- É realmente necessário um tipo residencial. Para muitas tarefas, um proxy de data center a um preço seis vezes menor é suficiente, e onde um endereço residencial real é necessário, a questão da origem é resolvida pela escolha do provedor, não pelo tipo de proxy.
Vale a pena verificar como seu pool se apresenta do lado da proteção: detectores de 2026 identificam nós residenciais não pelo ASN, mas por sinais comportamentais e de rede — como funciona a inteligência de IP moderna, analisamos em detalhes. Se o pool estiver poluído, isso será visível tanto para você pelas métricas quanto para o sistema anti-bot pelos seus dados.
Resumindo
Um pool residencial é uma economia, não mágica. O proprietário de um canal residencial recebe $0,20 a $0,36 por gigabyte, o mesmo gigabyte é vendido ao comprador por $3,75 a $8, e nessa diferença está toda a distinção entre um pool de parceiros honesto e uma rede de dispositivos infectados. As medições de 2026 mostraram que 15,49% dos 53 milhões de nós listados apresentaram sinais de infecção ativa, e 65% das redes corporativas já participam, de alguma forma, desse tráfego.
A conclusão prática é uma: pergunte sobre a origem dos endereços antes da compra, e não após a primeira proibição em massa. Proxies residenciais devem ser adquiridos onde realmente são necessários, e de um provedor que possa explicar de onde vêm seus IPs — os critérios de escolha foram reunidos em uma lista de verificação separada.
```