Fundamentos de Segurança da Carteira: Suas Chaves, Suas Criptomoedas, Sua Responsabilidade

Se você aprender apenas uma coisa sobre cripto, que seja esta: quem controla as chaves controla as moedas. Uma carteira cripto não é um lugar onde o seu dinheiro fica guardado; é um chaveiro que prova a propriedade de ativos registrados em uma blockchain. Entender essa única ideia muda tudo o que você faz, porque significa que a sua segurança está, em grande parte, nas suas próprias mãos. Este guia fundamental cobre o essencial, com calma e profundidade.

Custodial versus não custodial: quem guarda as chaves

Uma carteira custodial é aquela em que uma empresa guarda as chaves por você, muito parecido com um banco. É conveniente e pode ser recuperada se você esquecer a senha, mas você está confiando inteiramente naquela empresa; se ela for hackeada, congelada ou quebrar, os seus fundos ficam à mercê dela.

Uma carteira não custodial coloca as chaves somente nas suas mãos. Nenhuma empresa pode congelar ou perder os seus fundos, mas nenhuma empresa pode resgatar você tampouco. É esse o significado da frase “suas chaves são suas”: controle total somado a responsabilidade total. A maior parte deste guia pressupõe carteiras não custodiais, porque é ali que os hábitos pessoais de segurança mais importam.

A frase-semente: a chave mestra de tudo

Quando você cria uma carteira não custodial, recebe uma frase de recuperação, normalmente de doze ou vinte e quatro palavras, também chamada de frase-semente. Essa frase pode regenerar toda a sua carteira e todas as suas chaves. Qualquer pessoa que a tenha possui controle completo e irreversível dos seus fundos.

Higiene da frase-semente

1. Anote-a offline, em papel ou metal, e guarde em um lugar privado e seguro. Considere mais de uma cópia física em locais seguros separados.
2. Nunca a digite em um site, chat, e-mail ou aplicativo que não a tenha gerado, e nunca a fotografe nem a armazene em notas na nuvem.
3. Nunca a conte a ninguém. Nenhum agente de suporte, projeto ou plataforma legítimo jamais vai pedi-la. Todo e qualquer pedido da sua frase-semente é uma tentativa de roubo.
4. Saiba que qualquer pessoa que vir você digitá-la, ou encontrar a sua cópia escrita, ganha controle total. Trate-a como a escritura de tudo o que você possui on-chain.

Não existe “redefinir” uma frase-semente. Se ela for perdida, os seus fundos normalmente somem para sempre; se for roubada, os seus fundos podem ser levados em segundos. É exatamente essa permanência que faz a higiene importar tanto.

Carteiras de hardware: manter as chaves fora da internet

Uma carteira de hardware é um pequeno dispositivo físico que armazena as suas chaves offline e assina transações internamente, de modo que as chaves nunca tocam o seu computador ou celular conectado à internet. Mesmo que o aparelho que você usa todo dia esteja infectado por malware, um atacante não consegue extrair chaves que nunca saem do dispositivo, e transações perigosas precisam ser confirmadas fisicamente no próprio aparelho.

Para qualquer coisa além de quantias pequenas, uma carteira de hardware é uma das melhorias mais eficazes para a sua segurança. Compre diretamente do fabricante ou de um revendedor autorizado, nunca de segunda mão, configure você mesmo e registre a frase-semente que ela gerar com o mesmo cuidado descrito acima. Se um dispositivo chegar com uma frase-semente já preenchida, ele está comprometido; um aparelho genuíno sempre gera a frase na sua frente.

Aprovações de tokens: o risco que as pessoas esquecem

Para usar muitos aplicativos, você concede a eles permissão para movimentar tokens específicos em seu nome. Essas aprovações são convenientes, mas elas persistem, às vezes indefinidamente, e um contrato malicioso ou comprometido mais tarde pode usar uma aprovação esquecida para drenar aqueles tokens. A boa prática é revisar periodicamente as suas aprovações ativas e revogar as que você não precisa mais, usando uma ferramenta confiável de gestão de aprovações ou os controles internos da sua carteira. Tratamos disso em profundidade no nosso guia dedicado sobre revogar aprovações de tokens.

Identificando drainers e ataques comuns

Um “drainer” é um site ou uma transação maliciosa criada para esvaziar a sua carteira no momento em que você aprova. Atacantes atraem você até eles com airdrops falsos, suporte falso, avisos urgentes e sites clonados. Proteja-se com alguns reflexos.

1. Leia cada transação antes de assinar. Se a sua carteira avisar que você está concedendo permissão de gasto ou interagindo com um contrato desconhecido, pare.
2. Chegue aos sites digitando os endereços você mesmo ou usando favoritos salvos, e não clicando em links de mensagens, anúncios ou resultados de busca que podem ser falsificados.
3. Desconfie da urgência. “Aja agora ou perca o acesso” é a linguagem de atacantes, não de serviços legítimos.
4. Ignore mensagens diretas não solicitadas oferecendo ajuda; o suporte de verdade não aparece primeiro na sua caixa de mensagens.
5. Mantenha grandes quantias em uma carteira separada que você quase nunca conecta a lugar nenhum, e use uma pequena carteira “quente” para a interação do dia a dia.

Hábitos diários que mantêm você seguro

1. Mantenha o seu dispositivo e o software da carteira atualizados, e baixe carteiras somente de fontes oficiais.
2. Confira os endereços com cuidado antes de enviar; as transações são irreversíveis.
3. Use a separação de uma carteira de hardware ou de uma carteira fria dedicada para as reservas, e uma pequena carteira quente para a atividade.
4. Presuma que toda mensagem, token ou oferta inesperada é um teste da sua disciplina, e vá mais devagar.

A TokenSpin nunca pedirá que você conecte a sua carteira a nós, nunca pedirá a sua frase-semente, as suas chaves privadas ou a sua senha, e nunca manterá uma página que solicite acesso à carteira. Não precisamos de nada disso para informar você, e qualquer um que alegue o contrário em nosso nome é um fraudador. A participação em qualquer coisa que descrevemos deve acontecer somente pelos canais oficiais do próprio projeto, depois de você mesmo verificá-los.

Construindo um modelo de segurança pessoal que você realmente vai seguir

A melhor configuração de segurança é aquela que você vai manter na vida real, não o ideal teórico que você abandona depois de uma semana. Um modelo prático que a maioria das pessoas consegue sustentar é um arranjo de dois níveis. O seu primeiro nível é uma carteira “fria”, idealmente uma carteira de hardware, que guarda a maior parte dos seus ativos e se conecta a quase nada. A frase-semente dela vive offline, em um lugar privado e seguro, e ela aprova apenas transações ocasionais, lidas com cuidado. O seu segundo nível é uma pequena carteira “quente” no celular ou no computador, que guarda apenas o que você aceita perder e faz a exploração do dia a dia. O dano causado por um erro ou por um site malicioso fica então naturalmente limitado à carteira pequena.

Sobre essa estrutura se acrescentam alguns hábitos que custam pouco e evitam muito: salve nos favoritos os sites em que você confia e chegue até eles por esses favoritos, em vez de por resultados de busca; vá mais devagar sempre que uma mensagem ou página fizer você se sentir empolgado ou apressado; e revise e revogue periodicamente as aprovações de tokens de que não precisa mais. Cada hábito fecha uma categoria inteira de ataque. Nenhum deles exige brilhantismo técnico, apenas consistência.

O que fazer se você achar que foi comprometido

1. Aja rápido, mas com calma. Transfira quaisquer fundos restantes da carteira afetada para uma carteira nova e não comprometida, com uma nova frase-semente.
2. Revogue as aprovações de tokens ligadas ao site ou contrato suspeito, usando uma ferramenta confiável ou os controles internos da sua carteira.
3. Pare de usar a carteira comprometida para qualquer coisa de valor; presuma que as chaves dela podem estar expostas.
4. Desconfie especialmente de “serviços de recuperação” que aparecem depois oferecendo recuperar fundos roubados, pois são frequentemente um segundo golpe direcionado às vítimas do primeiro.

Agir rápido para colocar os fundos fora de alcance é muito mais eficaz do que tentar discutir com um atacante ou esperar para ver o que acontece.

Segurança em cripto tem menos a ver com truques espertos e mais com hábitos constantes: proteja a frase-semente, mantenha as chaves offline sempre que puder, leia o que você assina, revogue o que você não precisa e recuse-se a ser apressado. Faça isso de forma consistente e você elimina a esmagadora maioria do risco. As suas chaves são suas, e a responsabilidade que as mantém seguras também.