O que é uma carteira cripto e como mantê-la segura?

Pergunte à maioria dos iniciantes o que uma carteira cripto faz e você ouvirá alguma versão de “é onde eu guardo minhas moedas”. É um jeito intuitivo de pensar sobre isso, mas não é bem verdade, e a distância entre a metáfora e a realidade é exatamente onde as pessoas se metem em apuros. Entender o que uma carteira realmente é, e o que ela protege, é um dos conhecimentos de segurança mais úteis nas criptomoedas.

Uma carteira não guarda suas moedas, ela guarda suas chaves

Em uma blockchain, suas moedas não ficam dentro de um aplicativo ou de um dispositivo físico. Elas existem como registros em um livro-razão público compartilhado, e o controle sobre esses registros é determinado inteiramente pela criptografia. Uma carteira cripto é um software, e às vezes um hardware, que gera e gerencia um par de chaves criptográficas: uma chave privada, que comprova a propriedade e autoriza os gastos, e uma chave pública, da qual seu endereço de recebimento é derivado. Quando alguém pede que você envie cripto, na verdade está pedindo que você transmita uma transação, assinada com sua chave privada, que reatribui registros do livro-razão ao endereço dela. O verdadeiro trabalho da carteira é gerenciar esse par de chaves e montar transações válidas e assinadas, não armazenar tokens em um cofre digital.

Essa distinção muda o que segurança de fato significa na prática. Você não está protegendo moedas guardadas em uma caixa. Você está protegendo um trecho de informação secreta e criptográfica que, se copiado, dá a quem o detém o mesmo poder de gasto que você tem, instantaneamente, sem precisar do seu dispositivo, da sua senha ou da sua permissão.

Carteiras quentes x carteiras frias

As carteiras se dividem, em linhas gerais, conforme suas chaves alguma vez tocam a internet ou não.

Uma carteira quente mantém suas chaves privadas em um dispositivo conectado à internet, como um app de celular, uma extensão de navegador ou um programa de desktop. Carteiras quentes são convenientes para o uso diário: transferências rápidas, conexão com aplicativos, experimentar novas plataformas. Essa conveniência vem com um custo, porque qualquer dispositivo conectado à internet pode, em princípio, ser alvo de malware, apps falsos ou tentativas de phishing.

Uma carteira fria mantém as chaves privadas em um dispositivo que nunca se conecta à internet, assinando transações off-line e exportando apenas a transação já assinada para ser transmitida a partir de um dispositivo conectado separado. As carteiras de hardware dedicadas são a forma mais comum. Como o material das chaves nunca toca uma máquina conectada à internet, o armazenamento a frio elimina toda uma categoria de ataques remotos. Muita gente acaba usando as duas: uma carteira quente para saldos pequenos e ativos, e o armazenamento a frio para as economias que raramente movimenta.

Custódia de terceiros x autocustódia: quem realmente detém as chaves

Separada de quente x fria há outra distinção totalmente diferente: quem controla a chave privada?

Com uma carteira custodiada, do tipo que você obtém por padrão na maioria das corretoras centralizadas, a plataforma detém as chaves privadas em seu nome. Você faz login com um nome de usuário e uma senha, e a corretora gerencia a criptografia nos bastidores. Isso é simples, e significa que uma senha esquecida normalmente pode ser recuperada pelo suporte de conta padrão.

Com uma carteira de autocustódia, ou não custodiada, você mesmo detém a chave privada, geralmente representada como uma frase-semente. Ninguém mais pode congelar, reverter ou mover seus fundos, mas ninguém mais pode ajudá-lo, tampouco, se você perder o acesso. Escolher entre as duas não é uma questão de uma ser universalmente correta; é uma questão de casar o tipo de carteira com o modo como você de fato usa o ativo. Fundos que você negocia ativamente podem razoavelmente ficar em uma conta custodiada; economias que você pretende manter por anos costumam se ajustar melhor à autocustódia.

Frases-semente: o backup mestre das suas chaves

A maioria das carteiras modernas não pede que você faça backup de uma sequência aleatória de letras e números. Em vez disso, elas geram uma frase-semente, uma sequência específica de palavras comuns, a partir da qual toda chave privada que aquela carteira vier a usar pode ser regenerada matematicamente. A frase-semente é, na prática, a chave mestra de todo ativo que aquela carteira controla, presente e futuro.

Esse único fato explica a maioria das regras sobre como lidar com ela. Qualquer pessoa que obtenha sua frase-semente pode recriar sua carteira no próprio dispositivo e mover seus fundos, sem exigir senha, PIN ou biometria, porque a frase-semente contorna tudo isso. Também significa que a frase é a única coisa que importa para a recuperação: se seu celular for perdido, roubado ou destruído, restaurar a frase-semente em uma carteira compatível restaura o acesso completo. Perca a frase sem backup, porém, e não há redefinição de senha, porque não existe uma conta central para redefinir.

“Não são suas chaves, não são suas moedas”

Não são suas chaves, não são suas moedas.

Essa frase surrada nos círculos cripto é, na verdade, apenas uma reformulação da distinção entre custódia de terceiros e autocustódia, mas vale a pena refletir sobre ela. Quando sua cripto está em uma conta custodiada, você detém um direito contra a plataforma, uma promessa de pagamento lastreada nos sistemas e nas políticas dela, e não o controle criptográfico direto do ativo. Esse direito normalmente é honrado sem problemas, mas depende de a plataforma continuar solvente, continuar on-line e optar por processar os saques. A autocustódia elimina essa dependência por completo: controlar a chave privada é controlar o ativo, sem nenhum intermediário no meio.

Nenhuma das duas abordagens é intrinsecamente imprudente. O sentido da frase não é “sempre faça autocustódia de tudo”, e sim que você deveria saber, para cada posição, em qual situação de fato se encontra.

Hábitos práticos que mantêm uma carteira segura

A maioria dos comprometimentos de carteira não vem de ataques criptográficos exóticos. Vem de um punhado de erros repetíveis. Os hábitos essenciais abaixo cobrem a maior parte do risco do mundo real:

• Nunca compartilhe sua frase-semente ou sua chave privada com ninguém. Nenhum provedor de carteira, corretora ou atendente de suporte legítimo jamais precisará dela; um pedido da sua frase é um dos sinais mais confiáveis de um golpe.
• Fique atento ao phishing. Apps de carteira falsos, sites clonados e mensagens instando você a “verificar sua carteira” inserindo sua frase-semente estão entre as formas mais comuns de roubo de fundos. Nosso guia sobre como evitar golpes cripto aborda os padrões comuns com mais profundidade.
• Baixe apps de carteira apenas de fontes oficiais, e confira duas vezes o nome do desenvolvedor e a grafia antes de instalar qualquer coisa.
• Considere uma carteira de hardware para posições maiores ou de longo prazo. Mover as economias para o armazenamento a frio as retira do conjunto de ativos expostos a malware ou a ataques baseados no navegador.
• Verifique os endereços de recebimento com cuidado, sobretudo na própria tela de uma carteira de hardware, já que certos malwares são projetados especificamente para trocar um endereço copiado pelo endereço de um atacante.
• Anote os backups da frase-semente off-line, em papel ou metal, em vez de em uma captura de tela, uma nota na nuvem ou um e-mail, que podem ficar expostos se uma conta ou um dispositivo for comprometido.

Ganhar familiaridade antes de comprometer fundos de verdade

Se isso é novo para você, não existe regra dizendo que você precise mover fundos relevantes logo no primeiro dia. Configurar uma carteira, enviar uma pequena quantia de teste e praticar o processo de ponta a ponta custa muito pouco e ensina muito mais do que ler a respeito jamais ensinará. Nosso guia mais amplo sobre carteiras percorre o processo de configuração tanto para as opções custodiadas quanto para as de autocustódia com mais detalhes, e é uma próxima parada razoável quando os conceitos acima já parecerem sólidos.

Entender carteiras também não é uma tarefa única. À medida que suas posições crescem ou você explora novas plataformas, os mesmos princípios se aplicam: saiba se está usando uma carteira quente ou fria, saiba se é você ou um custodiante que detém as chaves, e trate sua frase-semente com o mesmo cuidado que daria a um passaporte ou a uma escritura de imóvel. Acerte nesses fundamentos, e o resto da segurança cripto fica muito mais administrável.