Por que segurança em cripto é diferente
Em finanças tradicionais, se alguém hackeia sua conta bancária, o banco pode reverter a transação. Em cripto, transações são irreversíveis. Uma vez que o dinheiro saiu da sua carteira, não tem central de atendimento, não tem "contestar transação", não tem Procon. Foi embora.
Isso não é um defeito — é uma característica fundamental de sistemas descentralizados. A mesma propriedade que impede governos de confiscar seu Bitcoin também impede que qualquer pessoa reverta uma transferência fraudulenta. A responsabilidade pela segurança é inteiramente sua.
Em 2024-2025, mais de US$ 2 bilhões foram roubados em hacks de protocolos e golpes contra usuários individuais. A maioria dos roubos de pessoas físicas não aconteceu por falha tecnológica sofisticada — aconteceu por phishing, seed phrase exposta e aprovações maliciosas. Segurança em cripto é 90% comportamento e 10% tecnologia.
Carteira fria (hardware wallet): sua primeira linha de defesa
Uma hardware wallet é um dispositivo físico (do tamanho de um pen drive) que armazena suas chaves privadas offline. Mesmo que seu computador esteja infectado com malware, as chaves nunca saem do dispositivo — a transação é assinada dentro da hardware wallet e só o resultado assinado é enviado para a blockchain.
As principais opções são Ledger (maior ecossistema, chip Secure Element), Trezor (100% open source) e BitBox (suíça, edição Bitcoin-only). Custam de US$ 60 a US$ 220 e protegem patrimônios de qualquer tamanho.
Quando usar: para qualquer quantia que você não se sentiria confortável perdendo. Se você tem R$ 5.000 ou mais em cripto, uma hardware wallet é investimento obrigatório, não opcional.
Como funciona: conecte ao computador ou celular via USB/Bluetooth, abra o app da carteira (Ledger Live, Trezor Suite), confirme a transação no visor do dispositivo. Sem confirmação física no aparelho, nenhuma transação é executada.
Seed phrase: o que é e como proteger
A seed phrase (frase de recuperação) é uma sequência de 12 ou 24 palavras que representa todas as suas chaves privadas. Com essas palavras, qualquer pessoa pode restaurar sua carteira e acessar todos os seus ativos — em qualquer dispositivo, a qualquer momento.
O que FAZER
- Anote em papel ou placa de metal (resiste a fogo e água)
- Guarde em local seguro: cofre, cofre de banco, com pessoa de confiança
- Faça pelo menos duas cópias e armazene em locais diferentes
- Teste a restauração: crie a carteira do zero usando a seed e verifique se os endereços são os mesmos
O que NUNCA fazer
- Tirar foto ou print da seed phrase
- Salvar em arquivo de texto, nuvem, email ou mensagem
- Digitar em qualquer site, app ou formulário que não seja o processo de restauração da carteira oficial
- Compartilhar com qualquer pessoa por qualquer canal
Nenhuma empresa legítima — exchange, suporte técnico, projeto cripto — vai pedir sua seed phrase. Se alguém pediu, é 100% golpe, sem exceção.
Autenticação de dois fatores (2FA)
2FA adiciona uma segunda camada de segurança além da senha. Mesmo que alguém descubra sua senha, precisa do segundo fator para acessar sua conta.
Tipos de 2FA (do mais seguro ao menos)
1. Chave de segurança física (YubiKey, Titan): praticamente inviolável, requer presença física 2. App autenticador (Google Authenticator, Authy): gera códigos temporários de 6 dígitos no seu celular 3. SMS: melhor que nada, mas vulnerável a SIM swap (criminoso transfere seu número para outro chip)
Configure 2FA em tudo
Ative em exchanges, carteiras que suportam, email e redes sociais. Use app autenticador como padrão. Salve os códigos de backup que a plataforma fornece — se perder o celular, eles são sua forma de recuperação.
SIM swap: o perigo do 2FA por SMS
No Brasil, golpistas subornam funcionários de operadoras ou usam engenharia social para transferir seu número de telefone. Com o número, recebem o SMS de verificação e acessam suas contas. Por isso, evite SMS como segundo fator e nunca vincule a recuperação de contas críticas ao número de celular.
Golpes comuns: como identificar e evitar
Os golpes em cripto são variados, mas seguem padrões previsíveis. Conhecê-los é sua melhor defesa.
Phishing
Sites falsos que imitam exchanges ou DApps. A URL pode ser quase idêntica (binance.com vs binannce.com). Você conecta a carteira ou digita login/senha no site falso e perde tudo. Prevenção: sempre digite a URL manualmente, use bookmarks, e confira o certificado SSL.
Golpe do "suporte técnico"
Alguém entra em contato dizendo ser do suporte da Binance, Ledger ou MetaMask. Pede acesso remoto ao seu computador ou sua seed phrase para "resolver um problema". Nenhum suporte legítimo faz isso. Nunca.
Esquemas de retorno garantido
"Deposite 1 BTC e receba 2 BTC em 24h". "Fundo de investimento cripto com 5% ao mês garantido". Qualquer promessa de retorno fixo em cripto é golpe. Não existe retorno garantido em nenhum ativo de risco.
Golpe do romance (pig butchering)
Perfil atraente em app de relacionamento ganha sua confiança ao longo de semanas e depois sugere "um investimento incrível em cripto". Você deposita em uma plataforma falsa, vê "lucros" crescendo, mas quando tenta sacar, pedem mais depósitos para "liberar os fundos". Tudo é fake.
Phishing avançado e aprovações maliciosas
Golpes mais sofisticados exploram aprovações de smart contracts em vez de roubar senhas.
Address poisoning
O golpista envia uma transação minúscula de um endereço que se parece com o seu (primeiros e últimos caracteres iguais). Quando você copia o endereço do histórico para fazer uma transferência, pode copiar o endereço errado e enviar fundos para o golpista.
Aprovação maliciosa (wallet drainer)
Você acessa um site que parece legítimo (airdrop gratuito, mint de NFT, ferramenta DeFi). Ao conectar a carteira, ele pede uma aprovação que permite ao contrato drenar todos os seus tokens. A transação parece inofensiva, mas o contrato tem permissão ilimitada.
Como se proteger
- Use carteiras separadas: uma "quente" com pouco saldo para explorar DApps, uma "fria" para armazenamento
- Revogue aprovações antigas regularmente (Revoke.cash)
- Verifique o que está aprovando antes de confirmar: MetaMask mostra os detalhes da transação
- Nunca conecte sua carteira principal em sites desconhecidos ou links de redes sociais
- Para NFT mints e airdrops, use uma carteira nova com saldo mínimo
Rug pulls: como identificar projetos fraudulentos
Rug pull é quando a equipe de um projeto cripto abandona o desenvolvimento e drena os fundos dos investidores. É o equivalente a uma empresa sumindo com o dinheiro dos clientes.
Sinais de alerta
- Equipe anônima sem histórico verificável (não confundir com pseudonimia legítima, como Satoshi)
- Código não auditado ou "auditado" por empresas desconhecidas
- APY absurdamente altos (1.000%+ ao ano) sem explicação clara de onde vem o rendimento
- Liquidez travada por poucos dias (em vez de meses/anos)
- Contrato com função de mint ilimitado ou capacidade de drenar o pool pelo deployer
- Marketing agressivo com influenciadores pagos e promessas de "próximo 100x"
Como se proteger
Verifique o contrato em explorers (Etherscan, Solscan). Confirme que a liquidez está travada em lock contracts verificáveis. Pesquise a equipe no LinkedIn, Twitter e GitHub. Se o projeto é novo, sem auditorias e com promessas grandiosas, assuma que é golpe até prova em contrário.
Use ferramentas como Token Sniffer, De.Fi Scanner e GoPlusLabs para análise automatizada de riscos em contratos.
Checklist de segurança: proteja-se hoje
Passe por esta lista e corrija o que estiver pendente:
- 2FA ativo em todas as exchanges (app autenticador, não SMS)
- Seed phrase anotada em papel/metal, guardada em local seguro, NUNCA digital
- Hardware wallet para valores acima de R$ 5.000
- Carteiras separadas para uso diário (hot) e armazenamento (cold)
- Aprovações de contratos revogadas para DApps que não uso mais
- URLs de exchanges e DApps salvas nos favoritos (nunca clico em links)
- Verificação de endereço completo antes de cada transferência (não só primeiros/últimos caracteres)
- Email dedicado para contas cripto (separado do email pessoal)
- Códigos de backup do 2FA salvos em local seguro
- Nunca compartilho seed phrase, senhas ou códigos de verificação com ninguém
Segurança não é um evento — é um hábito. Revise esta lista a cada 3 meses e após qualquer interação com novo DApp ou plataforma.
Perguntas frequentes
Qual a carteira mais segura para guardar cripto?
Hardware wallets como Ledger e Trezor são as mais seguras para armazenamento. As chaves ficam offline, protegidas de malware e ataques remotos. Para uso diário em DeFi, MetaMask com 2FA e carteira separada é a abordagem mais prática.
O que fazer se minha seed phrase for comprometida?
Mova todos os ativos imediatamente para uma carteira nova (com seed phrase nova). Não use mais a carteira comprometida. Se alguém tem sua seed, tem acesso a tudo — e pode drenar a qualquer momento.
Exchanges são seguras para guardar cripto?
Exchanges são seguras para operar, mas arriscadas para armazenamento de longo prazo. Se a exchange for hackeada ou quebrar (como a FTX), você pode perder acesso. Para valores relevantes, transfira para autocustódia.
Como saber se um site é phishing?
Verifique a URL cuidadosamente (caracteres extras, domínios diferentes). Acesse sempre digitando o endereço ou usando favoritos salvos. Nunca clique em links de emails, DMs ou anúncios. Confira o certificado SSL e desconfie de pop-ups urgentes pedindo ação imediata.
Vale a pena usar VPN para acessar cripto?
VPN protege sua conexão em redes públicas (Wi-Fi de aeroporto, cafeteria), mas não substitui boas práticas de segurança. Não impede phishing nem protege contra malware. Use como camada adicional, não como solução única.