Quase toda explicação sobre esses aparelhos começa pelo que eles protegem, que é a metade menor da história e a metade que mete gente em encrenca. A proteção é estreita e é real: uma chave privada criada dentro de um chip, que não sai de lá e que assina lá dentro. O que fica descoberto é tudo o que vem depois da sua própria confirmação, e é aí que os saldos em autocustódia somem de verdade. Abaixo está essa linha divisória, tirada das páginas de segurança dos próprios fabricantes e de pesquisa publicada, junto com o segundo fato que reorganiza o assunto quando você aceita: o aparelho é substituível, as palavras que ele gerou não são.

1. O que acontece dentro do chip quando você assina

Vale começar pelo mecanismo, porque quase tudo neste assunto decorre dele. Quando você liga o aparelho pela primeira vez, ele sorteia uma chave privada dentro do próprio chip. Essa chave fica ali. Quando você manda uma transação, o computador monta o pedido, envia para o aparelho, e o aparelho devolve a transação já assinada. A chave privada nunca sai do chip.

O que trafega pelo cabo, portanto, é uma assinatura. Não é a chave. Um notebook infectado pode registrar cada tecla digitada e não encontra nada para levar, porque o segredo que ele procura nunca esteve naquela máquina. Compare com uma carteira de software no celular, onde a chave fica cifrada num aparelho que também abre navegador, baixa arquivo e recebe mensagem.

A tela é a outra metade do projeto

Isolar a chave sozinho valeria bem menos, porque alguém precisa te dizer o que você vai autorizar, e esse alguém é justamente o computador em que você já não confia. Daí o aparelho mostrar o destino e o valor na própria tela. Alguns fabricantes afirmam que o chip seguro certificado é quem desenha essa tela, e esse é o argumento deles para dizer que os valores não foram alterados no caminho.

Duas consequências saem daí, e as duas são de comportamento, não de tecnologia. A confirmação não é formalidade, é o modelo de segurança fazendo uma pergunta a você. E se você confirma sem ler, comprou o isolamento e jogou fora a verificação, que é metade do que pagou.

O que significa ter a própria chave

Autocustódia quer dizer uma coisa só: nenhuma empresa move suas moedas e nenhuma empresa devolve elas. O suporte não reverte assinatura. Para quem vem de uma conta de corretora, onde um saldo travado é pelo menos uma conversa com alguém, essa ausência é a mudança real que está sendo assinada.

2. Três ataques que ele barra e três que passam direto

Agora a parte que o mecanismo deixa de fora, que é onde o dinheiro some de verdade. Alguém conecta a carteira hardware a uma cópia do site que queria acessar, passa por um pedido, confirma na telinha, e em um minuto os tokens não estão mais lá. O aparelho funcionou perfeitamente. Pediram para ele assinar uma permissão e ele assinou uma permissão.

Uma carteira hardware protege uma chave. Ela não supervisiona as suas decisões. Os fabricantes escrevem isso nas próprias páginas de segurança, e essa distinção diz quais das suas preocupações a compra resolve e quais ela deixa exatamente onde estavam.

Três que ele barra, três que não

Vamos contar as que ele barra. A extração da chave a partir de uma máquina infectada. Uma área de transferência que troca o endereço de destino. Tentativas remotas de arrancar o segredo. As três são ataques contra a chave, e uma chave que não sai do chip responde às três por inteiro.

Agora as três que não. Uma permissão de token que você aprovou. Uma assinatura em dados que a carteira não conseguiu decodificar. Uma frase de recuperação que você digitou em algum lugar. As três são pedidos que você confirmou, e a linha passa aí, não pelo grau de sofisticação do ataque.

3. Leia o endereço no aparelho, e leia ele inteiro

O hábito mais útil que o aparelho torna possível é chato de descrever e fácil de pular. Antes de confirmar, leia o endereço de destino no visor do dispositivo, não na janela do monitor. Todo o projeto aponta para essa única ação.

A ameaça que isso responde é antiga e continua funcionando. Um malware de área de transferência espera algo com formato de endereço ser copiado e troca pelo endereço de quem escreveu o programa. Você cola, o campo parece cheio, você envia. Nada na colagem pareceu errado porque nada na colagem estava errado.

Conferência parcial não é conferência

É aqui que as pessoas entregam a proteção de volta. Endereços são longos, então nasce o hábito de bater os quatro primeiros caracteres e confirmar. A pesquisa publicada sobre essa classe de ataque, o trabalho conhecido como EthClipper, demonstrou a resposta óbvia do outro lado: consultar um banco de endereços já gerados e servir aquele que mais se parece com o original. Prefixos iguais são baratos de produzir.

A conferência que sobrevive a um atacante motivado tem três pontos. Cinco caracteres do começo, cinco do fim e um trecho do meio. Leva segundos e é a diferença entre verificação e ritual. Por exemplo, se você salvou um endereço na semana passada, compare com a sua própria cópia salva e não com o que o site preencheu sozinho.

Um problema parecido tem causa diferente: o endereço na tela confere porque é realmente seu, e as moedas mesmo assim caem num lugar difícil de alcançar. Isso é o problema da rede errada.

4. Ver a tela de confirmação não é o mesmo que ler

Agora a parte incômoda, e a razão de a seção anterior poder dizer o que disse. Olhar a tela do aparelho e entender a tela do aparelho são dois eventos diferentes, e o vão entre eles tem nome.

Existe assinatura cega quando a carteira não consegue ler a transação que pede sua autorização. Um envio comum decodifica direito e mostra endereço e valor. Uma chamada de contrato pode não decodificar, e aí o que chega à tela são dados ilegíveis, de modo que confirmar significa aprovar algo cujo efeito ninguém te explicou.

Três tentativas de resolver, e onde cada uma para

O ecossistema foi melhorando. O EIP-712 transforma uma sequência hexadecimal em campos estruturados e legíveis, o que é ganho real e ainda não é solução, porque chegam todos os campos técnicos junto com os importantes e os importantes ficam soterrados. A assinatura clara vai além: o aparelho interpreta o conteúdo e mostra um conjunto escolhido de campos, então a tela diz em linguagem comum o que a transação faz.

A pegadinha está documentada pelos próprios fornecedores. A assinatura clara de um contrato exige que exista um descritor correspondente num registro. Onde não existe, o assinador volta para a assinatura cega. Ou seja, a qualidade da sua tela de confirmação depende de alguém ter feito o trabalho de preparação para aquele contrato específico, e você descobre isso no momento em que precisa decidir.

Nada disso torna o aparelho inútil para trabalhar com contratos. Torna a instrução honesta mais longa do que a popular, que termina em compre uma carteira hardware. A versão correta acrescenta: e aprenda a reconhecer a tela que não está te dizendo nada.

5. Uma permissão sobrevive à operação que a criou

Permissões merecem seção própria. São o mecanismo por trás da maioria das carteiras de autocustódia esvaziadas, e o caso mais claro de um aparelho fazendo o trabalho dele enquanto você perde dinheiro do mesmo jeito.

Para um contrato mover um token em seu nome, você concede permissão numa transação separada. Essa permissão fica. Ela não é consumida pela troca que você queria fazer, não expira sozinha e continua na rede até que algo a remova. Conceda permissão ilimitada a um contrato malicioso e o esvaziamento pode acontecer minutos depois ou semanas depois, quando for conveniente para o atacante.

Por que o hardware não ajuda aqui

Porque nada foi roubado. Uma chave válida produziu uma assinatura válida para uma transação que o dono confirmou. Todas as peças do modelo de segurança se comportaram conforme o projeto. Os fabricantes colocam em termos parecidos nas próprias orientações: o aparelho impede que um atacante leve a sua chave, e não desfaz uma permissão que você já deu.

A contramedida mora uma camada acima, em revisar e revogar aprovações de tokens, e vale fazer por calendário e não depois do incidente. Duas portas de entrada concentram a maioria dessas assinaturas: uma página de resgate de algo que supostamente é seu, tratada em como diferenciar um airdrop de verdade de um drainer, e uma conta de suporte que falou com você primeiro, tratada em como os golpes de cripto são montados.

Se já aconteceu, se dá para recuperar cripto de golpe percorre o que é realista antes de você gastar dinheiro correndo atrás. E se o que vazou foi a frase inteira em vez de uma permissão isolada, a urgência é outra e o relógio corre diferente: o que fazer quando a frase de recuperação vaza.

6. O aparelho não é a carteira, e isso muda cada acidente

Aqui está a frase que reorganiza o assunto inteiro. Suas moedas não estão dentro do aparelho. Elas são registros numa blockchain, e o aparelho guarda a chave que autoriza mexer neles. Portanto o dispositivo não é a carteira. A carteira é a frase de recuperação, e o aparelho é um jeito substituível de usá-la.

Passe isso pelos acidentes que as pessoas têm de verdade e eles deixam de assustar.

PIN errado é defesa, e o número depende do produto

O PIN é independente do backup, então esquecer custa uma restauração e não os fundos. O limite de tentativas erradas é um número por produto e vale citar com a marca junto: um dispositivo Ledger volta ao padrão de fábrica depois de três entradas incorretas, um Trezor Safe 7 depois de dez e os demais modelos da Trezor depois de dezesseis. Os três terminam em branco e a frase traz tudo de volta. Esse apagamento é também o motivo de um aparelho roubado não ser porta aberta, já que ninguém tem tentativas infinitas.

O fabricante não é uma dependência

A frase é uma lista ordenada de 12 a 24 palavras tiradas de uma lista fixa de 2.048, que é a convenção BIP-39. As mesmas palavras derivam sempre as mesmas chaves, então uma carteira criada com hardware de uma empresa é restaurada com hardware de outra. A ideia de que uma empresa fechando leva suas moedas junto não sobrevive a esse fato.

Um alerta vem colado ao mesmo fato, e os fabricantes escrevem com todas as letras: não digite a frase de uma carteira hardware dentro de uma carteira de software para conferir alguma coisa. Isso leva o segredo para uma máquina conectada, que é justamente o que se queria evitar.

Se depois de restaurar o saldo aparece zerado

Essa tela assusta e quase sempre é problema de exibição. Um caminho de derivação é o ramo da árvore de chaves que o aplicativo lê, e ramos diferentes produzem endereços diferentes a partir da mesma frase. No Bitcoin dá para ver fácil: um caminho gera endereços começando com 1, outro gera bc1q, outro gera bc1p, e nenhum está errado. Um aplicativo lendo o ramo errado informa zero de boa-fé. Cole um endereço que você já conhece num explorador de blocos e, se o saldo estiver lá, o que precisa de ajuste é o caminho ou o índice de conta.

7. Dois riscos que puxam em direções opostas

Guardar a frase é onde iniciantes recebem conselhos contraditórios, e a contradição é real, não desleixo. Dois riscos andam em direções opostas e nenhum arranjo baixa os dois.

Aumente o número de cópias e cai a chance de perder o acesso enquanto sobe a chance de alguém achar uma. Concentre tudo num esconderijo só e a troca se inverte. Fotografe as palavras ou jogue na nuvem e você fez as duas coisas ruins de uma vez: adicionou uma cópia e colocou num sistema alcançável pela internet.

A passphrase é um segundo segredo, com um segundo jeito de falhar

Uma passphrase é uma sequência extra combinada com a frase de recuperação para derivar uma carteira oculta separada, e ela não fica guardada no aparelho. Duas coisas surpreendem. Se você digita errado, ninguém avisa que está errado: aparece outra carteira, vazia, porque qualquer passphrase é válida e cada uma produz a própria conta. E se você esquece, a documentação é seca: não há método confiável de recuperação e o fabricante não consegue ajudar.

Isso coloca a passphrase exatamente onde a tabela coloca. É a resposta mais forte disponível contra alguém que tenha ao mesmo tempo o seu aparelho e as suas palavras, e é um ponto único de falha novo que você mantém na cabeça. É uma escolha com custo real, não um ajuste que se liga porque um fórum falou.

Vale um parêntese doméstico: em casa com aparelho compartilhado, o papel guardado numa gaveta comum tem um risco diferente do papel guardado onde só você mexe. Quem mora com outras pessoas costuma subestimar essa parte porque pensa em ladrão de fora, e a maior parte das perdas de frase começa com alguém que já estava dentro de casa e não entendia o que aquele papel era.

8. O que precisa ser verdade quando a caixa chega

O momento de maior risco na vida de uma carteira hardware é a hora em que você a configura. O resto da vida dela é protegido pelo projeto. A configuração é protegida apenas por você reparar em algo.

Uma regra cobre quase tudo: o aparelho tem que chegar sem inicialização e a frase precisa nascer nas suas mãos. A documentação dos fabricantes não vem com palavras já escritas nem com um PIN. Se as palavras estiverem preenchidas, aquele aparelho passou por uma configuração que não foi a sua, e quem fez enxerga os mesmos saldos que você. Isso já foi vendido assim, com a frase gentilmente incluída, e daí as duas marcas grandes publicarem avisos sobre unidades de segunda mão.

As verificações que existem e a pergunta de cada uma

A configuração inclui uma verificação de autenticidade, que é o aparelho provando ao aplicativo do fabricante que é o que diz ser. Alguns produtos oferecem também a verificação do hash do firmware, que responde a outra pergunta: não se o hardware é real, mas se o programa dentro dele é o que foi publicado. E atualizações de firmware passam pelo PIN, de modo que alguém com o aparelho na mão não instala o programa dele em silêncio.

Nada disso precisa ser encarado com nervosismo. Compre pelo canal oficial, recuse o que chegar pré-inicializado, rode a verificação que o aplicativo oferece e escreva as palavras você mesmo. Onde a importação demora e passa por várias mãos, esse último ponto pesa mais do que o preço: o que você verifica não é a caixa, é que a frase nasce com você.

9. Acesso físico é real e tem uma resposta específica

Acesso físico pertence à lista de ameaças, e é onde fica mais fácil perder a honestidade para qualquer um dos dois lados. Se você exagera, o aparelho parece inútil. Se você minimiza, ele acaba na gaveta de um hotel.

A pesquisa publicada é específica. Uma equipe de segurança mostrou que, em modelos antigos construídos sobre um microcontrolador de uso geral, oscilar a tensão de alimentação durante o boot permitia contornar a proteção de leitura e ler a semente cifrada. Era preciso ter o aparelho em mãos por volta de quinze minutos e equipamento barato, e não dava para fazer remotamente. Esses números pertencem àquela pesquisa sobre aqueles modelos, e não a nada que esteja hoje à venda.

Duas respostas, uma de cada lado

A resposta dos fabricantes foi hardware. Os produtos posteriores usam elementos seguros certificados, chips desenhados para resistir exatamente a essa classe de ataque físico, e um modelo atual usa dois deles juntos para verificar o PIN. A resposta do lado do usuário já existia: a mesma pesquisa anotou que o ataque não funciona com uma passphrase BIP-39 ativada, porque as palavras extraídas do chip deixam de bastar para derivar as contas.

O resíduo prático é pequeno. O tempo que o aparelho passa na mão de outra pessoa é variável real, os chips novos reduzem isso, e uma passphrase responde direto ao preço descrito acima.

10. Um serviço opcional de backup muda em quem você confia

Alguns fabricantes vendem um serviço opcional de backup. Vale entender pela mecânica e não como teste de lealdade, porque ele muda em quem você confia e não a força de nada.

O mecanismo, conforme descrito pela empresa que oferece: o elemento seguro faz uma cópia cifrada da entropia por trás da sua frase, divide em três fragmentos e envia cada um por um canal próprio para uma empresa diferente em um país diferente. Um fragmento sozinho não serve para nada. A recuperação exige verificação de identidade e, depois disso, dois dos três fragmentos são recompostos no seu aparelho com o seu consentimento explícito.

O que se move quando você liga

Antes, a resposta para quem poderia reconstruir a sua carteira tinha um item: quem tiver as suas palavras. Depois, a lista fica maior, porque entram a verificação de identidade e o funcionamento contínuo dos custodiantes. O contrapeso é que a falha que de fato destrói a maior parte dos saldos em autocustódia, uma frase perdida em vez de roubada, passa a ter caminho de volta.

Duas coisas merecem ser ditas com clareza. É opcional, então recusar deixa o arranjo original intacto. E a escolha não é entre seguro e inseguro, é entre duas listas diferentes de pessoas das quais você depende. Sua resposta depende de ser mais provável que roubem você ou que você perca um papel.

11. Mudar de casa não é o mesmo que conseguir se mover

Existe uma parede prática que pega quase todo mundo no primeiro movimento rumo à autocustódia, e ela não tem nada a ver com segurança. Colocar tokens no aparelho é fácil. Movê-los depois exige algo que as pessoas esquecem de levar.

As taxas são pagas na moeda da própria rede. Se você move uma stablecoin para a Ethereum, precisa de ETH na mesma carteira antes que qualquer coisa saia. Se move um token na Tron, precisa de TRX. O token não paga a própria transferência, então uma carteira com saldo grande e sem moeda nativa é uma carteira que dá para olhar e não dá para usar. Como essa conta funciona, e por que o valor enviado não entra nela, está em as taxas de rede explicadas.

A primeira transferência e o que costuma dar errado nela

Suponha que você esteja tirando moedas de uma corretora pela primeira vez. Três coisas provocam o susto e nenhuma é ataque. A rede escolhida na corretora precisa ser uma rede que a carteira de destino esteja observando. As confirmações demoram o que a rede demorar, então um saldo que ainda não apareceu costuma ser um depósito ainda não creditado e não uma perda. E a moeda nativa precisa estar lá antes de você precisar dela.

Vale saber também que ida e volta são duas viagens. Transformar o que você tem em dinheiro na conta normalmente passa por mandar de volta para uma corretora, com taxa e espera nos dois sentidos. Para quem se acostumou com transferência instantânea no banco, essa espera incomoda mais do que o custo, e é bom saber disso antes e não no meio da pressa. Não é motivo para pular a autocustódia. É o motivo de as pessoas separarem os dois trabalhos, deixando onde se opera o que se opera e onde se guarda o que se guarda.

12. O que o aparelho não toca em nada

Vale ser preciso também com os limites no outro sentido. Uma carteira hardware não toca um saldo deixado numa corretora, um saque em pausa, uma insolvência, uma negociação entre pessoas em que o outro lado não paga, nem uma posição que simplesmente perdeu valor. Ela muda como uma única categoria é guardada: os ativos que se movem quando a sua chave assina.

Três lugares para guardar, e os três falham de forma diferente

A primeira linha merece leitura devagar. O número na tela de uma corretora é um registro no banco de dados de uma empresa representando o que ela deve a você. Enquanto a empresa funciona, a diferença não aparece. Quando ela para de funcionar, essa diferença vira a única coisa que importa, e é disso que trata o que acontece com suas moedas se a corretora quebrar. A quebra é rara; o que acontece com frequência são duas versões menores da mesma dependência, uma conta de corretora invadida e um saque congelado.

Por isso quase todo mundo acaba usando os dois. O que precisa ser comprado, vendido ou virar dinheiro na conta passa por uma corretora, e o que vai ficar parado não precisa estar lá. Como saber se uma corretora é confiável é a lista de conferência desse lado, e a comparação de corretoras cobre taxas e regras de conta. Se você ainda está no primeiro passo, como começar com cripto vem antes de tudo isso.

Aviso de afiliados: alguns links são de parceiros. Podemos receber uma comissão sem custo extra para você. Isto não é recomendação de investimento.

13. O que se repete e o que a documentação diz

Seis afirmações circulam sobre esses aparelhos. Cada uma é falsa, ou verdadeira num sentido mais estreito do que soa.

Termos, num lugar só

Frase de recuperação. A lista ordenada de 12 a 24 palavras da qual todas as suas chaves são calculadas. Padronizada como BIP-39, tirada de uma lista fixa de 2.048 palavras.

Elemento seguro. Um chip certificado construído para resistir a ataque físico, usado para guardar a chave e, em alguns produtos, para desenhar também a tela.

Passphrase. Uma sequência adicional combinada com a frase para derivar uma carteira oculta separada. Não fica no aparelho e não é recuperável se esquecida.

Caminho de derivação. O ramo da árvore de chaves que um aplicativo lê. Um caminho diferente produz endereços diferentes a partir da mesma frase, e é por isso que uma restauração pode parecer vazia.

Assinatura cega. Confirmar uma transação que a carteira não conseguiu decodificar, de modo que a tela mostra dados crus em vez do que a transação faz.

Permissão de token. Uma autorização concedida na própria transação, que deixa um contrato mover um token em seu nome e dura até ser revogada.

Autocustódia. Você segurando a chave, o que remove a contraparte e remove o suporte junto.

14. Minha leitura depois de ler os manuais junto com a pesquisa

Ler a documentação dos fabricantes ao lado da pesquisa publicada me deixa com quatro coisas, e só a primeira é elogio.

O projeto é coerente por dentro. Isolar a chave, assinar dentro do chip e colocar uma tela no aparelho para que um computador comprometido não consiga mentir sobre o que está sendo autorizado. Cada recurso documentado serve a um desses três, e o comportamento do PIN, a verificação de autenticidade e o bloqueio do firmware caem exatamente onde essa lógica os colocaria.

Para o que serve é mais estreito do que como é vendido. Responde bem a roubo de chave, comprometimento remoto e substituição de endereço. Não responde nada a phishing de permissão, e transforma as palavras do seu papel no objeto mais valioso que você tem. Se a preocupação é uma corretora travar um saque ou quebrar, o aparelho responde a isso; se a preocupação é você assinar a coisa errada, ele não responde.

A suposição mais frágil não está no hardware. Está em presumir que uma pessoa lê com atenção uma tela pequena todas as vezes. A indústria admitiu isso na prática ao construir a assinatura clara para tornar as telas legíveis, e esse trabalho depende de existir um descritor para o contrato que está na sua frente. A parte do projeto que aguenta o peso é justamente a delegada à pessoa cansada na frente da mesa.

Onde a visão contrária se sustenta. Quem opera toda semana, mantém saldo modesto e tem histórico ruim com papéis pode concluir com razão que uma conta de corretora bem protegida, com controles de saque, é o arranjo de menor risco no caso dele, e o histórico de quebras deste setor é o contra-argumento com que essa pessoa precisa conviver. O que eu não aceito de nenhum dos lados é o enquadramento de que uma das duas é simplesmente mais segura, porque as duas não falham do mesmo jeito, e qual das falhas você sobrevive é um dado sobre você e não sobre o produto.

Perguntas frequentes

Leia em seguida: o que é uma carteira de criptomoedas e como os tipos se diferenciam