Porque é que a maioria das migrações do MetaMask acaba mal
Pesquise em qualquer canal de suporte de wallets e encontrará uma história recorrente. Um utilizador decide que o MetaMask é demasiado desajeitado, ou quer uma extensão de navegador que suporte uma nova chain, ou quer uma app móvel mais elegante. Instala a nova wallet, vê um ecrã amigável a pedir a sua frase secreta de recuperação, escreve as doze palavras do MetaMask e confirma. A partir desse segundo, duas apps em dois dispositivos controlam o mesmo dinheiro. A seed phrase passa a existir dentro da postura antivírus, da sandbox do navegador e do sistema operativo que o novo dispositivo tiver. Se esse dispositivo for pior, toda a wallet fica pior.
A razão pela qual as pessoas fazem isto é intuitiva e errada. Assumem que uma seed phrase é uma palavra-passe, que copiá-la é como copiar um login. Uma palavra-passe pode ser alterada. Uma seed phrase não. Qualquer pessoa que tenha essas doze ou vinte e quatro palavras pode assinar transações e esvaziar todas as contas derivadas delas, em todas as chains, para sempre. Trate a seed phrase menos como uma palavra-passe e mais como a escritura da sua casa: não fotocopiaria a escritura nem a entregaria a um estranho só porque ele tinha um arquivo mais bonito.
Há também um modo de falha mais silencioso. Mesmo que nunca seja vítima de phishing, cada cópia adicional de uma seed phrase é mais um local que um atacante futuro pode comprometer. Um portátil vendido no eBay anos mais tarde. Uma cópia de segurança na cloud de um telemóvel antigo. Uma captura de ecrã sincronizada com uma conta de fotografias. Isto não são hipóteses; são os pontos de entrada mais comuns nos casos publicados de roubo de wallets. Por isso, a primeira regra de qualquer migração não é "como copio a minha seed de forma limpa", mas sim "como evito copiá-la de todo".
O que pode realmente correr mal durante uma mudança
Antes de percorrer o caminho seguro, ajuda fazer um inventário dos modos de falha para que os consiga reconhecer no terreno.
Risco de reutilização da seed phrase. O risco dominante. Escrever a sua frase de recuperação do MetaMask noutra wallet, numa app web ou numa extensão de navegador duplica os locais onde pode vazar. Malware de área de transferência, extensões de navegador com permissões ocultas e interfaces falsas de wallets recolhem todas as frases nelas introduzidas.
Software de wallet malicioso. Sites clonados que parecem Rabby, Phantom, Frame ou Zerion distribuem instaladores falsos que parecem e se comportam como os verdadeiros. Da primeira vez que importa a sua seed, o seu endereço aparece com o saldo correto. Da próxima vez que assina uma transação, a wallet reescreve o destino para um endereço do atacante. A seed já foi exfiltrada no momento da importação.
Transporte de aprovações. As aprovações de tokens são registadas on chain, associadas ao seu endereço. Não ficam guardadas na sua wallet, por isso trocar de wallet não as limpa. Um contrato que aprovou há dois anos para gastar USDC ilimitado continua autorizado a fazê-lo, mesmo que agora assine a partir de um novo dispositivo. O dia da migração é o momento certo para as limpar.
Envenenamento de endereços. Quando um movimento grande e visível de fundos chega à mempool ou à chain, bots observam os endereços de origem e de destino. Enviam uma pequena transação de dusting a partir de um endereço que partilha os primeiros e os últimos caracteres com uma das suas contraparte reais. Da próxima vez que copiar um endereço do seu histórico, pode copiar o do atacante. Este risco aumenta imediatamente após uma migração, porque uma transferência on chain de uma hot wallet antiga para um novo endereço é exatamente o tipo de evento que os bots procuram.
Confusão com gas e chains. Os utilizadores que migram para uma nova wallet muitas vezes percebem a meio de uma transferência que têm saldos em chains que a nova wallet não mostra por predefinição. Fundos em Polygon, Arbitrum, Base ou BNB Chain podem ficar invisíveis durante meses. Uma checklist de migração deve incluir sempre uma verificação em todas as chains que a sua wallet antiga alguma vez usou.
Perda de ENS, serviços de nomes e lista de contactos. Os nomes ENS (Ethereum Name Service) resolvem para endereços independentemente da wallet que usa, por isso a sua identidade acompanha-o. Mas livros de endereços locais, contactos guardados e endereços apenas de observação vivem dentro da app de wallet. Não são transferidos automaticamente. Planeie reconstruí-los.
O percurso de emparelhamento de uma hardware wallet, passo a passo
A migração segura, na verdade, não é uma migração. É uma continuação. Mantém a MetaMask (ou qualquer carteira em que confies), emparelhas com um dispositivo de hardware e passas a atividade que te interessa para esse dispositivo. A tua seed phrase permanece selada dentro do hardware, onde foi gerada, e nunca é introduzida em qualquer outro software. Este é o único fluxo que não aumenta a tua superfície de ataque.
Passo 1. Compra uma hardware wallet diretamente ao fabricante. Ledger e Trezor são as opções estabelecidas. Compra na loja oficial, não a um revendedor de marketplace. Já foram documentadas na Amazon e no eBay hardware wallets adulteradas, pré-carregadas com uma seed conhecida. A caixa deve chegar selada, com uma tira inviolável. Se algo parecer mexido, devolve-a. Isto não é paranoia, é o modelo de ameaça documentado.
Passo 2. Inicializa o dispositivo como uma nova carteira. Quando o dispositivo ligar pela primeira vez, irá gerar uma seed phrase nova. Escreve-a em papel, ou grava-a em metal se pretendes guardar um valor significativo. Nunca a fotografes, nunca a introduzas num telemóvel, nunca a guardes num gestor de palavras-passe que sincronize com a cloud. O próprio dispositivo nunca revela a seed ao computador anfitrião; assina transações dentro do seu próprio chip e devolve apenas a assinatura.
Passo 3. Emparelha a hardware wallet com a MetaMask. Na MetaMask, escolhe Connect Hardware Wallet, seleciona Ledger ou Trezor e segue as instruções. A MetaMask verá uma lista de endereços derivados da seed do hardware. Escolhe um (o primeiro serve) e adiciona-o. Agora tens uma conta MetaMask cuja chave privada vive inteiramente no dispositivo de hardware. Do ponto de vista da MetaMask, é apenas mais uma conta, mas o caminho de assinatura fica vinculado ao hardware.
Passo 4. Move os fundos para a nova conta suportada por hardware. Envia primeiro uma pequena transação de teste. Depois envia o restante. Usa o novo endereço suportado por hardware como destino. Podes manter pequenos saldos operacionais na hot wallet MetaMask original se quiseres uma separação hot/cold, mas a maior parte dos teus ativos deve agora ficar protegida pelo dispositivo de hardware.
Passo 5. Verifica os endereços no ecrã do hardware. Todos os endereços de receção devem ser confirmados no próprio ecrã do dispositivo, não apenas no ecrã do computador. Isto neutraliza malware de troca de endereços que reescreve a área de transferência. Trata qualquer endereço que não consigas verificar no ecrã do hardware como não fiável.
Passo 6. Esvazia ou guarda em cold storage a MetaMask original. Quando o saldo da MetaMask original estiver a zero ou perto disso, tens duas opções. Deixá-la vazia, com uma pequena quantidade de ETH para gas futuro, ou movê-la para uma segunda hardware wallet para uma separação real. Não elimines a extensão MetaMask para a reinstalares mais tarde com a mesma seed, porque isso reintroduz a seed phrase original num novo ambiente de software e volta a expô-la.
Revogar aprovações antigas no teu endereço antigo
Mudar de carteira não revoga as permissões que concedeste a smart contracts ao longo dos anos. Se alguma vez aprovaste um router de DEX (decentralized exchange) para gastar o teu USDC, ou um marketplace de NFT para mover os teus tokens ERC-721, ou um contrato de staking para retirar fundos da tua carteira, essas allowances continuam válidas enquanto o contrato não tiver recebido instruções em contrário. Estão armazenadas on chain, associadas ao teu endereço, e sobrevivem a qualquer mudança de carteira. Uma migração é o momento perfeito para as limpar, porque já estás com uma mentalidade cuidadosa.
Encontra todas as aprovações. Ferramentas como a página Token Approvals da Etherscan, revoke.cash ou approved.zone leem a chain e listam todos os contratos que têm uma allowance ativa a partir do teu endereço. Obtém a lista para o endereço MetaMask original em todas as chains com que interagiu: Ethereum mainnet, Arbitrum, Optimism, Base, Polygon, BNB Chain, Avalanche. Cada chain tem o seu próprio conjunto de aprovações, e elas não transitam entre chains.
Decide quais manter e quais revogar. Se ainda estás a usar ativamente uma DEX, podes deixar uma aprovação de token específica com um limite específico (por exemplo, 100 USDC na Uniswap). Se usaste uma dapp uma vez há um ano e não voltaste, revoga-a. O risco de um contrato malicioso ou comprometido drenar mais do que autorizaste é real e já causou perdas de oito dígitos em todo o ecossistema.
Executa as revogações. Cada revogação é uma transação que custa gas. Vais precisar de uma pequena quantidade de ETH nativo (ou do token de gas da chain que estás a limpar) na carteira a partir da qual estás a revogar. Conta assinar dezenas de transações numa carteira que esteve ativa durante anos. Reserva orçamento para isso. Depois de cada revogação, podes voltar a aprovar com um limite mais apertado se precisares de usar essa dapp novamente mais tarde.
Repete para todas as chains. A mesma carteira pode ter aprovações em seis ou sete chains. Saltar uma chain significa que um contrato nessa chain ainda tem uma allowance ativa. Depois da limpeza, executa novamente a análise de aprovações em todas as chains e confirma que as listas estão vazias ou contêm apenas dapps que usas ativamente.
Address poisoning e o que muda depois de uma migração visível
Address poisoning é um ataque de engenharia social que explora a forma como os humanos leem endereços. Os endereços Ethereum têm quarenta caracteres hexadecimais, o que é demasiado longo para memorizar. As pessoas verificam os primeiros quatro e os últimos quatro caracteres e confiam no meio. Os atacantes geram endereços vanity que imitam o prefixo e o sufixo de endereços com que os alvos transacionaram recentemente, e depois enviam pequenas transações de dust a partir desses endereços parecidos. A esperança é que o endereço envenenado acabe no teu histórico de transações, onde mais tarde o copies em vez do endereço real.
Este risco aumenta imediatamente após uma migração. Quando envias uma quantia significativa da tua MetaMask antiga para o teu novo endereço suportado por hardware, essa transação é pública on chain. Bots indexam-na em segundos. Em minutos, podes receber dust de um endereço que parece quase idêntico ao remetente ou ao destinatário. Alguns atacantes vão mais longe e escrevem o seu endereço malicioso em ENS ou serviços de nomes semelhantes para o fazer parecer amigável para humanos.
A defesa contra isto é sobretudo comportamental.
Nunca confies no teu histórico de transações como livro de endereços. É uma lista de endereços que te enviaram algo, não uma lista de contactos verificada. Se quiseres um livro de endereços permanente, usa nomes ENS que controlas, ou o livro de endereços etiquetado de uma hardware wallet, onde as entradas ficam armazenadas no dispositivo e não podem ser trocadas silenciosamente por malware.
Ignora dust de remetentes desconhecidos. Não interajas com uma transação de dust. Não tentes devolvê-la. Não cliques em qualquer contrato com que o dust interaja. Trata todas as transferências não solicitadas como uma potencial preparação de ataque.
Volta sempre a verificar os endereços no ecrã do hardware. A defesa contra address poisoning é a mesma que a defesa contra malware da área de transferência: um ecrã fiável que o computador anfitrião não consegue reescrever. Se a tua hardware wallet mostrar o endereço que pretendias, assina. Se mostrar qualquer outra coisa, recusa.
Usa allowlists quando forem suportadas. Algumas carteiras e camadas de custódia permitem manter uma lista de endereços de destinatários aprovados, para que a carteira recuse assinar uma transação para qualquer endereço fora dessa lista. Esta é a defesa mais forte, mas exige que planeies com antecedência, em vez de improvisares no momento da transação.
Coisas que nunca deves fazer, nem uma única vez
Alguns erros são recuperáveis e outros não. Os seguintes pertencem à segunda categoria.
Não introduzas a tua seed phrase da MetaMask noutra carteira, ponto final. Isto inclui extensões de browser, aplicações móveis, páginas de "importação" na web e "ferramentas de recuperação" anunciadas nos resultados de pesquisa. Cada cópia adicional da seed é uma responsabilidade permanente. Se um produto de carteira pedir a tua seed existente, isso é sinal de que é a ferramenta errada para uma migração.
Nunca introduzas a tua seed phrase em qualquer website. Carteiras legítimas não precisam que faças isto. A própria MetaMask só pede a seed ao restaurar uma carteira dentro da extensão, e esse é o único local onde é seguro fazê-lo, porque a extensão corre localmente. Qualquer página web que peça uma seed phrase está a roubá-la.
Não guardes a seed num gestor de palavras-passe. Os gestores de palavras-passe são excelentes para palavras-passe. Sincronizam com a cloud. Podem ser alvo de intimações, violações de segurança ou phishing. Uma seed phrase não é uma palavra-passe e não deve ser tratada como tal.
Não envies a tua seed a ti próprio por email ou aplicação de mensagens. O email e as aplicações de mensagens armazenam dados em texto simples em servidores, em backups e em todos os dispositivos onde alguma vez houve sessão iniciada. A frase sobrevive à conversa.
Não saltes a verificação do endereço no ecrã do hardware. O ecrã do próprio hardware é a única parte do fluxo de transação em que podes confiar plenamente. Saltar essa verificação é a forma mais rápida de perder tudo para malware de troca de endereços.
Não aproves allowances ilimitadas de tokens depois da migração. Os velhos hábitos custam a perder, mas aprovar um contrato para gastar todo o teu saldo de um ativo raramente é necessário. Define limites personalizados quando a dapp o permitir, e revoga agressivamente quando terminares.
Lista de verificação prática antes, durante e depois da sua mudança
Uma migração decorre sem problemas quando a trata como um projeto deliberado com fases, não como uma tarefa para uma única tarde.
Antes. Faça uma lista de todas as chains em que a sua MetaMask alguma vez interagiu. Faça uma lista de todas as dapps que aprovou. Confirme que tem a sua frase de recuperação guardada numa localização física, porque a migração é uma má altura para descobrir que a sua única cópia desapareceu. Compre uma hardware wallet diretamente ao fabricante. Planeie fazer as transferências propriamente ditas num dia em que não esteja com pressa.
Durante. Inicialize o hardware como novo, anote a nova seed e nunca a escreva em qualquer outro dispositivo. Emparelhe o hardware com a MetaMask. Envie uma pequena transação de teste para o novo endereço protegido pela hardware wallet. Verifique o endereço no ecrã do hardware. Depois envie o restante. Repita em todas as chains. Recolha quaisquer saldos de que se tenha esquecido.
Depois. Execute o scanner de aprovações em todas as chains, tanto para o endereço antigo como para o novo endereço. Revogue tudo o que já não usa ativamente. Ignore qualquer dust inesperado. Volte a verificar todos os contactos guardados com o livro de endereços dentro da sua hardware wallet, não com o histórico de transações da sua software wallet. Considere dividir os seus ativos entre um cofre frio de longo prazo numa hardware wallet que raramente se liga e uma pequena hot wallet para negociação ativa.
Se algo parecer estranho em qualquer passo, pare. As migrações de carteiras são reversíveis no sentido em que os fundos que ainda não moveu continuam seguros. As transações que assinou não são reversíveis. Mais devagar é mais seguro.
Acompanhe os riscos de migração de carteiras com sinais claros
As migrações de carteiras e os esquemas que as rodeiam evoluem rapidamente. Surgem novos contratos que drenam aprovações todas as semanas, as botnets de envenenamento de endereços tornam-se mais sofisticadas e o software de carteira falso torna-se mais difícil de distinguir do verdadeiro. Acompanhar estas ameaças manualmente em várias chains, plataformas sociais e feeds de segurança é uma batalha perdida. O Zippfeed destaca notícias de segurança cripto e de carteiras com pontuação de sentimento (bullish, neutral ou bearish) e uma classificação de importância, para que consiga identificar os riscos que realmente importam para os seus ativos antes de chegarem à sua caixa de entrada.
