O que é, na verdade, uma carteira como extensão de navegador e por que razão o dia da configuração importa
Uma carteira como extensão de navegador é um pequeno programa que vive dentro do Chrome, Firefox, Brave ou Edge e funciona como a ponte entre si e uma blockchain. A extensão guarda as suas chaves privadas, assina transações em seu nome e mostra um ecrã de confirmação sempre que um site pede para mover fundos. A MetaMask é o exemplo dominante em Ethereum e em cadeias compatíveis com EVM, como Polygon, Arbitrum e BNB Chain. A Phantom é o equivalente em Solana, com um fluxo de configuração e um modelo de ameaça muito semelhantes. Ambas são por vezes chamadas hot wallets porque as chaves estão num dispositivo ligado à internet, o que é conveniente para negociar e usar dApps, e é também a razão pela qual o momento da configuração é tão perigoso.
A razão pela qual os especialistas em segurança insistem tanto nos primeiros dez minutos de vida de uma carteira é que quase todas as perdas catastróficas em cripto remontam a uma de cinco coisas: uma extensão falsa instalada a partir de um anúncio num motor de busca, uma frase-semente guardada numa captura de ecrã do telemóvel, uma frase-semente escrita num site de phishing que se fazia passar por suporte, uma aprovação ilimitada de tokens concedida a um contrato inteligente malicioso ou um navegador infetado com malware de área de transferência que troca o endereço da carteira ao copiar e colar. Nenhuma destas situações é um ataque exótico. São vulgares, repetitivas e funcionam precisamente porque a vítima tem pressa. Uma configuração cuidadosa cria hábitos que sobrevivem ao momento em que está cansado, distraído ou entusiasmado com um novo token.
Há também um modelo mental que vale a pena interiorizar antes de clicar em qualquer coisa. A sua frase-semente, as 12 ou 24 palavras em inglês mostradas durante a configuração, é a carteira. Não a extensão. Não a palavra-passe. Não o dispositivo. Qualquer pessoa com essas palavras pode recriar a carteira no seu próprio dispositivo e mover os seus fundos, mesmo que o seu portátil esteja na sua mochila ao seu lado. A extensão é apenas uma janela para um porta-chaves que vive na blockchain, e a frase-semente é a chave. Trate a frase-semente como tal e o resto deste guia é, no essencial, uma lista de verificação.
Os riscos reais antes de instalar seja o que for
Porque o dinheiro do utilizador está em jogo, vale a pena ser explícito sobre os modos de falha que apanham os principiantes. Não são teóricos. São as mesmas cinco histórias que irá ler em todas as análises posteriores a uma carteira perdida.
Primeiro, extensões falsas. Os motores de busca apresentam regularmente anúncios acima da listagem real da MetaMask ou da Phantom, e extensões imitadoras com uma letra extra no nome já roubaram dezenas de milhões de dólares ao longo dos anos. A página na loja de extensões parecerá idêntica, incluindo o ícone, as capturas de ecrã e as avaliações dos utilizadores, porque os atacantes são pacientes. O único download seguro é o URL que escreve depois de verificar a ortografia, ou um marcador que guardou no primeiro dia.
Segundo, a exfiltração da frase-semente. A forma mais comum de perder uma carteira é escrever a frase-semente numa aplicação de notas, enviá-la por email para si próprio, fotografá-la ou guardá-la num gestor de palavras-passe. Cada uma destas opções cria uma cópia que vive num servidor que não controla. As notas sincronizadas na nuvem já foram violadas. As fotografias sincronizam-se para a nuvem. Mesmo um gestor de palavras-passe é um alvo de credencial única que, se comprometido, entrega a um atacante a chave-mestra da sua cripto. A semente pertence ao papel, ou gravada numa placa de metal concebida para resistir ao fogo e à água, e a mais nenhum lugar.
Terceiro, sites de phishing que imitam o suporte da carteira. Se alguma vez pesquisar no Google um erro da carteira e clicar num link que abre um chat em direto, é muito provável que esteja a falar com um burlão. A equipa legítima de uma carteira nunca lhe pedirá a frase-semente, nunca lhe pedirá que a introduza num site para resolver um problema de sincronização e nunca o contactará primeiro. Uma carteira que pede a sua semente é uma carteira a esvaziar-se.
Quarto, aprovações maliciosas de tokens. Quando uma dApp lhe pede para trocar, emprestar ou fazer stake, costuma pedir uma aprovação de token, que é uma permissão dada a um contrato inteligente para mover um token específico da sua carteira mais tarde, sem voltar a perguntar. As aprovações ilimitadas, do tipo 'definir limite de gasto no máximo', são convenientes e perigosas. Se a dApp for hackeada, ou se já era maliciosa desde o primeiro dia, essa permissão é a chave do atacante para esse token até a revogar. Ferramentas como a Revoke.cash existem precisamente para limpar isto.
Quinto, malware que reescreve os endereços de carteira na área de transferência no momento em que copia um. O endereço no ecrã parece correto, o endereço que é colado na transação é o do atacante, e os fundos desaparecem. É por isto que as hardware wallets mostram o endereço de destino num ecrã fiável antes de assinarem, e é por isto que deve ler sempre o endereço completo na janela de confirmação da sua carteira, e não apenas o primeiro e o último caracteres.
Passo um: obter a extensão a partir do sítio certo
Abra um novo separador no navegador e escreva você mesmo o URL oficial da carteira. Para a MetaMask, o endereço canónico é metamask.io, e para a Phantom é phantom.app. Na página inicial, procure um botão de download claramente identificado que remeta para a Chrome Web Store, os Firefox Add-ons ou o site de Add-ons da Edge. Ainda não acabou: assim que chegar à loja, verifique o nome do programador, o número de instalações, a data de publicação e as avaliações recentes. Uma extensão de carteira genuína terá milhões de instalações, um longo historial e um nome de programador que corresponde ao domínio oficial do projeto. Se a ficha na loja disser 'by Some Random LLC' ou tiver 200 instalações, feche o separador.
Nunca instale uma carteira a partir de um anúncio de pesquisa, de um comentário no YouTube, de um grupo no Telegram, de um tweet de uma conta que não segue, ou de uma ligação numa mensagem privada no Discord. O hábito mais importante de todo este guia é o aborrecido: guarde o site oficial nos favoritos no primeiro dia e use sempre e apenas o favorito. Os motores de busca são uma superfície de ataque, e a página inicial da própria carteira não é.
Durante a instalação, o navegador irá avisá-lo sobre as permissões que a extensão está a pedir. Uma extensão de carteira precisa legitimamente de ler e alterar dados nos sites que visita, porque é assim que injeta a janela de confirmação e lê a cadeia. Essa permissão ampla é normal. O que não é normal é uma extensão de carteira que pede permissões sem relação com a sua função, ou que foi instalada sem que tenha clicado num botão explícito de instalação. Se algo parecer estranho, desinstale-a e recomece a partir do URL oficial.
Passo dois: criar uma nova carteira e registar a frase de recuperação offline
Abra a extensão acabado de instalar e escolha 'Create a new wallet'. A carteira irá gerar uma frase de recuperação de 12 ou 24 palavras usando um gerador de números aleatórios criptograficamente seguro. Este é o momento que importa. As palavras serão mostradas uma de cada vez. A resposta correta é escrevê-las, pela ordem, num pedaço de papel, com uma caneta. Não as digite. Não as fotografe. Não as dite perto de um microfone. O ato de as escrever é a funcionalidade de segurança, porque caneta sobre papel nunca se liga à internet.
Se espera guardar mais do que algumas centenas de dólares em cripto nesta carteira, vale a pena melhorar o passo do papel. Uma placa metálica para frase de recuperação, vendida por vários fornecedores reputados, sobrevive a um incêndio e a uma inundação. O custo é baixo e o modo de falha que evita é total. De qualquer forma, a frase de recuperação é guardada num local fisicamente seguro, de preferência num local físico diferente do portátil onde irá usar a carteira, porque cópias de segurança que coexistem com o dispositivo que protegem não são真正的 cópias de segurança.
A extensão irá pedir-lhe que confirme a frase de recuperação voltando a inserir as palavras pela ordem. Isto é uma verificação de que as escreveu corretamente. Não a ignore, e não a ultrapasse voltando a escrever a partir de uma captura de ecrã que tirou偷偷amente. O objetivo de todo o exercício é que a única cópia da frase de recuperação exista num pedaço de papel na sua gaveta. Após a confirmação, defina uma palavra-passe forte para a carteira. Esta palavra-passe bloqueia a extensão no seu dispositivo específico, para que um visitante casual do navegador não a possa abrir. Não é a mesma coisa que a frase de recuperação. A palavra-passe pode ser reposta num novo dispositivo usando a frase de recuperação, mas a frase de recuperação não pode ser reposta por ninguém, jamais.
Um hábito extra que compensa mais tarde: ative a lista de bloqueio de phishing integrada na carteira, se a sua carteira oferecer uma. A MetaMask mantém uma lista de domínios maliciosos conhecidos e avisa-o antes de se ligar. A Phantom faz o mesmo na Solana. Mantenha esta funcionalidade ativa. É uma das poucas funcionalidades de segurança que não lhe custa nada e bloqueia categorias inteiras de ataques.
Passo três: financiar a carteira sem se tornar um alvo
Da primeira vez que dinheiro real entra numa carteira, é também a primeira vez que a carteira se torna interessante para um atacante. Alguns pequenos hábitos mantêm o alvo pequeno. Comece por financiar a partir de uma exchange centralizada que já utiliza, enviando primeiro uma transação de teste. Uma transação de teste é uma pequena quantia, frequentemente alguns dólares em ETH ou SOL, enviada para o endereço de receção da nova carteira. Confirma que chegou, envia o resto. Parece lento. É a diferença entre um erro de 50 $ e um erro de 5.000 $ quando um endereço foi mal digitado.
Copie sempre o endereço de receção a partir do interior da extensão, e leia sempre o endereço completo no ecrã de confirmação de envio da extensão antes de assinar. O endereço será longo. Leia-o. Se mais tarde tiver uma carteira de hardware, leia-o no ecrã do hardware como segunda verificação. Se o endereço do lado da exchange não corresponder exatamente ao endereço na extensão, abort e descubra porquê. Malware que reescreve endereços da área de transferência é uma categoria real de ataques, e a única defesa é a aborrecida: ler.
Decida, antes de financiar a carteira, que papel esta carteira vai desempenhar. Se a resposta for 'uso diário, dApps, pequenas transações', a carteira de extensão de navegador é a ferramenta certa, e deve manter o saldo suficientemente pequeno para que a perda fosse irritante em vez de mudar a vida. Se a resposta for 'é aqui que vivem as minhas poupanças de longo prazo', a ferramenta certa é uma carteira de hardware, e a extensão de navegador é apenas uma janela fina sobre ela. Carteiras de硬件 como Ledger e Trezor guardam as chaves privadas num dispositivo que nunca toca na internet, e a extensão apenas vê transações assinadas. Uma reserva de valor de longo prazo não deve viver numa hot wallet, ponto. A extensão de navegador serve para gastar; a carteira de hardware serve para poupar.
Passo quatro: ligar-se a dApps e limpar depois de si
Quando visita uma aplicação descentralizada, o site irá pedir à sua carteira para 'connect'. Aparecerá uma janela de confirmação com a conta que a dApp quer ver e a cadeia com que quer falar. Leia isto. Se um site simples de swaps pedir para ver todas as contas da sua carteira, incluindo contas que não financiou, isso é um sinal amarelo. Se um site lhe pedir para assinar uma mensagem que não entende, isso é um sinal vermelho. As assinaturas são a forma como as carteiras são esvaziadas sem que qualquer transação seja enviada; o atacante usa a assinatura fora do site para autorizar uma ação maliciosa. Em caso de dúvida, desligue-se, e use uma conta pequena e dedicada para dApps em vez da sua conta principal.
Boa prática é manter pelo menos duas contas dentro da MetaMask ou da Phantom. A primeira, a sua conta 'cofre', guarda fundos de longo prazo e nunca se liga a qualquer dApp. A segunda, a sua conta 'gastos', é a que fala com a Uniswap, OpenSea, Aave e afins. A extensão alterna entre elas com um clique. Se uma dApp alguma vez pedir uma aprovação de que se arrependa, ou o inscrever em algo suspeito, a perda está limitada ao saldo da conta de gastos.
Depois de usar uma dApp, a limpeza passa por revogar as aprovações de tokens de que já não precisa. Ferramentas como revoke.cash leem a cadeia e listam todas as aprovações ativas. Revogar uma aprovação é uma transação pequena que custa alguns cêntimos em gas, e remove a permissão da dApp para mover tokens da sua carteira. Uma regra simples: se não usou uma dApp em 30 dias, revogue as suas aprovações. Aprovações ilimitadas são convenientes e perigosas, e são a forma como um protocolo comprometido esvazia carteiras muito depois de ter parado de visitar o site.
Uma lista de verificação de configuração numa só página
Use-a como uma lista de verificação literal na primeira vez, e como lista de revisão a cada poucos meses.
- Origem da transferência: Adicione metamask.io ou phantom.app aos favoritos e instale sempre a partir desses favoritos. Nunca a partir de um anúncio de pesquisa, nunca a partir de uma ligação no Telegram, nunca a partir de uma publicação no X.
- Verificação na loja: Na loja de extensões do navegador, confirme se o nome do programador, o número de instalações e o histórico de publicação correspondem ao projeto oficial antes de clicar em instalar.
- Registo da frase de recuperação: Escreva as 12 ou 24 palavras em papel, com caneta, pela ordem correta, offline. Sem capturas de ecrã, sem aplicações de notas, sem sincronização na nuvem, sem gestor de palavras-passe, sem e-mail para si próprio.
- Armazenamento da frase de recuperação: Guarde o papel (ou uma placa metálica) num local fisicamente seguro, de preferência separado do dispositivo que vai usar com a carteira.
- Palavra-passe: Defina uma palavra-passe forte e única para a própria extensão, diferente de todas as outras palavras-passe que utiliza.
- Proteção contra phishing: Ative a lista de bloqueio dentro da carteira para domínios maliciosos conhecidos e nunca introduza a sua frase de recuperação num site, independentemente de quem peça.
- Primeiro financiamento: Envie primeiro uma pequena transação de teste a partir de uma exchange conhecida e leia o endereço de destino completo na janela de confirmação da extensão antes de assinar.
- Separação de contas: Utilize uma conta para dApps e saldos pequenos, e mantenha uma conta separada (ou uma carteira física) para os investimentos de longo prazo.
- Autorizações: Revogue as autorizações de tokens após utilizar dApps desconhecidas e de forma periódica para toda a carteira.
- Verificação do endereço: Leia sempre o endereço de destino completo dentro da carteira antes de assinar qualquer envio e confirme duas vezes num ecrã de hardware, se o tiver.
Como manter-se à frente do risco das carteiras e dApps
O mundo cripto move-se depressa, e os ataques em torno das carteiras movem-se ainda mais depressa do que o marketing. Um novo kit de phishing, uma extensão falsa, uma autorização maliciosa, qualquer um destes pode surgir na mesma semana em que um grande lançamento de tokens traz novos utilizadores para o espaço. Acompanhar manualmente as notícias sobre carteiras, as explorações de dApps e os riscos de autorizações é uma batalha perdida, porque os sinais de alerta estão dispersos por publicações no X, issues no GitHub, análises pós-incidente e canais de Telegram a que nunca vai chegar a tempo. A Zippfeed destaca notícias cripto com pontuação de sentimento, bullish, neutral ou bearish, e uma classificação de importância, para que possa ver as histórias sobre carteiras e dApps que realmente importam, no momento em que acontecem, e não depois de o dinheiro já ter desaparecido.
