Carteiras de cripto: custódia na exchange, autocustódia e seed phrase

Chaves, não moedas

Uma carteira de cripto não guarda moedas como uma carteira de bolso guarda notas. Sua cripto fica registrada em uma blockchain; a carteira guarda as chaves que permitem movimentá-la. A Agência de Consumo Financeiro do Canadá (FCAC) descreve as duas chaves assim: a chave pública é como um endereço de e-mail e serve para receber criptoativos de outras pessoas, enquanto a chave privada é como uma senha guardada em uma carteira digital, que você usa para acessar suas contas e enviar criptoativos a outras pessoas.

Quem controla a chave privada controla a cripto. A pergunta prática, portanto, é quem guarda essa chave: uma empresa ou você.

Duas formas de manter cripto

A FCAC resume a escolha: um provedor de carteira pode administrar sua carteira para você por meio de uma plataforma de negociação de cripto (CTP), e você também pode ter a opção de guardar e administrar a carteira por conta própria.

• Custódia de terceiros: uma exchange ou um aplicativo guarda as chaves e mostra um saldo para você. Você entra com uma senha e códigos de dois fatores, e as regras da própria plataforma decidem como você recupera o acesso se perdê-los. O risco está na empresa: se a plataforma de negociação de cripto ou o provedor de carteira que guarda seus criptoativos fechar as portas ou falir, você pode perder seu dinheiro. A Autoridade de Conduta Financeira do Reino Unido (FCA) cita um caso real: em 2022, a Celsius, empresa de empréstimos de cripto, pediu falência devendo US$ 4,7 bilhões aos usuários, o que fez com que muitos investidores não conseguissem retirar seu dinheiro e não recebessem nada de volta. Plataformas também podem ser hackeadas; a FCAC alerta que os invasores podem roubar suas chaves e ter acesso às suas carteiras e aos seus criptoativos.
• Autocustódia: você guarda as chaves em um aplicativo de carteira ou em um dispositivo físico (hardware wallet). Nenhuma exchange pode quebrar com suas moedas dentro nem segurar o seu saque (o emissor de uma stablecoin ainda pode congelar os próprios tokens em qualquer endereço), mas nenhuma empresa pode socorrer você também. Segundo a FCAC, se você perder sua chave privada, perde o acesso às suas carteiras e aos seus recursos. As autoridades de supervisão financeira da UE são mais diretas: perder as chaves privadas de criptoativos resulta na perda permanente e irreversível do acesso e da propriedade.

Nenhuma das duas opções tem proteção como a de um depósito bancário. No Reino Unido, por exemplo, a FCA diz que é altamente improvável que você tenha a cobertura do Financial Services Compensation Scheme.

Quem pode recuperar o quê

• Senha da exchange esquecida ou celular perdido: só a plataforma pode devolver o acesso, segundo os próprios procedimentos. Mantenha atualizados o e-mail de login, os códigos de backup da autenticação de dois fatores e seus documentos de identidade.
• A exchange deixa de atender o seu país ou fecha: você depende do processo de saque dela e, se ele falhar, de um processo de insolvência. A agência tributária do Canadá orienta os usuários de cripto a exportar regularmente o histórico da sua atividade, para o caso de a exchange encerrar as operações, deixar de oferecer serviços no Canadá ou de você perder o acesso à conta; é uma boa prática em qualquer lugar.
• Frase de recuperação perdida e dispositivo quebrado (autocustódia): ninguém consegue recuperar os recursos.
• Frase de recuperação vista por outra pessoa: essa pessoa pode esvaziar a carteira a partir de qualquer dispositivo. A polícia de Singapura orienta que, se uma frase de recuperação tiver sido comprometida, você transfira imediatamente todos os ativos restantes para uma carteira nova, não comprometida.

A frase de recuperação

Muitas carteiras de autocustódia mostram uma frase de recuperação (seed phrase, também chamada de frase semente) quando são criadas: uma lista de palavras capaz de reconstruir a carteira e todas as suas chaves em outro dispositivo. Ela é a carteira. A Força Policial de Singapura (SPF) dá regras claras sobre ela:

• Aplicativos de carteira legítimos não pedem sua frase de recuperação fora dos processos seguros de configuração ou de recuperação da carteira.
• Com uma hardware wallet, a frase de recuperação só deve ser digitada diretamente no próprio dispositivo, durante a configuração inicial ou ao recuperar a carteira.
• Guarde a frase em forma física (por exemplo, escrita em papel) em um local seguro e não a compartilhe com ninguém.
• Plataformas de verdade também não pedem a frase: a SPF diz que as plataformas de cripto licenciadas em Singapura nunca pedem aos usuários credenciais de login, códigos de autenticação de dois fatores ou frases de recuperação, nem orientam a transferir os ativos para outra carteira por motivos de segurança ou de investigação.

Qualquer pessoa que peça sua frase de recuperação (alguém que diz ser do suporte, um site, um novo amigo da internet) está tentando ficar com a sua cripto.

Carteiras quentes, carteiras frias e pedidos de assinatura

A FCAC explica: uma carteira quente (hot wallet) está conectada à internet; uma carteira fria (cold wallet), não. A SPF recomenda guardar criptomoedas em hardware wallets sempre que possível, porque elas são menos vulneráveis a ataques on-line. E faz um alerta: algumas hardware wallets mostram poucos detalhes da transação ao aprovar pedidos de assinatura, o que pode levar você a aprovar uma transação maliciosa.

Uma carteira pode ser esvaziada sem a sua frase de recuperação se você assinar o pedido errado. A SPF descreve golpes que levam as pessoas a aprovar uma “assinatura de permissão” (permit signature), um recurso que permite autorizar antecipadamente uma transação futura de cripto assinando uma mensagem fora da cadeia (off-chain); depois disso, os golpistas conseguem movimentar os recursos sem nova aprovação, mesmo que você use uma hardware wallet. Leia cada pedido antes de aprovar e revogue regularmente as permissões de que não precisa mais.

Hábitos que protegem você

1. Guarde a frase de recuperação off-line, em papel, em um lugar seguro, nunca em uma foto, um chat ou uma nota na nuvem.
2. Siga a lista da FCAC: guarde suas carteiras e quaisquer cópias de segurança em um lugar seguro, não compartilhe sua chave privada com ninguém e use uma senha forte.
3. Ative a autenticação de dois fatores em todos os lugares; a SPF sugere um aplicativo autenticador em vez da verificação por SMS, que é mais suscetível a interceptação.
4. Mantenha atualizados o celular, o computador e os aplicativos de carteira, e evite fazer login em redes Wi-Fi públicas ou não seguras, como recomendam as autoridades europeias.
5. Antes de enviar, confira o endereço e a rede; uma transferência na blockchain não pode ser desfeita.
6. Pense na sua família. A FCAC pede que você considere o que vai acontecer se ficar doente ou morrer e ninguém conseguir acessar suas carteiras, porque, se ninguém souber onde estão as carteiras nem as senhas, ninguém conseguirá recuperar os recursos.

Cripto é arriscado, seja qual for a forma de guardar, e as regras para ter cripto mudam de país para país; nossas páginas “a cripto é legal?” citam o que dizem os reguladores de cada país.