Don't get rekt

A maioria das pessoas que perdem criptomoedas não as perde por causa de uma queda do mercado. Perde por um erro que levou trinta segundos: uma frase de recuperação digitada em um site falso, economias deixadas em uma corretora que quebrou, um “agente de suporte” que apareceu nas mensagens diretas. Todos esses erros podem ser evitados, e evitá-los não custa quase nada. É para isso que serve esta página.

O modelo de ameaças, com honestidade

Três coisas tomam os bitcoins das pessoas, nesta ordem:

1. Golpes. Sites de phishing, falso suporte, híbridos de investimento e romance, esquemas de rendimento garantido. O Internet Crime Complaint Center do FBI registrou US$ 9,3 bilhões em perdas declaradas com fraudes em criptomoedas nos Estados Unidos em 2024, e as perdas declaradas ficam abaixo da realidade.
2. Falha de custódia. Mt. Gox, Celsius, FTX, Bittrex: corretoras e credores que guardavam os bitcoins dos clientes e depois não conseguiram devolvê-los. O tribunal de falências é onde as criptomoedas esperam por anos.
3. Perda da chave por culpa própria. Frases de recuperação em álbuns de fotos na nuvem (hackeados), em uma única folha de papel (queimada, alagada, jogada fora) ou que nunca tiveram backup.

Repare no que não está na lista: hackers sofisticados quebrando a criptografia. A criptografia do Bitcoin nunca foi quebrada. Os atacantes dão a volta nela, passando por você. Ou seja, são seus hábitos, e não sua habilidade técnica, que decidem se você fica com seus bitcoins.

As dez regras

1. Se as chaves não são suas, os bitcoins também não

O saldo em uma corretora é uma promessa de pagamento. Ele só se torna seu bitcoin quando você o saca para uma carteira cujas chaves estão com você. Deixe nas corretoras apenas o que você está negociando ativamente ou prestes a gastar. Tudo o que você lamentaria perder pertence à autocustódia.

2. Compre a carteira de hardware direto do fabricante

Uma carteira de hardware guarda suas chaves em um dispositivo que nunca as expõe ao seu computador. Compre-a diretamente do fabricante, nunca de um revendedor em marketplace, onde já apareceram dispositivos adulterados. Quando ela chegar, o dispositivo gera uma frase de recuperação nova; ninguém, nem mesmo o fabricante, deve tê-la visto antes de você.

3. A frase de recuperação nunca vai para o meio digital

Sem fotos. Sem anotações na nuvem. Sem gerenciador de senhas. Sem digitá-la em nenhum site, aplicativo ou “ferramenta de validação”, jamais. Escreva as palavras em papel ou grave-as em aço, guarde o backup em um lugar que sobreviva a incêndio e inundação e considere manter uma segunda cópia em outro local. Todo serviço que pede para você informar online uma frase de recuperação existente é um golpe ou está prestes a virar um.

4. Pedidos de verificação são ataques

Nenhuma corretora, fabricante de carteira ou influenciador jamais enviará uma mensagem direta primeiro. “Suporte” que entra em contato com você é golpe. “Validação” da sua carteira é golpe. Quem pede para você mover fundos “para um endereço seguro” está aplicando um golpe. A resposta correta a uma ajuda não solicitada com criptomoedas é o silêncio e o bloqueio.

5. Se o rendimento é garantido, o prejuízo também é

Dois por cento ao dia, vinte por cento ao mês, “robô de arbitragem sem risco”: isso não são investimentos, são contagens regressivas. O rendimento real em cripto é de um dígito ao ano e vem com um risco que se explica com clareza. Qualquer coisa melhor que isso é o seu próprio dinheiro sendo devolvido a você até o operador sumir.

6. Vá devagar quando o dinheiro se mover

Ataques de envenenamento de endereço colocam endereços parecidos no seu histórico de transações, na esperança de que você copie um deles. Confira os primeiros e os últimos caracteres de cada endereço, envie primeiro um valor pequeno de teste em transferências grandes e trate a própria urgência como sinal de alerta. Nada legítimo em cripto exige que você aja nos próximos dez minutos.

7. Reforce as contas ao redor das suas criptomoedas

Sua conta na corretora é tão forte quanto seu e-mail e seu número de telefone. Use uma senha única e autenticação de dois fatores por aplicativo ou chave de hardware (nunca por SMS, que cai diante da troca de SIM) na corretora e no e-mail ligado a ela. Peça à sua operadora de celular que adicione um PIN de portabilidade.

8. Mantenha sua configuração sem novidades

Um navegador cheio de extensões aleatórias, um computador cheio de software pirata e uma carteira cheia de tokens misteriosos recebidos de graça (airdrops) são o jeito como as pessoas são esvaziadas. Faça suas operações com criptomoedas em um perfil de navegador limpo, ignore tokens e NFTs que apareçam sem convite e nunca assine transações que você não entende. O phishing de aprovação, em que um site malicioso engana você para conceder permissão de gasto, esvazia carteiras meses depois do clique.

9. Verifique o que você instala antes de instalar

O software de carteira é o único programa da sua máquina que pode mover seu dinheiro, então merece mais cuidado que os demais. Baixe-o do site do próprio projeto ou da página na loja de aplicativos, acessada digitando o endereço você mesmo e não por um anúncio de busca, já que aplicativos de carteira falsos compram o primeiro resultado e já chegaram às duas lojas oficiais. Quando o projeto publica assinaturas ou checksums, verifique-os: o Bitcoin Core e a maioria das carteiras de desktop os publicam, e a verificação leva um minuto. Trate uma atualização de carteira que chega por e-mail, mensagem direta ou pop-up como um ataque, porque é isso que ela costuma ser.

10. Garanta que alguém possa encontrar seus bitcoins quando você não puder

A autocustódia tem um modo de falha que ninguém planeja: o titular não estar mais presente. O bitcoin perdido assim se perde para sempre, e famílias viram saldos que sabiam existir permanecerem inacessíveis para sempre. Anote onde a carteira e o backup estão e que tipo de dispositivo ela é, avise uma pessoa de confiança de que as instruções existem e como chegar até elas, e mantenha essa anotação separada da própria frase de recuperação, para que encontrar uma não seja encontrar as duas. Se o valor justificar, uma configuração multisig permite dividir a recuperação entre pessoas ou locais sem entregar as chaves a ninguém hoje.

Quando algo dá errado

Aja rápido e guarde registros. Mova imediatamente os fundos restantes para uma carteira nova se suspeitar de comprometimento das chaves. Revogue as aprovações de tokens com uma ferramenta de revogação confiável. Denuncie à unidade local de crimes cibernéticos e, nos Estados Unidos, ao IC3 do FBI. Fique também avisado: os “serviços de recuperação” que prometem trazer suas criptomoedas de volta mediante uma taxa antecipada são um segundo golpe, que mira vítimas recentes. A recuperação de verdade é rara e nunca é vendida por mensagem direta.

Para onde ir daqui

Comece por como guardar criptomoedas com segurança para o passo a passo completo de armazenamento, confira as análises de carteiras de hardware deste site antes de comprar um dispositivo e leia o guia de VPN para saber o que a privacidade de rede protege e o que não protege. Depois, configure seu armazenamento uma vez, do jeito certo, e siga com a sua vida. O objetivo é que seja entediante.