Bitcoins em segurança: chaves privadas, frases semente e armazenamento a frio

Em 2013, um engenheiro de TI do País de Gales fazia uma limpeza em casa e colocou um disco rígido antigo num saco de lixo. Mais tarde, percebeu que o disco guardava as chaves privadas de cerca de 8.000 bitcoins que ele havia minerado nos primeiros tempos. Por mais de uma década, ele pediu à prefeitura local autorização para escavar o aterro sanitário, apresentou um plano atrás do outro e acabou levando a prefeitura à Justiça, tudo sem sucesso. Em 2025, ele disse que desistiria de tentar escavar o aterro.

Em 2017, um jornalista de tecnologia americano guardava seus bitcoins numa carteira de hardware e anotou o PIN num pedaço de papel. Enquanto ele estava viajando, o papel foi jogado fora. De volta para casa, ele não conseguia se lembrar do PIN, e cada tentativa errada fazia o aparelho dobrar o tempo de espera até a seguinte. Durante meses, ele viu cerca de US$ 30.000 em bitcoins presos atrás de uma tranca que não conseguia abrir. No fim, só recuperou o PIN graças a uma falha do aparelho que havia sido divulgada publicamente, com um programador adolescente orientando-o a distância. Ele teve sorte. A maioria das pessoas não tem essa chance.

Histórias assim não são raras. Em 2020, a empresa de análise de blockchain Chainalysis estimou que cerca de 3,7 milhões de bitcoins, aproximadamente um quinto de todos os bitcoins existentes na época, provavelmente estavam perdidos para sempre.

O Bitcoin não tem botão de “esqueci minha senha” nem equipe de suporte para redefinir nada. É justamente por isso que, antes de comprar e enquanto você tiver bitcoins, vale a pena dedicar vinte minutos a pensar em como vai guardá-los.

Quatro termos para entender primeiro

O ponto mais importante é este: seus bitcoins não estão dentro da sua carteira. Eles estão sempre registrados na blockchain. O que a carteira guarda é a chave que prova que você tem o direito de movimentá-los.

Quando isso fica claro, muita coisa se encaixa. Se o celular for perdido ou quebrar, seus bitcoins não desaparecem. Enquanto você tiver a frase semente, pode restaurar a carteira num novo aparelho. Mas, se o aparelho se perder e não houver backup da frase semente, os bitcoins não poderão ser recuperados nunca mais, porque nenhuma instituição em lugar nenhum guarda uma cópia por você.

Numa plataforma ou nas suas mãos

Há duas formas gerais de manter bitcoins.

Uma é a custódia: você deixa seus bitcoins com uma plataforma de negociação ou um custodiante, que guarda as chaves privadas por você. O que você vê na plataforma é um saldo na sua conta, e os direitos que você tem sobre ele dependem dos termos de serviço da plataforma e da legislação local.

A outra é a autocustódia: você mesmo detém as chaves privadas, e o que você possui é o próprio ativo on-chain.

Não recomendamos uma opção em vez da outra. Mas vale deixar claro que a autocustódia não é automaticamente mais segura. Ela transfere para você o risco que, de outro modo, ficaria com uma instituição. As duas histórias do início deste artigo são de autocustódia. Qual caminho combina com você depende de quanto você tem, da sua experiência e dos seus hábitos.

A frase semente: o papel mais importante

Se você for lembrar de uma só parte deste artigo, que seja esta.

Para uma carteira destinada a guardar bitcoins a longo prazo, gere a frase semente num dispositivo off-line, como uma carteira de hardware, e anote-a na hora. Não use geradores na web de origem desconhecida.

Na hora de guardá-la, siga estas regras:

1. Nunca a digite num site, numa janela de chat ou numa conversa com o suporte. Não existe motivo legítimo para alguém precisar disso.
2. Nada de capturas de tela, fotos, armazenamento em nuvem ou mensagens para si mesmo. As galerias de fotos dos celulares costumam sincronizar automaticamente com a nuvem, e, se essa conta for invadida, sua frase semente é praticamente pública.
3. Escreva-a em papel ou grave-a numa placa de metal e guarde-a off-line. O papel pode queimar, molhar ou desbotar com o tempo; por isso, guarde-o num lugar protegido de fogo e umidade.
4. Mantenha pelo menos dois backups em lugares diferentes. Uma única cópia pode desaparecer num incêndio ou numa mudança. Várias cópias na mesma gaveta não são muito melhores do que uma.
5. Se você configurou uma senha adicional (a passphrase, muitas vezes chamada de “25ª palavra”), garanta que ela também tenha um backup confiável. O mesmo vale para o PIN da sua carteira de hardware: não o deixe num pedaço de papel que possa ir para o lixo. A história do início mostra quanto isso pode custar.

Por fim, uma regra sem exceções: quem pede a sua frase semente é golpista. Plataformas de negociação não vão pedi-la. O suporte da carteira não vai pedi-la. Órgãos oficiais não vão pedi-la. Nós também não.

Carteiras quentes e carteiras frias

Uma carteira quente fica conectada à internet. É prática e serve para pequenas quantias de uso diário. Uma carteira fria fica off-line, de modo que suas chaves privadas nunca tocam a rede, o que a torna adequada para guardar bitcoins a longo prazo.

Muita gente usa as duas: um pouco para gastos do dia a dia numa carteira quente e a maior parte das reservas de longo prazo numa fria. É o mesmo motivo pelo qual você não anda com todas as suas economias no bolso.

A carteira fria tem seus limites, porém. Ela não protege uma frase semente mal guardada nem impede que você seja convencido a assinar uma transferência por conta própria, e, se o aparelho sumir, recuperar seus bitcoins depende inteiramente do backup da frase semente. Nenhuma abordagem é totalmente segura.

Como é um golpe

Além da perda de acesso, os golpes são a outra forma comum de perder bitcoins.

A partir do fim de 2018, usuários de uma carteira de Bitcoin consagrada começaram a se deparar com algo estranho. Ao abrir a carteira para enviar fundos, aparecia uma mensagem dizendo que era preciso atualizar as configurações de segurança antes de continuar. Tinha toda a aparência de um aviso oficial. Muitos clicaram e instalaram a suposta nova versão, e seus bitcoins foram transferidos pouco depois. As mensagens, como se descobriu, vinham de servidores montados por atacantes, e, segundo relatos publicados, mais de mil bitcoins foram roubados dessa forma nos anos seguintes.

Golpes assim assumem muitas formas, mas a lógica por trás deles é parecida:

• Falso suporte: alguém entra em contato com você num canal da comunidade, numa sequência de comentários ou por mensagem privada, se oferece para resolver o seu problema e depois pede sua frase semente ou manda você para um site. A equipe de suporte de verdade não manda mensagem primeiro e nunca pede a frase semente.
• Falsos airdrops e promoções: oferecem uma recompensa se você conectar a carteira e assinar uma autorização que não entende direito. Depois de assinada, seus fundos podem ser transferidos.
• Falsos avisos de atualização: uma mensagem disfarçada de atualização de uma carteira ou plataforma de negociação leva você a uma página clonada que pede a frase semente ou faz você instalar um software com malware.
• Sequestro da área de transferência: um malware no seu computador troca silenciosamente o endereço que você copiou pelo endereço do atacante na hora de colar.
• Sites clonados e envenenamento de endereço: um endereço web que difere do verdadeiro por um ou dois caracteres, com uma página quase idêntica; ou um endereço falso, gerado de propósito para começar e terminar com os mesmos caracteres de um que você usa com frequência, inserido no seu histórico de transações.

Todos tentam levar você a fazer algo que parece inofensivo no momento e que, na verdade, entrega o controle a outra pessoa.

Vinte minutos para se avaliar

Este é um bom momento para percorrer a lista abaixo e ver em que pé você está.

Se você ainda não tem bitcoins ou está prestes a comprar:

• Decida se vai deixá-los numa plataforma ou guardá-los você mesmo, e entenda os riscos de cada opção.
• Se pretende fazer a autocustódia, ensaie o processo completo antes com uma quantia bem pequena: crie uma frase semente, anote-a, apague a carteira e depois restaure-a a partir da frase semente. Só guarde mais depois de ter certeza de que consegue restaurá-la.
• Baixe software de carteira apenas de fontes oficiais e confira o endereço do site.

Se você já tem bitcoins:

• Onde está sua frase semente agora? Quem, além de você, poderia chegar até ela?
• Ela existe em algum lugar como captura de tela, foto ou arquivo de texto no seu celular, computador ou armazenamento em nuvem?
• Você tem pelo menos dois backups, guardados em lugares diferentes? Eles sobreviveriam a um incêndio ou a uma mudança?
• Se você configurou uma senha adicional (passphrase) ou um PIN, eles têm backup confiável?
• Se algo acontecesse com você amanhã, um familiar de confiança saberia que esses ativos existem e como encontrá-los quando necessário?

Toda vez que enviar bitcoins:

• Confira o endereço de recebimento inteiro, trecho por trecho, e não só os primeiros e os últimos caracteres.
• Para valores maiores, envie primeiro um pequeno teste e mande o restante quando ele chegar. Uma taxa a mais compra a certeza de que o endereço está correto.
• Depois de receber um pagamento, consulte você mesmo a transação e suas confirmações num explorador de blocos, em vez de confiar na palavra de quem diz que já enviou.

O Bitcoin foi concebido para que qualquer pessoa possa conferir as coisas por conta própria, sem depender da palavra de ninguém. Mantê-lo seguro funciona do mesmo jeito.

Se você encontrar alguma imprecisão neste artigo, escreva para editorialoffice@btc.com.