Segurança no web3

Proteja você e sua carteira dos golpes mais comuns no web3.

Introdução

A propriedade digital é a novidade do web3. Com blockchains, criptomoedas e NFTs, o web3 devolve posse e poder aos usuários. Essa posse online de produtos financeiros digitais é nova para muita gente, e a falta de experiência abre espaço para golpistas roubarem os ativos dos outros. Esses golpes funcionam tão bem porque a maioria das pessoas não sabe como eles operam.

Mas não é só o web3 que sofre com golpes: serviços web2 como e-mail e redes sociais também estão cheios deles. Além disso, muitas ferramentas web3 ainda dependem de serviços web2, como contas bancárias ou exchanges centralizadas, então proteger essas contas também importa. Parabéns, Explorador da Academy, por dedicar um tempo a se armar com o conhecimento que vai proteger você nesta aventura pelo web3!

Esta lição vai cobrir:

Segurança no web2 e no web3.
As formas mais comuns de perder fundos e como se proteger delas.
Uma estratégia geral de segurança para carteiras.
Como se recuperar depois de cair em um golpe.

Dinheiro no web2

No web2, as instituições guardam o dinheiro em nome das pessoas. Para acessar e usar seu dinheiro, o usuário precisa provar sua identidade à instituição. É o mesmo que uma conta bancária ou uma exchange centralizada (CEX): você precisa de um login e uma senha.

Para chegar ao seu dinheiro, o golpista precisa dessa dupla login + senha. Como as instituições têm o dever de proteger seu dinheiro, transações fraudulentas podem ser revertidas, como na contestação de uma compra no cartão de crédito.

Dinheiro no web3

No web3, o dinheiro funciona de outro jeito. É mais parecido com uma carteira de dinheiro vivo: uma vez gasto, acabou. Sua frase semente (aquele conjunto especial de palavras secretas) destrava suas chaves privadas, então quem a obtiver controla sua carteira. Nunca dê essa frase a ninguém e nunca a guarde em formato digital: fotos e apps de notas podem ser comprometidos.

Mas a frase semente não é o único alvo: uma única assinatura maliciosa (uma transação ou mensagem que você aprova) pode deixar um golpista drenar seus tokens sem nunca ver sua frase semente. Proteja sua frase semente e sua assinatura.

Teste de conhecimento 1

Verdadeiro ou falso? Golpistas podem drenar tokens da sua carteira te enganando para assinar uma transação ou aprovação maliciosa, sem nunca saber sua frase semente.

[ ] Verdadeiro
[ ] Falso

Guardando a frase semente com segurança

Existem muitos jeitos de guardar frases semente com segurança, mas um bom começo é mantê-la em meio físico (papel plastificado ou algo parecido) e guardá-la em um cofre à prova de água e fogo na sua própria casa. Não guarde uma frase semente como foto nem por outros meios digitais, incluindo o gerenciador de senhas.

Lugares ruins para guardar frases semente:

Em um arquivo de escritório
Aplicativo de notas digitais
No seu local de trabalho
Foto digital

Onde quer que você guarde sua frase semente, garanta que só você tenha acesso e que ela esteja protegida contra perda e destruição. Nunca se sabe o que pode acontecer no futuro!

Proteja suas senhas

Usar e gerenciar bem as senhas é parte importante do dia a dia na internet.

As senhas devem ser diferentes em cada serviço web2 que você usa: e-mail, exchanges centralizadas e outras contas. Já é ruim alguém conseguir o login e a senha de uma conta, mas é muito pior se essa combinação abrir todas as suas contas!

Aplicativos de gerenciador de senhas como 1Password, Bitwarden e KeePass guardam e criptografam várias senhas com segurança; eles até geram senhas novas de alta segurança e as salvam automaticamente. Você só precisa lembrar de uma senha mestra.

Não guarde uma frase semente do web3 em um gerenciador de senhas: basta um vazamento de senha para levarem todos os seus ativos web3, e não há ninguém para recuperá-los por você.

Teste de conhecimento 2

Por que os gerenciadores de senhas ajudam?

[ ] Basta lembrar da senha mestra para usá-los.
[ ] Geram e guardam senhas fortes e únicas.
[ ] Criptografam as senhas para mantê-las seguras.
[ ] Todas as anteriores

Autenticação de dois fatores

A autenticação de dois fatores (2FA) é uma segunda camada de segurança no web2.

Muita gente teve contas hackeadas mesmo com senhas fortes. Sites web2 (e até gerenciadores de senhas) costumam oferecer 2FA: uma prova vinda de outro dispositivo ou app, além da senha.

Nem todo 2FA é igual:

🥉 Códigos por SMS são o mais fraco: golpistas usam engenharia social para transferir seu número para o chip deles e receber os códigos. Ainda assim, é melhor que nada.

🥈 Apps autenticadores (como Google Authenticator, 2FAS ou Aegis) geram códigos no seu aparelho, boa escolha para a maioria das contas.

🥇 Passkeys e chaves de segurança físicas (como a YubiKey) são o melhor contra phishing: ligadas ao site real, não fazem login numa cópia falsa.

Teste de conhecimento 3

Por que a autenticação de dois fatores é tão recomendada?

[ ] É impossível hackear uma conta com 2FA ativado.
[ ] Ela adiciona outra camada de segurança às contas web2.
[ ] Ela deixa as senhas mais fortes.
[ ] Todas as anteriores

No web2 e no web3, golpistas usam táticas de phishing para fazer as pessoas entregarem senhas e frases semente, ou assinarem uma transação maliciosa. Muitas vezes se passam por suporte do produto, “Olá, aqui é o suporte da MetaMask”, ou por administrador de uma comunidade, “Novo mint de NFT, exclusivo para a nossa comunidade”.

Eles usam engenharia social para pressionar. Alguns exemplos:

“O tempo está acabando!”, para você se sentir com pressa.
“Parabéns, você ganhou nosso sorteio!”, para parecer exclusivo.
“Acesso antecipado ao nosso pré-mint!”, gerando FOMO na vítima.

Medo de ficar de fora

FOMO vem do inglês “Fear Of Missing Out”, o medo de ficar de fora. É aquela sensação estressante de que você vai perder uma grande oportunidade se não fizer algo agora mesmo.

A melhor defesa contra o FOMO é simplesmente se afastar do computador e dar uma pausa. As pessoas não pensam com clareza sob estresse, e por isso o FOMO é uma ferramenta de golpe tão eficaz. Ao sair da situação, fica muito mais fácil enxergar os golpes pelo que eles são.

Teste de conhecimento 4

Como os golpistas usam a engenharia social?

[ ] Fingindo ser uma autoridade da comunidade.
[ ] Pressionando as pessoas com prazos curtos.
[ ] Oferecendo sorteios ou NFTs grátis para gerar FOMO.
[ ] Todas as anteriores

Segurança nas redes sociais

Golpistas adoram agir nas redes sociais e nos servidores de Discord de projetos cripto, e costumam levar a conversa para mensagens diretas para não serem notados por membros experientes. Converse em canais públicos e nunca dê sua frase semente a ninguém, nem assine nada vindo de um link enviado por mensagem direta.

Sinais de alerta nas redes sociais:

🚩 Erros de português: “mim ajuda”, “concerteza”, etc.

🚩 FOMO: “Não fique de fora!”

🚩 Falsa identidade: um admin, o suporte, Vitalik Buterin, Elon Musk, etc.

🚩 Retornos garantidos: nada é garantido em cripto.

🚩 Links e ofertas não solicitados, principalmente por mensagem direta.

Boas práticas nas redes sociais

Práticas para se manter seguro:

✅ Se precisam te mandar mensagem direta para vender o produto, você provavelmente não quer esse produto.

✅ Confira o número de seguidores e membros do projeto, embora isso não garanta legitimidade, qualidade nem estabilidade.

✅ Verifique tudo em uma fonte externa, como outra conta oficial do projeto.

✅ Na dúvida, pergunte a membros de boa reputação de uma comunidade grande em que você confia, e pergunte em público.

Tokens fraudulentos e envenenamento de endereço

Apareceram tokens ou NFTs aleatórios na sua carteira? Tokens fraudulentos são enviados a milhares de carteiras de uma vez, esperando que alguém tente movê-los ou vendê-los, o que aciona código malicioso escondido no smart contract do token ou leva a vítima a um site de phishing que pede a frase semente ou uma assinatura maliciosa. A melhor reação: não interaja, deixe quieto ou oculte na carteira.

Um truque parecido é o envenenamento de endereço: o golpista envia transferências mínimas de um endereço quase idêntico a um que você usa, com os mesmos primeiros e últimos caracteres. Se depois você copiar um endereço do histórico, pode pegar o do golpista.

Como se proteger:

Não copie endereços do histórico de transações.
Confira mais do que os primeiros e últimos caracteres.
Faça um envio pequeno de teste antes de transferências grandes.

Aprovações maliciosas e assinatura às cegas

Hoje a maior parte dos fundos se perde não por frases semente roubadas, mas por assinaturas entregues. Kits de phishing do tipo “wallet drainer” mostram uma transação ou mensagem que parece rotineira, mas não é:

Aprovações maliciosas: uma única transação de aprovação pode dar ao contrato do golpista uma permissão de token ilimitada para gastar seus tokens ou NFTs.
Phishing de assinatura: aprovações por assinatura sem gas (como a Permit2) podem autorizar transferências de tokens, sem precisar de transação.
Drenagem por delegação: um recurso mais novo de carteiras (EIP-7702) deixa uma assinatura instalar código na sua conta, e os drainers abusam disso para esvaziar carteiras automaticamente.

Assinar o que você não entende se chama assinatura às cegas, e até profissionais se queimam: em fevereiro de 2025, a exchange Bybit perdeu cerca de 1,5 bilhão de dólares ao aprovar uma transação cuja tela havia sido adulterada.

Suas defesas: vá devagar, leia cada pedido de assinatura, trate avisos de “verifique sua carteira” como hostis e use uma carteira que simule as transações antes de você assinar.

Teste de conhecimento 5

Você recebe uma mensagem direta: “Sua carteira precisa migrar: conecte em metamask-upgrade.app e assine para verificar seus ativos.” O site pede uma aprovação por assinatura sem gas. Qual é o problema aqui?

[ ] Nenhum: assinaturas são grátis e não movem fundos.
[ ] Só é perigoso se você também digitar a frase semente.
[ ] É seguro, pois o suporte fala por mensagem direta.
[ ] É phishing de assinatura: ela pode drenar seus tokens.

Carteiras de hardware

Como você viu na lição Fundamentos da carteira, uma carteira de hardware guarda suas chaves privadas em um aparelho dedicado, longe do computador conectado à internet. Isso deixa seus fundos bem mais seguros: um malware não lê suas chaves, e um ladrão teria que roubar o aparelho e invadi-lo. Opções populares incluem Ledger, Trezor e Keystone. Compre sempre direto do fabricante.

Dá para usar uma carteira de hardware junto com carteiras de extensão como a MetaMask, unindo comodidade e segurança. A Ledger escreveu um guia próprio sobre essa configuração.

Um limite: ela assina o que você aprovar, então assinar às cegas uma transação maliciosa ainda perde seus fundos. Confira sempre os detalhes na tela do próprio aparelho antes de confirmar.

Teste de conhecimento 6

Verdadeiro ou falso? Uma carteira de hardware só mantém seus fundos seguros se você conferir cada transação antes de aprovar.

[ ] Verdadeiro
[ ] Falso

Estratégias de carteira

Depois de somar uma carteira de hardware ao seu arsenal, um dos melhores jeitos de proteger os fundos é espalhá-los entre várias carteiras. Veja uma estratégia compartimentada com três carteiras separadas:

Carteira social: uma carteira quente com pouco ou nenhum fundo, para logins, mints e testar dApps novos. Assuma que tudo nela pode ser perdido.
Carteira de negociação: uma carteira quente para negociar e outras atividades com fundos que talvez precisem ser movidos rápido.
Carteira HODL: uma carteira de hardware para o HODL de longo prazo. Nunca use essa carteira em smart contracts ou sites desconhecidos.

👍 PRÓS: a separação faz com que um golpe ameace só os fundos daquela carteira, e não tudo.

👎 CONTRAS: dá mais trabalho acompanhar, mas muitos aplicativos deixam você nomear cada carteira.

Teste de conhecimento 7

Recomendamos manter seus fundos _______________ para ter mais segurança.

[ ] guardados em vários airdrops
[ ] trancados em vários NFTs
[ ] separados em várias carteiras
[ ] líquidos em vários endereços

Recuperando-se de golpes no web2

Tomara que você ainda não tenha sido vítima de um golpista. Se já foi, há alguns passos para deixar suas contas seguras de novo.

Em um golpe envolvendo um serviço web2, como Gmail ou Discord, você deve:

Trocar a senha da conta afetada.
Quando existir, usar o botão “sair de todos os outros dispositivos” para expulsar o golpista.
Ativar o 2FA: de preferência uma passkey ou chave de segurança física, senão um app autenticador.
Denunciar o golpe ao serviço envolvido.
Garantir que sua conta de e-mail também esteja segura.
Conversar sobre o golpe com amigos ou membros confiáveis da comunidade.

Recuperando-se de golpes no web3

Contratos precisam de autorização explícita para gastar tokens no Ethereum. A permissão de token é o quanto você autorizou um contrato específico a gastar. Manter esses limites baixos reduz o risco para seus ativos.

No web3 não existe ninguém no comando dos protocolos para quem denunciar golpistas, mas você ainda pode agir:

Mova imediatamente os fundos que restaram na carteira comprometida para outro endereço, garantindo que a nova carteira tenha uma frase semente diferente.
Revise e revogue suas permissões de token com o revoke.cash (funciona em muitas redes) ou o etherscan.io/tokenapprovalchecker. Revogar custa gas; o revoke.cash tem um guia passo a passo.
Confira também a aba “Delegations” do revoke.cash: se houver alguma delegação que você não reconhece, remova pelo app da sua carteira.
Use uma carteira de hardware daqui em diante e verifique tudo o que assinar.
Avise os outros denunciando o golpe à comunidade afetada.
Converse sobre o golpe com amigos ou membros confiáveis da comunidade para ver como proteger você e os outros no futuro.