Definição simples
Roubo de frase-semente ocorre quando um atacante obtém a frase de recuperação de uma carteira cripto por meio de sites de phishing, malware, falsos serviços de apoio ao cliente, capturas de ecrã expostas, cópias na nuvem comprometidas ou observação física. Com essa frase, o atacante pode restaurar a carteira, controlar as chaves privadas e transferir ativos on-chain.
Numa carteira não custodial, a frase-semente costuma funcionar como a “chave mestra” dos ativos da carteira. Se outra pessoa obtiver a frase completa, pode conseguir transferir tokens ou NFT sem precisar da palavra-passe de uma exchange, de códigos por SMS ou de acesso ao e-mail.
Como funciona
Muitas carteiras cripto geram 12 ou 24 palavras em inglês quando são criadas. Mais tarde, o utilizador pode usar esse conjunto de palavras para restaurar a conta numa carteira compatível. A lógica básica é a seguinte:
| Etapa | Significado | Ponto de risco |
|---|---|---|
Criação da carteira | A carteira gera a frase-semente, a partir da qual são derivadas as chaves privadas | Se o ambiente de criação não for seguro, malware pode registar a informação |
Cópia de segurança da frase-semente | O utilizador escreve ou guarda a frase de recuperação | Capturas de ecrã, armazenamento na nuvem, aplicações de mensagens e e-mail podem causar exposição |
Recuperação da carteira | A frase-semente é introduzida num novo dispositivo ou numa aplicação de carteira | Se for inserida num site ou app falsa, o atacante pode obtê-la de imediato |
Assinatura de transações | A chave privada autoriza transferências on-chain ou interações com contratos | Após restaurar a carteira, o atacante pode transferir ativos por conta própria |
É importante distinguir: a frase-semente não é a palavra-passe de login de uma exchange. Se os seus ativos estão numa exchange centralizada, as chaves privadas são normalmente custodiadas pela plataforma. Se usa uma carteira não custodial, a frase-semente fica geralmente sob a sua responsabilidade, e a perda ou exposição pode ser difícil de reverter.
Situações comuns
- Sites de phishing: atacantes imitam sites oficiais de carteiras, páginas de airdrops ou páginas de staking e pedem ao utilizador que introduza a frase-semente para “verificar a carteira”. Carteiras legítimas e aplicações blockchain geralmente não devem pedir que introduza a frase-semente numa página web para receber recompensas.
- Falso apoio ao cliente ou mensagens privadas em comunidades: alguém finge ser de um projeto, de uma exchange ou de uma carteira e afirma que pode “reparar a carteira” ou “recuperar ativos”, exigindo a frase-semente.
- Extensões de navegador ou apps maliciosas: carteiras falsas, ferramentas de trading falsas ou extensões maliciosas podem ler a área de transferência, fazer capturas de ecrã ou registar teclas digitadas.
- Exposição por sincronização na nuvem: se a frase-semente for guardada como imagem, fotografia ou documento na nuvem, no e-mail ou em conversas, a invasão dessa conta pode expor a frase.
- Exposição offline: uma frase escrita em papel pode ser fotografada, perdida ou observada por terceiros se for digitada em locais públicos.
Exemplo simples
Um utilizador iniciante vê nas redes sociais um link para “receber tokens gratuitos”. A página parece a interface de uma carteira conhecida e pede: “introduza as 12 palavras para concluir a verificação da carteira”. Depois de o utilizador inserir a frase-semente, o atacante restaura essa carteira no próprio dispositivo e transfere as stablecoins para outro endereço. Como as transferências on-chain são geralmente irreversíveis, pode ser difícil recuperar os fundos apenas através dos mecanismos da blockchain.
Este exemplo não envolve uma avaliação de retorno financeiro. Ele mostra que: qualquer página que peça a frase-semente fora de um contexto legítimo de recuperação de carteira deve ser tratada como um sinal de alto risco.
Cuidados para iniciantes
- Nunca revele a frase-semente a ninguém: incluindo pessoas que se apresentem como apoio ao cliente, administradores, membros de projetos ou funcionários de exchanges.
- Não introduza a frase-semente em sites, formulários de comunidades ou apps desconhecidas: use-a apenas quando precisar claramente de recuperar uma carteira e tiver confirmado que o software vem de uma fonte fiável.
- Dê preferência a cópias de segurança offline: pode escrevê-la em papel ou usar uma solução metálica resistente ao fogo e à água; evite capturas de ecrã, fotografias, e-mail, armazenamento na nuvem e aplicações de mensagens.
- Verifique o site oficial e a origem do download: descarregue aplicações de carteira apenas por canais oficiais e tenha cuidado com anúncios em motores de busca, domínios com grafia parecida e extensões falsas.
- Proteja a frase-semente mesmo ao usar uma hardware wallet: uma carteira de hardware reduz a exposição online das chaves privadas, mas a fuga da frase-semente ainda pode permitir o roubo de ativos.
- Separe e estruture a gestão dos ativos: carteiras usadas para interações frequentes não devem manter grandes montantes por longos períodos; ativos de maior valor podem exigir armazenamento frio ou soluções de múltiplas assinaturas.
- Reveja autorizações periodicamente: o roubo de frase-semente é diferente do risco de autorização de contratos, mas ambos podem causar perdas. Em carteiras usadas com frequência, pode ser útil verificar e revogar autorizações de contratos que já não sejam necessárias.
Se suspeitar que a frase-semente foi exposta
Se acredita que a frase-semente pode ter sido vista por terceiros ou inserida numa página suspeita, deve assumir que a carteira deixou de ser segura. Medidas comuns incluem:
- Criar imediatamente uma carteira totalmente nova, sem reutilizar a frase-semente antiga.
- Transferir o mais rapidamente possível os ativos que ainda controla para a nova carteira, tendo em conta as taxas de rede e eventuais congestionamentos on-chain.
- Deixar de usar a carteira antiga para interagir com contratos, para evitar expor mais ativos.
- Guardar provas, como URLs suspeitos, registos de conversas e hashes de transações, para reportar a plataformas, autoridades ou equipas de segurança.
- Não confiar em promessas de “recuperação paga” ou “recuperação garantida”. A recuperação de ativos on-chain depende muito do caso concreto, da cooperação de plataformas e de processos legais; não existe uma garantia universal fiável.
Diferenças face a riscos semelhantes
| Termo | Significado principal | Diferença em relação ao roubo de frase-semente |
|---|---|---|
Exposição de chave privada | A chave privada de um endereço ou conta é obtida por terceiros | A frase-semente pode derivar várias chaves privadas, pelo que o impacto pode ser mais amplo |
Risco de autorização de contrato | O utilizador aprova que um contrato inteligente gaste determinados tokens | Não implica necessariamente a exposição da frase-semente, mas um contrato malicioso pode mover ativos autorizados |
Ataque de phishing | Informação é obtida por meio de páginas ou identidades falsas | É um dos métodos comuns de roubo de frase-semente |
Carteira não custodial | Carteira em que o utilizador guarda as chaves privadas e a frase-semente | Dá maior controlo direto, mas a responsabilidade de custódia fica com o utilizador |
Carteira de hardware | Carteira que isola as chaves privadas num dispositivo dedicado | Pode reduzir riscos de ataque online, mas não substitui a proteção da frase-semente |
Termos relacionados
- Frase-semente
- Chave privada
- Carteira não custodial
- Carteira de hardware
- Ataque de phishing
- Autorização de contrato inteligente
- Carteira multisig
- Carteira fria
Fontes de referência
- https://consumer.ftc.gov/articles/what-know-about-cryptocurrency-and-scams
- https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks
- https://ethereum.org/en/wallets/
- https://bitcoin.org/en/secure-your-wallet
- https://support.metamask.io/start/user-guide-secret-recovery-phrase-password-and-private-keys/
