Chave privada da carteira

O que é uma chave privada da carteira?

Uma chave privada da carteira é a chave criptográfica secreta que dá ao usuário controle sobre um endereço de carteira de criptomoedas e os ativos vinculados a esse endereço.

Ela é usada para criar assinaturas digitais que comprovam que o proprietário da carteira aprovou uma transação ou mensagem.

A documentação oficial sobre contas Ethereum explica que uma chave privada é usada para assinar transações e concede custódia sobre os fundos associados a uma conta.

O glossário do NIST sobre chave privada define uma chave privada como uma chave criptográfica associada exclusivamente a um proprietário e que não é divulgada publicamente.

Em termos simples, uma chave privada da carteira é o segredo que permite a uma carteira gastar cripto.

Se alguém tiver a chave privada correta, geralmente poderá assinar transações da carteira.

Se alguém perder a chave privada e não tiver backup ou método de recuperação, os ativos controlados por essa chave poderão se tornar permanentemente inacessíveis.

É por isso que a frase “sem suas chaves, sem suas criptomoedas” é tão comum na educação sobre cripto.

Uma chave privada da carteira não é uma senha, um endereço de carteira, uma chave pública nem um login de conta comum.

Ela é o segredo central que controla a propriedade na blockchain.

Por que as chaves privadas da carteira são importantes

As chaves privadas da carteira são importantes porque as blockchains não dependem de nomes de usuário e senhas comuns para decidir quem pode movimentar fundos.

Elas dependem de assinaturas criptográficas.

Quando um usuário envia cripto, a carteira assina a transação com a chave privada.

A rede blockchain verifica a assinatura em relação à chave pública ou aos dados relacionados ao endereço.

Se a assinatura for válida e a transação seguir as regras da rede, a transação poderá ser aceita.

Esse modelo permite que os usuários controlem ativos sem pedir a um banco, empresa ou administrador central que aprove cada ação.

Também significa que a perda de uma chave privada pode ser implacável.

O guia oficial de segurança de carteiras Bitcoin explica que backups de carteira podem proteger usuários contra falhas de computador e muitos erros humanos.

Uma chave privada é poderosa porque fornece controle direto.

Ela é perigosa pela mesma razão.

Uma boa segurança em cripto começa com a compreensão do que uma chave privada pode fazer.

Chave privada da carteira vs. chave pública

Uma chave privada e uma chave pública são duas partes de um par de chaves criptográficas.

A chave privada deve permanecer secreta.

A chave pública pode ser compartilhada de forma mais aberta.

A chave privada assina transações e mensagens.

A chave pública ajuda a verificar se uma assinatura veio da chave privada correspondente.

O glossário do NIST sobre criptografia de chave pública explica que os usuários podem assinar dados digitalmente com uma chave privada e que a assinatura resultante pode ser verificada com a chave pública correspondente.

Isso significa que a chave pública pode ajudar a provar que a chave privada foi usada sem revelar a própria chave privada.

Uma chave pública normalmente não pode movimentar fundos sozinha.

Uma chave privada pode movimentar fundos se controlar um endereço com ativos.

Confundir as duas pode levar a erros graves.

Os usuários geralmente podem compartilhar um endereço de carteira, mas nunca devem compartilhar uma chave privada da carteira.

Chave privada da carteira vs. endereço de carteira

Uma chave privada da carteira não é igual a um endereço de carteira.

Um endereço de carteira é o identificador público de recebimento que os usuários compartilham para receber cripto.

Uma chave privada é o valor secreto usado para assinar transações a partir desse endereço.

Na Ethereum, um endereço é derivado da chave pública, enquanto a chave privada controla a conta que pode assinar transações.

No Bitcoin, os endereços geralmente são derivados de chaves públicas ou scripts relacionados a chaves públicas.

A maioria dos usuários interage com endereços, e não com chaves privadas brutas.

Isso ocorre por design, pois os endereços são mais seguros para compartilhar.

Um usuário pode publicar um endereço de doação e receber fundos.

Um usuário nunca deve publicar a chave privada desse endereço.

Se a chave privada for exposta, qualquer pessoa que a vir poderá transferir os fundos.

A regra prática é simples: endereços recebem, chaves privadas movimentam fundos.

Chave privada da carteira vs. frase de recuperação

Uma chave privada da carteira também é diferente de uma frase de recuperação.

Uma frase de recuperação é um backup legível por humanos capaz de gerar uma ou várias chaves privadas.

A especificação BIP-39 descreve códigos mnemônicos que podem ser usados para gerar carteiras determinísticas.

Muitas carteiras modernas usam 12, 18 ou 24 palavras de recuperação em vez de mostrar aos usuários chaves privadas brutas.

Uma frase de recuperação geralmente é mais poderosa do que uma chave privada porque pode restaurar uma carteira inteira com muitas contas e endereços.

Uma única chave privada pode controlar um endereço ou conta.

Uma frase de recuperação pode recriar muitas chaves privadas em vários endereços, dependendo da estrutura da carteira.

Isso significa que uma frase de recuperação deve ser protegida com a mesma seriedade que as chaves privadas.

Se um site, agente de suporte ou desconhecido pedir uma frase de recuperação, os usuários devem assumir que se trata de um golpe.

Um processo real de suporte de carteira não deve precisar da frase de recuperação para responder a perguntas comuns.

Como funciona uma chave privada da carteira

Uma chave privada da carteira funciona criando uma assinatura digital para uma transação ou mensagem específica.

O software da carteira prepara os detalhes da transação.

A chave privada assina esses detalhes usando um algoritmo criptográfico de assinatura.

A transação assinada é então transmitida à rede blockchain.

Os nós verificam se a assinatura é válida e se a transação segue as regras da rede.

Se a transação for válida, ela poderá ser incluída em um bloco ou aceita de acordo com o processo de consenso daquela blockchain.

A chave privada não precisa ser enviada à rede.

A rede precisa apenas da assinatura e dos dados de verificação.

Essa é a principal vantagem de segurança da criptografia de chave pública.

O usuário pode comprovar controle sem revelar o segredo que concede esse controle.

No entanto, se malware, phishing ou uma carteira falsa roubar a chave privada antes da assinatura, o invasor também poderá assinar transações.

Como chaves privadas da carteira são criadas

Uma chave privada da carteira deve ser criada a partir de aleatoriedade forte.

Em muitos dos principais sistemas blockchain, uma chave privada é um número muito grande escolhido dentro de um intervalo válido.

A carteira então deriva uma chave pública e um endereço de carteira a partir dessa chave privada.

Se a chave privada for gerada com segurança, deverá ser praticamente impossível alguém adivinhá-la usando métodos de computação clássica atuais.

Se a chave privada for gerada inadequadamente, a carteira poderá ser insegura desde o início.

Geração fraca de números aleatórios, software de carteira falso, seeds previsíveis, geradores baseados em navegador ou chaves criadas pelo usuário podem criar riscos graves.

Os usuários devem evitar criar chaves privadas manualmente.

Devem evitar usar “brain wallets” criadas a partir de frases fáceis de memorizar.

Devem evitar geradores online de chaves privadas.

Devem usar software de carteira confiável ou carteiras de hardware que gerem chaves com segurança.

Uma chave privada é tão segura quanto o processo que a criou.

Chaves privadas no Bitcoin

No Bitcoin, as chaves privadas autorizam gastos de saídas controladas por condições de chave pública correspondentes.

O guia de carteiras Bitcoin para desenvolvedores explica que programas de carteira usam chaves privadas para assinar transações e chaves públicas para receber bitcoin.

Carteiras Bitcoin podem administrar muitas chaves privadas internamente.

Por isso, fazer backup de apenas uma chave privada visível pode não recuperar todos os fundos de uma carteira.

Carteiras Bitcoin modernas geralmente usam seeds determinísticas para gerar muitas chaves e endereços a partir de um backup.

Isso melhora a privacidade porque os usuários podem receber fundos em novos endereços.

Também melhora a conveniência do backup porque os usuários não precisam fazer backup manual de cada nova chave privada.

No entanto, os usuários devem entender o modelo de backup da carteira.

Se uma carteira usar uma seed phrase, a seed phrase poderá ser o principal método de recuperação.

Se uma carteira usar um modelo de arquivo de carteira mais antigo, tanto o arquivo quanto a senha poderão ser importantes.

Chaves privadas na Ethereum

Na Ethereum, uma chave privada controla uma conta externa.

Uma conta externa pode enviar transações quando a transação é assinada pela chave privada.

A documentação sobre contas Ethereum explica que contas externas são formadas por pares de chaves criptográficas e que os usuários não mantêm de fato criptomoedas, pois os fundos são registrados no livro-razão da Ethereum.

Essa distinção é importante para chaves privadas de carteira.

O aplicativo de carteira não é o local onde ETH ou tokens ficam fisicamente armazenados.

A blockchain registra os saldos.

A chave privada controla a autoridade para movimentar ativos da conta.

Uma chave privada Ethereum pode controlar ETH, tokens ERC-20, NFTs, posições DeFi, direitos de governança e aprovações de contratos inteligentes vinculadas a esse endereço.

Se essa chave privada for comprometida, o risco poderá ir além do saldo da moeda nativa.

Os invasores também podem visar tokens, NFTs, aprovações, posições de staking e recompensas que podem ser reivindicadas.

Chaves privadas em carteiras HD

HD significa determinística hierárquica.

Uma carteira HD pode gerar muitas chaves privadas e endereços a partir de uma seed mestre.

A especificação BIP-32 define carteiras determinísticas hierárquicas e derivação de chaves filhas.

Carteiras HD são comuns porque facilitam o backup de carteiras.

Em vez de fazer backup de cada chave privada separadamente, os usuários podem fazer backup da seed ou frase de recuperação.

A carteira poderá então regenerar muitas contas e endereços posteriormente.

Isso é útil para privacidade, organização e recuperação.

No entanto, também significa que a seed ou frase de recuperação se torna extremamente sensível.

Se alguém obtiver a frase de recuperação mestre, poderá obter acesso a todas as chaves privadas derivadas dela.

Os usuários não devem presumir que ocultar uma chave privada protege toda a carteira se a frase de recuperação estiver exposta.

Importação de chave privada vs. recuperação de carteira

Importar uma chave privada nem sempre é igual a restaurar uma carteira a partir de uma frase de recuperação.

Quando um usuário importa uma chave privada, a carteira adiciona o controle de uma chave ou endereço específico.

Quando um usuário restaura uma frase de recuperação, a carteira pode regenerar muitas chaves e endereços a partir da seed.

A importação de chave privada pode ser útil para recuperar uma única conta.

Ela também pode criar confusão se o usuário esperar que a chave privada importada restaure todos os endereços da carteira original.

Algumas carteiras oferecem suporte à importação de chaves privadas.

Algumas carteiras oferecem suporte apenas a frases de recuperação.

Algumas carteiras usam caminhos de derivação que podem fazer os saldos restaurados parecerem ausentes até que o caminho correto seja selecionado.

Os usuários devem entender se estão importando uma chave, restaurando uma seed ou abrindo um arquivo de carteira criptografado.

Essas são ações de recuperação diferentes, com resultados de segurança diferentes.

Varredura de chave privada vs. importação

Fazer varredura de uma chave privada significa mover os fundos dessa chave privada para um novo endereço de carteira controlado por outra chave.

Importar uma chave privada significa adicionar essa chave privada a uma carteira para que ela possa ser usada nela.

A varredura geralmente é mais segura se a chave privada antiga puder ter sido exposta.

Após a varredura, os fundos não dependem mais da antiga chave comprometida.

A importação pode deixar os fundos sob a mesma chave privada antiga.

Se essa chave antiga foi copiada, vazada ou criada de forma insegura, importá-la para um novo aplicativo não corrige a exposição.

Por exemplo, se a chave privada de uma carteira em papel foi mostrada a outra pessoa, importá-la para uma carteira de celular não elimina o risco.

A ação mais segura geralmente é criar uma nova carteira segura e transferir os fundos.

Os usuários também devem considerar taxas de rede e aprovações de tokens ao mover fundos.

O objetivo não é apenas recuperar o acesso, mas recuperar um controle seguro.

Chaves privadas de hot wallets

Uma hot wallet é conectada à internet ou usada em um dispositivo conectado à internet.

Hot wallets são convenientes para transações diárias, DeFi, NFTs, aplicativos Web3 e pequenos saldos.

No entanto, as chaves privadas de hot wallets enfrentam maior risco de exposição porque o dispositivo pode ser atacado por malware, páginas de phishing, extensões maliciosas de navegador, aplicativos falsos de carteira ou sequestradores de área de transferência.

Uma hot wallet pode ser adequada para dinheiro de uso diário.

Geralmente, ela não é o local mais seguro para grandes reservas de longo prazo.

Os usuários devem tratar hot wallets como carteiras do dia a dia.

Devem manter nelas somente o valor necessário para atividades normais.

Devem usar carteiras separadas para dApps arriscados, testes e armazenamento de longo prazo.

Também devem revisar regularmente as aprovações de tokens.

Se uma chave privada de hot wallet puder estar exposta, os usuários devem mover os ativos imediatamente para uma nova carteira segura.

Chaves privadas de cold wallets

Uma cold wallet mantém chaves privadas offline ou isoladas de ambientes conectados à internet.

Carteiras de hardware, dispositivos de assinatura offline, computadores air-gapped e backups em papel podem fazer parte de configurações de armazenamento frio.

O armazenamento frio é útil porque invasores na internet têm mais dificuldade para alcançar a chave privada.

No entanto, o armazenamento frio ainda apresenta riscos.

A frase de recuperação pode ser roubada fisicamente.

O usuário pode perder o backup.

O usuário pode assinar uma transação maliciosa sem entendê-la.

A cadeia de suprimentos do dispositivo pode ser atacada se os usuários comprarem de fontes inseguras.

O usuário pode ser enganado para digitar a seed phrase em um site falso de atualização.

O armazenamento frio reduz a exposição online, mas não elimina a necessidade de verificação cuidadosa.

Uma configuração segura de cold wallet protege tanto a chave privada quanto o método de recuperação.

Chaves privadas de carteiras de hardware

Uma carteira de hardware é projetada para manter chaves privadas dentro de um dispositivo dedicado de assinatura.

A chave privada não deve sair da carteira de hardware durante o uso normal.

O computador ou celular conectado prepara uma transação não assinada.

A carteira de hardware exibe os detalhes da transação e pede que o usuário aprove.

O dispositivo assina a transação internamente e retorna a assinatura.

Isso protege a chave privada contra muitos ataques online.

No entanto, uma carteira de hardware não é mágica.

Os usuários devem verificar endereços e valores na tela do dispositivo.

Os usuários devem proteger a frase de recuperação gerada durante a configuração.

Os usuários devem evitar atualizações falsas de firmware, páginas falsas de suporte e ferramentas de recuperação não oficiais.

Se a frase de recuperação for roubada, um invasor talvez não precise da carteira de hardware.

Carteiras custodiais e chaves privadas

Em uma carteira custodial, o usuário não mantém diretamente as chaves privadas.

Uma empresa ou plataforma controla as chaves privadas em nome do usuário.

Isso pode facilitar a recuperação da conta, pois o usuário pode redefinir o acesso por verificações de identidade, e-mail ou suporte.

No entanto, também significa que o usuário depende do custodiante.

O custodiante pode congelar saques, restringir contas, sofrer uma violação, tornar-se insolvente ou seguir ordens legais.

Carteiras custodiais podem ser úteis para iniciantes ou trading ativo, mas não são iguais à autocustódia.

Na autocustódia, o usuário controla a chave privada ou o método de recuperação.

Na custódia, a plataforma controla a chave e o usuário possui um direito sobre a conta.

Os usuários devem entender qual modelo utilizam antes de decidir onde armazenar fundos.

O controle da chave privada define a diferença entre a autoridade direta sobre os ativos e o acesso gerenciado pela plataforma.

Carteiras de contrato inteligente e chaves privadas

Carteiras de contrato inteligente podem usar chaves privadas de forma diferente das carteiras tradicionais.

Uma conta externa tradicional geralmente é controlada por uma chave privada.

Uma carteira de contrato inteligente pode definir regras personalizadas sobre quem pode assinar, recuperar, gastar ou aprovar ações.

O guia de abstração de contas da Ethereum explica que carteiras de contrato inteligente podem oferecer recursos flexíveis de segurança, como recuperação de conta e lógica de validação personalizada.

Uma carteira de contrato inteligente pode usar uma chave de proprietário, várias chaves de signatários, guardiões, chaves de sessão, limites de gasto ou atrasos de recuperação.

Isso pode melhorar a segurança e a experiência do usuário.

Também pode criar nova complexidade.

Os usuários devem entender qual permissão cada chave possui.

Uma chave de sessão comprometida pode ter poder limitado se o sistema for bem projetado.

Uma chave de proprietário comprometida ainda pode representar um problema grave.

Uma carteira de contrato inteligente pode reduzir o risco de chave única, mas somente se suas regras forem seguras e compreensíveis.

Chaves privadas de carteiras multisig

Uma carteira multisig exige várias chaves privadas para aprovar uma transação.

Por exemplo, uma multisig 2-de-3 exige quaisquer duas de três chaves de signatários.

Esse modelo pode proteger contra uma chave perdida ou comprometida.

Ele é comum em DAOs, empresas, custódia familiar, tesourarias e armazenamento de alto valor.

No entanto, multisig não elimina a responsabilidade sobre chaves privadas.

Cada chave de signatário ainda deve ser protegida.

A configuração da carteira também deve ter backup.

Se muitas chaves forem perdidas, os fundos poderão se tornar inacessíveis.

Se um número suficiente de chaves for roubado, os fundos poderão ser esvaziados.

Multisig melhora a resiliência quando os signatários são separados, documentados e treinados.

Ela falha quando todas as chaves são armazenadas juntas ou quando ninguém entende o processo de recuperação.

Carteiras MPC e partes de chave privada

MPC significa computação multipartidária.

Em sistemas de carteira MPC, a autoridade de assinatura pode ser dividida em várias partes de chave, em vez de uma chave privada completa ser armazenada em um único local.

A carteira pode criar assinaturas por meio de um processo coordenado sem reconstruir a chave privada completa em um local.

Isso pode reduzir a exposição da chave privada a um único ponto de falha.

Também pode melhorar a custódia institucional, a integração sem seed phrase e aprovações baseadas em políticas.

No entanto, sistemas MPC têm suas próprias premissas de confiança.

Os usuários podem depender de provedores de software, dispositivos, contas na nuvem, serviços de recuperação ou verificações de identidade.

Se o processo de recuperação não for claro, os usuários podem não saber o que acontece quando um dispositivo é perdido.

Se um provedor falhar, a recuperação por políticas poderá ser difícil, dependendo do modelo.

O MPC reduz alguns riscos de chave privada, mas os substitui por riscos de design do sistema e de provedores.

Chaves privadas e recuperação de carteira

Uma chave privada pode ser usada para recuperar o acesso ao endereço ou conta específica que ela controla.

Uma frase de recuperação pode recuperar várias chaves privadas se a carteira for determinística.

Um arquivo keystore pode recuperar uma chave privada somente quando combinado com a senha correta.

A frase de recuperação de uma carteira de hardware pode recriar as chaves privadas em um novo dispositivo.

Uma carteira de contrato inteligente pode recuperar o acesso por meio de guardiões ou outras regras programadas.

Os usuários devem registrar qual modelo de recuperação sua carteira usa.

Não devem presumir que todas as carteiras são recuperadas da mesma forma.

Se um usuário tiver apenas uma chave privada, poderá recuperar somente uma conta.

Se um usuário tiver uma frase de recuperação, poderá precisar do caminho de derivação e da passphrase corretos para visualizar os endereços adequados.

A recuperação de carteira deve ser testada cuidadosamente com pequenos valores ou métodos seguros de verificação antes que grandes fundos dependam dela.

Melhores práticas de armazenamento de chave privada

Chaves privadas devem ser armazenadas offline sempre que possível para reservas de longo prazo.

Os usuários devem evitar salvar chaves privadas em capturas de tela.

Devem evitar salvar chaves privadas em rascunhos de e-mail.

Devem evitar salvar chaves privadas em documentos na nuvem.

Devem evitar enviar chaves privadas por aplicativos de chat.

Devem evitar imprimir chaves privadas em impressoras compartilhadas.

Devem evitar digitar chaves privadas em sites.

Devem evitar extensões de navegador que solicitam material de chave.

Devem usar carteiras confiáveis, carteiras de hardware ou configurações multisig para saldos relevantes.

Devem manter backups em locais físicos seguros.

Devem proteger backups contra incêndio, inundação, roubo, descarte acidental e incompreensão por familiares.

O melhor plano de armazenamento de chave privada é secreto e recuperável ao mesmo tempo.

Erros de backup de chave privada

Um erro comum é fazer apenas um backup e armazená-lo em um único local.

Um incêndio, inundação, mudança ou roubo pode destruir esse backup.

Outro erro é criar cópias não protegidas em excesso.

Cada cópia cria uma nova oportunidade de roubo.

Outro erro é armazenar a chave privada junto com o dispositivo que ela protege.

Se um ladrão encontrar ambos, a carteira poderá ser esvaziada.

Outro erro é identificar um backup de forma muito clara.

Um papel escrito “chave privada de cripto” pode atrair atenção.

Outro erro é criar um backup que os herdeiros não conseguem entender.

A herança de cripto falha quando as instruções de recuperação estão expostas demais ou escondidas demais.

Um bom plano de backup equilibra sigilo, durabilidade, recuperação e herança.

O que acontece se uma chave privada for perdida?

Se uma chave privada for perdida, o resultado depende da existência de outro método de recuperação.

Se o usuário tiver uma frase de recuperação, a chave privada poderá ser regenerada.

Se o usuário tiver um backup de carteira de hardware, a carteira poderá ser restaurada em outro dispositivo.

Se o usuário tiver um quórum multisig, os fundos ainda poderão ser movimentados com as chaves restantes.

Se o usuário tiver um processo de recuperação de carteira por contrato inteligente, os guardiões poderão ajudar a recuperar o acesso.

Se não existir método de recuperação, os ativos poderão ficar permanentemente inacessíveis.

Redes blockchain geralmente não podem redefinir chaves privadas.

Validadores e mineradores normalmente não podem mover fundos sem uma assinatura válida.

Empresas de carteira não podem recuperar uma carteira de autocustódia se nunca tiveram as chaves.

Por isso, os usuários devem criar planos de recuperação antes de precisarem deles.

É mais fácil prevenir a perda de uma chave privada do que corrigi-la.

O que acontece se uma chave privada for roubada?

Se uma chave privada for roubada, a carteira deve ser considerada comprometida para sempre.

Alterar a senha do aplicativo de carteira não corrige uma chave privada roubada.

Transferir a chave privada para um novo aplicativo de carteira também não resolve.

O invasor ainda pode usar a mesma chave privada.

A medida mais segura geralmente é criar uma carteira totalmente nova com uma nova chave privada ou frase de recuperação e mover imediatamente os ativos restantes.

Os usuários também devem revogar aprovações de tokens arriscadas quando possível.

No entanto, revogar aprovações não recupera fundos que já foram transferidos.

A orientação da FTC sobre golpes com criptomoedas alerta que pagamentos em cripto relacionados a golpes geralmente são difíceis de recuperar depois de enviados.

Os usuários devem coletar hashes de transação, endereços, URLs, capturas de tela e registros de comunicação após um roubo.

Eles podem denunciar o incidente, mas devem ter cuidado com serviços falsos de recuperação que prometem resultados garantidos.

Golpes com chave privada

Golpes com chave privada são comuns porque os golpistas sabem que um segredo pode controlar uma carteira.

Um falso agente de suporte pode pedir que os usuários “verifiquem” uma carteira com uma chave privada.

Uma página falsa de airdrop pode pedir que os usuários importem uma chave para reivindicar recompensas.

Uma ferramenta falsa de recuperação pode pedir que os usuários insiram uma chave privada para restaurar fundos ausentes.

Um alerta de segurança falso pode alegar que uma carteira precisa ser sincronizada com uma chave privada.

Um bot de negociação falso pode pedir acesso à chave privada para automatizar lucros.

Uma bridge falsa pode pedir chaves privadas para desbloquear ativos.

Todos esses casos são perigosos.

Nenhum dApp comum precisa da chave privada de um usuário.

Nenhum airdrop real precisa de uma chave privada.

Nenhum processo legítimo de atendimento ao cliente deve solicitar uma chave privada.

Se um site pedir uma chave privada da carteira, a suposição mais segura é que ele está tentando roubar a carteira.

Chaves privadas e aprovações de tokens

Uma chave privada assina transações, mas nem toda ação perigosa de carteira é uma transferência direta.

Algumas transações aprovam um contrato inteligente para gastar tokens posteriormente.

Isso é comum em DeFi, marketplaces de NFT, bridges, jogos e aplicativos de staking.

Se um usuário assinar uma aprovação maliciosa com uma chave privada, o invasor poderá mover os tokens aprovados sem precisar da chave privada novamente.

Isso significa que a segurança da chave privada também inclui a segurança de assinaturas.

Uma chave privada não deve assinar ações que o usuário não entende.

Os usuários devem revisar cuidadosamente os destinatários, valores, contratos, redes e avisos de carteira relacionados às aprovações de tokens.

Os usuários devem usar carteiras separadas para dApps arriscados.

Os usuários devem revogar aprovações desnecessárias quando possível.

Uma chave privada pode permanecer secreta enquanto o usuário ainda perde fundos por meio de uma assinatura inadequada.

Proteger a chave é necessário, mas ler o que a chave assina também é necessário.

Chaves privadas e assinatura de mensagens

A assinatura de mensagens permite que uma carteira comprove controle sem enviar uma transação on-chain.

Uma chave privada assina uma mensagem, e um verificador confere a assinatura.

Isso pode ser usado para login por carteira, prova de identidade, votação em DAO, allowlists e autorização off-chain.

A EIP-4361, também conhecida como Sign-In with Ethereum, define um formato de mensagem padrão para autenticação baseada em carteira.

A assinatura de mensagens pode ser segura quando a mensagem é clara e limitada.

Pode ser perigosa quando os usuários assinam mensagens ilegíveis ou maliciosas.

Algumas assinaturas podem autorizar permits de token, ordens de marketplace, delegações ou permissões de conta.

Os usuários não devem tratar toda assinatura de mensagem como inofensiva.

Uma chave privada da carteira permanece secreta durante a assinatura, mas a mensagem assinada ainda pode criar consequências.

O hábito seguro é ler cada mensagem e rejeitar qualquer coisa que não esteja clara ou seja inesperada.

Chaves privadas e extensões de navegador

Carteiras de extensão de navegador facilitam o uso da Web3, mas também aumentam o risco de exposição de chaves privadas se os usuários instalarem software inseguro.

Uma extensão de carteira legítima pode armazenar material de chave criptografado localmente e pedir uma senha para desbloqueá-lo.

Uma extensão maliciosa pode roubar chaves privadas, alterar endereços, inserir avisos falsos ou monitorar a atividade da área de transferência.

Os usuários devem instalar extensões de carteira somente a partir de fontes oficiais.

Devem remover extensões que não utilizam.

Devem evitar extensões desconhecidas que prometem tokens gratuitos, sinais de trading, recuperação de carteira ou reivindicações de NFT.

Devem manter os navegadores atualizados.

Devem considerar usar um perfil de navegador separado para atividades com cripto.

Para saldos maiores, os usuários devem considerar carteiras de hardware ou multisig em vez de depender apenas de uma hot wallet de extensão.

Um navegador pode ser uma porta de entrada conveniente para a Web3, mas também é uma superfície comum de ataque.

Chaves privadas e carteiras móveis

Carteiras móveis são convenientes porque os usuários podem enviar, receber e assinar transações pelo celular.

No entanto, a segurança das chaves privadas em dispositivos móveis depende do dispositivo, sistema operacional, aplicativo de carteira, método de backup, bloqueio de tela, risco de malware e configurações de nuvem.

Um celular roubado não expõe automaticamente uma carteira se ela estiver criptografada e a frase de recuperação estiver segura.

Uma frase de recuperação roubada pode expor a carteira mesmo que o celular permaneça seguro.

Os usuários devem usar bloqueios fortes no dispositivo.

Devem evitar instalar aplicativos de carteira de fontes não oficiais.

Devem evitar armazenar frases de recuperação em fotos ou notas.

Devem ter cuidado com compartilhamento de tela, ferramentas de suporte remoto e permissões da área de transferência.

Devem usar pequenos saldos de uso diário em hot wallets móveis.

Carteiras móveis são úteis, mas não devem ser tratadas como cofres sem risco.

Chaves privadas e carteiras em papel

Uma carteira em papel é um registro físico de uma chave privada, frase de recuperação ou segredo de carteira.

Carteiras em papel eram mais comuns nos primeiros anos das criptomoedas, mas podem ser arriscadas para iniciantes.

Uma carteira em papel pode ser gerada de forma insegura.

Ela pode ser impressa em uma impressora comprometida.

Pode ser danificada por água, fogo, luz solar ou tempo.

Pode ser jogada fora por engano.

Pode ser fotografada ou copiada por alguém próximo.

Também pode ser mal compreendida durante a recuperação.

Se um usuário importar uma chave privada de carteira em papel para uma hot wallet, a chave poderá ficar exposta.

Se o usuário fizer a varredura dos fundos para uma nova carteira, a chave antiga deixará de controlar os fundos transferidos.

O papel pode funcionar como material de backup, mas não é automaticamente seguro.

Chaves privadas e herança

A herança de chave privada é difícil porque a chave deve permanecer secreta enquanto o proprietário está vivo, mas recuperável se ele morrer ou ficar incapacitado.

Se a chave privada for fácil demais de encontrar, ladrões poderão encontrá-la.

Se estiver escondida demais, os herdeiros talvez nunca recuperem os ativos.

Se os herdeiros não entenderem cripto, poderão digitar a chave em um site fraudulento.

Um bom plano sucessório pode incluir documentos legais, executores confiáveis, multisig, carteiras de hardware, instruções lacradas ou planejamento patrimonial profissional.

O plano deve explicar o que existe sem expor o segredo cedo demais.

Também deve explicar qual software de carteira, rede, passphrase ou configuração multisig é necessária.

O planejamento sucessório é parte da segurança da chave privada.

Uma carteira que somente o proprietário entende pode ficar perdida para sempre quando ele não estiver mais presente.

A custódia de longo prazo exige sigilo e continuidade.

Sinais de que uma chave privada pode estar comprometida

Uma chave privada pode estar comprometida se os ativos forem movimentados sem aprovação do usuário.

Pode estar comprometida se o usuário a inseriu em um site.

Pode estar comprometida se a frase de recuperação foi armazenada em uma nuvem que foi hackeada.

Pode estar comprometida se foi encontrado malware no dispositivo de assinatura.

Pode estar comprometida se um aplicativo falso de carteira foi utilizado.

Pode estar comprometida se uma pessoa desconhecida viu ou fotografou o backup.

Pode estar comprometida se a seed phrase de uma carteira de hardware foi digitada em um computador.

Pode estar comprometida se um backup em papel foi perdido ou aberto.

Pode estar comprometida se a mesma chave foi gerada por uma ferramenta suspeita.

Se houver possibilidade de comprometimento, os usuários não devem hesitar por muito tempo.

Devem criar uma nova carteira segura e mover os ativos restantes, se ainda puderem.

Como responder a uma chave privada vazada

O primeiro passo é parar de usar a carteira comprometida para armazenamento futuro.

O segundo passo é criar uma nova carteira usando software ou hardware confiável.

O terceiro passo é fazer backup do novo método de recuperação de forma segura e offline.

O quarto passo é transferir os ativos restantes da carteira comprometida para a nova carteira.

O quinto passo é verificar tokens, NFTs, posições de staking, depósitos DeFi e recompensas que podem ser reivindicadas.

O sexto passo é revogar aprovações desnecessárias quando possível.

O sétimo passo é interromper o uso de qualquer dispositivo ou software que possa ter causado o vazamento até que ele seja limpo ou substituído.

O oitavo passo é documentar o que ocorreu para prevenção futura.

Os usuários não devem enviar fundos de volta para a carteira comprometida depois de retirá-los.

Uma chave privada vazada não pode voltar a ser secreta.

Erros comuns com chaves privadas da carteira

Um erro comum é armazenar chaves privadas em capturas de tela.

Outro erro é salvar chaves privadas em notas na nuvem.

Outro erro é enviar chaves privadas por aplicativos de mensagens.

Outro erro é usar geradores online de chaves privadas.

Outro erro é importar chaves antigas expostas em vez de fazer a varredura dos fundos para uma nova carteira.

Outro erro é confundir uma senha de carteira com uma chave privada.

Outro erro é presumir que o atendimento ao cliente pode recuperar uma chave privada de autocustódia perdida.

Outro erro é usar uma hot wallet para tudo.

Outro erro é assinar transações sem ler os avisos da carteira.

Outro erro é compartilhar gravações de tela que revelam segredos da carteira.

A maioria das perdas de chaves privadas decorre do comportamento humano, e não de criptografia defeituosa.

Benefícios de controlar a chave privada da sua carteira

O primeiro benefício é a autocustódia.

Os usuários podem controlar ativos diretamente sem depender de um custodiante para aprovar saques.

O segundo benefício é o acesso sem permissão.

Os usuários podem interagir com redes blockchain e dApps compatíveis usando sua própria carteira.

O terceiro benefício é a portabilidade.

Os usuários podem restaurar o acesso em carteiras compatíveis se tiverem o método de recuperação correto.

O quarto benefício é a resistência à censura.

Os usuários dependem menos de uma conta em uma única empresa quando controlam a chave de assinatura.

O quinto benefício é a identidade Web3.

Uma chave privada pode assinar mensagens que comprovam a propriedade de um endereço.

O sexto benefício é o controle de ativos.

Os usuários podem manter moedas, tokens, NFTs e posições on-chain em sua própria carteira.

O sétimo benefício é a independência financeira.

Os usuários podem administrar criptoativos diretamente se entenderem os riscos.

Riscos de controlar a chave privada da sua carteira

O primeiro risco é a perda permanente.

Se a chave e o método de recuperação forem perdidos, os ativos poderão ficar inacessíveis para sempre.

O segundo risco é o roubo.

Se a chave for exposta, os fundos poderão ser roubados rapidamente.

O terceiro risco é o phishing.

Sites falsos podem enganar os usuários para revelar chaves ou assinar ações prejudiciais.

O quarto risco é o malware.

Dispositivos comprometidos podem roubar chaves privadas ou alterar transações.

O quinto risco são backups inadequados.

Um backup pode falhar devido a danos, roubo, confusão ou passphrases ausentes.

O sexto risco é a falha sucessória.

Os herdeiros podem não conseguir recuperar ativos sem um plano claro.

O sétimo risco é o excesso de confiança.

Os usuários podem achar que a autocustódia é segura apenas porque possuem a chave, ignorando a segurança operacional.

O controle da chave privada é poderoso, mas exige disciplina.

Chave privada da carteira em termos simples

Uma chave privada da carteira é o segredo que permite a uma carteira assinar transações.

Ela controla a capacidade de gastar cripto do endereço ou conta correspondente.

Uma chave pública ajuda a verificar assinaturas.

Um endereço de carteira recebe fundos.

Uma frase de recuperação pode restaurar chaves privadas.

Uma senha pode apenas desbloquear um aplicativo de carteira em um dispositivo.

Se alguém obtiver sua chave privada, poderá movimentar seus fundos.

Se você perder sua chave privada e não tiver backup, poderá perder o acesso para sempre.

Para iniciantes, a regra principal é simples.

Nunca compartilhe a chave privada da sua carteira, nunca a digite em sites aleatórios e sempre mantenha um plano de recuperação seguro.

FAQ

O que é uma chave privada da carteira?

Uma chave privada da carteira é a chave criptográfica secreta usada para assinar transações e controlar ativos vinculados a um endereço ou conta de carteira de criptomoedas.

Uma chave privada é igual a uma senha?

Não. Uma senha de carteira pode desbloquear um aplicativo, enquanto uma chave privada pode autorizar transações na blockchain.

Uma chave privada é igual a uma frase de recuperação?

Não. Uma frase de recuperação pode gerar uma ou várias chaves privadas, enquanto uma chave privada geralmente controla uma conta ou endereço.

Uma chave privada é igual a um endereço de carteira?

Não. Um endereço de carteira é público e usado para receber fundos, enquanto uma chave privada é secreta e usada para movimentar fundos.

Alguém pode roubar minhas criptomoedas com minha chave privada?

Sim. Qualquer pessoa com a chave privada correta poderá assinar transações e mover ativos da carteira.

Alguém pode roubar minhas criptomoedas com minha chave pública?

Em sistemas modernos comuns de carteira, uma chave pública sozinha não deve permitir que alguém roube fundos.

Posso alterar minha chave privada?

Você não pode alterar a chave privada do mesmo endereço, mas pode criar uma nova carteira com uma nova chave privada e transferir ativos para ela.

O que devo fazer se minha chave privada for exposta?

Você deve criar uma nova carteira segura e mover os ativos restantes para longe da carteira comprometida o mais rápido possível.

Uma chave privada perdida pode ser recuperada?

Uma chave privada perdida só pode ser recuperada se existir outro método de recuperação válido, como uma frase de recuperação, arquivo keystore, backup de carteira de hardware, quórum multisig ou configuração de recuperação por contrato inteligente.

Devo armazenar minha chave privada online?

Não. Armazenar chaves privadas na nuvem, e-mail, capturas de tela ou aplicativos de chat cria um risco grave de roubo.

Devo inserir minha chave privada em um site?

Os usuários não devem inserir chaves privadas em sites, pois essa é uma forma comum de golpistas roubarem carteiras.

O que é varredura de chave privada?

Varredura significa mover fundos de uma chave privada antiga para uma nova carteira controlada por uma nova chave privada.

O que é importação de chave privada?

Importação significa adicionar uma chave privada existente a um aplicativo de carteira para que o aplicativo possa controlar aquele endereço.

A varredura é mais segura do que a importação?

A varredura geralmente é mais segura quando a chave privada antiga pode ter sido exposta porque os fundos são movidos para uma nova chave.

Uma carteira de hardware revela minha chave privada?

Uma carteira de hardware usada corretamente deve manter a chave privada dentro do dispositivo e assinar transações internamente.

O atendimento ao cliente pode recuperar minha chave privada de autocustódia?

Geralmente não, pois um verdadeiro provedor de carteira de autocustódia não deve ter acesso à sua chave privada ou frase de recuperação.

Uma carteira de contrato inteligente pode reduzir o risco da chave privada?

Sim. Uma carteira de contrato inteligente pode adicionar regras de recuperação, guardiões, limites de gasto ou controles semelhantes a multisig, mas seu design ainda deve ser seguro.

Qual é a forma mais segura de proteger uma chave privada de carteira?

A abordagem mais segura geralmente combina software de carteira confiável, backups offline, assinatura por hardware para saldos maiores, revisão cuidadosa de transações e um plano de recuperação claro.

Conclusão

Uma chave privada da carteira é o segredo mais importante em uma carteira de criptomoedas de autocustódia.

Ela é a autoridade criptográfica que permite ao usuário assinar transações, movimentar ativos e comprovar o controle de uma conta de blockchain.

Ela é diferente de um endereço de carteira, chave pública, senha e frase de recuperação.

O endereço de carteira recebe fundos.

A chave pública ajuda a verificar assinaturas.

A senha pode desbloquear um aplicativo local.

A frase de recuperação pode restaurar uma ou várias chaves privadas.

A chave privada é o segredo que pode gastar.

Esse poder torna a autocustódia valiosa, mas também torna a segurança da chave privada implacável.

Se uma chave privada for perdida sem backup, os fundos poderão ficar inacessíveis para sempre.

Se uma chave privada for roubada, os fundos poderão ser movimentados sem permissão.

Se um usuário assinar uma aprovação maliciosa, os fundos poderão ficar em risco mesmo que a chave privada em si não tenha sido revelada diretamente.

Uma boa gestão de chaves privadas significa usar carteiras confiáveis, evitar exposição online das chaves, manter backups offline, entender os métodos de recuperação, separar hot wallets e cold wallets e ler os avisos da carteira antes de assinar.

Usuários avançados podem adicionar carteiras de hardware, multisig, carteiras de contrato inteligente, MPC, recuperação social ou planejamento sucessório.

Iniciantes devem começar pela regra principal.

Nunca compartilhe sua chave privada da carteira ou frase de recuperação com ninguém.

Em cripto, quem controla a chave privada controla a carteira.