Guia de segurança cripto: um lembrete para te protegeres
A segurança cripto não depende apenas da plataforma, mas também dos teus hábitos diários. Revemos as regras essenciais: proteção da seed phrase e da carteira, segurança da conta, higiene digital dos dispositivos, deteção de phishing e o que fazer se a tua conta for comprometida.
Índice:
A segurança das criptomoedas não é uma definição que se configura uma única vez, mas sim um hábito. Os atacantes visam tanto grandes plataformas como utilizadores individuais, e até os ataques mais sofisticados começam muitas vezes com um único dispositivo comprometido ou com um único contacto falso, mas convincente.
Neste lembrete, reunimos num só lugar as regras mais importantes para protegeres a tua carteira, a tua conta e os teus dispositivos.
Se já as aplicas, aproveita a oportunidade para fazer uma verificação rápida. Se ainda não o fazes, este é um bom momento para começar.
Protege a tua carteira
A seed phrase (frase de recuperação) é a única chave de acesso aos teus fundos numa carteira de autocustódia (self-custody). Quem tiver a tua seed phrase tem também as tuas criptomoedas.
Escreve a tua seed phrase em papel ou numa placa de metal e guarda-a num lugar seguro. Nunca lhe tires fotografias nem a guardes nas notas do telemóvel, no e-mail ou na cloud.
Nunca reveles a tua seed phrase a ninguém. Nenhuma plataforma legítima, nenhum serviço de apoio e nenhuma aplicação de carteira ta vai pedir.
Guarda os montantes maiores numa carteira de hardware (hardware wallet). Assim, as tuas chaves privadas ficam fora de qualquer dispositivo ligado à internet.
Separa os teus fundos de acordo com a finalidade: um montante menor para as transações do dia a dia e a maior parte em armazenamento a frio (cold storage), para conservação a longo prazo.
Descarrega aplicações de carteira apenas a partir de fontes oficiais: o site oficial do fabricante ou lojas de aplicações de confiança.
Antes de confirmares, verifica cada transação, sobretudo o endereço do destinatário e a rede para a qual estás a enviar os fundos.
Protege a tua conta
Protege a tua conta na plataforma cripto com várias camadas: quanto mais camadas houver, mais difícil será para um atacante.
Usa uma palavra-passe longa e única para cada conta. Um gestor de palavras-passe evita que tenhas de as memorizar todas.
Ativa a autenticação de dois fatores (2FA). Uma aplicação de autenticação ou uma chave de segurança física são mais seguras do que os códigos por SMS, que podem ser intercetados através da troca de cartão SIM (SIM swapping).
Protege o endereço de e-mail associado à tua conta com o mesmo cuidado que a própria conta, já que é a via mais comum para redefinir palavras-passe.
Ativa a lista branca de endereços de levantamento, se a plataforma a disponibilizar, para que os fundos só possam ser enviados para endereços que aprovaste previamente.
Verifica regularmente as sessões ativas e os dispositivos associados, e termina a sessão nos que não reconheceres.
Ativa as notificações de inícios de sessão, levantamentos e alterações às definições, para detetares de imediato qualquer atividade invulgar.
Higiene digital dos teus dispositivos
O dispositivo a partir do qual acedes às tuas criptomoedas é a tua primeira linha de defesa.
Atualiza regularmente o sistema operativo, o browser e as aplicações. As atualizações corrigem frequentemente vulnerabilidades de segurança conhecidas.
Não instales software de fontes desconhecidas, incluindo versões «gratuitas» de programas pagos, extensões de browser suspeitas e ficheiros recebidos por mensagem.
Evita redes Wi-Fi públicas para aceder às tuas contas e fazer transações, ou utiliza uma VPN de confiança.
Bloqueia os teus dispositivos com um PIN, uma palavra-passe ou dados biométricos, e ativa a encriptação do disco.
Considera usar um dispositivo ou um perfil de utilizador separado, dedicado exclusivamente à atividade cripto, sem jogos, redes sociais nem transferências aleatórias.
Presta atenção à área de transferência (clipboard). Alguns programas maliciosos substituem o endereço da carteira copiado pelo do atacante, por isso, depois de o colares, verifica sempre os primeiros e os últimos caracteres do endereço.
Engenharia social e phishing
A maioria dos roubos de criptomoedas não começa com a invasão de um sistema, mas sim com a manipulação de pessoas. Os atacantes fazem-se passar por serviços de apoio, empregadores, investidores ou figuras conhecidas e criam uma sensação de urgência.
Os padrões mais comuns a que deves estar atento:
- Mensagens falsas de «apoio» que te pedem a seed phrase, a palavra-passe, o código 2FA ou que instales uma aplicação de acesso remoto.
- Sites de phishing que imitam o aspeto da plataforma verdadeira. Escreve o endereço manualmente ou usa um marcador guardado, em vez de links de e-mails e anúncios.
- Falsas ofertas de emprego ou de colaboração com uma «tarefa de teste» ou um ficheiro para descarregar. Esta abordagem é frequentemente usada por grupos de hackers organizados.
- Promessas de ganhos garantidos, sorteios (giveaways) e ofertas para «duplicar» criptomoedas. Os projetos legítimos não te pedem que lhes envies fundos primeiro.
- Vídeos e mensagens de voz deepfake que imitam figuras conhecidas ou alguém que conheces.
A regra de ouro: se alguém te apressar ou te pedir algo invulgar, para e verifica através de um canal oficial.
O que fazer se suspeitares de que a tua conta foi comprometida
Uma reação rápida pode evitar ou reduzir os danos. Se notares alguma atividade invulgar:
- Altera de imediato a palavra-passe da tua conta e do e-mail associado, a partir de um dispositivo que tenhas a certeza de que não foi comprometido.
- Termina todas as sessões ativas e volta a configurar a 2FA.
- Contacta o apoio ao cliente oficial da plataforma, exclusivamente através dos contactos indicados no site oficial ou na aplicação.
- Se suspeitares de que a tua seed phrase foi exposta, cria de imediato uma nova carteira com uma nova seed phrase e transfere para ela todos os fundos restantes.
- Revoga as autorizações (token approvals) que concedeste a contratos inteligentes, se utilizares aplicações DeFi.
- Analisa o teu dispositivo com um antivírus ou, nos casos mais graves, repõe as definições de fábrica.
- Apresenta queixa à polícia e guarda as provas: mensagens, IDs das transações e endereços.
Checklist rápida de segurança
Reserva dez minutos para verificar estes pontos:
- A tua seed phrase está anotada offline e mais ninguém tem acesso a ela
- Os montantes maiores estão guardados numa carteira de hardware
- Cada conta tem uma palavra-passe longa e única
- A 2FA está ativada através de uma aplicação de autenticação ou de uma chave de segurança
- O e-mail associado à tua conta também está protegido com 2FA
- A lista branca de endereços de levantamento está ativada
- O sistema operativo e as aplicações estão atualizados
- Acedes à plataforma através de um marcador guardado, e não através de links recebidos em mensagens
- Sabes como contactar o apoio oficial
A segurança das criptomoedas não depende apenas da plataforma que utilizas, mas também dos teus hábitos diários. Pequenos passos, repetidos com regularidade, fazem uma grande diferença.
