Gerenciadores de senhas e cripto: o que guardar e o que nunca guardar

Um gerenciador de senhas é um bom lugar para as senhas das suas corretoras e do seu e-mail, mas não é lugar para frases-semente nem chaves privadas: elas devem ficar offline, porque quem as obtiver controla suas criptomoedas para sempre. Usado corretamente, um gerenciador de senhas deixa suas contas cripto muito mais seguras; usado como um cofre para tudo, ele pode se tornar um ponto único de falha.

A maioria dos roubos de cripto começa com o sequestro de uma conta ou o roubo de um segredo, e não com uma blockchain quebrada. Este guia explica como os golpistas atacam cofres de senhas e os segredos guardados neles, o que guardar e o que deixar de fora, e o que fazer se algo der errado.

O que guardar e o que nunca guardar

O princípio orientador: o gerenciador de senhas protege o acesso a contas que têm outras salvaguardas (atrasos de saque, 2FA, equipes de suporte). Uma frase-semente não tem salvaguarda nenhuma. Leia o que é uma frase-semente e como funcionam as frases de recuperação para entender por quê.

Como os golpistas atacam cofres e segredos

Entender os caminhos de ataque explica as regras acima:

1. 1Malware infostealer. Um app falso, um software pirateado ou uma extensão de navegador maliciosa copia dados do navegador, senhas salvas e arquivos do seu computador. Se o seu cofre estiver desbloqueado, ou se a sua frase-semente estiver em uma anotação, ela pode ser levada em segundos.
2. 2Phishing da senha mestra. Uma página de login falsa ou um e-mail falso de “alerta de segurança do cofre” pede que você entre no seu gerenciador de senhas.
3. 3Vazamentos no provedor. Empresas de gerenciadores de senhas já sofreram vazamentos em que dados criptografados de cofres foram copiados. A criptografia só protege você enquanto sua senha mestra for forte o bastante para resistir a tentativas de adivinhação.
4. 4Sequestro da área de transferência. Um malware monitora sua área de transferência e troca um endereço de carteira copiado pelo do golpista, ou captura uma frase-semente que você copia.
5. 5Busca por palavras-chave nos cofres. Uma vez dentro de um cofre, os golpistas buscam palavras como “seed”, “mnemonic”, “wallet” ou “private key”.

Um exemplo hipotético

O caso a seguir é uma composição ilustrativa, não um caso real. Imagine que Alex guarda tudo em um único gerenciador de senhas, incluindo uma anotação chamada “MetaMask seed”. Alex instala uma extensão gratuita de “rastreador de preços cripto” que acaba se revelando maliciosa. Ela captura a senha mestra enquanto Alex a digita e exporta o cofre. O golpista busca “seed”, importa a carteira e a esvazia em menos de uma hora. A conta de Alex na corretora só sobrevive porque os saques exigem uma chave de segurança física. A diferença entre os dois resultados foi onde cada segredo estava guardado.

Sinais de alerta de que seu cofre ou suas contas são alvo

• E-mails pedindo que você “verifique” ou “ressincronize” seu gerenciador de senhas ou sua conta na corretora.
• Alertas de login ou solicitações de 2FA que você não acionou.
• Seu gerenciador de senhas se recusa a preencher automaticamente em um site que você acha que é a sua corretora.
• Novas extensões de navegador que você não se lembra de ter instalado.
• E-mails inesperados de redefinição de senha da sua conta de e-mail.

Como configurar um gerenciador de senhas para cripto com segurança

1. 1Escolha um gerenciador confiável com um modelo de segurança publicado e criptografia de ponta a ponta, baixado apenas do site oficial ou da loja de aplicativos.
2. 2Crie uma frase-senha mestra forte com várias palavras aleatórias que você não use em nenhum outro lugar, e anote-a para recuperação de emergência em um local seguro.
3. 3Ative uma autenticação de dois fatores forte para o cofre, de preferência uma chave de segurança física ou um app autenticador em vez de SMS.
4. 4Gere senhas exclusivas para cada corretora, conta de e-mail e serviço cripto. Priorize o seu e-mail, porque ele pode redefinir todo o resto.
5. 5Use o preenchimento automático como teste contra phishing. Se ele não oferecer suas credenciais, examine a URL antes de digitar qualquer coisa.
6. 6Deixe os segredos das carteiras de fora. Guarde as frases-semente offline. Se quiser um lembrete no cofre, escreva apenas onde o backup está guardado, não o que ele diz.
7. 7Bloqueie o cofre automaticamente após um curto período ocioso e quando o dispositivo entrar em suspensão.

Para uma rotina mais ampla, veja nosso guia para criar uma rotina forte de segurança cripto e sobre segurança da conta de e-mail para usuários de cripto.

O que fazer se seu cofre for comprometido

1. 1Considere que todos os segredos guardados nele foram expostos. Se havia uma frase-semente, transfira imediatamente os fundos para uma carteira nova com uma frase-semente nova; siga o que fazer imediatamente se sua carteira for comprometida.
2. 2Troque primeiro a senha do seu e-mail, depois as das corretoras, a partir de um dispositivo limpo.
3. 3Redefina a autenticação de dois fatores e revogue sessões e chaves de API desconhecidas nas corretoras.
4. 4Confira as listas de permissões de endereços de saque em busca de endereços que você não adicionou.
5. 5Faça uma varredura ou reinstale o dispositivo afetado antes de usá-lo novamente.
6. 6Denuncie sites de phishing e endereços de golpe ao serviço correspondente e pelo nosso formulário de denúncia de golpes.

Conclusão

Um gerenciador de senhas é uma das melhores ferramentas de segurança que um usuário de cripto pode ter, desde que guarde as coisas certas. Use-o para senhas de conta exclusivas e como teste contra phishing por meio do preenchimento automático, proteja-o com uma frase-senha forte e autenticação de dois fatores baseada em hardware, e mantenha frases-semente e chaves privadas offline, onde malwares e vazamentos não conseguem alcançá-las.