Carteiras de hardware adulteradas e falsas: como comprar uma com segurança

Uma carteira de hardware falsa é um dispositivo falsificado ou adulterado criado para roubar suas criptomoedas, geralmente por vir com uma frase de recuperação predefinida ou por vazar em segredo a frase que você cria. A defesa mais segura é simples: compre apenas do fabricante ou de um revendedor autorizado, verifique o dispositivo durante a configuração e nunca use uma carteira que chegue com uma frase de recuperação já anotada.

Carteiras de hardware estão entre as melhores formas de proteger criptomoedas porque mantêm suas chaves privadas offline. É justamente essa reputação que leva golpistas a copiá-las. Um dispositivo comprometido dá a você uma falsa sensação de segurança enquanto outra pessoa tem uma cópia das suas chaves.

Como funcionam os ataques com carteiras adulteradas e falsas

Há várias variações, mas a maioria segue este fluxo:

1. 1O dispositivo é obtido ou produzido. Golpistas compram dispositivos genuínos e os modificam, ou produzem hardware falsificado feito para parecer uma marca popular.
2. 2Ele é revendido por canais não oficiais. Marketplaces, sites de leilão, lojas em redes sociais e lojas de “desconto” são caminhos comuns.
3. 3Uma armadilha é montada. O pacote pode incluir um cartão de raspar com uma “frase de recuperação” e instruções para usá-la, ou o firmware modificado pode registrar a frase que você gera.
4. 4Você deposita fundos. Como o dispositivo parece normal, você envia criptomoedas para ele.
5. 5O atacante o esvazia. Como tem a frase de recuperação, ele pode restaurar sua carteira no próprio dispositivo e mover tudo — muitas vezes esperando até que o saldo seja alto.

Uma tática relacionada é o golpe da “substituição” enviada pelo correio: pessoas recebem um dispositivo que não pediram, com uma carta dizendo que a carteira antiga é insegura e precisa ser substituída. O dispositivo é modificado para roubar a frase de recuperação que você digita durante a “migração”. Nosso artigo Ataques à cadeia de suprimentos aprofunda esse ponto.

Um exemplo hipotético

Este cenário foi inventado para ilustrar o padrão.

Imagine que Priya encontra um modelo conhecido de carteira de hardware em um anúncio de marketplace por um preço bem mais baixo que o da loja oficial. A caixa chega com a embalagem aparentemente intacta e um cartão impresso dizendo “Sua frase de recuperação — guarde com segurança”, seguido de 24 palavras. As instruções dizem para digitar essas palavras durante a configuração “para uma ativação mais rápida”. Veja também: Gerenciadores de senhas e criptomoedas.

Priya segue as instruções, envia suas economias para a carteira e tudo parece normal por semanas. Então o saldo desaparece. O vendedor tinha guardado uma cópia daquelas 24 palavras. Não havia nada de errado com a blockchain nem com os dispositivos reais da marca — o dispositivo e as instruções eram a armadilha. Se quiser se aprofundar, leia Golpes de validação e sincronização de carteiras.

Checklist de sinais de alerta

• Uma frase de recuperação vem na caixa, em um cartão ou nas instruções.
• O dispositivo já está configurado, não pede para criar um PIN ou mostra contas existentes.
• O preço está bem abaixo do preço do fabricante.
• O vendedor não aparece como revendedor autorizado no site oficial.
• A embalagem mostra sinais de ter sido lacrada novamente, selos de segurança danificados, resíduos de cola ou peças faltando.
• As instruções direcionam você a um site ou aplicativo diferente do oficial do fabricante.
• Um dispositivo chega sem ter sido pedido, com uma carta pressionando você a “migrar” seus fundos.
• A verificação de autenticidade do aplicativo complementar falha ou emite alertas sobre o dispositivo.

Como comprar e configurar uma carteira de hardware com segurança

Antes de comprar

1. 1Acesse o site do fabricante digitando você mesmo o endereço — cuidado com phishing por anúncios em buscadores.
2. 2Compre diretamente ali ou de um revendedor listado nesse site oficial.
3. 3Evite dispositivos usados, mesmo de pessoas que você conhece.

Quando chegar

Durante a configuração

• Deixe o dispositivo gerar uma nova frase de recuperação e anote-a você mesmo, offline.
• Nunca digite sua frase de recuperação em um computador, celular ou site.
• Atualize o firmware apenas pelo aplicativo oficial.
• Envie primeiro um pequeno valor de teste e depois confirme o endereço de recebimento na tela do dispositivo.

Nosso guia passo a passo sobre como configurar uma carteira de hardware cobre todo o processo, e como escolher uma carteira de hardware explica o que observar antes de comprar.

Como se proteger depois da compra

• Guarde sua frase de recuperação offline, em um local seguro — considere backups da frase-semente em aço para resistência a fogo e água.
• Trate como golpe qualquer mensagem, e-mail ou carta que peça sua frase de recuperação. Fabricantes nunca a pedem.
• Mantenha os dados da sua compra em sigilo; dados de clientes vazados podem levar a phishing direcionado e golpes pelo correio.
• Verifique cada endereço na tela do dispositivo antes de aprovar uma transação.

O que fazer se suspeitar de um dispositivo comprometido

1. 1Pare de depositar na carteira suspeita.
2. 2Obtenha um dispositivo genuíno de uma fonte oficial ou use temporariamente outra carteira confiável.
3. 3Crie uma frase de recuperação totalmente nova no dispositivo confiável.
4. 4Transfira todos os fundos da carteira suspeita para a nova o quanto antes.
5. 5Entre em contato com o fabricante com os detalhes do vendedor e do dispositivo.
6. 6Denuncie o vendedor ao marketplace e, quando for o caso, à polícia ou ao órgão de defesa do consumidor. Você também pode nos avisar pelo nosso formulário de denúncia.

Se fundos já foram levados, siga o que fazer imediatamente se sua carteira for comprometida.

Conclusão

Uma carteira de hardware é tão segura quanto sua cadeia de suprimentos. Compre do fabricante ou de um revendedor autorizado, rejeite qualquer dispositivo que venha com uma frase de recuperação ou chegue sem ter sido pedido, execute a verificação de autenticidade oficial e gere sua própria frase offline. Esses poucos hábitos eliminam quase todo o risco de dispositivos falsos e adulterados.