Segurança em cripto
Confira, não confie. Esse é o jeito Polkadot e o jeito $WUD. Muita gente perde as economias pra golpes nesse meio, e quase toda perda segue os mesmos poucos padrões. Aqui está tudo o que a gente queria que alguém tivesse contado no primeiro dia. Vale pra todo site, app e pessoa em cripto, inclusive pra gente.
Atualizado emA regra que mais importa
Sua frase de recuperação (também chamada de seed phrase ou frase secreta) é a chave mestra da sua carteira. Quem tiver essa frase pode levar tudo, de qualquer lugar, a qualquer hora, e ninguém consegue desfazer.
- Nunca digite ela em site, formulário, chat ou e-mail. O lugar dela é só no app da sua carteira, ou anotada no papel e guardada offline.
- Nunca passe pra ninguém. Nem pro suporte, nem pra um time, nem pra empresa da carteira, nem pra amigo, nem pra quem oferece airdrop ou ajuda.
- Se alguém pedir sua frase, está tentando te roubar. Sem exceção. Time de verdade, carteira de verdade e suporte de verdade nunca precisam dela.
Conectar, assinar e aprovar
Um site pode pedir três coisas bem diferentes pra sua carteira. Saber qual é qual já é meio caminho pra ficar seguro.
| Pedido | O que faz | O que conferir |
|---|---|---|
| Conectar | Compartilha seu endereço público pro site mostrar os saldos. Não consegue mover nada. | Se você está no endereço real do site que queria visitar. |
| Assinar uma mensagem | Prova que o endereço é seu, por exemplo pra fazer login. Nas carteiras Polkadot é grátis e não move fundos. | Se o texto faz sentido. Em carteiras Ethereum, cuidado com qualquer coisa chamada permit, que pode liberar gastos. |
| Aprovar uma transação | Faz algo de verdade: envia, troca, compra, queima ou muda uma configuração. É esse que pode mover seus fundos. | O que está sendo enviado, quanto e pra onde. Se não bater com o que você clicou, rejeite. |
| Aprovar gastos (Ethereum) | Deixa um contrato pegar seus tokens depois, muitas vezes numa quantia ilimitada. É o truque favorito dos drainers de carteira. | Só pra apps em que você confia, e só a quantia que precisa. Remova as antigas no revoke.cash. |
Rejeitar um pedido é sempre grátis e sempre seguro. Na dúvida, rejeite e pergunte num canal oficial da comunidade.
Como funcionam os drainers de carteira
Um drainer não consegue invadir sua carteira. Ele precisa que você mesmo abra a porta. Os jeitos mais comuns:
- Sites falsos parecidos, com uma letra trocada ou outro final, que aparecem em anúncios, resultados de busca ou links nas respostas.
- Airdrops e sorteios falsos que pedem pra você conectar e "resgatar", e aí mostram uma transação que manda seus tokens embora.
- Suporte falso que te chama no privado depois que você faz uma pergunta em público, e pede pra você "verificar", "sincronizar" ou "validar" sua carteira.
- Apps e extensões falsos copiados de carteiras reais, publicados em lojas de apps ou divulgados em anúncios.
- Contas e sites hackeados, quando a rede social ou o site de um projeto real é invadido e começa a postar uma armadilha.
Todos terminam do mesmo jeito: você aprova algo que não leu, ou digita sua frase de recuperação onde não devia. Leia cada pedido e mantenha a frase offline, e quase todos eles falham.
Cheque links no VirusTotal
Antes de abrir um link que você não esperava, ou de conectar num site pela primeira vez, dá pra checar de graça em virustotal.com. Ele pergunta pra dezenas de empresas de segurança se conhecem aquele endereço como perigoso.
- Copie o link. Não abra ainda.
- Entre em virustotal.com, escolha URL, cole o link e clique em buscar.
- Veja o resultado. Qualquer alerta vermelho quer dizer: não abra. Clique em Reanalyze pra uma checagem nova se o resultado for antigo.
Assim fica um relatório ao vivo, deste site: gavunwud.com no VirusTotal. Clique em Reanalyze e você recebe um resultado novo de cada empresa, quando quiser.
Um resultado limpo ajuda, mas não é garantia. Sites de golpe novinhos muitas vezes aparecem limpos nas primeiras horas ou dias. Use como uma checagem entre várias, e crie o hábito pra qualquer site em que você conecta a carteira.
Seu checklist antes de aprovar qualquer coisa
- O endereço está exatamente certo? Use favoritos pros sites que você usa com a carteira, em vez de links de mensagens ou anúncios.
- Foi você que começou essa ação? Se aparecer um pedido que você não esperava, rejeite.
- A carteira mostra o que você queria fazer? Mesmo token, mesma quantia, mesmo destino.
- Alguém está te apressando? "Só faltam 10 minutos" e "sua carteira vai ser bloqueada" são táticas de pressão. Projeto de verdade deixa você ir no seu tempo.
- Alguém está pedindo sua frase de recuperação? Pare. É golpe, sempre.
Comece do jeito seguro
- Use duas carteiras. Uma pro dia a dia, com pouco saldo, pra sites, jogos e apps novos, e uma de reserva que nunca se conecta em lugar nenhum.
- Pense numa carteira de hardware. Uma Ledger guarda suas chaves no aparelho e mostra cada transação na própria tela, então um site malicioso não consegue assinar nada sem você ver. Dá pra usar na Polkadot com Talisman, SubWallet, Nova Wallet ou Polkadot.js.
- Baixe carteiras só pelo site oficial ou pela loja de apps. Confira o nome de quem publicou antes de instalar.
- Proteja seu e-mail e suas contas em exchanges com um app autenticador ou uma chave de segurança, não com SMS.
Se algo der errado
- Se sua frase de recuperação vazou: crie na hora uma carteira nova com uma frase nova e mova tudo o que sobrou pra ela. A carteira antiga nunca mais é confiável.
- Se você aprovou gastos na Ethereum: remova a aprovação no revoke.cash o quanto antes.
- Cuidado com serviços de "recuperação". Quem promete trazer cripto roubada de volta cobrando uma taxa quase sempre está aplicando um segundo golpe.
- Avise a comunidade. Denunciar rápido um link de golpe ou uma conta falsa protege a próxima pessoa.
Como o gavunwud.com funciona
A gente segue as mesmas regras. O gavunwud.com nunca pede sua frase de recuperação ou suas chaves, e nunca pede permissão ilimitada pra gastar seus tokens. Assinaturas de mensagem servem só pra provar que o endereço é seu. Transações só acontecem quando você escolhe uma ação, e sua carteira mostra cada uma antes de você aprovar. Mesmo assim, não confie só na nossa palavra: confira. Os detalhes estão nos nossos termos.
Nossos links oficiais são gavunwud.com, x.com/gavunwud, t.me/gavunwud e nosso Discord. Se algo diz ser a gente e não está nessa lista, trate como falso.
Perguntas frequentes
É seguro conectar minha carteira num site?
Conectar só compartilha seu endereço público, então isso sozinho não move seus fundos. O risco vem depois, se você aprovar uma transação ou permissão de gasto que não leu. Conecte só em sites em que confia, confira o endereço e leia cada pedido antes de aprovar.
Dá pra roubar minha cripto só com o meu endereço?
Não. Seu endereço é público de propósito, tipo um número de conta. Pra mover seus fundos, alguém precisa da sua frase de recuperação ou chave privada, ou precisa que você mesmo aprove uma transação.
O que fazer se eu passei minha frase de recuperação pra alguém?
Aja na hora. Crie uma carteira nova com uma frase de recuperação nova e mova tudo o que sobrou pra ela. Considere a carteira antiga comprometida pra sempre, e não pague ninguém que ofereça recuperar fundos roubados.
Resultado limpo no VirusTotal quer dizer que o site é seguro?
Quer dizer que nenhuma das empresas de segurança consultadas marcou o endereço ainda. Isso ajuda, mas sites de golpe novos podem parecer limpos no começo. Junte isso com conferir o endereço, ler cada pedido da carteira e nunca passar sua frase de recuperação pra ninguém.