Como proteger suas criptos de golpes e furtos

Para deixar suas criptomoedas seguras contra golpes, concentre o grosso dos fundos em uma carteira fria, guarde a seed phrase offline e nunca a revele, ative a verificação em duas etapas (2FA) por aplicativo ou chave física e confira cada transação antes de assinar. Segurança em cripto é uma soma de camadas e de hábitos — não um único produto.

O cuidado se justifica pela escala do problema. Segundo o FBI Internet Crime Complaint Center (IC3), as perdas com golpes envolvendo criptoativos reportadas nos Estados Unidos somaram US$ 5,6 bilhões em 2023 — aumento de 45% em relação a 2022 [1]. E a maior parte desse prejuízo não vem da quebra da criptografia: vem de convencer a vítima a agir. É o que mostram os relatórios da Chainalysis, que apontam a fraude por aprovação (approval phishing) — induzir o usuário a assinar uma autorização maliciosa — entre os principais vetores de perda [2]. Proteger criptomoedas, portanto, é menos comprar um dispositivo e mais adotar um método.

O que significa proteger as suas criptomoedas

Antes dos passos, uma distinção que organiza tudo. Na autocustódia, quem controla a chave privada — ou a seed phrase que a regenera — controla os fundos, não importa quem esteja com o aparelho. É a máxima not your keys, not your coins, e ela separa uma carteira de corretora de uma carteira própria. Proteger criptomoedas é, no fundo, proteger esse segredo e o instante em que ele é usado para assinar.

Há duas classes de ameaça, e cada uma pede uma defesa diferente. A primeira é o ataque remoto — o vírus, o invasor que tenta capturar a chave de um dispositivo conectado. A segunda, cada vez mais comum, é a engenharia social: o golpista não invade nada, convence você a assinar ou a entregar a frase. O Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil (CERT.br) resume o antídoto em três verbos — “Desconfie. Informe-se. Verifique.” — e lembra que os golpes exploram sentimentos como medo, pressa e ganância [3]. Os passos abaixo cobrem as duas frentes, dos fundos guardados ao momento de transacionar.

Como proteger suas criptomoedas: 8 passos

A segurança real vem de camadas — cada passo fecha uma porta diferente. Percorra os oito na ordem: os primeiros protegem o que você guarda; os últimos, o momento em que você movimenta.

1. Guarde o grosso dos fundos em uma carteira fria

Uma carteira fria mantém a chave privada offline, fora do alcance de vírus e invasões remotas. A recomendação de segurança é distribuir o risco: manter no celular ou na corretora apenas o que se usa no dia a dia e guardar a maior parte dos fundos em uma carteira fria, do tipo hardware wallet, desconectada da internet [4]. Vale a ressalva honesta: o dispositivo elimina o ataque à distância, mas não impede que você mesmo, enganado, assine uma transferência — por isso ele é o primeiro passo, não o único. Entenda o que é uma carteira fria e quando ela compensa.

2. Proteja a seed phrase e nunca a compartilhe

A seed phrase é a sequência de 12 a 24 palavras que reconstrói toda a carteira — quem a tem, tem os fundos. Anote-a fora da internet, no papel ou em metal, nunca a digite em sites ou aplicativos e nunca a fotografe. E fixe uma regra sem exceção: nenhum suporte, corretora ou serviço legítimo jamais pede a sua frase de recuperação. Qualquer pedido dela — por chat, telefone, formulário “de validação” ou aplicativo falso — é, por definição, tentativa de golpe. Lembre ainda que, na autocustódia, não existe “esqueci minha senha”: perdida a frase sem backup, o acesso àqueles fundos se perde em definitivo.

3. Ative a verificação em duas etapas (2FA)

A verificação em duas etapas exige, além da senha, um segundo fator — de modo que, como lembra o CERT.br, mesmo que o atacante descubra a senha, ainda precisará de outra informação para invadir a conta [3]. Ative o 2FA em toda conta ligada a cripto: corretora, e-mail e a própria carteira [4]. Prefira um aplicativo autenticador ou uma chave de segurança física; use SMS apenas se não houver outra opção. O motivo é concreto: o código por SMS pode ser desviado por um golpe de troca de chip, o SIM swap, em que o criminoso porta o seu número para outro aparelho e passa a receber os códigos no seu lugar.

4. Use uma senha longa e única em cada conta

Uma senha reaproveitada transforma o vazamento de um único site no comprometimento de todos os outros. Use uma senha diferente para cada conta e prefira senhas longas — o CERT.br sugere, por exemplo, combinar três palavras aleatórias, mais fáceis de lembrar e difíceis de quebrar [3]. Um gerenciador de senhas guarda todas com segurança e gera senhas fortes automaticamente, de modo que você só precisa memorizar uma. Somada ao 2FA do passo anterior, uma boa senha faz o acesso às suas contas depender de dois obstáculos independentes.

5. Acesse apenas o canal oficial e confira a URL

Boa parte dos furtos começa em um endereço falso. Baixe aplicativos apenas de lojas e sites oficiais e, no navegador, confira a URL caractere por caractere antes de digitar qualquer dado — “binance-pro.com” não é “binance.com” [3][4]. Acesse a corretora pelo endereço digitado à mão ou por um favorito próprio, nunca por link recebido em mensagem, e-mail ou anúncio. É assim que operam as páginas clonadas e os aplicativos de phishing que drenam carteiras: imitam o canal verdadeiro e contam com a pressa de quem não confere. Na dúvida, feche e vá pelo caminho oficial.

6. Desconfie de suporte não solicitado e nunca informe código ou seed

Golpes de engenharia social costumam chegar disfarçados de “ajuda”. Um falso atendente de corretora, um contato inesperado no WhatsApp ou uma mensagem “de segurança” criam urgência e pedem que você informe um código, uma senha ou a seed — ou que aprove um login que não foi você quem iniciou. A orientação do CERT.br é direta: negue qualquer pedido de autorização de login que você não tenha começado [3]. Suporte de verdade não liga pedindo o seu segundo fator, e ninguém legítimo precisa da sua frase de recuperação. Diante de contato não solicitado, encerre e procure você mesmo o canal oficial.

7. Confira cada transação antes de assinar

O último metro é o mais perigoso. Antes de confirmar qualquer envio, verifique valor, rede e endereço de destino — conferindo o endereço inteiro, e não apenas o início e o fim, porque golpistas geram endereços-sósia que repetem justamente os primeiros e os últimos caracteres (o envenenamento de endereço); quando possível, envie para um endereço já salvo e confirmado. Um tipo de vírus, o clipper, troca silenciosamente o endereço que você copiou pelo do golpista na hora de colar; quem não confere, paga o criminoso. Em aplicativos de finanças descentralizadas, revise também as aprovações de gasto que você concedeu a contratos e cancele as que não usa mais — é por uma autorização ampla, assinada sem leitura, que a fraude por aprovação esvazia carteiras. Assine apenas o que você entende.

8. Mantenha os dispositivos atualizados e protegidos

A segurança da custódia depende do aparelho em que a carteira roda. Mantenha o sistema operacional, o navegador e os aplicativos sempre atualizados com as últimas correções, e use um antivírus confiável [4]. As atualizações fecham as falhas que os malwares — inclusive os que roubam chaves e trocam endereços — exploram. Evite instalar extensões e programas de origem duvidosa, não movimente fundos em redes públicas e, se possível, reserve um dispositivo mais “limpo” para o que envolve dinheiro. Um aparelho comprometido enfraquece todos os passos anteriores.

Nenhuma medida isolada blinda

Uma ressalva honesta fecha o assunto. Nenhum desses passos, sozinho, é garantia: a carteira fria elimina o ataque remoto, mas não a engenharia social — se você é convencido a assinar ou a revelar a frase, o dispositivo assina do mesmo jeito. O 2FA por SMS é contornável pelo SIM swap. Segurança é a soma das camadas com o comportamento, não um produto único. Vale ainda separar dois cuidados: este guia trata de proteger o que você já tem; para não cair na oferta antes de investir — o retorno garantido que a própria CVM aponta como sinal de fraude, a plataforma que trava o saque — vale seguir o checklist antes de investir [5]. E, se o golpe se consuma, há um consolo técnico e uma advertência na mesma frase: a transferência fica registrada de forma permanente na blockchain e pode ser reconstruída pela forense, mas rastrear o destino dos valores não equivale a recuperá-los — desconfie de quem promete devolução garantida.

Considerações finais

Entende-se, em síntese, que proteger criptomoedas é uma questão de método, não de sorte: guardar a chave offline, blindar o acesso às contas com senha forte e 2FA, acessar apenas o canal oficial e conferir cada assinatura. Nenhum desses passos custa dinheiro e todos podem ser adotados hoje — antes do prejuízo, que é quando fazem diferença. O elo mais frágil segue sendo o comportamento, e é justamente ali que a atenção rende mais. Para quem já foi atingido, a orientação sobre fraudes com criptoativos reúne o que fazer a seguir — sempre com evidência técnica, não promessa de recuperação.

Perguntas frequentes

Como deixo minhas criptomoedas seguras contra golpes?

Adote camadas: guarde o grosso dos fundos em uma carteira fria, mantenha a seed phrase offline e jamais a revele, ative a verificação em duas etapas por aplicativo ou chave física, acesse só o canal oficial e confira valor, rede e endereço antes de assinar cada transação. Nenhuma medida isolada basta — a segurança vem da soma delas com o hábito de desconfiar.

Carteira fria protege contra qualquer golpe?

Não. A carteira fria mantém a chave offline e elimina o ataque remoto, como vírus e invasões à distância. Mas não protege contra engenharia social: se você é induzido a assinar uma transação maliciosa ou a revelar a frase de recuperação, o dispositivo assina e os fundos saem do mesmo jeito. Por isso ela é o primeiro passo, não o único.

Qual a melhor forma de 2FA para contas de criptomoedas?

Um aplicativo autenticador ou uma chave de segurança física, segundo a orientação do CERT.br. O código por SMS deve ser a última opção, porque pode ser desviado por um golpe de troca de chip (SIM swap), em que o criminoso porta o seu número e recebe os códigos. O 2FA garante que, mesmo com a senha vazada, ainda seja preciso um segundo fator.

Algum suporte pode pedir minha seed phrase ou meu código 2FA?

Não. Nenhum suporte, corretora ou serviço legítimo pede a seed phrase nem o código de verificação — entregá-los equivale a entregar o controle da conta. Qualquer pedido desse tipo, por telefone, chat, formulário ou aplicativo, é tentativa de golpe e deve ser recusado.

Se roubarem minhas criptomoedas mesmo assim, dá para rastrear?

Sim. A transferência fica registrada de forma permanente na blockchain e pode ser reconstruída pela forense blockchain, com data, valor e endereços de destino. Rastrear, porém, não é recuperar: identificar quem está por trás dos endereços depende de dados de exchange e, em regra, de ordem judicial. Desconfie de quem promete devolução garantida.