Ilustração de um dispositivo físico de carteira de hardware com um ícone de aviso sobre o seu ecrã

Uma carteira de hardware mantém as chaves privadas num dispositivo físico dedicado, isolado da internet, o que reduz significativamente a exposição ao malware e às técnicas de phishing remoto responsáveis pela maioria das perdas em carteiras de software. É, para a maioria dos detentores, uma verdadeira melhoria de segurança. Não é, no entanto, uma solução completa, e vários incidentes ao longo dos últimos dois anos mostram exatamente onde estão as lacunas restantes, muitas vezes em partes do processo que nada têm a ver com a criptografia do próprio dispositivo.

Os investigadores de segurança documentaram pelo menos cinco empresas de carteiras de hardware a divulgar incidentes de segurança desde o início de 2026, expondo dados de clientes em várias marcas importantes, e uma exploração específica de carteira de hardware foi associada a uma estimativa de cento e dezasseis milhões de dólares em bitcoin roubado. Nenhum destes incidentes envolveu quebrar a criptografia subjacente do hardware. Todos eles envolveram algo adjacente ao próprio dispositivo.

O erro: tratar qualquer dispositivo offline como automaticamente seguro

Num caso amplamente discutido de 2025, um detentor de cripto descobriu que 1,2 milhões de XRP, no valor de mais de três milhões de dólares na altura, tinham sido roubados daquilo que acreditava ser uma carteira fria. Verificou-se que a carteira estava na verdade ligada à internet como uma carteira quente, e não genuinamente isolada da rede, uma distinção que o proprietário não tinha compreendido totalmente. Chamar fria a uma carteira não a torna fria. Se um dispositivo está verdadeiramente offline, e se mantém assim, é um detalhe técnico específico que vale a pena verificar, e não presumir.

O erro: confiar numa frase de recuperação pré-semeada

Uma carteira de hardware deve sempre gerar a sua própria frase de recuperação, no seu próprio ecrã, durante a configuração inicial, nunca antes. Já foram documentados dispositivos a chegar com uma frase de recuperação já impressa num cartão incluído, por vezes acompanhada de uma embalagem com aspeto oficial sugerindo que faz simplesmente parte do processo de configuração. Qualquer frase não gerada ao vivo no dispositivo durante a configuração deve ser tratada como já comprometida, já que quem a imprimiu necessariamente já a viu, e quaisquer fundos enviados para essa carteira ficam visíveis para essa pessoa imediatamente.

Logro relacionado: cartas falsas de phishing com código QR

Na sequência de uma violação de dados que expôs moradas de envio de clientes num grande fabricante de carteiras de hardware, alguns clientes receberam subsequentemente cartas físicas contendo um código QR e instruções para o digitalizar e introduzir a sua frase de recuperação de vinte e quatro palavras, enquadradas como uma substituição de dispositivo ou atualização de segurança obrigatória. Esta tática dependia inteiramente da violação de dados anterior, já que exigia conhecer o nome e a morada de um cliente real para tornar a carta convincente.

Ponto Chave

Nenhum fabricante de carteiras de hardware, e nenhum processo legítimo de substituição ou de segurança, alguma vez pedirá a um cliente que introduza a sua frase de recuperação em qualquer lugar que não seja diretamente no seu próprio dispositivo de confiança. Uma frase pedida através de uma carta, email, código QR, ou chamada telefónica é sempre uma burla.

Um cenário realista: um dispositivo adulterado intercetado antes de chegar ao comprador

  • Um comprador encomenda uma carteira de hardware daquilo que parece ser um anúncio oficial num grande mercado de terceiros, em vez do site do próprio fabricante, atraído por um preço mais baixo e envio rápido.
  • O dispositivo que chega foi intercetado algures entre um distribuidor legítimo e o comprador, aberto, modificado com firmware que regista a frase de recuperação durante a configuração, e cuidadosamente reselado para parecer intocado.
  • O comprador segue as instruções de configuração exatamente como previsto, gerando uma frase no ecrã do dispositivo, sem saber que o firmware modificado a está silenciosamente a registar e a transmitir numa ligação posterior a um computador.
  • Acreditando que a carteira está totalmente segura porque a frase foi gerada no próprio dispositivo em vez de chegar pré-impressa, o comprador transfere uma quantia significativa de cripto para o endereço da carteira ao longo dos meses seguintes.
  • O atacante, que tem estado a monitorizar o endereço, espera até o saldo atingir um montante que valha a pena antes de usar a frase recolhida para varrer os fundos numa única transação.

Este cenário é mais sofisticado do que uma simples burla de frase pré-semeada, e correspondentemente mais difícil de detetar por um comprador comum, já que todos os passos visíveis do processo de configuração parecem completamente normais. É o argumento mais forte para comprar exclusivamente na loja própria de um fabricante ou junto de um pequeno número de retalhistas explicitamente autorizados, já que a adulteração da cadeia de fornecimento depende inteiramente de o dispositivo passar por mãos não confiáveis nalgum ponto antes de chegar ao comprador.

Como verificar se um dispositivo não foi adulterado

  • Verifique os selos invioláveis ou autocolantes holográficos descritos no site do próprio fabricante face ao que efetivamente chegou, e contacte diretamente o fabricante se algo parecer inconsistente, em vez de presumir que uma diferença mínima é uma atualização de embalagem.
  • Verifique a assinatura de firmware do dispositivo durante a configuração, se o fabricante fornecer uma forma de o fazer, já que o firmware legítimo está criptograficamente assinado e uma versão modificada tipicamente falhará essa verificação.
  • Confirme que o dispositivo gera uma frase nova com uma sequência de palavras diferente sempre que se realiza uma reposição de fábrica e uma nova configuração, o que é uma forma razoável de verificar que o dispositivo não está simplesmente a mostrar uma frase pré-programada.
  • Registe o número de série do dispositivo junto do fabricante, quando essa funcionalidade for suportada, o que por vezes pode revelar se a unidade específica já foi associada a uma conta ou região diferente da esperada.

Carteiras de hardware comparadas com carteiras multisig e MPC

Uma única carteira de hardware, por mais protegida que esteja, continua a representar um ponto único de falha física. Se o dispositivo se perder, for destruído, ou a sua frase de recuperação for exposta através de qualquer um dos erros descritos acima, os fundos que controla ficam em risco. As configurações multi-assinatura, que distribuem a autoridade de assinatura por múltiplos dispositivos ou pessoas separadas, e as mais recentes carteiras de computação multipartidária, ou MPC, que dividem matematicamente uma única chave entre múltiplas partes de forma que nunca exista uma chave completa num único local, abordam ambas diretamente este ponto único de falha. Nenhuma das abordagens é um substituto simples e direto de uma carteira de hardware usada por um detentor individual. Ambas acrescentam complexidade real de configuração e são geralmente adotadas por empresas, fundos, ou indivíduos com participações suficientemente grandes para justificar o esforço adicional. Para um detentor individual, o meio-termo mais prático é muitas vezes uma carteira oculta protegida por frase-passe num único dispositivo de hardware, abordada em o nosso guia sobre roubo de frase semente, que acrescenta proteção significativa sem a complexidade operacional de coordenar múltiplos signatários.

O erro: presumir que uma violação de fabricante não expôs nada relevante

Várias violações de fabricantes de carteiras de hardware em 2026 envolveram dados de um processador de encomendas ou de pagamentos terceiro, em vez dos sistemas centrais próprios da empresa de carteiras, expondo nomes, moradas, números de telefone, e detalhes de encomendas de clientes, embora não dados financeiros ou frases semente diretamente. Essa distinção importa tecnicamente, mas não torna a violação inofensiva. Os dados de envio expostos são exatamente o que é necessário para conduzir uma campanha de phishing convincente e dirigida contra clientes reais, como a burla da carta com código QR demonstrou diretamente.

O erro: escrever uma frase de recuperação num local fácil de encontrar

Uma carteira de hardware reduz substancialmente o risco remoto, online, mas nada faz para proteger uma frase de recuperação que tenha sido escrita e guardada num local onde um intruso, convidado, ou empreiteiro possa deparar-se com ela, seja uma gaveta, um cofre com uma combinação conhecida, ou uma pasta de documentos. O aumento de casos documentados de coação física dirigidos a detentores conhecidos de cripto tornou este um risco cada vez mais relevante, e não apenas remoto. Uma frase fácil de o proprietário encontrar rapidamente numa emergência é, pela mesma lógica, fácil de encontrar por qualquer outra pessoa que obtenha acesso físico ao mesmo espaço.

Passos práticos que resolvem estas lacunas específicas

  • Compre carteiras de hardware apenas diretamente do fabricante ou de um retalhista autorizado verificado, nunca de um anúncio de mercado de terceiros, e gere a frase de recuperação de raiz no dispositivo durante a configuração, descartando qualquer frase que chegue pré-impressa.
  • Verifique, em vez de presumir, se uma determinada configuração de carteira está genuinamente isolada da rede ou se está de facto ligada a um telefone ou computador durante o uso normal.
  • Trate qualquer carta, email, chamada, ou código QR que peça uma frase de recuperação como fraudulento por defeito, independentemente de quão oficial pareça a embalagem ou a mensagem.
  • Guarde uma frase de recuperação escrita num local genuinamente inacessível a convidados, empreiteiros, ou a um intruso oportunista, e considere dividi-la por locais seguros separados para participações maiores.
  • Use uma funcionalidade de carteira oculta protegida por frase-passe onde o dispositivo a suportar, o que acrescenta proteção significativa mesmo que a frase de recuperação base seja de alguma forma exposta.

O que fazer se se suspeitar que uma carteira de hardware está comprometida

Se houver qualquer razão para suspeitar que a frase de uma carteira de hardware possa ter sido exposta, seja através de uma preocupação na cadeia de fornecimento, uma carta de phishing, ou um historial de compra pouco claro, a resposta é a mesma independentemente da causa específica: trate a carteira como totalmente comprometida e mova todos os ativos que controla para uma nova carteira, configurada com uma frase recém-gerada num dispositivo cuja proveniência seja totalmente confiável. Não existe um passo de diagnóstico que consiga confirmar de forma fiável que uma frase não foi copiada durante a configuração, já que um comprometimento bem executado ao nível do firmware não deixa qualquer rasto visível no ecrã ou na interface do dispositivo. Esperar por uma confirmação mais forte antes de mover os fundos apenas prolonga a janela durante a qual um atacante que já tenha a frase pode agir.

Para os leitores cuja perda remonta a uma frase exposta através de uma burla em vez de uma falha técnica de hardware, os passos de resposta e os sinais de alerta são abordados em mais profundidade em o nosso guia sobre roubo de frase semente e o nosso guia sobre sinais de alerta de roubo de chave privada, ambos aplicáveis independentemente de a carteira original ser de software ou de hardware.

carteira de hardwarearmazenamento friosegurança de carteirafrase de cópia de segurança

Perguntas frequentes

Para a maioria dos detentores individuais, uma única carteira de hardware com uma frase-passe memorizada continua a ser a opção mais prática. As carteiras multisig e MPC reduzem significativamente o risco de ponto único de falha mas acrescentam complexidade real de configuração e recuperação, o que geralmente compensa para uma tesouraria empresarial ou participações muito grandes, e não para uma carteira individual típica.

Geralmente sim, já que isolam as chaves privadas de dispositivos ligados à internet e do malware que os visa. No entanto, não protegem contra erros de cópia de segurança, violações de dados de fabricantes, dispositivos falsos, ou coação física, tudo já responsável por perdas reais independentemente do hardware em si.

Não a digitalize nem introduza nada. Nenhum fabricante legítimo de carteiras de hardware pede uma frase de recuperação através de uma carta, código QR, email, ou chamada telefónica, sob nenhuma circunstância, incluindo uma alegada atualização de segurança ou substituição de dispositivo.

Uma violação limitada a dados de contacto e envio de clientes não expõe diretamente os seus fundos, mas expõe-no a phishing dirigido mais convincente, já que os atacantes podem fazer referência a detalhes reais de encomendas para tornar uma burla mais credível.

Não. Uma carteira comprada fora dos canais oficiais não pode ser verificada como intocada, e um dispositivo pré-semeado ou modificado é uma das formas mais eficazes de os atacantes comprometerem compradores que presumiram que um dispositivo físico era inerentemente confiável.

Fontes e leituras adicionais

Leituras relacionadas

Como Acontece o Roubo da Frase Semente e Como Evitá-lo →Roubo de Chave Privada, Sinais de Alerta e o Que Fazer a Seguir →Como Funcionam os Ataques de Drenagem de Carteira →Sinais de Alerta de um Agente Falso de Recuperação de Cripto →