Porque não deve guardar uma captura de ecrã da frase-semente? O verdadeiro risco não é apenas perder o telemóvel
No mundo Web3, há um hábito que parece muito prático, mas que pode, na realidade, trazer sérios riscos:
fazer uma captura de ecrã da frase-semente depois de criar uma carteira e guardá-la na galeria do telemóvel.
Há quem pense que esta é a forma mais prática de a consultar sempre que se esquecer.
Há quem carregue a captura de ecrã para a nuvem, acreditando que, mesmo que perca o telemóvel, a frase-semente não desaparecerá com ele.
E há quem envie a frase-semente para si próprio e a guarde no histórico de conversas.
Estas práticas parecem ser formas de fazer uma cópia de segurança, mas, na realidade, podem expor a mais locais as informações essenciais para controlar a carteira.
A frase-semente não é um lembrete comum. Em uma carteira controlada por uma frase-semente, qualquer pessoa que obtenha a frase-semente completa poderá restaurar a carteira correspondente em um ambiente de carteira compatível e controlar os ativos relacionados.
O que realmente precisa ser protegido não é apenas o celular, mas cada etapa pela qual a frase-semente pode passar.
I. Por que a frase-semente é tão importante?
A frase-semente geralmente é um conjunto de palavras gerado de acordo com um padrão específico e usado para fazer backup e restaurar o material de chave de uma carteira.
Em carteiras de autocustódia comuns, a frase-semente permite que os usuários restaurem a carteira correspondente ao trocar de dispositivo, reinstalar a carteira ou perder o dispositivo original.
Isso também significa que, se alguém obtiver a frase-semente completa capaz de restaurar sua carteira, essa pessoa poderá contornar a senha do celular ou a interface do aplicativo da carteira e restaurá-la em outro ambiente compatível.
Vale observar que as contas e os endereços restaurados também dependem das regras de derivação, dos caminhos e de outras configurações usadas pela carteira.
Mas, para o usuário, o princípio de segurança mais importante é simples:
Não permita que pessoas não autorizadas obtenham informações secretas capazes de restaurar sua carteira.
II. Por que salvar uma captura de tela aumenta os riscos?
Uma captura de tela, por si só, não significa que a frase-semente será necessariamente exposta.
O verdadeiro problema é que a captura de tela pode ser copiada, sincronizada, incluída em backups ou exposta em outros aplicativos e dispositivos.
Entre os riscos mais comuns estão os seguintes.
Primeiro, a sincronização na nuvem.
Se a sincronização na nuvem estiver ativada na galeria do celular, a captura de tela com a frase-semente poderá ser enviada para uma conta na nuvem.
Se a conta, o dispositivo ou o ambiente de sincronização em questão for invadido, a frase-semente poderá ficar sujeita a um risco adicional de exposição.
Segundo, os backups do dispositivo.
Alguns mecanismos de backup de celulares podem salvar fotos, dados de aplicativos ou outros arquivos.
Se a frase-semente estiver incluída em um backup, ela poderá acabar em um local de armazenamento que você nem havia considerado.
Terceiro, malware ou invasão do dispositivo.
Se o dispositivo for infectado por malware ou se um invasor obtiver acesso a dados como fotos e arquivos, as informações confidenciais armazenadas neles poderão ser lidas.
Quarto, exposição em vários dispositivos.
Você pode ter criado a captura de tela em apenas um celular, mas depois enviado o arquivo para outros dispositivos por meio de aplicativos de mensagens, e-mail ou compartilhamento de arquivos.
Cada local de armazenamento adicional pode aumentar o número de pontos que precisam ser protegidos.
Quinto, o esquecimento ao longo do tempo.
Algumas pessoas salvam uma captura de tela ao criar uma carteira, mas depois se esquecem de que ela ainda está em um celular antigo, computador ou backup na nuvem.
Mesmo que você já não use determinado dispositivo, isso não significa que os dados armazenados nele tenham desaparecido automaticamente.
Portanto, o maior risco de uma captura de tela não é que ela será necessariamente roubada, mas que ela pode fazer com que informações secretas acabem em vários ambientes difíceis de gerenciar continuamente.
III. Guardar a frase-semente na nuvem é necessariamente inseguro?
Não é possível chegar a essa conclusão de forma simplista.
Os mecanismos de segurança, as medidas de proteção de contas e os métodos de criptografia de dados podem variar entre os serviços de nuvem.
Mas, quando se trata de uma frase-semente capaz de recuperar uma carteira, a questão não é apenas se determinado serviço de nuvem é seguro, mas também se você realmente precisa colocar essa informação secreta em uma conta conectada à internet, em dispositivos sincronizados e em serviços de terceiros.
Se sua conta na nuvem for invadida, se uma sessão de login for exposta ou se a frase-semente for compartilhada por acidente, o risco poderá aumentar.
Mais importante ainda, o armazenamento na nuvem também pode aumentar o número de cópias dos dados que você não consegue controlar completamente.
Por isso, para usuários comuns, a opção padrão mais prudente é não tirar capturas de tela da frase-semente completa em texto simples, não enviá-la para a nuvem nem compartilhá-la em aplicativos de mensagens.
Não interprete “o provedor tem medidas de segurança” como “é absolutamente seguro guardar lá”.
IV. Qual é a melhor forma de fazer backup da frase-semente?
Para a maioria das pessoas que usam carteiras de autocustódia, vale considerar os seguintes princípios.
Primeiro, use o processo de backup fornecido oficialmente pela carteira.
Ao criar uma carteira, anote a frase-semente com precisão, seguindo as instruções oficiais, e confirme que o backup pode realmente ser usado para restaurá-la.
Não insira a frase-semente em sites desconhecidos, formulários não oficiais ou aplicativos de terceiros.
Segundo, prefira o armazenamento offline.
Você pode anotar a frase-semente com precisão em papel e guardá-la em um local seguro, privado e protegido contra danos acidentais.
Se precisar levar em conta riscos ambientais, como incêndios ou umidade, escolha uma forma de backup durável e adequada para armazenamento de longo prazo, de acordo com a sua situação.
Terceiro, limite a quantidade de backups e quem pode acessá-los.
Fazer mais backups não é necessariamente melhor.
Cada cópia adicional exige que você considere onde ela será armazenada, quem poderá acessá-la e como evitar que seja perdida ou copiada.
Quarto, não crie cópias digitais sem necessidade.
Evite guardar a frase-semente em capturas de tela, arquivos de texto comuns, e-mails, conversas ou documentos na nuvem desnecessários.
Em especial, não sincronize a frase-semente entre vários dispositivos apenas para facilitar o acesso.
Quinto, certifique-se de que você consegue restaurar a carteira corretamente.
O objetivo do backup não é apenas impedir que outras pessoas obtenham a frase-semente, mas também garantir que você consiga restaurar sua carteira se o dispositivo for danificado ou substituído.
Se a carteira oferecer um processo seguro de verificação da restauração, siga as instruções oficiais e evite inserir a frase-semente em sites não confiáveis apenas para testá-la.
V. O que fazer se você já salvou a frase-semente em uma captura de tela?
Primeiro, não entre em pânico nem envie a frase-semente a ninguém para pedir que a verifique.
Você pode começar verificando onde a captura de tela esteve:
A sincronização da galeria na nuvem estava ativada?
Ela foi incluída automaticamente em backups de outros dispositivos?
Você a enviou por algum aplicativo de mensagens ou e-mail?
Ela foi armazenada em um computador compartilhado ou em uma pasta acessível a outras pessoas?
Houve algum login suspeito nos dispositivos ou nas contas em questão?
Se a captura de tela estiver apenas no dispositivo local e não houver indícios de que tenha sido exposta, você pode interromper a cópia e a sincronização e lidar com cuidado com as cópias existentes.
Mas lembre-se: excluir a captura de tela não garante que todas as cópias na nuvem, nos backups ou em outros dispositivos também sejam apagadas.
Se houver motivos razoáveis para suspeitar que a frase-semente foi exposta, especialmente se a carteira ainda contiver ativos importantes, considere seriamente criar uma nova carteira usando um dispositivo e um processo confiáveis e transferir os ativos para ela.
Antes da transferência, confirme que a nova frase-semente foi armazenada em backup com segurança e verifique os tokens, NFTs, ativos on-chain e permissões relacionadas.
Não insira a frase-semente antiga em dispositivos suspeitos ou sites desconhecidos para fazer uma suposta verificação de segurança.
Por fim, lembre-se:
A segurança da frase-semente não depende de quão bem você a esconde, mas de conseguir controlar seu armazenamento, acesso e processo de backup.
Você pode trocar de celular e reinstalar aplicativos, mas, se outra pessoa obtiver as informações secretas capazes de restaurar sua carteira, poderá perder o controle dos ativos correspondentes.
Você guarda sua frase-semente anotada em papel ou a mantém no celular ou na nuvem?
Sinta-se à vontade para compartilhar seus hábitos de segurança nos comentários, mas não publique sua frase-semente, chave privada ou qualquer informação secreta que possa restaurar sua carteira.
Este artigo destina-se apenas à troca de conhecimentos sobre segurança Web3 e não constitui aconselhamento de investimento. Os mecanismos de restauração podem variar entre carteiras; siga as orientações oficiais de segurança da sua carteira.