Golpes de blind signing e carteiras cripto

Golpes de blind signing continuam comuns no universo das finanças descentralizadas. Esse golpe ocorre quando golpistas criam smart contracts enganosos para roubar ativos de usuários de carteiras cripto. Mas por que se chama blind signing e como evitar esse tipo de ataque?
 

Smart contracts e blind signatures

Smart contracts são a base de muitos dApps, NFTs e setores de DeFi. Suponha que você queira fazer staking da sua criptomoeda em um pool de liquidez para receber rendimentos mensais. O protocolo de liquidez funciona por meio de smart contracts, que precisam acessar os tokens na sua carteira. Por isso, é necessário conceder acesso dos seus tokens aos smart contracts.
 

Ao assinar essa transação de aprovação usando a chave privada da sua hardware wallet, você está concordando com os termos do smart contract e confiando totalmente no código.
 

Uma blind signature significa dar acesso a um smart contract aos tokens na sua carteira sem saber todos os detalhes do contrato. No sistema financeiro tradicional, assinar um contrato pressupõe entender e concordar com os termos. Portanto, o blind signing é como assinar um contrato em papel sem ler todas as cláusulas.
 

O que acontece se o smart contract não mostrar todas as informações na hora da assinatura?

As carteiras cripto muitas vezes têm dificuldade em exibir informações importantes devido à complexidade do código dos smart contracts. Esses contratos geralmente contêm detalhes cruciais que não podem ser facilmente extraídos e apresentados de forma clara para o usuário.

Criadas inicialmente para transações simples na blockchain, as hardware wallets agora permitem que usuários interajam com smart contracts complexos de DeFi via protocolos como WalletConnect. No entanto, esses protocolos nem sempre apresentam as informações de forma clara e compreensível.
 
Isso pode levar a situações em que você precisa assinar transações confiando apenas na boa fé, sem garantia definitiva sobre o conteúdo.
 

Um display confiável previne golpes de blind signing?

Alguns argumentam que usar uma carteira com display confiável reduz o risco de cair em golpes de blind signing. Ou seja, um display confiável mostra exatamente o que está sendo assinado pelo usuário.
 

Um display confiável é uma tela digital que exibe informações verificadas e autênticas, garantindo que o conteúdo mostrado seja preciso, confiável e seguro.

Mas fica a reflexão: um display confiável pode mostrar informações que simplesmente não existem? Esses displays herdam as limitações das hardware wallets — o código dos smart contracts pode ser complexo demais. Além disso, eles só conseguem mostrar o que o chip da carteira consegue interpretar/decodificar do contrato, o que não é muito diferente da tela do seu celular.
 

Diferente do seu celular, que é produzido em massa para milhões de pessoas, carteiras cripto com “display confiável” podem ser alvo de ataques na cadeia de suprimentos — por exemplo, com a substituição ou reprogramação de um chip não seguro dentro da carteira.
 

Como a Tangem resolve essa questão

Um grande diferencial da Tangem Wallet em relação a outras hardware wallets é a durabilidade. Nossa carteira já passou por testes extremos, incluindo congelamento, fogo, tiros e até prensa hidráulica, e continuou funcionando.  Afinal, o universo cripto ainda vive um “Velho Oeste” — se você decide ser o seu próprio banco, precisa garantir que seu cofre não seja facilmente violado.
 

Adicionar um “display confiável” diretamente ao cartão Tangem representa um grande risco para a confiabilidade e segurança. Esses componentes extras geralmente não possuem certificações de segurança e podem ser suscetíveis a influências externas, aumentando o risco de falhas. Por exemplo, um ataque na cadeia de suprimentos pode envolver hackers trocando um display legítimo por um display falsificado e comprometido.

A ausência de display embutido também traz várias vantagens para quem usa a Tangem Wallet:

• Vida útil mínima de 25 anos; 
• Totalmente à prova d’água e poeira (IP69K);
• Resistência a temperaturas extremas;
• Leve, como um cartão bancário. 

99% dos ataques a usuários de carteiras buscam obter seed phrases, chaves privadas ou assinaturas sem autorização. A Tangem oferece a melhor proteção possível contra todos esses vetores de ataque.
 

E se um app falso da Tangem chegar às lojas?

Como confiar que o app da Tangem mostra as informações corretas se o seu smartphone estiver comprometido? 

Diferente de apps web, plataformas desktop e extensões de navegador, comprometer apps móveis ou firmware de dispositivos em larga escala é impossível. Não existe malware móvel conhecido capaz de explorar apps como o da Tangem, que possui arquitetura de segurança robusta. 

Dispositivos móveis são 100% seguros se comprados de fornecedores confiáveis. Instale apenas apps oficiais e nunca faça jailbreak no sistema operacional.  

Lembrete: Suas chaves privadas ficam armazenadas no cartão, que não tem conexão com a internet.

E se o sistema operacional do smartphone for comprometido?

Embora a Tangem não controle o sistema operacional — iOS ou Android —, podemos garantir a segurança do app e dos cartões Tangem. É teoricamente impossível injetar código malicioso no app Tangem ou criar um cartão Tangem falso. O app pode funcionar mesmo em um dispositivo infectado, mas não recomendamos esse uso. Manter um ambiente seguro é fundamental para a melhor proteção.
 

E quanto a keyloggers como vetor de ataque?

Keyloggers são softwares maliciosos que registram e monitoram tudo o que é digitado em um computador ou dispositivo móvel. O objetivo principal é capturar informações sensíveis como nomes de usuário, senhas, números de cartão de crédito e outros dados pessoais.
 

Ao gerar seed phrases na Tangem Wallet, o app exibe a seed no seu smartphone e orienta você a anotá-la. Depois, pede a confirmação tocando nas palavras corretas. Ou seja, keyloggers não representam uma ameaça real nesse caso.

 

Não se esqueça de rodar periodicamente um antivírus no seu celular! Fique atento a sinais de malware, como bateria descarregando rápido, aparelho esquentando, lentidão ou apps abrindo sozinhos.
 

Como evitar golpes de blind signing

Você pode evitar cair em golpes de blind signing tomando os seguintes cuidados:

• Evite interagir com aplicativos descentralizados desconhecidos.
   
• Sempre faça sua própria pesquisa e verifique qualquer projeto online. 
   
• Não interaja com mensagens diretas em redes sociais, principalmente se for um suposto “membro da equipe” de algum projeto.
   
• Não clique em links de fontes desconhecidas.
   
• Não faça experiências no sistema operacional do seu smartphone fazendo jailbreak.
   
• Nunca digite sua seed phrase (se houver) em qualquer lugar nem revele para ninguém.

Autocustódia significa que você controla suas chaves privadas; por isso, você é a última linha de defesa dos seus ativos cripto, e seu julgamento é fundamental.
 

Considerações finais

Na Tangem, temos um cuidado extremo com a segurança durante o desenvolvimento e a publicação dos nossos aplicativos. Essa é a base do nosso produto e da nossa reputação, e levamos isso a sério. Garantimos que nenhum código malicioso será incluído na versão final do nosso app. Se quiser conferir, você pode sempre acessar o código mais recente no GitHub e até compilar o app por conta própria.|