Como recuperar uma carteira cripto comprometida: guia de emergência
Este artigo está disponível nos seguintes idiomas:
Seus fundos estão sendo movimentados sem sua autorização. Ou seu saldo caiu para zero de repente. Ou alguém avisou que sua seed phrase foi exposta em algum lugar indevido.
Pare. Respire. Veja o que fazer agora.
- Crie uma carteira nova em um dispositivo confiável.
- Transfira imediatamente todos os fundos restantes para o novo endereço.
- Revogue permissões antigas da carteira, se ainda for possível.
- Congele contas em exchanges caso fundos nessas plataformas tenham sido afetados.
- Nunca reutilize a antiga seed phrase.
Se você está em crise, comece pelo primeiro passo e siga a ordem.
Descubra o que aconteceu: análise do ataque
Antes de recuperar, é fundamental saber o que foi atingido e como. Isso muda completamente o próximo passo.
Verifique o histórico de transações
Use um block explorer para revisar as transações recentes do seu endereço. Procure transferências não autorizadas e permissões de tokens que você não reconhece.
Identifique o vetor do ataque
O que aparece no histórico aponta como você foi atingido:
- Tokens drained via an approve() call you didn't make. Isso indica um ataque de phishing ou wallet drainer. O invasor fez você assinar uma permissão que concede acesso ilimitado a tokens para um contrato malicioso. Sua seed phrase pode ainda estar segura. Revise e revogue essas permissões onde for possível.
- All funds sent to an unknown address in one transaction. Sua seed phrase ou chave privada provavelmente foi comprometida. Considere a carteira antiga perdida. Crie uma nova carteira com uma seed phrase nova em um dispositivo limpo e nunca mais use o endereço antigo.
- Exchange account emptied, no on-chain wallet movement. Trata-se de um ataque de phishing, SIM swap ou roubo de credenciais diretamente na conta da exchange, não na carteira autocustodial. Contate a exchange imediatamente para congelar a conta e troque sua senha e 2FA.
- Small withdrawals over time. Esse padrão sugere keylogger ou malware de acesso remoto no seu dispositivo. Faça uma limpeza completa do aparelho antes de qualquer outra ação.
Here's the honest issue: a segurança de uma carteira quente depende totalmente do dispositivo onde ela roda. O MetaMask, por exemplo, armazena seed phrases e chaves privadas localmente no navegador ou aparelho, e a extensão do navegador aumenta a exposição a phishing e extensões maliciosas. O Trust Wallet é não custodial e gera as chaves localmente, mas ainda é uma carteira quente sem módulo de segurança dedicado. Se houver malware no dispositivo, tanto o aparelho quanto os dados ficam vulneráveis.
Entender o vetor do ataque define se você está lidando com uma permissão revogável ou com uma seed phrase comprometida. As respostas são totalmente diferentes.
Roteiro completo de recuperação
Siga estes passos na ordem. Não pule etapas.
Passo 1: crie sua nova carteira em um dispositivo limpo
Use um aparelho que nunca foi usado para acessar cripto. Se suspeitar de malware, não utilize o dispositivo comprometido para nada relacionado a cripto até ele ser completamente limpo.
Suas opções:
- Best option: Peça uma hardware wallet e faça a configuração assim que ela chegar. Assim você começa do zero, já com segurança adequada.
- If you need access immediately, crie uma nova carteira MetaMask em um dispositivo limpo. Gere uma seed phrase nova. Anote no papel imediatamente. Guarde separada do aparelho, nunca em aplicativos, nuvem ou fotos.
The key point: a seed phrase é uma sequência de 12 ou 24 palavras que serve como chave mestra da carteira. Quem possui, controla os fundos. Anote no papel, guarde em local seguro e nunca fotografe ou digite em sites.
Passo 2: transfira os fundos restantes para a nova carteira
Se ainda houver ativos na carteira comprometida, transfira para o novo endereço imediatamente. Faça isso antes de revogar permissões, trocar senhas ou qualquer outra coisa. Cada segundo conta.
Na maioria dos casos, uma transação cripto enviada para um endereço válido é irreversível. Se os fundos saírem da carteira comprometida para o invasor, não há volta. Por isso, retire primeiro do endereço comprometido.
Passo 3: revogue todas as permissões da carteira antiga
Mesmo após transferir os fundos, revise e revogue permissões pendentes onde for possível. Ataques de phishing via WalletConnect funcionam fazendo dApps maliciosos pedirem permissões que liberam acesso ilimitado aos tokens; revogar fecha essa porta. Uma permissão não revogada é uma porta aberta para tokens que você receber nesse endereço.
Passo 4: proteja seu ambiente digital
Se suspeitar de keylogger ou malware de acesso remoto:
- Troque senhas de e-mail, contas em exchanges e qualquer serviço vinculado à cripto, usando outro aparelho não comprometido.
- Faça uma varredura de malware no dispositivo afetado. Em casos graves, o ideal é zerar tudo e restaurar as configurações de fábrica. Scans parciais podem não detectar malwares sofisticados voltados para cripto.
- Ative a autenticação em dois fatores onde for possível.
- Boas práticas para carteiras quentes incluem senhas fortes e exclusivas, 2FA quando disponível, apps e sistemas operacionais atualizados e sempre conferir URLs antes de conectar.
Passo 5: denuncie onde importa
Denunciar raramente recupera fundos diretamente. Mas é importante.
- Exchange funds taken: Contate a exchange imediatamente. Eles podem sinalizar a conta do invasor e, se os fundos ainda estiverem na plataforma, congelá-los.
- Phishing site: Denuncie ao Google Safe Browsing e ao PhishTank.
- Cybercrime authority: Registre ocorrência no IC3 (EUA) ou Action Fraud (Reino Unido). A recuperação é rara, mas os relatos ajudam a identificar padrões e proteger outros usuários.
One firm warning: não pague por "serviços de recuperação" que entrarem em contato após um ataque. Praticamente todos são golpes voltados a vítimas em situação de estresse. Empresas legítimas nunca pedem seed phrase, códigos de acesso ou verificação de carteira por mensagens não solicitadas.
Reconstruindo: recomece com segurança de hardware
Você já conteve o prejuízo. Agora, como evitar que isso aconteça de novo?
O ataque que comprometeu sua carteira quase sempre envolve um destes fatores: exposição da seed phrase (phishing, prints, backups em nuvem), malware (keyloggers, capturas de tela, sequestro de área de transferência) ou permissão maliciosa de um site drainer.
Veja por que cada um deles é um problema estrutural das carteiras quentes.
Uma carteira quente é conectada à internet e armazena as chaves privadas necessárias para autorizar transações. Nesse modelo, a segurança depende totalmente do dispositivo. Toda carteira de software compartilha a mesma vulnerabilidade: sua chave privada está em um aparelho conectado à internet. Ou seja, basta um celular comprometido, um clique em phishing ou um vazamento de dados para perder tudo.
Cold storage mantém as chaves privadas totalmente offline, longe de dispositivos conectados, reduzindo o risco de roubo por ataques online. O princípio é simples: as chaves privadas nunca tocam a internet.
Hardware wallets são dispositivos físicos projetados para gerar e armazenar chaves privadas offline. Elas assinam transações internamente e transmitem apenas a transação assinada, sem expor as chaves ao ambiente online. Esses dispositivos resolvem o risco das carteiras online mantendo as chaves isoladas, longe de hackers, phishing, malware e falhas de plataforma. Para a maioria, essa é a opção prática de cold storage, equilibrando segurança e usabilidade.
Por que a Tangem faz sentido nesse momento
Ao reconstruir após um ataque, a última coisa que você quer é lidar com mais uma seed phrase. É aí que o design da Tangem se destaca. A Tangem gera a chave privada dentro do chip na ativação. A chave nunca existe como texto em lugar nenhum. O padrão sem seed phrase elimina esse vetor de ataque.
Cada transação exige um toque físico do cartão NFC a até 5 cm do aparelho. Nas hardware wallets da Tangem, sempre é necessário tocar o cartão físico para assinar, independentemente de biometria. A integração com WalletConnect inclui simulação de transação com Blockaid, que alerta sobre dApps suspeitos antes da assinatura.
O elemento seguro possui certificação Common Criteria EAL6+. Auditorias independentes da Kudelski Security (2018) e Riscure (2023) confirmaram ausência de vulnerabilidades. O firmware é instalado de fábrica e não pode ser atualizado, eliminando riscos de ataques remotos por atualização maliciosa. O kit com 2 cartões custa US$ 54,90. A configuração leva de 1 a 3 minutos.
One honest caveat: se todos os cartões de backup forem perdidos ou destruídos, não há como recuperar os fundos. Ninguém, nem mesmo a Tangem, consegue restaurar. Esse é o preço da segurança sem seed phrase. Guarde o cartão de backup em local diferente do principal: cofre, pessoa de confiança, lugar à prova de fogo.
Fresh start: quando a Tangem gera uma nova carteira, não existe seed phrase antiga para se preocupar. O ataque fica restrito ao endereço antigo. Seu novo endereço começa limpo.
Perguntas frequentes
-
Na maioria dos casos, não. Transações em blockchain são irreversíveis. Uma vez que os tokens saem da sua carteira, a recuperação é extremamente improvável. Se o invasor depositou em uma exchange conhecida, entre em contato com a plataforma — às vezes é possível congelar os fundos se ainda não saíram de lá. Caso contrário, registre o caso no IC3 ou Action Fraud e aceite a perda. Não pague por "serviços de recuperação".
-
Não. Se sua seed phrase foi comprometida, ela está queimada para sempre. As 12 ou 24 palavras podem regenerar todas as chaves e restaurar o acesso à carteira em qualquer dispositivo. Quem possui a seed controla todas as contas derivadas, permanentemente. Crie uma carteira completamente nova com seed phrase inédita em um aparelho limpo. Nunca use a seed comprometida novamente.
-
Se suspeitar de malware, como keylogger, trojan de acesso remoto ou qualquer ameaça que possa ter capturado teclas ou área de transferência, zerar o aparelho é a única opção realmente segura. Rodar antivírus é apenas uma medida parcial. Malwares sofisticados focados em cripto podem escapar da detecção. Para um dispositivo suspeito, o caminho seguro é resetar de fábrica ou reinstalar o sistema antes de voltar a usar para cripto.
-
Você pode não ter certeza absoluta. O sinal mais claro: o invasor teve controle total de todas as contas (não só de tokens aprovados), ou seja, importou a carteira em vez de explorar uma permissão isolada. Se você já tirou foto da seed phrase, salvou digitalmente no Google Drive, iCloud, e-mail, app de notas, colou em algum site ou usou em aparelho que apresentou sinais de malware depois, considere comprometida. O próprio MetaMask confirma que quem tem a Secret Recovery Phrase acessa todas as contas derivadas. Recomece do zero.
-
Comprometimento da seed phrase significa que o invasor importou sua carteira e controla todas as contas derivadas dessa seed, para sempre. No approval drain, um contrato malicioso recebeu permissão para movimentar tokens específicos. O invasor não tem suas chaves, mas pode sacar certos tokens. Approval drain é contornável: revogue permissões onde possível e mova fundos restantes. Seed queimada não tem solução: o endereço antigo fica permanentemente sob controle do invasor, não importa o aparelho.
-
Ter cuidado ajuda, mas não muda a arquitetura fundamental. A chave privada de uma carteira quente fica em um aparelho conectado à internet — esse é o ponto vulnerável. Hardware wallets mantêm as chaves isoladas, longe de hackers, phishing, malware e falhas de plataforma. O padrão é deixar apenas pequenas quantias para uso diário em carteira quente e guardar o grosso em cold storage. Após um ataque, reconstruir com segurança de hardware é a resposta estrutural correta.
