Cold wallet: o guia completo, do pedaço de papel ao multisig sobre Qubes OS

Mon, 10 Aug 2026 00:00:00 +0000

Em 2023, os investigadores da Kaspersky desmontaram uma wallet de hardware Trezor comprada num mercado em linha de aparência séria. O aparelho era visualmente idêntico ao original, embalagem incluída, e funcionava normalmente. Mostrava uma série de palavras para copiar, exactamente como um verdadeiro. Só que essa série não tinha sido sorteada pelo aparelho: tinha sido escolhida de antemão pelo atacante, que só tinha de esperar que a vítima lá depositasse os seus fundos. A análise completa está publicada no blogue da Kaspersky .

Esta história resume todo o assunto. A vítima tinha comprado o produto certo, da marca certa, com as intenções certas. O que falhou não foi o material, foi o procedimento à volta dele.

Uma cold wallet não é um objecto que se compra. É um procedimento que se aplica, e o material é apenas uma peça dele.

Eis cinco níveis de segurança, do mais simples ao mais exigente. Cada um é utilizável tal como está. Em cada patamar, a mesma pergunta: o que é que o nível anterior não protegia, e esse risco diz-lhe realmente respeito?

O que é uma cold wallet, sem jargão

Uma criptomoeda não está armazenada nem no seu telemóvel nem no seu computador. Está inscrita num registo público, a blockchain, duplicado em milhares de máquinas. Esse registo associa uma quantidade de fundos a um endereço, uma longa série de caracteres que desempenha o papel de um número de conta público.

Para deslocar esses fundos, é preciso provar que se é o proprietário. Essa prova vem de um segredo que só você possui: a chave privada. Nunca se envia para lado nenhum. Serve para apor uma assinatura criptográfica sobre a ordem de pagamento, e a rede verifica que essa assinatura corresponde de facto ao endereço em causa.

Toda a segurança assenta portanto num único ponto: quem viu a chave privada.

Numa plataforma de troca, não é você. A plataforma detém as chaves, você detém uma linha na base de dados dela. Se abrir falência, se for pirateada, se um regulador congelar as contas, essa linha deixa de valer grande coisa. É esse o sentido da fórmula que circula há dez anos: não são as suas chaves, não são os seus fundos.

Numa aplicação móvel de wallet, você detém de facto a chave, mas ela foi gerada num aparelho ligado à internet e vive nesse aparelho. Um telemóvel moderno executa dezenas de milhares de linhas de código que ninguém auditou e continua exposto a falhas desconhecidas do próprio fabricante. A chave está lá em segurança enquanto nada correr mal.

Uma cold wallet, literalmente carteira fria, inverte a lógica. A chave privada é gerada num aparelho não ligado à internet, e nunca sai desse aparelho. O que circula são unicamente transacções por assinar, que entram, e transacções assinadas, que saem. Um atacante que controlasse inteiramente o seu computador ligado veria passar transacções, mas nunca a chave que as assina.

É a única distinção que conta. Todo o resto consiste em torná-la cada vez mais difícil de contornar.

Hot wallet ou cold wallet, a diferença

Uma hot wallet, carteira quente, é uma wallet cuja chave privada é gerada ou conservada num aparelho ligado à internet, o que a expõe permanentemente a um ataque à distância. Uma cold wallet gera a chave fora de linha e assina fora de linha, de tal modo que a chave privada nunca toca num aparelho ligado. A confusão mais frequente diz respeito ao papel do sistema operativo: um telemóvel equipado com uma aplicação como o MetaMask continua a ser uma hot wallet, mesmo num sistema endurecido e perfeitamente actualizado. O que conta não é a segurança geral do aparelho, é a presença de uma ligação de rede no momento preciso em que a chave serve para assinar. Endurecer um aparelho ligado reduz a probabilidade de um compromisso, mas não altera a categoria a que a wallet pertence.

O que o caso Coldcard de 2026 nos ensina

Impõe-se uma precisão antes de entrar nos patamares, e a actualidade recente torna-a impossível de contornar.

No final de Julho de 2026, o fabricante Coinkite revelou que um defeito introduzido no firmware das suas Coldcard em Março de 2021 tinha afectado a geração de certas sementes. Não se tratava de um mecanismo de recurso voluntário: um erro de integração aquando da passagem para uma nova biblioteca criptográfica fazia com que uma macro suposta desactivar o gerador de software de reserva não produzisse o efeito esperado, de tal modo que o gerador de hardware previsto era na realidade contornado a favor do gerador de software genérico da plataforma, previsível. As frases produzidas pareciam perfeitamente aleatórias, mas a sua entropia real caía, segundo as estimativas preliminares publicadas pela Coinkite, para cerca de 40 bits nos modelos Mk2 e Mk3 e cerca de 72 bits nos Mk4, Mk5 e Q, em vez dos 128 bits previstos. O dossiê técnico publicado pela Coinkite detalha o mecanismo com precisão.

A partir de 30 de Julho de 2026, em quatro vagas, os atacantes esvaziaram cerca de 1 816 bitcoins repartidos por mais de 5 200 endereços, segundo a análise da TRM Labs . Em nenhum momento precisaram de aceder aos aparelhos das vítimas, nem fisicamente nem à distância. Limitaram-se a recalcular chaves privadas que se tinham tornado suficientemente fracas para serem encontradas por força bruta.

O ponto a reter é esse. Aquelas vítimas não tinham cometido erro algum. Semente nunca partilhada, aparelho nunca ligado, cópia de segurança física irrepreensível. Nada disso serviu, porque a falha situava-se no momento da criação da chave, antes mesmo de haver o que quer que fosse a proteger.

Este caso não desqualifica nem o material Coldcard nem as wallets de hardware enquanto categoria. Trata-se de um bug preciso, corrigido por um firmware publicado logo no dia seguinte à primeira vaga, e a migração para uma nova semente continua necessária, uma vez que uma actualização não repara uma chave já gerada. Mas ilumina um limite que vale para tudo o que se segue: os cinco patamares deste artigo explicam como proteger uma chave depois de ela existir, nenhum garante por si só que ela foi correctamente gerada à partida. É esse todo o interesse das soluções abertas como o SeedSigner, descrito mais adiante, cujo código de geração é público e verificável por qualquer pessoa, ali onde um firmware fechado pode dissimular um defeito durante cinco anos.

Patamar 1: a frase semente em papel

Reter uma chave privada é impossível para um ser humano. A norma BIP39 , adoptada pela quase totalidade das wallets, contorna o problema.

A wallet sorteia um número aleatório muito grande e traduz-o para uma lista de palavras correntes retiradas de um dicionário fixo de 2048 palavras: a frase semente, ou frase de recuperação. Doze palavras correspondem a 128 bits de acaso, vinte e quatro palavras a 256 bits. A partir dessa frase, a wallet volta a derivar matematicamente todas as suas chaves privadas e todos os seus endereços.

Consequência central: a frase é a wallet. Se o seu aparelho arder, escreve as palavras em qualquer outra wallet compatível e recupera os seus fundos tal e qual. Se alguém ler essas palavras, não precisa de mais nada. Nem do seu aparelho, nem do seu código PIN.

O que torna essa frase impossível de adivinhar é a quantidade de acaso que ela contém, não o seu comprimento aparente. O mesmo raciocínio que para uma palavra-passe, detalhado no nosso artigo sobre a entropia e a ciência por detrás da sua segurança .

Na prática, anota as palavras à mão, por ordem e numeradas, num suporte que não passe por aparelho nenhum. Nunca uma fotografia, uma captura de ecrã, um ficheiro de texto, um gestor de palavras-passe sincronizado, nem um correio para si próprio. Tudo o que toca num serviço em linha retira a frase do domínio fora de linha, e a cold wallet deixa de existir.

O que este patamar não protege. O papel arde, não resiste a uma inundação, desbota, perde-se. Pode ser lido em segundos por quem abrir a gaveta errada. Sobretudo, constitui um ponto único de falha, expressão que voltará ao longo deste artigo: um único elemento cuja perda ou compromisso basta para levar tudo.

A melhoria imediata é pouco dispendiosa: gravar a frase numa cópia de segurança em metal, placa de aço inoxidável com letras gravadas ou com peças inseridas, de que a Cryptosteel e a Billfodl são os exemplos mais conhecidos. O aço sobrevive a um incêndio doméstico e a uma inundação. Isso resolve a destruição acidental, não o roubo.

Patamar 2: a wallet de hardware comercial

O patamar 1 pressupõe que gerou a frase semente algures. Se o fez numa aplicação móvel antes de a copiar, a sua frase existiu num aparelho ligado, e o papel limitou-se a guardar um segredo já exposto.

A wallet de hardware resolve esse problema na raiz. É um pequeno aparelho dedicado, sem navegador nem aplicações de terceiros, cujo único ofício é gerar a frase semente, conservá-la num chip seguro e assinar transacções. Liga-se ao seu computador, mas a chave nunca sai do chip. O computador envia uma transacção por assinar, o aparelho mostra o montante e o endereço de destino no seu próprio ecrã, você valida com um botão, ele devolve uma assinatura.

Esse ecrã é o ponto essencial, e é muitas vezes mal compreendido. Se um programa malicioso no seu PC substituir o endereço de destino no momento do envio, o ecrã do aparelho mostrará o verdadeiro destino, o do atacante. É o seu último ponto de verificação independente. É preciso lê-lo, de cada vez.

As referências são a Ledger , a Trezor e a Coldcard , esta última especializada em Bitcoin.

A vigilância sobre a proveniência

Voltamos aqui à wallet contrafeita do início deste artigo.

Compre unicamente directamente no sítio do fabricante, ou junto de um revendedor oficialmente listado por ele. Nunca num mercado generalista, nunca em segunda mão, nunca um aparelho oferecido. Entre a saída da fábrica e as suas mãos, um intermediário pode abrir um aparelho, substituir-lhe o conteúdo e voltar a fechá-lo com limpeza. À recepção, verifique o selo e a ausência de marcas de abertura, seguindo o procedimento de autenticação publicado pelo fabricante.

Retenha sobretudo a regra que por si só neutraliza o ataque mais corrente: uma wallet de hardware nova tem de o fazer gerar uma frase semente, nunca lhe deve fornecer uma já feita. Um aparelho que chega com uma frase já escrita na caixa, ou que lhe pede para introduzir uma frase fornecida, está comprometido. Sem excepção.

O que este patamar não protege. Passa agora a confiar num fabricante quanto à qualidade do seu gerador de acaso e quanto à integridade do seu firmware, o software embebido no aparelho. Esse firmware é em geral proprietário, pelo menos parcialmente, logo inverificável do seu lado. Confiança razoável, justificada para a imensa maioria das pessoas, mas confiança ainda assim. E a frase semente continua a ser um ponto único de falha.

Patamar 3: o computador dedicado air-gapped

Se não quiser confiar em fabricante nenhum, resta a possibilidade de fazer tudo por si próprio em material genérico, com programas abertos e auditados. É o princípio da máquina air-gapped, literalmente separada por uma lâmina de ar: um computador que nunca esteve nem estará ligado a uma rede.

Escolha uma máquina dedicada a este único uso. Um portátil velho serve, e um modelo sem chip sem fios integrado é o ideal.
Reinstale um sistema limpo, uma distribuição Linux corrente por exemplo, a partir de uma imagem cuja impressão criptográfica tenha verificado.
Neutralize a rede ao nível mais baixo possível. Retirar fisicamente a placa Wi-Fi, muitas vezes uma pequena placa encaixada sob uma tampa, vale mais do que desactivá-la nas definições. Nunca ligue um cabo Ethernet. Uma desactivação por software pode ser anulada por software, um componente ausente não pode anular nada.
Instale uma wallet de software de referência, Sparrow ou Electrum , transferindo o instalador por pen USB e verificando a sua assinatura.
Gere a frase semente nessa máquina, fora de linha, e guarde-a segundo o patamar 1.

Para gastar, o fluxo passa por um formato normalizado, a PSBT (Partially Signed Bitcoin Transaction), transacção parcialmente assinada. É um ficheiro que contém todo o detalhe de uma transacção, salvo a assinatura. No computador ligado, prepara a transacção e exporta esse ficheiro. Transporta-o para a máquina fora de linha por pen USB ou por código QR mostrado no ecrã e lido por uma câmara. A máquina fora de linha assina-o, você traz de volta o ficheiro assinado pelo mesmo caminho, e o computador ligado difunde-o na rede.

O único canal entre os dois mundos é um ficheiro que leva à mão. É lento, e é precisamente esse o interesse.

O que este patamar não protege. A pen USB torna-se o seu ponto fraco: é um suporte activo, capaz de introduzir código. O sistema fora de linha continua além disso a ser um sistema operativo generalista, vasto e difícil de auditar. A disciplina também conta: a tentação de ligar só uma vez aquele cabo de rede para uma actualização anula todo o dispositivo de uma só vez.

Patamar 4: o assinador DIY de código aberto, SeedSigner

O SeedSigner leva a lógica do patamar 3 até à sua conclusão: um aparelho mínimo, construído por si, cujo comportamento é verificável, e que não conserva nada.

O componente central é um Raspberry Pi Zero na versão 1.3. Esta precisão não é um pormenor, é o coração do dispositivo. O Pi Zero 1.3 não possui nem Wi-Fi nem Bluetooth ao nível do material: os chips de rádio não estão presentes na placa. Não é um Raspberry Pi 5, nem um Pi Zero W, nem um Pi Zero 2, que integram todos conectividade sem fios. A documentação oficial é explícita, é a versão 1.3 que oferece a melhor garantia de isolamento de rede.

A diferença face a uma desactivação por software é fundamental. Um Wi-Fi desactivado numa definição assenta na promessa de um programa que outro programa pode trair. Um chip nunca soldado na placa não pode ser reactivado por código nenhum, falha nenhuma, actualização armadilhada nenhuma. Deixa de confiar numa configuração, passa a constatar uma ausência física.

O resto resume-se a três peças: um ecrã WaveShare de 1,3 polegadas em 240 por 240 píxeis com os seus botões, um módulo de câmara compatível com o Pi Zero, e um cartão microSD. Menos de 50 dólares de componentes, sem qualquer soldadura.

Todas as comunicações passam por códigos QR, nos dois sentidos. A wallet ligada, o Sparrow por exemplo, mostra a PSBT sob forma de código QR, animado se a transacção for volumosa. A câmara do SeedSigner lê-o. O aparelho mostra o detalhe da transacção no seu ecrã, você valida, ele assina, e mostra por sua vez a transacção assinada em código QR, que você capta com a webcam do computador ligado. Nenhum cabo de dados, nenhuma pen USB, nenhuma rede. A luz é o único canal.

O aparelho é além disso stateless, sem estado. Nunca armazena a chave de forma permanente: a frase semente é introduzida no início de cada sessão, vive unicamente em memória viva durante a utilização, e desaparece ao desligar. O cartão microSD contém apenas o programa. Um atacante que roube o seu SeedSigner desligado rouba apenas um Raspberry Pi de quinze euros.

A contrapartida da abertura. Deixa de haver um fabricante em quem confiar, mas também deixa de haver um para garantir o que quer que seja. Antes de escrever o programa no cartão microSD, tem de verificar você mesmo a sua autenticidade. O projecto publica na sua página de releases do GitHub o ficheiro de imagem acompanhado de um manifesto e da assinatura desse manifesto. A verificação combina uma assinatura GPG, que prova que a publicação vem efectivamente dos programadores, e um controlo de impressão SHA256, que prova que o ficheiro não foi modificado desde então. Tem de ser feita antes mesmo de montar a imagem, porque alguns sistemas modificam-na na abertura e fazem falhar o controlo. Se falhar, não se grava.

Limite funcional a assinalar: o SeedSigner é um projecto Bitcoin, não cobre as outras cadeias.

Patamar 5: a VM Vault sobre Qubes OS

O patamar 3 separa dois mundos por um cabo desligado. É uma garantia que você mantém manualmente, dia após dia, e que assenta na sua disciplina.

O Qubes OS propõe outra coisa: uma separação imposta pela arquitectura do sistema. O Qubes compartimenta as suas actividades em máquinas virtuais distintas, chamadas qubes, isoladas por um hipervisor. Situámo-lo face aos outros sistemas no nosso comparativo dos sistemas operativos orientados para a segurança .

Uma VM Vault é criada sem interface de rede nenhuma. Não é uma definição cosmética: a máquina virtual não possui placa de rede virtual de todo, nenhum controlador, nenhuma pilha, nada para activar. Não tem fisicamente qualquer meio de emitir um pacote, seja qual for o código que nela se execute. É ela que detém a frase semente e executa o Sparrow fora de linha.

Uma segunda VM, essa ligada, executa o Sparrow em modo apenas de vigilância, unicamente com as chaves públicas. Vê o saldo e o histórico, sabe construir transacções, mas é incapaz de assinar uma.

A transferência faz-se exclusivamente por ficheiro, com a ferramenta interna qvm-copy. A PSBT não assinada parte da VM ligada para a Vault, a Vault assina-a, o ficheiro assinado regressa pelo mesmo mecanismo. Nenhuma rede partilhada, nenhuma pasta comum, nenhuma área de transferência automática.

Duas coisas o tornam superior a um simples PC isolado. Primeiro, o isolamento deixa de depender de si: numa máquina air-gapped clássica, o air gap é uma propriedade do seu comportamento, mantém-se enquanto ninguém ligar um cabo. Sob Qubes, o isolamento é aplicado pelo hipervisor, por baixo da VM, fora do alcance do que se executa lá dentro. Um programa malicioso que obtivesse plenos poderes na Vault continuaria a não ter material de rede nenhum para comandar. Depois, a reversibilidade: os qubes assentam em templates, e se suspeitar de um compromisso, destrói a VM e recria-a limpa em poucos minutos. Num computador dedicado, a mesma dúvida impõe uma reinstalação completa.

O que este patamar não protege. É a montagem mais sólida desta lista, e conserva exactamente a fraqueza da primeira: continua a haver uma só frase semente. Um incêndio que destrua a sua cópia de segurança, uma coacção física exercida sobre si, um erro de manipulação, e tudo se perde ou tudo é levado. O isolamento por software, por mais perfeito que seja, nada altera.

O multisig: mudar a natureza do problema

Os cinco patamares anteriores melhoram todos a mesma coisa, a protecção de um segredo único. O multisig, ou assinatura múltipla, coloca uma questão diferente: e se deixássemos de ter um segredo único?

O princípio está inscrito nas regras da rede. Em vez de associar os fundos a uma só chave, associam-se a um grupo de chaves, com um limiar. Em 2 de 3, existem três chaves e são precisas duas para gastar. Em 3 de 5, existem cinco chaves, são precisas três. Cada chave é gerada de forma independente, num aparelho diferente, idealmente de natureza diferente, e conservada num local diferente: uma Coldcard em sua casa, um SeedSigner em casa de alguém de confiança, uma chave num cofre bancário.

O que isso muda é nítido. Um assaltante que encontre uma cópia de segurança não obtém nada. Um incêndio que destrua um local não destrói os seus fundos, você reconstitui-os com as chaves restantes. Um defeito descoberto num fabricante não basta, uma vez que as suas outras chaves vêm de outro lado. Uma pessoa que o ameace fisicamente esbarra no facto de que você não pode, sozinho e no momento, produzir o que ela pede.

O ponto único de falha desaparece nas duas direcções ao mesmo tempo, contra a perda e contra o roubo. Nenhum dos patamares anteriores obtém esse resultado, incluindo a montagem Qubes.

A contrapartida é a complexidade operacional. É preciso guardar não apenas as sementes, mas também o descritor de wallet, um ficheiro que descreve a estrutura da montagem e as chaves públicas que a compõem. Sem ele, recuperar os seus fundos torna-se muito difícil mesmo com o número exigido de sementes. Um multisig mal documentado é mais perigoso do que uma wallet de hardware simples bem dominada.

As regras que valem em todos os patamares

O material ocupa o essencial das discussões, ao passo que as perdas reais vêm na maioria das vezes de outro lado.

Reparta geograficamente as suas cópias de segurança. Duas cópias da mesma semente em duas gavetas da mesma casa são apenas uma cópia perante um incêndio ou uma inundação. O risco não é só o roubo. Separe os locais, tendo presente que cada cópia suplementar melhora a sua resistência à perda e degrada a sua resistência ao roubo. É um compromisso, não uma definição óptima.

Teste com um montante pequeno. Envie o equivalente a alguns euros, verifique a recepção, depois apague a wallet e restaure-a inteiramente a partir da sua cópia de segurança. Uma recepção que funciona não prova nada sobre a restauração, e é a restauração que um dia o salvará. Uma palavra mal copiada, uma ordem invertida, uma cópia incompleta: outras tantas coisas que só se descobrem nesse momento, e mais vale descobri-lo com dez euros em jogo.

Seja discreto. A segurança técnica não tem efeito nenhum sobre a engenharia social nem sobre o roubo físico dirigido. Não mencione publicamente que detém criptomoedas, nem nas redes sociais, nem ao restaurante, nem junto de conhecidos distantes. A melhor montagem do mundo não protege alguém de quem se sabe que tem algo a tirar.

Preveja a transmissão. É o ponto mais negligenciado, e é irreversível. Uma cold wallet bem protegida é concebida para que ninguém além de si lhe aceda. Em caso de morte ou de incapacidade, essa propriedade volta-se contra os seus herdeiros e os fundos perdem-se definitivamente. Existem várias vias: uma documentação cifrada confiada a um terceiro de confiança ou depositada num notário, uma montagem multisig que inclua uma chave detida por um herdeiro, ou um dispositivo do tipo dead man switch que liberte uma informação na ausência de sinais de vida. Cada uma comporta implicações jurídicas e fiscais que variam consoante os países. Documente a intenção técnica, e faça enquadrar a implementação por um profissional do direito.

O que isto diz da abordagem da Arpokrat

O fio que atravessa estes cinco patamares não é a sofisticação crescente. É a redução progressiva do número de actores em quem tem de confiar sem poder verificar. A plataforma de troca exige uma confiança total. A wallet de hardware reduz essa confiança a um fabricante. O SeedSigner substitui-a por uma verificação que você mesmo efectua. A montagem Qubes desloca a garantia do comportamento para a arquitectura. O multisig retira-a a cada elemento tomado isoladamente.

É a lógica que governa a concepção dos nossos produtos. Uma garantia que assenta numa promessa não é uma garantia, é um compromisso. Uma garantia estrutural mantém-se mesmo quando quem a construiu muda de ideias ou recebe uma injunção. Um serviço que não detém as suas chaves não as pode entregar, seja qual for a pressão exercida: é o princípio que sustenta o Arpokrat Swap . A questão torna-se aliás mais concreta à medida que o quadro regulamentar evolui, como mostra a nossa análise das restrições europeias sobre o Monero e a Zcash previstas para 2027 .

Conclusão

Não existe um bom nível de segurança em geral. Existe um nível proporcionado ao que detém e a quem poderia razoavelmente visá-lo.

Algumas centenas de euros numa wallet de hardware comprada ao fabricante, com uma semente gravada em metal e arrumada fora do seu domicílio, constituem uma configuração perfeitamente séria. Coloca-o já acima da esmagadora maioria dos detentores de criptomoedas e protege-o dos cenários que realmente causam perdas. Ninguém precisa de um multisig sob Qubes para isso. A montagem complexa justifica-se quando a soma tornaria um ataque dirigido rentável, ou quando a sua situação atrai uma atenção particular.

A boa pergunta não é, portanto, saber até onde subir, mas qual das suas hipóteses actuais é a mais frágil. Para a maioria das pessoas, não é o material: é uma cópia de segurança única arrumada num só sítio, uma restauração nunca testada, ou uma transmissão nunca pensada. Estes três pontos não custam nada a corrigir, e contam mais do que a passagem de um patamar ao seguinte.

Frase Semente on Arpokrat