Proteger sua carteira cripto depende de poucas decisões bem tomadas, não de dezenas de ferramentas caras. Ative autenticação por aplicativo, nunca por SMS, em todas as contas que tocam dinheiro. Nunca digite, fotografe ou guarde sua seed phrase em um dispositivo conectado à internet. Mova para uma cold wallet os valores que você não movimenta no dia a dia. Use senhas únicas geradas por um gerenciador de senhas. E revise seu histórico de login pelo menos uma vez por semana. Isso cobre a maior parte do risco real de quem guarda criptomoedas. O resto deste guia explica o porquê de cada escolha e como configurar tudo na prática, sem complicação.
Quem pega sua senha ainda não pega sua conta, se houver uma segunda barreira entre o login e o acesso de fato. É isso que faz o 2FA criptomoedas tão decisivo: mesmo que sua senha apareça num leak de outro site qualquer, o invasor trava na etapa seguinte.
A diferença entre os dois não é sutil. Um código por SMS depende da operadora manter seu número vinculado ao chip — e existe uma fraude chamada SIM swap, em que o golpista transfere o número para outro aparelho e passa a receber os códigos. Um app autenticador gera o código localmente, sem depender de rede de telefonia nenhuma.
| Método | Como funciona | Principal risco | Recomendação |
|---|---|---|---|
| SMS | Código enviado por mensagem de texto | SIM swap: a operadora é enganada e o número é transferido para outro chip | Evitar como único fator |
| App autenticador (TOTP) | Código gerado localmente no celular, renovado em poucos segundos | Perda do celular sem backup configurado | Preferencial — Google Authenticator, Authy, Microsoft Authenticator |
| Chave física (FIDO2) | Dispositivo USB ou NFC que confirma o login fisicamente | Custo e necessidade de carregar o dispositivo | Indicada para quem movimenta valores altos com frequência |
Reutilizar senha entre exchange, e-mail e carteira é dar ao primeiro vazamento acesso às outras três contas de uma vez. A solução prática não é decorar senhas complexas — é parar de precisar decorar. Um gerenciador de senhas (Bitwarden e 1Password são as opções mais conhecidas) gera uma senha longa e aleatória para cada serviço e preenche automaticamente quando você precisa. Você memoriza só a senha mestre do gerenciador, e essa sim deve ser única e forte.
A seed phrase — normalmente 12 ou 24 palavras — recria sua carteira em qualquer dispositivo do mundo. Quem tem essas palavras tem seus fundos, sem precisar de senha, 2FA ou qualquer outra coisa. Por isso a regra não tem exceção: nenhuma exchange, nenhuma carteira, nenhum "suporte técnico" legítimo jamais pede sua seed phrase. Se alguém pedir, a conversa acabou ali.
Evite também os erros silenciosos: tirar print da seed, colar num arquivo de notas no computador, mandar por e-mail "só para guardar", ou fotografar e deixar a foto sincronizar com uma nuvem. Qualquer um desses hábitos transforma um dispositivo comprometido em um esvaziamento total da carteira. Os golpes que especificamente induzem a vítima a entregar a seed phrase — perfis falsos de suporte, DMs de "administradores", airdrops que pedem conexão da carteira — têm uma lista própria e detalhada no nosso guia sobre segurança em criptomoedas: golpes comuns e como evitar. Vale a leitura complementar, porque este guia aqui foca no hábito de proteção, não no golpe em si.
Uma hot wallet é qualquer carteira conectada à internet — o app da exchange, uma carteira de navegador, o aplicativo no celular. É prática para o dia a dia, mas está, por definição, exposta a qualquer vulnerabilidade da rede. Uma cold wallet (hardware wallet) gera e guarda as chaves privadas num dispositivo físico offline, que só se conecta para assinar uma transação específica. Isso não torna seus fundos "invulneráveis", mas elimina toda uma categoria de ataque remoto.
A régua prática é simples: se perder o acesso àquele valor mudaria seu mês ou seu ano, ele não devia estar só numa exchange. O que você usa para operar no curto prazo pode ficar em hot wallet; o resto vai para cold storage.
No mercado de cold wallet Brasil, os dois fabricantes mais estabelecidos continuam sendo Ledger e Trezor — mas os modelos de entrada mudaram nos últimos anos. O Ledger Nano S original foi descontinuado; o modelo de entrada atual é o Ledger Nano S Plus. O Trezor One também saiu de linha; o modelo de entrada atual é o Trezor Safe 3. Os dois ficam hoje numa faixa de preço parecida, próxima de US$ 59 nos sites oficiais dos fabricantes — mas não leve esse número como referência de reais: a cotação varia, e o certo é conferir o preço atual em BRL direto em ledger.com ou trezor.io antes de comprar. Para comparar as opções com mais profundidade, incluindo hot wallets e critérios de escolha, veja o nosso guia de melhor carteira cripto Brasil 2026.
Configurar o dispositivo costuma levar menos de uma hora: desembalar, gerar uma seed phrase nova (nunca reaproveitar uma seed antiga em dispositivo novo), anotar em papel, confirmar o backup no próprio aparelho, e só então transferir os fundos.
Phishing em cripto segue sempre o mesmo roteiro: um e-mail, DM ou anúncio parecido com o de uma exchange ou carteira real, levando a um site quase idêntico ao oficial — às vezes com uma letra trocada, um subdomínio estranho ou um caractere diferente que passa batido numa leitura rápida. Você digita login e senha ali, e a credencial vai direto para quem criou o site falso.
A defesa mais simples ainda é a mais eficaz: nunca entre numa exchange ou carteira clicando em link de e-mail, SMS ou mensagem direta. Digite o endereço você mesmo ou use um favorito salvo com antecedência, quando tinha certeza de que o site era o oficial.
Malware é o outro lado da mesma moeda — um keylogger ou spyware no seu computador captura tudo que você digita, incluindo senha e seed, sem que a tela mostre nada de anormal. Manter o sistema operacional atualizado, evitar programas piratas ou executáveis de origem desconhecida, e não acessar exchanges em computador público ou rede wi-fi aberta reduz boa parte desse risco.
Perder a seed phrase sem backup significa perder o acesso para sempre — não existe "recuperar senha" numa carteira self-custody. Por isso ela precisa existir em papel (ou numa placa metálica resistente a fogo e água, se o valor guardado justificar o investimento) em pelo menos dois locais físicos separados, como a sua casa e a casa de alguém de confiança, ou um cofre. O que nunca deve acontecer é a seed phrase viver num arquivo de texto, numa nota de celular ou numa nuvem sem criptografia aplicada por você mesmo antes do upload.
Reserve um momento fixo por semana — domingo à noite, por exemplo — para checar três coisas em cada exchange e carteira que você usa: o saldo corresponde ao esperado, não há transação ou tentativa de login que você não reconhece, e o e-mail e método de recuperação continuam sendo os seus. Para quem interage com dApps, vale também revisar as aprovações concedidas a contratos — ferramentas como o revoke.cash mostram e revogam permissões antigas esquecidas. Qualquer coisa fora do padrão já justifica trocar a senha na hora.
Carteira protegida? Falta decidir onde comprar com segurança.
Veja nosso comparativo de corretoras seguras →Não é a opção recomendada. O código por SMS depende do seu número de telefone, e existe uma fraude conhecida como SIM swap em que o golpista transfere seu número para outro chip e passa a receber os códigos. Um aplicativo autenticador (Google Authenticator, Authy) gera o código localmente, sem depender da rede da operadora, e por isso é a opção preferencial.
Hot wallet é qualquer carteira conectada à internet, como o app de uma exchange ou uma carteira de navegador — prática para o uso diário, mas exposta a vulnerabilidades online. Cold wallet é um dispositivo físico que guarda as chaves privadas offline e só se conecta para assinar uma transação específica, o que elimina boa parte dos vetores de ataque remoto.
Os dois são os modelos de entrada atuais dos respectivos fabricantes (substituindo o Ledger Nano S e o Trezor One, descontinuados) e ficam numa faixa de preço parecida. A escolha costuma depender mais da interface e do app de cada fabricante do que de diferença de segurança. Confira o preço atual em reais direto em ledger.com ou trezor.io, já que a cotação varia.
Não é recomendado. Qualquer cópia digital da seed phrase sem criptografia aplicada por você mesmo fica exposta caso a conta de e-mail, o celular ou o serviço de nuvem seja comprometido. O formato recomendado é papel (ou placa metálica) guardado fisicamente em pelo menos dois locais separados.
Uma vez por semana é suficiente na maioria dos casos: confira saldo, histórico de login e método de recuperação cadastrado. Se notar qualquer transação ou tentativa de acesso que não reconhece, troque a senha imediatamente e ative 2FA por aplicativo se ainda não tiver.
Numa exchange, sim, geralmente é possível recuperar a conta por e-mail de verificação. Numa cold wallet ou carteira self-custody, não — a seed phrase é a única forma de acesso, e perdê-la sem backup significa perder os fundos de forma permanente. Por isso o backup em papel, em mais de um local, não é opcional.
Troque a senha daquela conta imediatamente a partir de outro dispositivo, revise se o 2FA ainda está configurado para você (e não para o invasor), e transfira os fundos para uma carteira nova caso tenha digitado a seed phrase em algum momento no site suspeito. Depois disso, rode uma verificação de antivírus no dispositivo usado.