Guia de Autocustodia

Guia Definitivo de Autocustódia Para quem tem patrimônio em cripto, para quem não pode se dar ao luxo de depender de terceiros para protegê-lo. Antes de qualquer conselho: uma confissão. Existe uma conversa que tive mais vezes do que consigo contar. Ela começa sempre da mesma forma: • alguém me procura não porque algo deu errado, mas porque algo enorme está certo, e de repente o tamanho da coisa pesa. A pessoa olhou para o extrato, viu um número que levou anos para construir, e pela primeira vez pensou: e se isso desaparecer amanhã? Não por volatilidade. Por um motivo completamente fora do preço. • Por uma exchange que fecha. • Por um saque bloqueado sem aviso. • Por um herdeiro que não sabe que o patrimônio existe. Essa sensação é lucidez (só que com atraso). E o problema é ter chegado nela sem agir. A Altside existe porque vi esse padrão se repetindo. Profissionais inteligentes, empresários construídos, médicos e executivos que chegaram ao Bitcoin por conta própria, cresceram junto com ele, e nunca tiveram um interlocutor qualificado para dizer: o que você construiu é real. Agora precisa de estrutura. O maior risco do seu patrimônio em cripto hoje não é o preço cair. É você não ter as chaves. É a exchange decidir por você quando, e se, você pode sair. É a sua família não conseguir acessar o que você deixou porque ninguém documentou nada. É o risco que não aparece no gráfico. Este guia foi escrito para resolver exatamente isso: de forma sequencial, sem atalhos, com a profundidade que o tamanho do problema exige. Como usar este material? Leia do início ao fim antes de executar qualquer etapa. Cada seção foi construída sobre a anterior. Os blocos → IA ao longo do texto contêm prompts prontos para usar. Use-os para aprofundar qualquer ponto antes de tomar uma decisão. O checklist da Seção 8 é seu ponto de partida após ler este material. Saiba onde você está antes de decidir para onde vai.01. O diagnóstico O diagnóstico que você precisa fazer agora • Antes de qualquer protocolo, • Antes de qualquer hardware wallet, • Antes de qualquer recomendação: responda estas cinco perguntas com honestidade. Não são perguntas retóricas. Cada uma tem uma consequência concreta se a resposta for a errada. Pergunta 1 Se a exchange onde você tem Bitcoin fechasse amanhã, qual seria o prazo para você recuperar seus ativos? Se você não sabe a resposta com precisão, ou se a resposta é “não sei se conseguiria recuperar” você não tem Bitcoin. Você tem um crédito numa empresa privada que pode não existir amanhã. A FTX tinha certamente mais do que 1 milhão de clientes que também não sabiam a resposta quando precisaram. Pergunta 2 Você já testou o seu processo de recuperação? Ter uma seed phrase anotada num papel não é ter um backup. É ter a intenção de um backup. Backup real é aquele que foi testado: você sabe que funciona, que está legível, que está no lugar certo. A maioria das pessoas nunca testou. A maioria descobre o problema no único momento em que não pode dar ao luxo de ter um problema. Pergunta 3 Se você morresse esta semana, sua família saberia onde está o patrimônio em cripto, com meios de acessar? Não estou sendo dramático. Estou sendo matemático. Com R$1M+ em cripto sem documentação estruturada, a resposta para a maioria das famílias é não. O patrimônio existe. A família sabe que existe. Mas não existe processo para acessar. No Brasil, o inventário de cripto ainda não tem jurisprudência consolidada. Isso significa que os ativos podem simplesmente ficar inacessíveis. Pergunta 4 Sua seed phrase está armazenada de alguma forma digital: foto, nota no celular, arquivo de texto, e-mail para si mesmo? Se sim: você não tem autocustódia. Você tem o sentimento de autocustódia enquanto sua seed phrase está sincronizada no iCloud, no Google Photos ou num servidor de terceiros. Esse é o erro mais comum entre pessoas tecnicamente confiantes que acharam uma solução inteligente e criaram o pior dos riscos possíveis. Pergunta 5 Você já avaliou formalmente o risco de concentração da sua custódia? Concentração não é só ter tudo numa única exchange. É ter todas as chaves num único local físico. É ter documentação em formato que só você entende. É não ter redundância geográfica. Para um patrimônio de R$1M+, a questão não é se algum desses pontos vai falhar. É quando. Resultado do diagnóstico Se você respondeu todas as cinco com segurança total: você está no percentual mínimo de holders com estrutura real. Continue lendo para identificar o que ainda falta. Se uma ou mais respostas geraram desconforto: você está exatamente no perfil para quem este guia foi escrito. O que você vai ler nas próximas páginas vai mudar sua relação com os próprios ativos. Se alguma resposta revelou um risco ativo: seed phrase digital, sem backup testado, família sem acesso: resolva isso antes de chegar ao final. A Seção 5 tem o protocolo exato.02. Autocustódia não é opcional Por que autocustódia não é opcional Existe uma narrativa confortável que o mercado cripto brasileiro vende: • Deixar ativos em exchange é conveniente, seguro o suficiente para a maioria, e o risco é teórico. • Essa narrativa é matematicamente insustentável. • A história prova isso com uma frequência que não deixa margem para interpretação. O argumento não é filosófico. É contábil Quando você mantém Bitcoin numa exchange, você não tem Bitcoin. Você tem um direito contratual de receber Bitcoin. A exchange pode honrar ou não. A distinção importa porque esses dois ativos têm riscos radicalmente diferentes. Bitcoin tem risco de preço. Crédito numa exchange tem risco de preço mais risco de contraparte mais risco regulatório mais risco operacional mais risco de liquidez mais risco jurisdicional. Você está pagando o risco completo de ter Bitcoin, mas aceitando um ativo de qualidade inferior em troca de conveniência. Isso não é uma questão de preferência. É uma ineficiência de risco que pessoas com patrimônio significativo não podem ignorar. O que a história já ensinou, repetidamente Evento Ano Ativos afetados Recuperação Mt. Gox 2014 850.000 BTC Parcial, 10 anos depois Bitfinex hack 2016 $72M em BTC Parcial, após anos de processo QuadrigaCX 2019 $190M, chaves “perdidas” Zero Celsius Network 2022 $12B bloqueados Cents por dólar FTX / Alameda 2022 $8B desviados Investigação criminal ativa Exchanges BR (múltiplas) 2014–2023 Centenas de milhões R$ Mínima ou zero Esses não são eventos raros. • São uma falha estrutural recorrente de um modelo que coloca um intermediário privado entre você e seus ativos, sem regulação adequada, sem garantia de depósito, sem auditoria pública. O contexto brasileiro tem especificidades que ampliam o risco O Brasil teve ao menos uma dezena de exchanges que fecharam entre 2014 e 2023, algumas de forma abrupta, com clientes sem acesso aos fundos e processos judiciais que levaram anos sem resolução. A regulação brasileira de criptoativos ainda está em desenvolvimento. Isso significa que o arcabouço de proteção ao consumidor é significativamente menor do que em outras jurisdições.Além disso, exchanges internacionais como Binance operam com jurisdição legal ambígua no Brasil. Em caso de disputa, você não está necessariamente protegido pela legislação brasileira. Você pode descobrir isso no momento errado. A matemática de risco que o mercado não conta Pense assim: se a probabilidade de uma exchange específica falhar num horizonte de 10 anos for de 5%, número generosamente otimista dado o histórico, e você mantiver ativos em três exchanges diferentes, sua probabilidade de ser afetado por pelo menos uma falha está próxima de 14%. Para R$1M em ativos, esse é o risco que você está aceitando em troca de conveniência. Não é paranoia. É matemática de risco que qualquer gestor patrimonial competente aplicaria. O mercado cripto brasileiro deliberadamente evita porque o modelo de negócio das exchanges depende de você deixar seus ativos lá. A posição da Altside sobre isso Não trabalhamos para exchanges, não temos acordo comercial com nenhuma plataforma, e não ganhamos nada recomendando que você mantenha ativos em custódia de terceiros. Nossa posição é estrutural: para patrimônio significativo, autocustódia não é um recurso avançado. É o ponto de partida. Se Bitcoin é o ativo, o risco de ruína tem que ser eliminado antes de qualquer outra decisão. E risco de ruína começa na custódia.03. Conceitos para dominar Os conceitos que você precisa dominar antes de agir Você já sabe o básico de cripto. • Mas existe uma camada de compreensão abaixo do “tenho Bitcoin na exchange” que a maioria das pessoas nunca precisou acessar. Até que precisou. Esta seção cobre os mecanismos que governam a custódia, sem condescendência e sem simplificação excessiva. Chave privada: o que é e por que é tudo • Uma chave privada é um número, especificamente um número enorme (256 bits) gerado aleatoriamente. • Esse número é o que prova que você é dono de um endereço Bitcoin. Quem tem a chave privada tem o Bitcoin. Ponto. • Não importa que seu nome esteja associado a uma conta. • Não importa que você tenha ID verificado. Quem controla a chave privada controla os ativos. No item abaixo explicamos como esse número criptográfico é traduzido em uma seed hoje em dia. A analogia mais precisa não é uma senha. É o próprio dinheiro. Se eu roubar a sua carteira com dinheiro físico, o dinheiro é meu agora. Se alguém tiver sua chave privada, o Bitcoin é deles agora. Não há banco central para reverter a transação, não há chargeback, não há processo de recuperação. Chave pública e endereço: o que você pode compartilhar Da chave privada deriva-se matematicamente uma chave pública, que por sua vez gera o endereço Bitcoin que você compartilha para receber fundos. • A relação é unidirecional: da chave privada você deriva a pública, mas da chave pública você não consegue reverter para a privada. Isso é o que permite que endereços sejam compartilhados publicamente com segurança. • O importante aqui é entender que endereço e chave privada são coisas radicalmente diferentes com níveis de sensibilidade opostos: o endereço pode ser publicado; a chave privada nunca pode ser exposta a nenhum sistema conectado à internet. Seed phrase: a origem de tudo • Uma seed phrase (ou frase semente) é uma sequência de 12 ou 24 palavras que representa o segredo mestre do qual todas as suas chaves privadas são derivadas. • Ela não é um backup da sua wallet. Ela é a wallet. • Qualquer dispositivo no mundo, com qualquer software compatível com o padrão BIP-39, pode regenerar todas as suas chaves a partir dessas palavras. Isso significa duas coisas simultâneas: • Quem tiver sua seed phrase tem acesso a todos os seus ativos sem precisar do seu dispositivo, da sua senha, nem de nada mais. • E você pode perder qualquer dispositivo (Ledger, Trezor, celular, computador) e recuperar tudo com as palavras certas. • A seed phrase é, portanto, o ativo mais crítico que você possui. Não é o hardware. Não é o software. São as palavras.Tipos de carteira: onde e como as chaves ficam guardadas Tipo Como funciona Risco principal Para quem Hot wallet (software) Chaves no dispositivo conectado à internet Exposição a malware, phishing, hacks Valores pequenos, uso frequente Cold wallet (hardware) Chaves em dispositivo offline isolado Perda física do dispositivo ou seed Patrimônio de longo prazo Exchange (custódia) Você não tem as chaves: a exchange tem Falência, hack, bloqueio regulatório Negociação ativa, valores mínimos Paper wallet Chaves impressas em papel Deterioração, roubo físico, erro de geração Backup adicional em casos específicos A distinção que mais importa para este guia é entre custódia própria e custódia delegada. Em custódia própria, você tem as chaves. Em custódia delegada, você tem uma promessa. A Seção 2 mostrou o que acontece quando essa promessa não é honrada. O que é e o que não é autocustódia Autocustódia real significa que você, e só você, controla as chaves privadas dos seus ativos. Não existe intermediário entre você e o Bitcoin. Isso tem implicações práticas: • Uma cold wallet da Ledger ou Trezor conectada ao software oficial delas é autocustódia • Uma cold wallet cujas chaves foram geradas por um site na internet não é autocustódia, mesmo que o dispositivo seja físico04. O protocolo em etapa O protocolo de autocustódia em etapas O que segue não é uma lista de dicas. É um protocolo sequencial: cada etapa pressupõe que a anterior foi concluída. Não pule etapas. Não execute duas etapas ao mesmo tempo. Não improvise. Etapa 1: Decisão entre hardware wallet e software wallet • Para patrimônio acima de R$10k em cripto, a resposta é hardware wallet. Sem discussão. • A razão é simples: uma hardware wallet foi projetada com um único propósito, que é manter chaves privadas isoladas de qualquer sistema conectado. • Ela não tem navegador, não tem app store, não tem superfície de ataque para malware. • Software wallets em computador ou celular são adequadas para valores menores e transações frequentes, não para armazenamento de patrimônio de longo prazo num dispositivo que também acessa e-mail, redes sociais e aplicativos de terceiros. Como escolher uma hardware wallet A Altside não faz recomendação de marca específica, pois isso vai contra o posicionamento fee-only. Mas existem critérios objetivos para avaliação: Firmware open source ou auditado por terceiros independentes Suporte ativo da fabricante com histórico de atualizações de segurança Capacidade de recuperação sem dependência do fabricante: sua seed deve funcionar em qualquer dispositivo compatível Histórico público de resposta a vulnerabilidades. O que importa não é se encontraram falhas, mas como as trataram Compra diretamente do fabricante ou revendedor autorizado. Nunca marketplace de terceiros, nunca dispositivo usado - Alerta crítico: supply chain attack Um hardware wallet comprado em marketplace de terceiros (Amazon de vendedor genérico, Mercado Livre, AliExpress) pode ter sido adulterado antes de chegar até você. O dispositivo pode parecer novo, lacrado e funcional, e ainda assim ter firmware modificado para capturar sua seed phrase. Regra absoluta: compre sempre do site oficial do fabricante ou revendedor explicitamente autorizado por eles. Etapa 2: Configuração segura • Receba o dispositivo. Antes de ligar, verifique se a embalagem tem sinais de adulteração. Em caso de dúvida, devolva. • Ligue numa rede sem internet inicialmente. O processo de geração de seed não requer conexão. • Gere a seed phrase NO dispositivo. Nunca em site, nunca em app, nunca em computador. O dispositivo de hardware é o único lugar seguro para geração. • Anote a seed phrase manualmente, palavra por palavra, verificando cada uma. Não fotografe. Não digite em nenhum dispositivo. • Verifique: o dispositivo mostra as palavras novamente para confirmação? Se sim, confirme cada uma. Se não, o processo de configuração pode ter sido adulterado. • Configure o PIN do dispositivo. Use mínimo de 6 dígitos. Não use datas de aniversário nem sequências óbvias. • Depois de tudo configurado, resete o dispositivo e teste a recuperação da carteira que você acabou de criar, assim vc já aprende o processo se algum problema acontecer, e garante que está tudo ok • Faça uma transação de teste com valor mínimo antes de transferir qualquer quantia significativa.Etapa 3: Backup da seed phrase, o que resiste a incêndio, água e tempo Papel é inadequado para armazenar a seed phrase de um patrimônio significativo. Não porque seja impossível. É porque deteriora, queima, molha, desbota. Para R$1M+ em ativos, a seed phrase merece o mesmo tratamento que um documento legal irreplicável. O padrão recomendado pela Altside para backup físico Camada 1: Metal gravado. A seed phrase gravada ou estampada em aço inox ou titânio. Produtos como Cryptosteel, Bilodeau Cryptotag ou alternativas similares resistem a temperatura de até 1400°C e imersão completa em água. Essa é a camada primária. Camada 2: Separação geográfica. O backup nunca deve estar no mesmo local físico que o dispositivo. Em caso de incêndio ou roubo, ambos não podem ser comprometidos simultaneamente. Um cofre doméstico de alta segurança num local, o metal num segundo local distinto. O que jamais fazer com a seed phrase • Fotografar: sincroniza automaticamente para cloud • Digitar em qualquer dispositivo: keyloggers, autofill, histórico de clipboard • Enviar por e-mail ou mensagem para si mesmo: servidores de terceiros • Armazenar em gerenciador de senhas: é um segundo ponto de falha • Dizer para alguém que não precisa saber: engenharia social começa com informação • Guardar num único local sem redundância: backup único não é backup05. Como se defender de ameaças Ameaças reais e como se defender de cada uma • A autocustódia elimina o risco de contraparte, mas cria superfície de ataque diferente. • Quem tem as chaves também tem a responsabilidade de protegê-las. Esta seção cobre as ameaças que afetam o perfil do leitor deste guia, não ataques teóricos, mas vetores ativos no Brasil hoje. Ameaça 1: Phishing sofisticado • Phishing evoluiu muito além dos e-mails com erros de português. • Hoje envolve sites clonados pixel-perfect de fabricantes de hardware wallet, e-mails com domínios quase idênticos aos oficiais, e anúncios pagos no Google que aparecem antes do resultado orgânico do site legítimo. Defesa concreta: Salve nos favoritos (não pelo Google) os sites que você usa para gerenciar cripto. Nunca acesse via busca. Verifique o certificado SSL e o domínio exato antes de qualquer interação. Se um site pede sua seed phrase por qualquer motivo, é phishing. Sempre. Sem exceção. Ameaça 2: Fake wallets e apps maliciosos • Aplicativos de carteira falsos chegam às lojas oficiais (App Store, Google Play) com nomes e ícones quase idênticos aos originais. • O usuário baixa, insere a seed phrase para “recuperar” a wallet, e os ativos são drenados em minutos. Defesa concreta: Acesse o app correto APENAS pelo link do site oficial do fabricante. Nunca busque o nome do app diretamente na loja. Filtre pelo desenvolvedor verificado. Verifique a quantidade de avaliações e histórico do desenvolvedor antes de qualquer download. Ameaça 3: Engenharia social • A engenharia social funciona porque explora confiança, urgência e autoridade, não vulnerabilidade técnica. • Um “suporte técnico” da Ledger que liga dizendo que sua conta foi comprometida e precisa da seed para reverter. • Um “consultor” que oferece ajuda para configuração e pede acesso remoto. Um golpe direcionado que começa com pesquisa pública sobre você. Defesa concreta: Nenhuma empresa legítima (fabricante de hardware wallet, exchange ou consultor de cripto) precisa da sua seed phrase para qualquer finalidade. Jamais. Se alguém pede, é golpe. Desconecte e bloqueie. Ameaça 4: O erro da foto da seed • Já mencionei isso no diagnóstico, mas merece seção própria porque é o erro mais comum entre pessoas técnicas. • A lógica parece razoável: “vou fotografar para ter um backup digital além do físico”. • O problema é que fotografar no celular moderno é fotografar para o iCloud ou Google Photos, ambos sincronizam automaticamente para servidores de terceiros. Defesa concreta: O único backup digital de uma seed phrase que poderia ser considerado é um arquivo criptografado com senha forte em dispositivo air-gapped, nunca conectado à internet. Para a grande maioria dos casos, essa complexidade não vale: use metal gravado. É mais simples e mais seguro. Ameaça 5: O problema do backup único • Fazer um backup e nunca testá-lo. • Fazer um backup em papel que deteriora. • Fazer um backup num único local que pode ser comprometido. Estas são variações do mesmo erro: confundir a existência de um backup com a garantia de recuperação. Defesa concreta: Backup real é redundante, geograficamente distribuído, em formato durável, e testado. Se você não consegue imaginar três cenários de desastre simultâneos (incêndio + roubo + morte do titular) e o backup sobrevivendo a todos, o backup não é suficiente para o tamanho do patrimônio. Ameaça 6: Delegação sem estrutura • “Contei para minha esposa que tem Bitcoin numa Ledger no escritório.” Isso não é planejamento, é informação insuficiente para ação. • Em caso de emergência, a família sabe que há patrimônio mas não consegue acessar. A distância entre saber que existe e conseguir acessar é enorme quando não há documentação estruturada. Defesa concreta: A Seção 7 cobre o planejamento de herança em detalhe. O mínimo necessário: um documento selado (não a seed phrase em si) que instrui sobre a existência dos ativos, localização do dispositivo, localização do backup, e o processo passo a passo para acesso, escrito para alguém sem conhecimento técnico. 06. Nível avançado Nível avançado: para quem quer ir além Esta seção é opcional. O que segue é indicado apenas para quem tem perfil técnico para absorver complexidade adicional, situações familiares que justificam camadas extras de segurança ou necessidade específica de distribuição de controle. Em autocustódia, mais complexidade não significa automaticamente mais segurança. Qualquer camada avançada precisa ser compreendida, testada e documentada antes de ser adotada. Passphrase adicional (BIP-39 extension) A seed phrase de 12 ou 24 palavras pode receber uma 25ª palavra escolhida por você, chamada de passphrase. Ela não é armazenada no dispositivo e não faz parte do backup padrão. Sem ela, a seed phrase acessa uma wallet completamente diferente (geralmente com saldo zero, servindo como isca em caso de coerção). Risco que endereça: Roubo físico da seed phrase, coerção, ou compromisso de um dos locais de backup. Custo de implementação: Alto: se a passphrase for esquecida ou perdida, os ativos são irrecuperáveis. Requer documentação e gestão separada da passphrase, que nunca deve estar no mesmo local que a seed. Multisig: aprovação distribuída Multisig (múltipla assinatura) configura uma wallet que requer M de N assinaturas para qualquer transação, por exemplo 2 de 3 chaves. Nenhuma chave individual tem controle total. É o equivalente cripto de uma conta conjunta que exige duas assinaturas, mas com qualquer configuração de quórum. Risco que endereça: Ponto único de falha em qualquer chave individual, coerção (nenhuma chave sozinha é suficiente), e distribuição de controle para herança sem exposição completa. Custo de implementação: Significativo em complexidade operacional: cada transação requer coordenação entre os custodiantes das chaves. Para famílias ou sócios que querem controle compartilhado, pode valer. Shamir Backup (SLIP-39) Shamir Backup permite dividir a seed phrase em N partes, das quais qualquer M são suficientes para recuperação (ex: 3 de 5). Diferentemente do multisig, ainda é uma única chave, mas o backup é distribuído de forma que nenhum fragmento individual compromete o segredo. Risco que endereça: Distribuição do backup para múltiplos custódiantes sem que nenhum tenha acesso completo. Útil para planejamento de herança com múltiplos herdeiros. Custo de implementação: Moderado: requer dispositivos compatíveis com SLIP-39 (não todos os hardware wallets suportam) e gestão cuidadosa dos fragmentos. Air-gapped devices Um dispositivo air-gapped é uma carteira ou computador configurado para operar sem conexão direta com a internet. A comunicação com dispositivos conectados costuma acontecer por QR codes ou cartões SD, reduzindo alguns vetores de exposição remota. Risco que pode reduzir: ataques que dependem de conectividade direta, interações online desnecessárias e