Você pode ter a melhor carteira física do mundo e a seed gravada em aço. Mesmo assim, boa parte das perdas de Bitcoin não vem de falha técnica. Vem de gente sendo enganada. O golpista não quebra a criptografia do Bitcoin. Ele convence você a entregar a chave ou a mandar o dinheiro para o endereço errado.
Por isso este capítulo junta privacidade e golpes. Quanto menos gente sabe que você tem Bitcoin, menos você vira alvo.
Ninguém legítimo pede sua seed. Nem eu, nem o suporte de nenhuma carteira, nem corretora, nem "analista de recuperação". Se alguém pediu, é golpe. Sem exceção.
Privacidade é segurança, não esconderijo
Quero deixar claro o que é privacidade neste guia. É não expor seu patrimônio para estranhos, para não virar alvo de golpe, extorsão, sequestro ou vazamento de dados. Não é esconder patrimônio da Receita Federal ou da Justiça.
No Brasil, ter Bitcoin em autocustódia é legal. E Bitcoin deve ser declarado no Imposto de Renda, na ficha Bens e Direitos, no grupo de criptoativos. Outros países têm suas próprias regras de declaração. Você pode ser discreto com o mundo e estar 100% em dia com o fisco. As duas coisas andam juntas. Para detalhes da sua situação, confirme com um contador.
Também não existe anonimato absoluto no Bitcoin. A blockchain é pública: qualquer pessoa vê todas as transações e saldos de todos os endereços. O que protege você é que o endereço não traz seu nome. A privacidade começa a vazar quando alguém consegue ligar um endereço à sua pessoa.
Como sua privacidade vaza
KYC e vazamento de base de clientes
KYC (Know Your Customer, "conheça seu cliente") é a verificação de identidade que corretoras são obrigadas a fazer. Você manda documento, selfie, endereço. É exigência legal e cumprir é o certo. O risco é outro: empresas são hackeadas. Já aconteceram vazamentos de bases de clientes de corretoras e até de fabricantes de carteira física, com nome, e-mail, telefone e endereço residencial. Quem está nessas listas vira alvo de phishing (mensagens falsas que imitam empresas conhecidas para roubar dados ou dinheiro) e, no pior caso, de ameaça física.
O que dá para fazer: - Use um e-mail exclusivo para assuntos de Bitcoin, que você não usa em mais nada. - Ative autenticação em dois fatores (2FA) por aplicativo, não por SMS. - Quando possível, prefira receber encomendas em um endereço que não seja sua casa, como um ponto de retirada. - Parta do princípio de que seus dados de cadastro um dia vão vazar. Planeje sua segurança contando com isso.
Reuso de endereço
Carteiras sérias geram um endereço novo a cada recebimento, automaticamente. Use sempre um novo. Se você reusa o mesmo endereço e passa ele para várias pessoas, todas elas conseguem ver o saldo dele e todo o histórico. Quem te pagou uma vez fica sabendo quanto você tem ali.
UTXO, explicado de forma simples
Seu saldo não é um número único. Ele é formado por "moedas" separadas, chamadas UTXO (Unspent Transaction Output, saída de transação não gasta). Cada recebimento cria um UTXO. Se você recebeu três vezes, tem três UTXOs, como três notas na carteira.
Quando você paga alguém, a carteira junta UTXOs para cobrir o valor e devolve o troco para um endereço seu. Isso tem dois efeitos práticos:
- Privacidade: juntar UTXOs numa mesma transação mostra para o mundo que eles têm o mesmo dono. Se um veio de uma corretora com seu cadastro e outro veio de uma origem que ninguém ligava a você, agora estão ligados.
- Taxa: a taxa da rede é cobrada pelo tamanho da transação em bytes, não pelo valor enviado. Mais UTXOs na entrada significa transação maior e taxa maior.
Carteiras como Sparrow, Electrum e Nunchuk têm controle de moedas (coin control): você escolhe quais UTXOs usar e pode dar uma etiqueta a cada um ("veio da corretora X", "pagamento de cliente"). Etiquetar desde o começo ajuda muito depois.
Taxas, também de forma simples
Cada bloco tem espaço limitado. Quem paga mais por byte (sat/vB, satoshis por byte virtual) entra antes, e com a rede cheia a taxa sobe. Por isso, UTXOs muito pequenos podem custar mais para gastar do que valem. Evite receber em dezenas de pedacinhos.
Os golpes mais comuns
Seed pré-impressa na caixa
Você compra uma carteira física e dentro vem um cartão com 24 palavras "já geradas para você". É golpe. A seed tem que ser gerada pelo próprio aparelho, na sua frente, na primeira configuração. Quem imprimiu aquela seed tem acesso a tudo o que você depositar. Por isso: compre só do fabricante ou revendedor oficial, nunca usado, confira o lacre e o firmware.
Suporte falso
Você posta uma dúvida em rede social e logo aparece um "suporte oficial" no privado. Educado e rápido, no fim ele pede sua seed para "sincronizar" ou "validar" a carteira. Suporte de verdade não chama no privado e nunca pede seed. Também existem os falsos "recuperadores" que prometem devolver bitcoin roubado mediante pagamento. É o segundo golpe em cima de quem já sofreu o primeiro.
Site falso e aplicativo falso
Golpistas compram anúncios no buscador com sites idênticos aos de carteiras conhecidas. Você baixa o programa falso, digita sua seed e perde tudo. Proteção: digite o endereço do site oficial e salve nos favoritos. Baixe aplicativos só por ele. Quando o projeto publica assinatura do arquivo, verifique.
Atualização falsa de firmware
Chega um e-mail ou aparece um aviso dizendo que sua carteira precisa de atualização urgente, com um link. A atualização verdadeira vem só do aplicativo ou do site oficial do fabricante, que você acessa pelo favorito, e é confirmada na tela do próprio aparelho. Uma carteira séria nunca pede que você digite a seed no computador ou no celular para atualizar.
Phishing por e-mail depois de vazamento
Depois de um vazamento de base de clientes, chegam e-mails muito convincentes, com seu nome e até o modelo da sua carteira, dizendo que sua conta foi comprometida e que você precisa "migrar os fundos" ou "confirmar a seed". Saber seu nome e o que você comprou não prova nada. Não clique. Vá ao site oficial pelo favorito.
Envenenamento de endereço (address poisoning)
O golpista olha seu histórico público e cria um endereço que começa e termina com os mesmos caracteres de um endereço que você usa. Depois manda um valor minúsculo para você a partir dele, para que esse endereço apareça no seu histórico. Na próxima vez que você for copiar "aquele endereço de sempre" do histórico, pode copiar o falso. O golpe é mais comum em outras redes, mas também acontece no Bitcoin.
Proteção: nunca copie endereço do histórico de transações. Pegue o endereço direto da fonte, a cada vez, e confira ele inteiro, não só o começo e o fim.
Malware que troca o endereço na área de transferência
Existe vírus que fica vigiando a área de transferência do computador ou do celular. Quando você copia um endereço de Bitcoin, ele troca por um endereço do golpista. Você cola sem perceber.
A defesa mais forte é a carteira física: ela mostra o endereço de destino na tela dela, que o vírus do computador não controla. Confira na tela do aparelho, caractere por caractere, antes de confirmar. O mesmo vale para receber: confira na tela da carteira física que o endereço é o mesmo que você vai passar para quem vai te pagar.
Discrição no dia a dia
A informação mais perigosa é "aquela pessoa tem muito Bitcoin". Algumas regras que sigo e recomendo:
- Não conte quanto você tem. Nem para amigos, nem em grupo, nem em rede social.
- Não poste print de saldo, de carteira ou de transação.
- Não use roupa, adesivo ou placa de carro que grite "tenho cripto".
- Não fale de valores em lugares públicos.
- Se você é conhecido por falar de Bitcoin, use passphrase e uma carteira de distração, como vimos no capítulo Passphrase e segurança contra coação.
Checklist
- Uso um e-mail exclusivo para assuntos de Bitcoin, com 2FA por aplicativo.
- Gero um endereço novo a cada recebimento e nunca copio endereço do histórico.
- Confiro o endereço inteiro na tela da carteira física antes de enviar ou receber.
- Só baixo carteira e firmware pelo site oficial, salvo nos favoritos.
- Sei que ninguém legítimo pede minha seed e não respondo "suporte" no privado.
- Etiqueto meus UTXOs e entendo que juntá-los liga suas origens.
- Não divulgo quanto tenho e meu Bitcoin está declarado no Imposto de Renda.