#Web3SecurityGuide

Guia de segurança Web3: análise aprofundada completa, com todas as camadas essenciais e os melhores casos reais

Camada um: configuração da carteira
Utilize uma carteira de hardware como cofre e uma carteira quente para as operações diárias, mantendo os rótulos claros
Utilize a regra dos dois dispositivos: um dispositivo limpo para o cofre e um dispositivo diário para Web3
Ative o PIN e a frase-passe, desative a assinatura cega e adicione uma lista de permissões para levantamentos, bem como um bloqueio de 24 horas para novos endereços
Nunca reutilize a mesma carteira para o cofre, airdrops, testes e operações degen
Melhor exemplo: o utilizador mantém 90% dos fundos numa carteira de hardware e 10% numa carteira quente; a carteira quente é drenada, mas o cofre permanece seguro
Outro caso: o utilizador utiliza uma carteira para tudo e perde tudo num único ataque de phishing

Camada dois: seed e chave privada
Mantenha a seed offline, gravada em metal, e nunca a guarde na cloud, no correio eletrónico, nas notas do telemóvel, no navegador ou num chat
Se o montante for elevado, divida a seed com o esquema de Shamir, teste a recuperação e mantenha as partes divididas em cofres geograficamente separados
Nunca introduza a seed num site, formulário ou aplicação, nem a mostre numa partilha de ecrã ou fotografia
Nunca armazene um ficheiro de chave privada no ambiente de trabalho ou na pasta de transferências
Melhor exemplo: o utilizador guardou a seed numa nota na cloud, a conta cloud foi alvo de phishing e todos os fundos desapareceram em minutos
Segundo caso: o utilizador escreveu a seed em papel, o papel molhou-se e perdeu-se, e não existia qualquer cópia de segurança, pelo que os fundos ficaram bloqueados para sempre

Camada três: phishing e ligações falsas
Reivindicações falsas, airdrops falsos e mensagens privadas falsas do suporte são as principais fontes de drenagem
Adicione sempre o domínio oficial aos favoritos e nunca clique numa ligação proveniente de uma mensagem privada, correio eletrónico ou faixa publicitária
Verifique o URL letra a letra e procure homógrafos, hífenes adicionais e TLDs falsos
Utilize um perfil de navegador separado para Web3, bloqueie os pop-ups, desative a ligação automática e utilize a simulação de transações
Melhor exemplo: um site falso de lançamento de tokens que parece idêntico ao verdadeiro e pede uma aprovação ilimitada, drenando a carteira com um único clique
Segundo caso: uma atualização falsa da carteira que injeta código malicioso e troca o destinatário através da área de transferência
Terceiro caso: um falso serviço de assistência que pede a instalação de uma ferramenta de acesso remoto e rouba o ficheiro do cofre da extensão

Camada quatro: aprovações e permissões
Uma aprovação ilimitada permanece ativa até ser revogada, e um atacante pode utilizá-la mais tarde
Utilize um limite reduzido e uma aprovação de utilização única, e revogue as aprovações semanalmente através de uma ferramenta de revogação
Verifique se o alvo da aprovação é um contrato e não uma EOA, e confirme a antiguidade, o número de transações e a existência de código-fonte verificado
Evite assinar permissões e transações meta que permitam ao gastador movimentar tokens sem pagar gas
Evite assinar dados tipados que não consiga ler e evite assinar hashes cegos
Melhor exemplo: o utilizador aprovou uma quantidade ilimitada de USDT para uma farm, a farm foi explorada e o atacante utilizou a aprovação aberta para drenar os USDT meses mais tarde
Segundo caso: o utilizador assinou uma permissão para obter um NFT gratuito, mas a permissão concedeu ao atacante autorização total para gastar USDC

Camada cinco: riscos dos contratos e do código
Uma auditoria não significa que algo seja seguro, mas a ausência de auditoria significa um risco elevado
Verifique o TVL, a antiguidade, o historial da equipa, o programa de recompensas por bugs, a multisig, o timelock, o proxy e a chave do proprietário
Evite forks de alto rendimento com baixa liquidez, equipa anónima, uma única chave de proprietário e uma função de emissão
Utilize uma ferramenta de simulação para pré-visualizar a alteração do saldo e o fluxo de tokens antes de assinar
Melhor exemplo: um fork que copia o código, mas adiciona uma função de emissão oculta; o programador emite tokens e vende-os
Segundo caso: um cofre que utiliza um oráculo de preços com baixa liquidez é alvo de um empréstimo flash e de manipulação de preços

Camada seis: bridges e interoperabilidade entre cadeias
Uma bridge detém uma grande reserva, sendo um alvo prioritário, e possui uma lógica complexa de retransmissores e provas
Faça primeiro uma pequena transação de teste, verifique o ID da cadeia e o formato do endereço, e aguarde a finalização
Evite bridges novas com poucas auditorias, TVL reduzido e um único validador
Melhor exemplo: uma bridge foi explorada através de uma prova falsa e o atacante emitiu um token wrapped falso, trocando-o por um ativo real
Segundo caso: o utilizador enviou os fundos para o ID de cadeia errado e para o mesmo endereço noutra cadeia, perdendo-os por não existir qualquer possibilidade de recuperação

Camada sete: segurança operacional do dispositivo e da conta
Utilize um endereço de correio eletrónico exclusivo, uma palavra-passe forte, 2FA através de uma aplicação e uma chave de hardware para inícios de sessão de elevado valor
Rode as chaves API, limite o acesso por IP, ative uma lista de permissões para levantamentos e desative a margem e os futuros se não forem utilizados
Bloqueie o dispositivo, limpe a cache, termine a sessão após a utilização, procure malware e evite ferramentas crackeadas e bots pirateados
Melhor exemplo: o trader reutilizou a mesma palavra-passe num fórum e numa plataforma de mercado; o fórum foi comprometido e a chave API foi utilizada para drenar fundos
Segundo caso: o trader instalou um bot crackeado e o bot roubou o ficheiro da chave

Camada oito: riscos sociais e humanos
Nunca partilhe publicamente os lucros e perdas, o tamanho da carteira, a seed ou a localização
Verifique a identidade da pessoa através de um segundo canal antes de enviar fundos e faça primeiro um pequeno teste
Utilize uma multisig para a tesouraria da equipa e defina o limiar, o timelock e o acesso baseado em funções
Melhor exemplo: uma tesouraria de equipa com uma única chave cujo titular desapareceu, deixando os fundos bloqueados

Camada nove: plano de recuperação
Mantenha uma carteira de reserva pronta, com uma pequena quantia para gas em cada cadeia
Se ocorrer uma drenagem, transfira rapidamente o restante para uma carteira limpa através de um RPC privado, para evitar front-running
Revogue as aprovações a partir de um dispositivo limpo, documente o hash da transação e o fluxo dos fundos, comunique o incidente à equipa e adicione um rótulo no explorador
Mantenha um registo offline das carteiras, dos contactos e dos endereços seguros

Lista de verificação diária do trader profissional

Um: verifique o domínio e o endereço do contrato na documentação oficial e no explorador
Dois: simule a transação e leia a alteração do saldo e das aprovações
Três: defina um limite reduzido e uma aprovação de utilização única
Quatro: teste primeiro com uma pequena quantia
Cinco: registe todas as ações, reveja-as semanalmente e elimine ferramentas fracas e maus hábitos

Mentalidade
A segurança é um hábito, não uma tarefa pontual
Uma higiene diária simples, aliada a hardware, aprovações limitadas, verificação, desconfiança e revogação rápida, mantém os fundos seguros
Concentre-se no processo, não na sorte, e procure um fluxo seguro e repetível