Frase de recuperação e como mantê-la segura

A frase de recuperação é uma lista de palavras da qual a carteira deriva todas as suas chaves privadas. Ela também é chamada de seed phrase, frase semente, frase mnemônica ou frase secreta de recuperação. Resumindo: quem conhece a sua frase de recuperação tem controle total dos fundos daquela carteira. Por isso ela é o segredo mais importante de quem tem criptomoedas.

Como funciona

A maioria das carteiras segue um padrão chamado BIP-39. Por esse padrão, a frase de recuperação é formada por 12 ou 24 palavras escolhidas de uma lista fixa de 2.048 palavras. As palavras dessa lista foram selecionadas para serem fáceis de anotar e difíceis de confundir umas com as outras.

Por trás dos panos, a frase de recuperação é uma forma amigável de anotar um número aleatório muito grande. As chaves privadas e os endereços são derivados desse número segundo regras matemáticas rígidas. A mesma frase vai gerar as mesmas chaves em qualquer carteira compatível. Assim, se você perder o celular ou a sua carteira de hardware quebrar, dá para recuperar o acesso em um novo dispositivo.

A ordem das palavras importa. As mesmas palavras em outra ordem formam uma carteira completamente diferente. A última palavra geralmente funciona em parte como soma de verificação (checksum), então muitas vezes a carteira consegue perceber quando você digitou algo errado.

Por que ela não pode ser adivinhada

O número de frases possíveis é tão gigantesco que nenhum computador existente conseguiria testar todas. Até uma frase de 12 palavras é considerada segura, desde que a carteira a tenha gerado de forma aleatória.

Inventar a sua própria frase, por exemplo com palavras favoritas ou um trecho de música, é arriscado. As pessoas são ruins em produzir aleatoriedade de verdade, e uma frase assim é muito mais fácil de adivinhar.

Qual a diferença para uma senha

A senha ou o PIN do aplicativo de carteira só protege o acesso àquele dispositivo específico. Se você esquecer, normalmente dá para reinstalar o aplicativo e restaurar a carteira a partir da frase de recuperação.

Já a frase de recuperação não pode ser redefinida nem recuperada por e-mail. Não existe suporte que possa devolvê-la a você. Se a frase se perder e o dispositivo falhar, o acesso aos fundos acaba para sempre. Se a frase for roubada, o ladrão pode movimentar os fundos, e essa transferência não pode ser revertida na blockchain.

Como guardar

Anote à mão, no papel, assim que criar a carteira. Escreva com capricho, de forma legível, e numere as palavras.
Confira o que você anotou. Muitas carteiras pedem que você confirme algumas palavras. Não pule essa etapa.
Guarde em um lugar seguro, longe de olhares curiosos, água e fogo. Para guardar a longo prazo, algumas pessoas usam placas de metal com as palavras estampadas ou gravadas.
Considere ter um segundo backup em outro lugar seguro, para que um único evento, como incêndio, enchente ou mudança, não lhe custe o acesso.
Nada de cópias digitais. Não tire foto, não faça captura de tela nem guarde em aplicativos de notas, na nuvem, no e-mail ou em mensageiros. Tudo o que está em um dispositivo conectado à internet pode ser roubado.
Nunca digite a sua frase de recuperação em um site. O único lugar onde ela deve ser digitada é a própria carteira, durante a recuperação, e só quando você mesmo iniciou esse processo.

Algumas carteiras aceitam uma passphrase opcional, às vezes chamada de “25ª palavra”. Ela adiciona uma camada extra de proteção, mas também um risco extra: se você esquecê-la, os fundos não poderão ser recuperados nem com a frase de recuperação correta.

Como os golpistas tentam obtê-la

Quase todo roubo de frase de recuperação depende de enganação, e não de invasão hacker. As táticas mais comuns incluem:

Falsos atendentes. Alguém manda mensagem nas redes sociais ou em um aplicativo de chat dizendo representar uma exchange ou carteira e pede a sua frase para “verificar” ou “desbloquear” a conta. O suporte de verdade nunca pede isso.
Sites de phishing. Uma cópia do site de uma carteira com um formulário para “sincronizar” ou “restaurar” a sua conta.
Aplicativos falsos nas lojas de apps ou por trás de anúncios.
Sorteios e airdrops que supostamente exigem que você digite a sua frase para resgatar um prêmio.
Frases já preenchidas. Às vezes um dispositivo ou uma mensagem vem com uma frase pronta. Tudo o que for enviado para essa carteira pode ser levado por quem a criou.

A regra é simples: se alguém pedir a sua frase de recuperação, é golpe. Sem exceções.

Principais pontos

Uma frase de recuperação BIP-39 tem 12 ou 24 palavras tiradas de uma lista de 2.048.
Ela restaura todas as chaves da carteira, e a ordem das palavras importa.
Guarde-a offline, em papel ou metal, em um lugar seguro.
Nunca a compartilhe com ninguém e nunca a digite em um site.