O debate sobre autocustódia costuma opor pessoas que não concordam sobre o que é uma chave. Não é um recipiente, nada é guardado dentro dela, e uma carteira não contém moeda alguma. Entender isso transforma uma pergunta ideológica numa pergunta prática: a qual falha você prefere estar exposto.
Os saldos vivem no registro, não no seu aparelho. Uma chave privada é um número que permite produzir uma assinatura que a rede aceita como autorização para mover um saldo específico. Nada mais importa sobre ela. Não é uma caixa, não contém valor, e copiá-la não copia moeda alguma, copia a capacidade de assinar.
Daí decorrem duas consequências, e quase todo erro de custódia vem de ter deixado uma delas passar. Primeiro, quem obtiver a chave tem o mesmo poder que você, imediatamente e de forma irreversível, sem precisar do seu aparelho nem do seu consentimento. Segundo, perder a chave não perde as moedas em nenhum sentido físico: o saldo continua visível no registro para sempre, e ninguém, você inclusive, poderá movê-lo novamente. Esse segundo desfecho é o mais difícil de acreditar até acontecer.
Uma carteira não contém moedas. Ela contém a capacidade de autorizar o movimento delas, e essa capacidade é exclusivamente sua ou não é.
O vocabulário é disputado, os arranjos por baixo não. São três, e cada um falha de um jeito que os outros dois desconhecem.
Uma plataforma detém as chaves e credita a você um saldo nos próprios registros dela. O que você possui é um direito contra essa plataforma em vez de uma posição no registro. Isso elimina uma família inteira de erros de usuário, porque não há frase a perder e uma senha esquecida é um chamado de suporte em vez de uma perda definitiva. Em troca, introduz risco de contraparte, ou seja o risco de que a entidade detentora não consiga honrar o direito.
Você detém a chave e nenhum terceiro pode mover nem congelar o saldo. O risco de contraparte desaparece por completo e é substituído por um risco operacional que recai inteiramente sobre você: uma frase perdida, um aparelho danificado, um backup corrompido, uma assinatura aprovada sem ser lida. Nenhum desses casos tem via de recurso, e isso é o projeto, não uma falta.
Existem várias chaves e um subconjunto definido precisa assinar para que uma transação seja válida. É o único modelo em que uma chave comprometida não é perda total e uma chave perdida não é perda permanente. Custa esforço de instalação e disciplina contínua, razão pela qual é padrão em instituições e raro entre pessoas físicas que ganhariam o mesmo com ele.
As carteiras modernas derivam todas as chaves que vão usar de uma única sequência de palavras. Essa sequência não é uma senha que protege a carteira, ela é a carteira: com essas palavras, qualquer pessoa pode reconstruir todas as chaves em qualquer aparelho, em qualquer lugar, sem mais informação. O aparelho, o aplicativo e o código são comodidades colocadas por cima.
Por isso a frase nunca deve existir numa forma legível à distância. Uma foto numa galeria que sincroniza, uma nota num gerenciador de senhas, um arquivo de texto numa máquina que navega, uma mensagem enviada a si mesmo: cada uma transforma um segredo físico num segredo alcançável remotamente, que é exatamente a transformação que torna o roubo possível em escala.
O risco espelhado é o que se despacha depressa. Uma frase guardada com tanta segurança que só você alcança é uma frase que os seus herdeiros nunca alcançarão, e o registro não conhece inventário. Um backup que sobrevive ao fogo, à água, a uma mudança e à sua própria morte é um problema de projeto diferente de um backup que resiste ao roubo, e resolver apenas um dos dois é o desfecho mais frequente.
Todo plano de custódia precisa responder duas perguntas: quem consegue alcançar isto sem dever conseguir, e quem consegue alcançar isto se eu já não puder. Quase todos respondem só a primeira.
Uma carteira física guarda a chave privada dentro de um chip que se recusa a exportá-la e faz a assinatura internamente. O computador envia uma transação para assinar e recebe uma assinatura de volta, nunca a chave. Isso significa que um programa malicioso presente no computador não consegue roubar a chave nem enquanto ela está em uso, o que é uma proteção real e substancial.
Contra o que ela não protege é contra você autorizando algo que não entendeu. Se a máquina está comprometida e mostra um destino enquanto envia outro ao aparelho, a única defesa é a tela do próprio aparelho, e por isso conferir o endereço nela em vez de no computador não é cerimônia opcional. O aparelho retira o roubo de chave da lista de ameaças e deixa a fraude por aprovação intacta.
Ele também não faz nada quanto à frase. Um aparelho é um jeito de usar chaves com segurança, não um jeito de guardar o backup, e a frase gerada na instalação continua sendo o único objeto cuja perda ou roubo decide tudo. O trader que compra um aparelho e depois fotografa a folha de recuperação comprou proteção contra uma ameaça e reintroduziu a outra.
Em redes que aceitam contratos programáveis, as permissões de gasto são concedidas separadamente das transferências. Você assina uma vez para permitir que um contrato mova um token em seu nome, e essa permissão persiste até ser revogada. É o que torna possível a negociação descentralizada e é o mecanismo por trás de boa parte das perdas descritas depois como invasões.
O ataque não precisa da sua chave. Precisa de uma assinatura sua, obtida apresentando uma interface de aparência familiar num momento em que você esperava assinar alguma coisa. Depois, o saldo pode ser movido a qualquer instante, sem mais interação, razão pela qual as vítimas frequentemente relatam um roubo ocorrido dias ou semanas após a única coisa suspeita que fizeram.
As contramedidas são pouco vistosas e eficazes: revisar periodicamente as permissões vigentes e revogar o que não está mais em uso, tratar por padrão como hostil qualquer pedido de assinatura que apareça sem ser esperado, e manter as posições de longo prazo num endereço que nunca interagiu com contrato algum. Esta última não custa nada e elimina a categoria inteira.
Uma chave de API com direitos de negociação é uma autoridade de assinatura, e se comporta como tal. Ela vive num arquivo de configuração em vez de numa carteira, costuma ser criada uma vez e nunca revisada, e sobrevive a cada troca de senha e a cada aparelho novo. Comprometida, não precisa sacar nada para causar prejuízo: pode arruinar a conta negociando contra um instrumento ilíquido sem que o saldo jamais deixe a plataforma.
Três hábitos tornam isso administrável. Nunca conceder direito de saque a menos que algo realmente precise, restringir a chave aos endereços que a sua infraestrutura de fato usa, e rotacionar chaves por calendário em vez de depois de um incidente. Os traders que rodam sistemas automatizados veem isso como higiene operacional; é mais exatamente o mesmo problema de custódia em outro formato de arquivo.
Uma prova de reservas publicada estabelece algo estreito: num dado instante, um conjunto de endereços controlados pela plataforma detinha certo saldo. É genuinamente útil e é rotineiramente lida como se provasse algo mais amplo. Ela não diz nada sobre os passivos a menos que sejam atestados ao lado, nada sobre o que aconteceu entre observações, e absolutamente nada sobre qualquer data que não a medida.
As perguntas que importam são mais cinzentas e mais difíceis de resolver de fora: se os ativos de clientes estão separados dos fundos operacionais, quem pode autorizar um movimento e quantos são exigidos, o que um terceiro independente de fato examinou em vez do que lhe mostraram, e o que acontece com um direito se a entidade quebrar. Nenhuma é resolvida por um instantâneo, e uma plataforma que publica apenas o instantâneo respondeu a pergunta mais fácil da lista.
O enquadramento útil não é custódia de terceiros contra autocustódia, é separar os saldos pelo que servem. O capital de negociação precisa ser alcançável em segundos e está exposto ao risco de plataforma por definição, porque é isso que o torna negociável. As posições de longo prazo não precisam de nada disso e não deveriam estar no mesmo lugar por comodidade.
Isso dá uma forma de trabalho. Um saldo quente dimensionado pelo que você negociaria neste mês e cuja perda total seria suportável. Um saldo frio sob chaves que você controla, num endereço que nunca aprovou contrato algum, com um backup físico, testado ao menos uma vez restaurando-o, e alcançável por alguém de confiança se você não estiver. E permissões de saque, em cada plataforma e cada chave, limitadas aos endereços que você realmente usa.
A prova de um plano não é dar sensação de segurança, é você ter ensaiado a falha. Restaure a frase num aparelho reserva e confirme que ela produz os mesmos endereços. Revogue uma permissão e confirme que ela sumiu. Tente alcançar o backup como se hoje fosse o dia ruim. Um plano que nunca foi exercitado é uma crença, e crenças sobre custódia se corrigem por acontecimentos, não por argumento.
Separe os saldos por finalidade em vez de por ideologia. O que precisa ser rápido está exposto por construção; o que não precisa, jamais deveria estar.
Da capacidade de assinar. A frase de recuperação regenera todas as chaves privadas que a carteira vai usar, e são essas chaves que a rede aceita como autorização para mover um saldo inscrito no registro. Faça backup da frase e a carteira é descartável; perca a frase e o saldo fica visível para sempre sem que ninguém possa movê-lo.
Ela elimina por completo uma ameaça e deixa outra intacta. A extração da chave se torna impraticável porque a chave nunca sai do chip, mas uma assinatura que você aprova continua sendo uma assinatura, então uma transação que você foi induzido a confirmar executa normalmente. Conferir o destino na tela do próprio aparelho em vez de no computador é a parte que importa.
Isso converte um segredo físico num segredo alcançável remotamente, que é a transformação que torna o roubo possível em escala. Quem comprometer aquela conta, a partir de qualquer aparelho, obtém tudo de uma vez sem nenhum passo adicional. Guarda física em mais de um lugar, resistente a fogo e água, é a resposta comum apesar do incômodo.
Porque uma permissão de gasto é concedida separadamente de uma transferência. Uma assinatura autoriza um contrato a mover um token em seu nome, e essa autoridade persiste até ser revogada. Nada mais é pedido a você depois disso, razão pela qual a perda costuma acontecer muito depois da assinatura e parece não ter relação com ela.
Significa que um conjunto de endereços detinha um saldo num instante. Sozinha, ela não diz nada sobre passivos, nada sobre o que aconteceu entre medições, e nada sobre se os ativos de clientes estão separados dos fundos operacionais. É um dado entre vários e é rotineiramente lida como uma conclusão.
Só se você aceitar ser você mesmo todo o procedimento de recuperação. A autocustódia elimina o risco de contraparte e o substitui por um risco operacional sem serviço de atendimento e sem recurso. A abordagem sólida para a maioria dos traders é separar por finalidade: um saldo exposto dimensionado pelo que é ativamente negociado, e outro sob chaves que eles controlam.
Tratá-las como autoridades de assinatura, porque é o que são. Liste-as, apague as que nada usa, tire o direito de saque de todas as que não precisam mesmo, restrinja as demais aos endereços que os seus sistemas de fato empregam, e marque uma data para repetir. Uma chave que ninguém revisa sobrevive a todas as outras credenciais que você rotaciona.
Prevendo isso explicitamente, porque o registro não conhece inventário e nenhuma instituição vai ajudar. Uma frase que só você alcança está perdida no dia em que você não puder mais. Controle compartilhado com um limiar definido de assinaturas, ou um backup físico lacrado acompanhado de instruções confiadas a alguém que entenda do que se trata, são os dois arranjos que de fato funcionam.