Somente para fins educacionais; não constitui recomendação nem aconselhamento de investimento. Investir pode causar perdas.
Resposta direta
Uma carteira quente usa a chave privada ou a capacidade de assinatura em um dispositivo conectado à Internet. Este artigo explica a diferença entre ambientes de chaves quentes e frios, por que convém manter apenas um pequeno saldo diário e como reduzir riscos de aprovações, phishing, malware e erros operacionais.
Hot Wallet é uma carteira cuja chave privada ou capacidade de assinatura está em um dispositivo conectado à Internet, incluindo extensões de navegador, aplicativos móveis e software de desktop. Sua vantagem é que ele pode transferir dinheiro e conectar-se a aplicativos a qualquer momento, mas o preço é que a chave privada, a interface e o processo de assinatura estão mais próximos de malware, sites de phishing e ataques remotos.
Quente e frio não são tipos de ativos, mas ambientes-chave. Se a frase mnemónica já foi gerada ou importada num celular ligado à Internet, mesmo que o telefone seja posteriormente desligado, não pode recuperar a mesma garantia de isolamento como se nunca tivesse estado ligado à Internet. Embora as contas da exchange sejam on-line e convenientes, as chaves privadas geralmente são hospedadas pela exchange. Para ser mais preciso, são contas de custódia e não equivalem a hot wallets controladas pelos próprios usuários.
Carteiras quentes também não são seguras. O software formal pode usar zonas de segurança do sistema, criptografia de senha e sandboxes de permissão; mas os dispositivos entram em contato com páginas da web, códigos QR, pranchetas, notificações e aplicativos de terceiros todos os dias, portanto a superfície de ataque é significativamente maior. A ideia apropriada é usá-lo como um porta-moedas portátil, em vez de colocar todos os seus ativos no mesmo endereço de interação frequente.
Como funciona
Quando você cria uma carteira, o software gera uma semente e deriva uma chave privada e um endereço. Quando uma transferência é iniciada, a carteira descriptografa localmente a chave privada, assina a transação e a transmite. Ao se conectar a um aplicativo DeFi, o site só consegue ver o endereço que o usuário autoriza a ser divulgado; somente após o usuário confirmar a assinatura, o site poderá obter o resultado da assinatura.
A “carteira conectada” geralmente não transfere ativos diretamente, mas as assinaturas subsequentes podem ter consequências. Assinaturas de mensagens podem ser usadas para fazer login e também autorizar pedidos ou licenças; assinaturas de transações chamarão contratos; a autorização de token permite que contratos designados transfiram tokens dentro da cota. A existência de uma janela pop-up de carteira não significa que a solicitação seja segura. Os usuários devem compreender o nome de domínio, cadeia, contrato, valor e permissões.
A senha protege apenas os arquivos criptografados no dispositivo atual. Se um programa malicioso assumir o controle do navegador após o desbloqueio da carteira, ele ainda poderá substituir endereços, induzir assinaturas ou ler a área de transferência. A frase mnemônica pode restaurar completamente a carteira em outro dispositivo. Não faz sentido alterar a senha local depois que ela vazou.
Exemplo
Supondo que o usuário tenha ativos de longo prazo no valor de 100.000 yuans, ele precisará apenas de 2.000 yuans por semana para participar de atividades na rede. Os ativos de longo prazo podem ser colocados em um endereço de custódia com menos interação, e a carteira quente retém apenas 2.000 a 5.000 yuans e uma pequena quantidade de gás. Mesmo que a carteira quente seja perdida devido à autorização de phishing, o escopo de exposição é isolado pelo saldo.
Durante um resgate, o usuário visitou um site falso em um anúncio de pesquisa e o nome de domínio tinha apenas uma letra diferente. A página primeiro pede para se conectar à carteira e depois pede para assinar uma “verificação de segurança”. A janela pop-up é na verdade uma licença de token ilimitada. Se o usuário assinar, o invasor poderá chamar o contrato de token para transferir o saldo do endereço sem uma frase mnemônica. Cancelar a conexão com o site não revogará automaticamente a autorização na rede. Você precisa ligar para o contrato de autorização na rede correspondente para reduzir o valor a zero.
Outro cenário é o envenenamento por endereço. O invasor envia uma quantidade muito pequena de tokens para o endereço do usuário, fazendo com que um endereço semelhante apareça no histórico. Na próxima vez que o usuário copiar um endereço desse histórico, ele poderá transferir 5.000 USDC para o invasor. Em vez de verificar apenas os quatro primeiros e os quatro últimos dígitos, a defesa é obter o endereço completo de uma fonte confiável, usar uma lista de endereços autorizados e testar primeiro com uma pequena quantia.
Riscos
Uma carteira quente fica exposta a malware, phishing, roubo de sessão, extensões maliciosas de navegador, permissões excessivas de contratos inteligentes, substituição da área de transferência e erro do usuário. Limite saldos e aprovações, separe carteiras por função, confira domínios e endereços de destino e prepare procedimentos para migrar ativos e revogar permissões. A carteira quente oferece conveniência, mas não substitui o armazenamento de chaves offline.
Erros comuns
Mito 1: A autorização é revogada ao se desconectar do site
A desconexão cancela apenas a sessão de front-end. A autorização na cadeia ainda existe e uma transação de revogação precisa ser submetida separadamente.
Mito 2: A carteira tem uma senha e não importa se a frase mnemônica vazou
Um invasor pode usar a frase mnemônica em outro lugar para recuperar a chave privada, ignorando completamente a senha local.
Mito 3: Assinar mensagens não afetará os ativos
Algumas mensagens podem constituir ordens, autorizações ou autorizações de login. O tipo de assinatura e o conteúdo real devem ser lidos.
Mito 4: O endereço fica permanentemente seguro após alguns testes
As cópias subsequentes ainda poderão ser substituídas por cavalos de Tróia e cada transação deverá ser verificada antes da assinatura.
Tópicos relacionados
- Carteira fria
- carteira de hardware
- Gestão de chaves privadas
- carteira criptográfica
- Autorização da carteira
Fontes oficiais
- Visão geral da tecnologia blockchain - NIST (acessado em: 20/08/2026)
- Segurança do Ethereum e prevenção de golpes - Ethereum.org (acessado em: 20/08/2026)
- ERC-20: padrão de token - Ethereum Improvement Proposals (acessado em: 20/08/2026)