Guia de OpSec

O que pode dar errado

Segurança não é ter tudo. É saber do que você está se protegendo. Para quem guarda a própria seed, os riscos reais são seis:

A INOXKEY cuida do primeiro. As próximas seções cuidam dos outros cinco.

O melhor cofre é ninguém saber que existe

• Não conte quanto você tem. Nem para amigos, nem em grupo, nem por brincadeira. Quem sabe que você tem bitcoin vira um risco, mesmo sem querer.
• Não poste prints de saldo, de carteira, de hardware wallet ou da sua INOXKEY. Fotos carregam fundo, reflexo e localização.
• Cuidado com o que você veste e diz em público. Camiseta, adesivo no carro e conversa em evento contam uma história.
• Pense no endereço de entrega. Vazamentos de bases de clientes já expuseram nomes e endereços de compradores de carteiras. Por isso coletamos o mínimo, enviamos sem marca por fora e aceitamos Bitcoin.

Um lugar que você controla, longe das outras peças

Não existe lugar perfeito. Existe o lugar que combina com a sua vida. Algumas regras valem para todos:

• Longe da passphrase. Sempre. Quem encontra só uma das duas não abre nada.
• Longe da wordlist impressa. Ela é pública e não é segredo, mas junto da peça entrega o que a peça é.
• Fora da gaveta óbvia. Mesa de cabeceira, cofre de hotel e caixa de documentos são os primeiros lugares que alguém revista.
• Num lugar que não muda de dono sem você saber. Casa alugada, imóvel à venda e obra em andamento são riscos de perda.
• Com dois módulos, dois endereços. No INOXKEY 24, cada módulo sozinho não abre nada.

Uma passphrase que você nunca vai errar

A passphrase é uma palavra extra que você escolhe e que transforma a mesma seed numa carteira completamente diferente. Ela protege você se alguém encontrar a INOXKEY. Mas tem um lado perigoso: se você digitar uma letra diferente, abre outra carteira, vazia, sem nenhum aviso de erro. É o erro mais comum e mais caro do mundo cripto.

Como criar

• Só letras minúsculas sem acento e números, sem espaço e sem pontuação. Maiúscula, acento, espaço e símbolo são onde as pessoas erram, e cada carteira pode tratá-los de um jeito.
• De 4 a 6 palavras sorteadas, emendadas. Por exemplo, o formato sapatonuvemtrigofarol (não use este). É longa para quem tenta adivinhar e fácil para você lembrar.
• Nada que esteja na internet: frase de música, de filme, nome de filho com data de nascimento.
• Anote a passphrase exata e guarde longe da INOXKEY. Memória não é backup.

Como testar antes de confiar

1. Crie a carteira com seed e passphrase.
2. Anote o primeiro endereço de recebimento.
3. Apague a carteira do aparelho.
4. Restaure digitando de novo a seed e a passphrase, sem copiar e colar.
5. Confira se o primeiro endereço é exatamente o mesmo. Só então envie valores.

Para os passos de geração em ambiente isolado, veja o guia gerar sua seed offline.

Carteira-isca: o que mostrar se alguém obrigar você

A mesma seed abre duas carteiras: uma sem passphrase e outra com passphrase. Isso permite montar uma isca.

• Na carteira sem passphrase, deixe um valor pequeno, mas que pareça real para quem vê.
• A carteira de verdade fica atrás da passphrase.
• Movimente a isca de vez em quando, para ela parecer usada.
• Não comente que ela existe. Uma isca só funciona se ninguém souber que é isca.

Quem pede a sua seed é golpista. Sempre.

Nenhuma empresa séria pede a seed: nem a INOXKEY, nem fabricante de carteira, nem exchange, nem suporte de aplicativo. Os golpes mais comuns:

• Suporte falso no Telegram, Discord, WhatsApp ou Instagram, que aparece logo depois que você pergunta algo em público.
• Site falso de carteira, no topo de uma busca patrocinada, idêntico ao verdadeiro.
• “Validação”, “sincronização” ou “migração” de carteira, por e-mail, SMS ou até carta pelo correio, com prazo e ameaça de bloqueio.
• Airdrop ou bônus que pede para conectar a carteira ou digitar as palavras.
• Recuperação de fundos perdidos ou roubados mediante pagamento. Não existe.

Regra prática: a seed só é digitada numa hardware wallet ou num computador desconectado da internet. Se a tela pede as palavras num navegador ou num aplicativo conectado, pare.

Quem fica precisa saber quatro coisas

1. Que existe. Bitcoin que ninguém sabe que existe está perdido.
2. Onde está. A INOXKEY e, se houver, o segundo módulo.
3. Como ler. O manual é público e o cartão com QR code que vem no kit leva até ele.
4. A passphrase, ou como chegar nela.

Deixe uma carta que explique o que é a peça e onde está o manual, sem as palavras. As dicas de setup do guia gerar sua seed offline mostram formas de entregar a passphrase só no momento certo, como o Gerenciador de Contas Inativas do Google e o mapa do tesouro.

Uma vez por ano, confira

• A INOXKEY está onde você acha que está
• Você ainda lembra a passphrase, ou sabe onde ela está
• Você fez o teste de recuperação depois de gravar, e ele bateu
• Nada mudou na sua vida que afete o esconderijo: mudança, reforma, separação
• Quem deve herdar ainda sabe as quatro coisas acima
• Você não contou a mais ninguém do que deveria