Este guia é uma tradução do original em inglês, que é o texto de referência. Ler em inglês
Alerta de segurança (atualizado em 3 de novembro de 2026): uma falha no firmware de alguns modelos Coldcard, divulgada em julho de 2026, gerava sementes com muito menos aleatoriedade do que o previsto. A Coinkite lançou firmware corrigido para todos os modelos afetados, mas atualizar não corrige uma semente que já foi criada com o firmware vulnerável. Se você criou uma semente em uma Coldcard, leia o guia sobre quem foi afetado e o que fazer passo a passo ou use a verificação de dois minutos. Todos os avisos vigentes estão na página de avisos de segurança.
Comparativo de carteiras de hardware de 2026. Classificação dos principais modelos
O mercado de carteiras de hardware amadureceu bastante nos últimos anos. Em 2026, já há mais de uma dúzia de opções sérias de sete fabricantes: Trezor, Ledger, Coinkite (Coldcard), Blockstream, Foundation, Keystone e Shift Crypto (BitBox). Cada fabricante equilibra de um jeito a arquitetura de segurança, a facilidade de uso, as moedas compatíveis e o preço.
Comparamos doze carteiras em todas as categorias relevantes. Há opções para quem só guarda bitcoin ou tem outras moedas, para reservas modestas ou patrimônios maiores e para quem quer assinar com um dispositivo isolado da rede ou prefere conectar por USB e começar a usar. Se você nunca usou uma carteira de hardware, comece pelo Guia de compra de carteiras de hardware para entender os conceitos básicos antes de ler a tabela.
Links de afiliados: os links desta página para a BitBox02 e a Keystone 3 Pro são de afiliados (podemos receber uma comissão em BTC). Nenhum outro link da página é de afiliado. Escolhemos a BitBox02 para iniciantes e a Keystone 3 Pro para assinar transações de altcoins sem conexão quando publicamos a tabela em janeiro de 2026, meses antes de participar de qualquer um dos programas de afiliados.
Tabela comparativa completa
Os preços são os que a loja oficial de cada fabricante exibia em 3 de novembro de 2026. Salvo indicação em contrário, estão em dólares dos Estados Unidos.
| Carteira | Preço | Moedas | Conectividade | Código aberto | Elemento seguro | Assinatura sem conexão | Tela | Bateria |
|---|---|---|---|---|---|---|---|---|
| Trezor Safe 3 | US$ 59 | Bitcoin e altcoins | USB-C | Firmware e projeto de hardware (chip seguro fechado) | Optiga Trust M (EAL6+) | Não | OLED monocromática | Não |
| Trezor Safe 5 | US$ 129 | Bitcoin e altcoins | USB-C | Firmware e projeto de hardware (chip seguro fechado) | Optiga Trust M (EAL6+) | Não | Sensível ao toque, colorida | Não |
| Ledger Nano S Plus | US$ 69 | Mais de 500 no Ledger Wallet e milhares em outras carteiras | USB-C | Parcial (camada de aplicativos) | CC EAL6+ | Não | OLED monocromática | Não |
| Ledger Nano X | US$ 99 | Mais de 500 no Ledger Wallet e milhares em outras carteiras | USB-C, Bluetooth | Parcial (camada de aplicativos) | CC EAL5+ | Não | OLED monocromática | Sim |
| Ledger Flex | US$ 249 | Mais de 500 no Ledger Wallet e milhares em outras carteiras | USB-C, Bluetooth e NFC | Parcial (camada de aplicativos) | CC EAL6+ | Não | Sensível ao toque, de tinta eletrônica | Sim |
| Coldcard Mk5 | US$ 269 de tabela, US$ 219 na promoção | Só Bitcoin | USB-C, NFC e microSD | Firmware com código-fonte disponível | Duplo (ATECC608 + DS28C36B) | Sim | 1,54 polegada (Gorilla Glass) | Não (alimentação por USB-C) |
| Coldcard Q | US$ 369 de tabela, US$ 319 na promoção | Só Bitcoin | USB-C, NFC, 2 microSD e câmera (QR) | Firmware com código-fonte disponível | Duplo (ATECC608 + DS28C36B) | Sim | LCD colorida maior | Sim (3 pilhas AAA) |
| Blockstream Jade | US$ 67 | Bitcoin e Liquid | USB-C, Bluetooth e câmera | Completo (firmware e projeto de hardware) | Virtual (oráculo cego) | Sim (QR pela câmera) | LCD colorida | Sim |
| Blockstream Jade Plus | US$ 149 em plástico, US$ 169 em metal | Bitcoin e Liquid | USB-C, Bluetooth e câmera | Completo (firmware e projeto de hardware) | Virtual (oráculo cego) | Sim (QR pela câmera) | LCD colorida aprimorada | Sim |
| Keystone 3 Pro | US$ 149 (pré-venda) | Bitcoin e altcoins | Câmera (QR), microSD e USB-C (dados só com autorização) | Firmware de código aberto | Três chips (ATECC608B, DS28S60 e MAX32520) | Sim (QR) | Sensível ao toque, colorida, de 4 polegadas | Sim |
| Foundation Passport Core | Fora de linha (substituída pela Passport Prime, €388,95) | Só Bitcoin | Câmera (QR) e microSD | Completo (firmware e projeto de hardware) | ATECC608B | Sim | IPS colorida | Sim (removível) |
| BitBox02 Bitcoin-only | €149 com IVA (loja da UE) | Só Bitcoin | USB-C | Firmware (Apache 2.0) | ATECC608B | Não | OLED monocromática | Não |
Modelos mais recentes, ainda fora da classificação (atualizado em novembro de 2026)
Esses quatro modelos estão à venda, mas ainda não os testamos. Por isso, ficam fora da classificação e dos diagramas. Os dados vêm das páginas oficiais dos fabricantes, consultadas em 7 de novembro de 2026.
| Carteira | Preço | Moedas | Conectividade | Código aberto | Elemento seguro | Assinatura sem conexão | Tela |
|---|---|---|---|---|---|---|---|
| Trezor Safe 7 | US$ 249 | Bitcoin e altcoins (há uma edição só para Bitcoin) | USB-C e Bluetooth. Carregamento sem fio Qi2 | Firmware e projeto de hardware (chip OPTIGA fechado, TROPIC01 auditável) | Optiga Trust M (EAL6+) + TROPIC01 | Não | Sensível ao toque, colorida, de 2,5 polegadas |
| Ledger Nano Gen5 | US$ 179 | Bitcoin e altcoins | USB-C, Bluetooth e NFC | Parcial (camada de aplicativos) | CC EAL6+ (ST33K1M5) | Não | Sensível ao toque, de tinta eletrônica, de 2,8 polegadas |
| BitBox02 Nova | €175 (loja da UE) | Edição Bitcoin-only ou Multi | USB-C e Bluetooth (para iPhone e iPad) | Firmware de código aberto | Optiga Trust M V3 (EAL6+) | Não | OLED monocromática, frente de vidro |
| Blockstream Jade Core | US$ 99 | Bitcoin e Liquid | USB-C e Bluetooth (sem câmera) | Firmware de código aberto | Virtual (oráculo cego) | Não | LCD colorida de 1,9 polegada |
Em resumo, a Safe 7 e a Nano Gen5 acrescentam Bluetooth e telas sensíveis ao toque maiores às linhas da Trezor e da Ledger. Na Nano Gen5, o NFC serve para o cartão Recovery Key da Ledger. A BitBox02 Nova acrescenta Bluetooth para que a BitBox funcione com iPhone ou iPad. A Jade Core é uma Jade mais barata, sem câmera, por isso não assina por código QR. A Trezor apresenta a Safe 7 como a primeira carteira de hardware a usar assinaturas pós-quânticas (SLH-DSA-128) para verificar o firmware e a inicialização do dispositivo. Essas assinaturas protegem as atualizações do dispositivo. As moedas continuam protegidas pelas assinaturas do Bitcoin. A Trezor apresenta o TROPIC01, o segundo elemento seguro, como um chip que pode passar por auditoria independente.
Melhores opções por categoria
Melhor opção econômica: Blockstream Jade (US$ 67)
A Jade original custa US$ 67, um pouco mais que a Trezor Safe 3 e menos que o resto da lista. É o dispositivo mais barato da tabela que consegue assinar isolado da rede. O código é todo aberto. Tem câmera para assinar sem conexão por código QR, Bluetooth e tela colorida. O “elemento seguro virtual” usa um servidor da Blockstream, chamado oráculo cego, para descriptografar a semente. É uma solução pouco comum e tem desvantagens. Se o servidor do oráculo sair do ar de vez, você vai precisar da frase-semente para recuperar os fundos. Já deve ter um backup da frase. Por esse preço, nenhum outro dispositivo combina assinatura sem conexão, firmware de código aberto e várias formas de conexão. Se preferir a construção aprimorada e a tela maior da Jade Plus, ela custa US$ 149 em plástico ou US$ 169 em metal.
Melhor opção só para Bitcoin: Coldcard Mk5 (US$ 269 de tabela, US$ 219 na promoção)
A Coinkite substituiu a Mk4 pela Mk5 em março de 2026. A Mk5 usa a mesma linha de firmware (versão 5.6.3 para as duas em novembro de 2026), com tela Gorilla Glass de 1,54 polegada e teclado melhorado. Mantém dois elementos seguros de fabricantes diferentes, assinatura isolada da rede por microSD e NFC para aproximar o celular. O firmware nunca vai aceitar altcoins. A ideia é reduzir a superfície de ataque: quanto menos funções, menos oportunidades para falhas.
Em julho de 2026, ficou claro o limite de confiar em um único dispositivo. Uma falha no firmware enfraquecia as sementes geradas por vários modelos Coldcard, incluindo a Mk4, a Mk5 e a Q, até sair a versão corrigida. O alerta no início da página explica o que aconteceu. Atualize antes de criar uma semente: o firmware atual exige que você adicione primeiro a própria aleatoriedade. Para suas reservas, use a Coldcard como uma das chaves de uma multisig 2 de 3, com dispositivos de outros dois fabricantes.
O teclado numérico da Mk5 cumpre a função, sem luxo. Se quiser digitar com mais conforto, por US$ 100 a mais, a Coldcard Q traz teclado QWERTY completo, câmera para códigos QR e tela colorida maior. Os dois modelos têm recursos avançados como XOR de sementes, sementes temporárias e várias opções de coordenação multisig.
Melhor opção premium: em análise
A nossa recomendação era a Foundation Passport Core. A Foundation deixou de vendê-la. Agora vende a Passport Prime (€388,95 em novembro de 2026), que ainda não analisamos. Até lá, a categoria fica em aberto. Se você já tem uma Passport Core, ela continua sendo o dispositivo que descrevemos em janeiro: gabinete de alumínio usinado, bateria removível, tela IPS colorida, câmera para escanear códigos QR, firmware e projetos de hardware de código aberto e integração direta com o Envoy, o aplicativo da Foundation. O guia Carteiras de hardware de código aberto: análise de 2026 explica os princípios do hardware aberto.
Melhor opção de código aberto: Trezor Safe 5 (US$ 129)
A Trezor foi pioneira em carteiras de hardware de código aberto e publica o firmware e os projetos de hardware. A Safe 5 tem tela colorida sensível ao toque com resposta tátil, um elemento seguro EAL6+ que responde a anos de críticas pela falta do chip e compatibilidade com muitas criptomoedas. A Trezor também vende a Safe 7 (US$ 249), mais recente e de uma faixa superior. Está na tabela de modelos novos, fora da classificação até a gente testá-la. Pesquisadores de segurança independentes podem auditar o firmware e o projeto de hardware porque ambos são públicos. O projeto do chip seguro é fechado, como acontece com quase todos os elementos seguros. Se a possibilidade de auditar o código for a sua prioridade e você também guardar altcoins, a Safe 5 é a melhor opção.
Melhor opção para iniciantes: BitBox02 Bitcoin-only[#aff] (€149 com IVA, loja da UE)
A BitBox02 é a que menos exige de quem está começando. Conecte-a por USB-C, abra o BitBoxApp no computador e siga as etapas de configuração. O firmware é de código aberto, e o dispositivo tem um elemento seguro ATECC608B. O projeto simples deixa menos opções para configurar e menos margem para confusão. O firmware da edição Bitcoin-only não contém código de altcoins, por isso não assina transações dessas moedas. A engenharia suíça, o software claro e a facilidade de configuração fazem dela a opção mais fácil de recomendar como primeira carteira de hardware. No nosso curso gratuito, recomendamos a Trezor Safe 5 (US$ 129) para iniciantes. É uma ótima primeira carteira se você preferir uma tela colorida sensível ao toque. Se usar uma BitBox02, mantenha o firmware atualizado. A versão 9.26.5 (17 de agosto de 2026) trouxe “melhorias de segurança”, segundo as notas da versão da BitBox. Se o dispositivo rodar uma versão anterior, atualize pelo BitBoxApp. Os detalhes estão no nosso alerta sobre a BitBox02.
Comparação das arquiteturas de segurança
Os dispositivos protegem as chaves de maneiras diferentes. Entender as diferenças ajuda a avaliar em que você precisa confiar ao usar cada um.
Diferentes usos do elemento seguro
Há anos, o elemento seguro está no centro do debate sobre a segurança das carteiras de hardware. Veja as diferentes abordagens.
Elementos seguros dedicados e certificados (Ledger): esses dispositivos usam chips de nível bancário com certificação Common Criteria EAL5+ (Nano X) ou EAL6+ (Nano S Plus e Flex). O elemento seguro guarda as chaves e assina em um ambiente resistente a adulterações. O sistema operacional da Ledger roda os aplicativos dentro do chip. A desvantagem é que esse sistema operacional tem código fechado e não pode passar por uma auditoria completa.
Elementos seguros auxiliares (Trezor Safe 3 e Safe 5, Coldcard, BitBox02, Passport): um microcontrolador de uso geral cuida das operações principais e um chip seguro acrescenta outra camada de proteção. As Trezor usam um Infineon OPTIGA Trust M (EAL6+), e os outros dispositivos usam um ATECC608B ou similar. As Coldcard Mk5 e Q acrescentam um segundo elemento seguro de outro fabricante. O elemento seguro guarda segredos ou atesta a integridade do dispositivo, mas quem assina é o microcontrolador (MCU) principal. O firmware do MCU é público e pode passar por auditoria. O código dos chips seguros é fechado.
Elemento seguro virtual (Blockstream Jade): a Jade funciona de outra forma. Não tem um elemento seguro físico. No lugar dele, usa um protocolo de “oráculo cego”. O dispositivo guarda um segredo criptografado que é descriptografado com uma chave derivada do PIN e a ajuda do servidor da Blockstream. O servidor nunca vê suas chaves em texto claro, por isso não consegue conhecê-las. O dispositivo sozinho não consegue descriptografá-las sem o PIN correto. A desvantagem é que cada desbloqueio normal precisa do oráculo. O aplicativo do celular ou do computador entra em contato com ele em nome da Jade. Para não depender do servidor da Blockstream, você pode rodar seu próprio oráculo ou desbloquear diretamente com a frase de recuperação, por exemplo escaneando-a como um SeedQR.
O guia Riscos dos ataques de canal lateral na segurança de hardware analisa em mais detalhes as vulnerabilidades dos elementos seguros.
Verificação do firmware
Como saber se o firmware que roda no seu dispositivo é legítimo? Cada fabricante resolve isso de um jeito.
- Trezor: o firmware é totalmente de código aberto. Você pode compilá-lo a partir do código-fonte e comparar o hash do binário. O carregador de inicialização verifica as assinaturas do firmware ao iniciar o dispositivo.
- Ledger: o elemento seguro verifica a integridade do firmware. O firmware do elemento seguro é de código fechado. A Ledger lançou o Ledger Recover como recurso opcional, o que abriu um debate sobre o modelo de confiança.
- Coldcard: o código-fonte do firmware é público para leitura e compilação. A licença MIT inclui a “Commons Clause”, que proíbe a venda do software. A Coinkite chama isso de código aberto. Você pode verificar o hash do firmware que o dispositivo mostra comparando-o com os hashes publicados. Os dois elementos seguros atestam a integridade na inicialização.
- Blockstream Jade: firmware e hardware são totalmente de código aberto. As compilações reproduzíveis permitem a verificação independente.
- Foundation Passport: firmware e hardware são de código aberto. As atualizações do firmware entram por microSD, o que permite instalá-las com o dispositivo completamente isolado da rede.
- BitBox02: o firmware é de código aberto. O dispositivo usa dois chips e tem inicialização segura.
- Keystone: o firmware é de código aberto. Você pode instalar as atualizações por cartão microSD ou por USB-C se autorizar o acesso aos dados no dispositivo.
O guia Atualizações de firmware e boas práticas de segurança explica como atualizar com mais segurança.
Comparação da conectividade
A conectividade afeta tanto a praticidade quanto a segurança. Cada canal de comunicação entre o dispositivo de assinatura e um computador ou celular conectado à internet abre uma possível via de ataque.
USB (todos, exceto a Passport Core)
USB é a forma mais comum e simples de se conectar. O dispositivo se conecta diretamente ao computador e recebe os dados da transação pelo protocolo USB. É simples e rápido, mas o dispositivo de assinatura fica fisicamente conectado a um computador que pode estar comprometido. As conexões USB também trazem riscos teóricos de dados maliciosos. As carteiras de hardware de fabricantes reconhecidos implementam a comunicação USB na camada do aplicativo e expõem apenas uma parte limitada do protocolo.
Bluetooth (Ledger Nano X, Ledger Flex, Jade, Jade Plus)
O Bluetooth permite assinar sem fio a partir de um celular ou outro dispositivo móvel. É prático para fazer transações fora de casa, mas aumenta a superfície de ataque sem fio. A Ledger e a Blockstream criptografam o canal Bluetooth e o dispositivo continua exigindo confirmação física em cada transação. Na prática, o risco é baixo, mas quem é mais rigoroso com a segurança evita Bluetooth por princípio. Se usar Bluetooth, mantenha o firmware do dispositivo atualizado e emparelhe-o apenas com seu próprio celular.
Códigos QR e câmera (Jade, Jade Plus, Keystone, Coldcard Q, Passport Core)
Usar uma câmera para ler códigos QR é a referência para operar com um dispositivo isolado da rede. O dispositivo de assinatura e o programa coordenador trocam dados da transação por códigos QR na tela. Não há conexão elétrica nem sem fio entre os dois. Na Keystone, as transações de Bitcoin normalmente passam por códigos QR. A porta USB-C só carrega o dispositivo até você autorizar o acesso aos dados na tela, como numa atualização de firmware por USB ou ao assinar com uma das poucas carteiras que se conectam por USB, quase todas voltadas a outras moedas. Passport e Jade usam câmeras para escanear códigos QR na tela de um celular ou computador. A desvantagem é a velocidade: escanear vários códigos QR para uma transação grande ou complexa pode levar alguns segundos a mais que usar USB.
NFC (Coldcard Mk5, Coldcard Q, Ledger Flex)
A comunicação por campo de proximidade permite transferir dados aproximando o dispositivo de assinatura de um celular. Na Ledger Flex, o NFC serve para o cartão Recovery Key da Ledger e para usar a Flex como chave de segurança. Não serve para assinar pagamentos. A Coldcard usa NFC para exportar PSBTs (transações de Bitcoin parcialmente assinadas) e compartilhar arquivos de configuração da carteira. Você pode desativar o rádio NFC de forma permanente nas configurações da Coldcard se preferir comunicação só por microSD. O alcance do NFC é bem curto, de alguns centímetros, o que limita as possibilidades de ataque remoto.
MicroSD (Coldcard Mk5, Coldcard Q, Passport Core)
É a opção para quem quer o máximo de isolamento. Você salva os dados da transação em um cartão microSD no computador, leva o cartão até o dispositivo de assinatura, assina a transação e devolve o cartão ao computador. O dispositivo de assinatura não se conecta por cabo nem sem fio a nenhum equipamento ligado a uma rede. O processo dá mais trabalho. Para armazenamento a frio que você acessa poucas vezes, é o modelo que mais isola o dispositivo.
Compatibilidade com multisig
Se você planeja usar multisig, algo que vale a pena considerar para reservas maiores, verifique se os dispositivos escolhidos funcionam juntos. Nem todas as carteiras funcionam bem em uma multisig com dispositivos de fabricantes diferentes.
Coldcard, Passport, Keystone e BitBox02 são os dispositivos com maior compatibilidade para coordenar uma multisig. Todos aceitam o padrão multisig baseado em descritores e funcionam bem com programas coordenadores como Sparrow Wallet, Electrum ou Nunchuk. Trezor e Ledger também aceitam multisig, mas alguns aplicativos coordenadores podem exigir etapas extras.
Usar dispositivos de fabricantes diferentes na mesma multisig elimina o risco de depender de um só fornecedor. Se descobrirem uma vulnerabilidade crítica no firmware de um fabricante, as outras chaves não serão afetadas. O guia Três chaves do mesmo fabricante não fazem uma multisig explica por quê.
Para reservas de longo prazo, considere uma multisig 2 de 3 com dispositivos de três fabricantes diferentes. Você pode acrescentar uma passphrase ou fazer suas próprias jogadas de dados, mas as duas opções exigem cuidado. Faça backup da passphrase com o mesmo cuidado que dedica à semente. Se usar dados, siga nosso guia de entropia com dados, porque jogadas feitas sem cuidado enfraquecem a semente. Alguns dispositivos misturam suas jogadas com a aleatoriedade gerada pelo próprio dispositivo. Outros, como a BitBox02, usam só as jogadas no lugar dela. Guarde com cada backup de semente uma cópia do descritor da carteira, a linha de texto que registra as três chaves públicas e a regra 2 de 3. Se você perder uma chave, duas sementes sozinhas não bastam para encontrar as moedas. Nosso guia de configuração de uma multisig 2 de 3 explica todo o processo. No guia Três chaves do mesmo fabricante não fazem uma multisig, explicamos por que os fabricantes precisam ser diferentes.
Se for configurar uma multisig do zero, comece pelo guia Configurações de carteiras multisig.
Que carteira você deve comprar?
Estas perguntas ajudam mais na hora de escolher do que uma recomendação genérica.
Se você só guarda bitcoin e quer o máximo de segurança: escolha uma Coldcard Mk5, ou a Q se digitar passphrases longas. As duas são exclusivas para Bitcoin, podem operar isoladas da rede e têm o código-fonte do firmware disponível. Instale o firmware atual antes de criar uma semente. O firmware exige que você adicione primeiro a própria aleatoriedade. Antes, também incluíamos a Passport aqui. A Foundation tirou a Core de linha e ainda não avaliamos a sucessora, a Passport Prime. Para aumentar a segurança, use a Coldcard como uma das chaves de uma multisig 2 de 3, como explicamos mais abaixo.
Se você guarda bitcoin e altcoins: escolha a Trezor Safe 5 se valoriza código aberto. A Ledger Flex aceita a maior variedade de moedas e tem hardware premium. A Keystone 3 Pro[#aff] serve para assinar transações de altcoins sem conexão. Em 3 de novembro de 2026, a Keystone oferecia a 3 Pro em pré-venda, com previsão de envio entre 4 e 6 semanas depois.
Se o orçamento estiver apertado: é difícil superar a Blockstream Jade por US$ 67. Faz mais que a maioria dos dispositivos que custam o dobro.
Se quiser a configuração mais simples: escolha a BitBox02 Bitcoin-only. Conecte-a, siga as etapas no aplicativo e pronto.
Se for configurar uma multisig: combine fabricantes. Algumas combinações comuns são Coldcard + Trezor + BitBox02 ou Coldcard + Trezor + Jade. A diversidade importa mais que qualquer modelo individual. O guia Como migrar de assinatura única para multisig no Bitcoin explica toda a migração.
Se você se preocupa com ataques à cadeia de suprimentos: compre um dispositivo novo na loja oficial do fabricante. Se a loja não entregar onde você mora, compre em um revendedor indicado pelo fabricante. Em outubro de 2026, a Ledger confirmou que um dispositivo vendido pela CryptoBilis, uma revendedora autorizada, tinha um implante oculto (nosso alerta). Evite marketplaces e dispositivos usados. Dê preferência a dispositivos cujo firmware você consegue compilar de forma reproduzível. Trezor, Jade e BitBox02 oferecem os processos de compilação reproduzível mais sólidos atualmente. O guia sobre o ataque Dark Skippy explica em detalhes as ameaças no firmware.
Parte do nosso curso gratuito sobre Bitcoin: abordamos esse tema em profundidade na aula Ledger versus Trezor e outras opções: como escolher a melhor carteira de hardware do curso Carteiras de Bitcoin e autocustódia.
Perguntas frequentes
Preciso de um elemento seguro na minha carteira de hardware?
Um elemento seguro aumenta a resistência a adulterações físicas. Com isso, fica mais difícil para um atacante com acesso físico extrair suas chaves privadas por análise do consumo elétrico, sondagem eletromagnética ou remoção do encapsulamento do chip. Ainda assim, um elemento seguro não é indispensável. A Trezor One original funcionou por anos sem um, graças a um firmware sólido e aos backups da frase-semente guardados pelos usuários. A pergunta é quais ameaças preocupam você. Se você teme ataques físicos sofisticados contra o dispositivo, um elemento seguro importa. Se a principal preocupação for um ataque remoto por software, pesam mais a qualidade do firmware e a possibilidade de auditá-lo. O guia Riscos dos ataques de canal lateral analisa com mais detalhes as vias de ataque físico.
Bluetooth representa um risco de segurança em uma carteira de hardware?
O Bluetooth aumenta a superfície de ataque. Ainda assim, o risco prático é baixo quando a implementação é boa. A Ledger e a Blockstream criptografam o canal Bluetooth, e a carteira de hardware continua exigindo que você confirme cada transação no próprio dispositivo, pelos botões ou, na Ledger Flex, pela tela sensível ao toque. Um atacante que interceptasse o tráfego Bluetooth veria dados criptografados e precisaria ter acesso físico ao dispositivo para aprovar transações. O principal risco são possíveis vulnerabilidades no próprio firmware do Bluetooth. Se isso preocupar você, escolha um dispositivo sem Bluetooth ou desative o recurso nas configurações.
Devo comprar uma carteira de hardware só para Bitcoin ou uma que aceite altcoins?
Se você só guarda bitcoin, um dispositivo exclusivo para Bitcoin é mais seguro. O código de cada moeda adicional abre uma possível via de ataque. Coldcard, Passport Core e a edição Bitcoin-only da BitBox02 rodam firmware sem código de altcoins, por isso não processam transações dessas moedas. Se você também guarda altcoins, precisa de um dispositivo compatível com várias moedas, como os da Trezor, da Ledger ou da Keystone. Você também pode usar um dispositivo só para Bitcoin e outro separado para altcoins.
Qual é a importância de assinar com um dispositivo isolado da rede?
Isolar o dispositivo de assinatura significa que ele nunca tem uma conexão elétrica ou sem fio direta com um computador ligado a uma rede. O dispositivo e a carteira de software trocam dados da transação por códigos QR ou cartões microSD. Isso elimina toda uma classe de ataques nos quais um programa malicioso no computador poderia explorar a conexão USB com a carteira de hardware. Para armazenamento a frio que você acessa poucas vezes, o isolamento melhora bastante a segurança. Para os gastos do dia a dia, a dificuldade extra talvez não compense. Para a maioria dos usuários, vale um meio-termo: um dispositivo isolado da rede para armazenamento a frio e um conectado por USB para transações de rotina.
Posso combinar várias carteiras de hardware em uma multisig?
Sim. É uma das configurações mais seguras ao alcance de uma pessoa. Uma multisig 2 de 3 com três carteiras de hardware de três fabricantes diferentes obriga um atacante a comprometer dois dispositivos separados, com dois projetos de segurança diferentes, guardados em dois lugares distintos. Uma falha isolada, um roubo ou uma vulnerabilidade em um fabricante não bastam para causar perda de fundos. Algumas combinações comuns são Coldcard + Trezor + BitBox02 ou Coldcard + Trezor + Jade. As jogadas de dados e a passphrase são opcionais. Se usar esses recursos, siga nosso guia de entropia com dados e faça backup da passphrase com o mesmo cuidado que dedica a cada semente. O guia Protocolos de recuperação de multisig explica como recuperar os fundos antes de guardá-los em uma multisig.
Categoria: Carteiras e autocustódia
