Como guardar a frase-semente e a chave privada

Na primeira vez que copiei uma frase-semente, fiquei alguns segundos encarando aquelas 12 palavras: é só isso? Uma fileira de palavras comuns em inglês — e é ela o comprovante de todos os ativos. Com o tempo, vendo caso atrás de caso, entendi uma coisa: quando um iniciante se dá mal, em nove de cada dez vezes não foi o mercado — foi a guarda dessas palavras. Guardou no lugar errado, tirou um print sem pensar, entregou numa conversa. Este artigo trata de um único assunto: como guardar e usar a frase-semente e a chave privada para que sua carteira não amanheça zerada.

O que são, afinal, frase-semente e chave privada

Primeiro, os dois nomes. A chave privada é uma sequência longa de caracteres que, matematicamente, controla os ativos de um endereço — quem a possui consegue assinar e transferir o dinheiro daquele endereço. Só que uma chave privada é longa e caótica, difícil de copiar e impossível de memorizar. Daí a frase-semente (ou seed phrase): a chave codificada, por uma regra fixa, em 12 ou 24 palavras comuns em inglês, feitas para serem escritas à mão. Nas carteiras modernas, a estrutura padrão é "um conjunto de palavras deriva todos os endereços e chaves privadas" — ou seja, aquela fileira de palavras costuma ser a chave-mestra da carteira inteira. Chame de chave privada ou de frase-semente, para você o significado é o mesmo: ela é o comprovante em si, não uma senha. Senha errada se troca, se recupera; frase-semente não tem "recuperar" — ela é o original da chave.

Por que ela equivale aos próprios ativos

Criptoativos funcionam de um jeito bem diferente do banco. No banco, a titularidade da conta está registrada no sistema: você prova quem é e movimenta o dinheiro, bloqueia o cartão, pede ao atendente para reverter uma operação. Na blockchain não existe isso: a posse do ativo é definida exclusivamente por quem consegue assinar com a chave privada — não há instituição central para decidir por você, nem botão de "bloquear por perda".

Disso decorrem duas consequências. Primeira: quem pegar a frase-semente pode transferir tudo imediatamente, sem a sua senha, seu rosto ou seu código de SMS — para o protocolo, quem assina é o dono legítimo. Segunda: o que saiu dificilmente volta; transferência confirmada na blockchain é definitiva. É daí que vem o ditado: not your keys, not your coins — se a chave não está com você, a moeda não é bem sua. Por isso o tratamento da frase-semente precisa ser diferente do de qualquer senha: não há margem de erro, não há reversão, não há suporte de plantão. Melhor dez vezes o trabalho do que uma vez a pressa.

O que nunca, em hipótese alguma, fazer

Começo pelo "não faça", porque a imensa maioria das perdas nasce destes movimentos. Leve cada linha a sério:

• Nunca fotografar, capturar a tela ou salvar na galeria. A galeria do celular costuma sincronizar sozinha com a nuvem — na prática, é subir a frase-semente para a internet. Conta de nuvem invadida ou aparelho comprometido, e as palavras vazam junto.
• Nunca usar backup em nuvem. Nota na nuvem, drive, bloco de notas sincronizado, "mensagens salvas" de aplicativo de conversa: tudo isso é armazenamento conectado. A conveniência deles é exatamente o problema.
• Nunca enviar a ninguém — nem a si mesmo. WhatsApp, e-mail, mensagem direta: qualquer canal que tire as palavras do dispositivo está descartado, inclusive o inocente "vou me mandar uma cópia".
• Nunca digitar em site ou app desconhecido. Página que pede para "importar a frase-semente para verificar identidade / receber airdrop / desbloquear a conta" é phishing até prova em contrário; carteira séria importa a frase apenas localmente, nunca por página web.
• Nunca contar a nenhum "suporte", "técnico" ou "administrador de grupo". Nenhuma parte legítima precisa da sua frase-semente para ajudar você. Quem pede é golpista.

O ponto em comum de todas as linhas: no instante em que a frase-semente sai do estado "offline e só você sabe", o risco se multiplica. Para a proteção do dispositivo e da conta como um todo, leia junto o manual completo de segurança da conta e dos ativos.

Backup offline: papel, metal e locais separados

Dito o que não fazer, vamos ao que fazer. A ideia central cabe em duas palavras: offline e redundante — nada de rede, e nada de cópia única num lugar só.

Papel ou metal, à mão em vez de impressora

O método mais confiável é copiar a frase à mão em papel: letra legível, ordem correta e, ao terminar, conferência palavra por palavra. Impressora não é boa ideia (histórico de impressão e cache podem deixar rastro). Para valores maiores ou guarda de longo prazo, considere uma placa de metal para frase-semente: aguenta fogo, água e umidade bem melhor que o papel.

Locais separados: nenhum acidente único leva tudo

Uma única cópia na gaveta parece segura, mas é frágil: um incêndio, uma infiltração, uma mudança de casa e acabou. O arranjo mais sólido é fazer duas ou três cópias e distribuí-las em locais seguros diferentes, de modo que nenhum acidente isolado zere tudo — e esses locais precisam proteger contra fogo, umidade e olhares curiosos. Quem quiser subir um degrau pode estudar duas técnicas: dividir a frase em partes (só o conjunto completo restaura a carteira) ou usar multiassinatura (várias chaves precisam autorizar juntas), de forma que uma cópia encontrada por alguém não movimente nada sozinha. Para entender as diferenças entre os formatos de carteira, vale a leitura de quais tipos de carteira existem.

Falso suporte e engenharia social: como reconhecer

Com a parte técnica resolvida, sobra o risco mais traiçoeiro: o golpista que não ataca o seu aparelho, e sim você — o objetivo é fazer você entregar as palavras por conta própria. É a engenharia social, e os formatos mais comuns são:

• Falso suporte / falso oficial: contato por mensagem privada, ligação ou "funcionário" de grupo, alegando "conta com anomalia", "precisamos validar sua identidade" ou "vamos desbloquear para você", pedindo a frase-semente ou induzindo você a digitá-la em alguma página. Regra de ferro: o oficial de verdade jamais pede frase-semente ou chave privada.
• Página falsa de "verificação / sincronização": imita o site da carteira ou um aviso de atualização e pede "importe a frase-semente para verificar / restaurar". Importação legítima acontece só dentro do app, localmente — nunca via página web.
• Airdrop falso e indução de autorização: dizem que você recebeu um airdrop e pedem para "conectar a carteira e assinar para resgatar"; certas assinaturas de aparência inofensiva na verdade autorizam a transferência dos seus ativos. Diante de campanha de origem desconhecida, o seguro é não conectar, não assinar, não preencher.
• Fabricação de urgência: "sua conta será congelada em 10 minutos", "restam poucas vagas" — apressar você e não deixar tempo para verificar com calma é a marca registrada da engenharia social.

O critério é um só: se alguém chegou até você por iniciativa própria, fabricou urgência e o desfecho aponta para "entregue a frase-semente" ou "assine a autorização", pare, saia da conversa e da página, e verifique tudo de novo a partir do endereço oficial que você mesmo salvou. As variações são muitas — vale ler golpes e phishing mais comuns para conhecer o catálogo completo.

Custódia ou guarda própria: como decidir

Chegando até aqui, é natural pensar: se a guarda própria dá tanta chance de erro, não é mais simples deixar tudo na corretora e nunca tocar em frase-semente? Essa é a escolha entre custódia e guarda própria — e não tem resposta única; é uma troca entre dois tipos de risco.

• Custódia da corretora: a plataforma guarda a chave privada por você; senha esquecida se recupera com verificação de identidade. Baixa barreira, pouca preocupação. O preço: você assume o risco da plataforma e o de invasão da conta, e o controle final não está nas suas mãos.
• Guarda própria: a frase-semente fica com você, e ninguém pode congelar seus ativos. O preço: toda a responsabilidade também é sua — frase perdida praticamente não se recupera, erro de operação não se desfaz.

Para a maioria das pessoas, a resposta prática não é escolher um lado, e sim dividir em camadas: o valor pequeno que gira no dia a dia fica na corretora ou numa carteira quente — se perder, incomoda mas não derruba; o valor grande que não se move vai para armazenamento frio sob guarda própria. Assim você mantém a praticidade e deixa a parte principal fora de alcance. A estratégia completa da camada de conta está no manual de segurança da conta.

Perdeu ou vazou? Faça isto agora

Se você suspeita que a frase-semente foi vista, fotografada ou capturada por alguém — ou não tem certeza se digitou em alguma página duvidosa — primeiro, a verdade: ativos transferidos na blockchain em geral não voltam. Os passos abaixo servem para conter a perda e preservar provas, não para garantir recuperação. Mas quanto mais rápido você agir, maior a chance de reduzir o estrago.

1. Trate a frase como já comprometida. Não perca tempo debatendo "será que vazou mesmo"; havendo suspeita razoável, aja como se sim. Não aposte.
2. Crie uma carteira nova em um dispositivo limpo, gerando uma frase-semente e endereços novos em folha, jamais expostos.
3. Transfira os ativos o quanto antes. Mova o que ainda não foi levado para o endereço novo; com valores altos, comece pela parte mais crítica. E confira rede e endereço com atenção — não cometa um segundo erro no meio da pressa.
4. Preserve as evidências. Capture registros anormais, e-mails, mensagens e conversas suspeitas, hashes das transações envolvidas — útil para contestação, boletim de ocorrência e rastreamento.
5. Aposente a frase antiga em definitivo, backups incluídos. E investigue a origem do vazamento — print antigo, página preenchida, aparelho infectado: sem achar a causa, o erro se repete.

Se o que vazou foi a senha da conta na corretora, e não a frase da sua carteira, a ordem muda um pouco (congelar, trocar senha, redefinir 2FA, derrubar sessões) — a seção de emergência do manual de segurança da conta detalha o passo a passo.

Perguntas frequentes

Qual é a diferença entre frase-semente e chave privada?

A chave privada é a sequência longa que controla os ativos de um endereço; a frase-semente é essa chave codificada em 12 ou 24 palavras em inglês, no formato que uma pessoa consegue anotar. Na maioria das carteiras, um conjunto de palavras deriva todos os endereços e chaves. O cuidado é o mesmo: quem a tiver movimenta todos os ativos, sem verificação adicional.

Posso guardar a frase-semente na galeria do celular ou em nota na nuvem?

Não é recomendado. Fotografar, capturar a tela, salvar na galeria ou em nota na nuvem, ou enviar para si mesmo por WhatsApp ou e-mail transforma a frase em dado conectado; basta a galeria sincronizar ou o aparelho ser invadido para vazar. O mais seguro é copiar à mão em papel ou metal, guardar em locais separados e nunca conectar.

Suspeito que minha frase-semente vazou. O que faço?

Trate-a como já comprometida: em um dispositivo limpo, crie na hora uma carteira nova, nunca exposta, e transfira para lá o que ainda não foi levado — com valores altos, a parte mais crítica primeiro. Transferência na blockchain não tem volta, então aja rápido, preserve as provas e não conte com recuperação. A frase antiga nunca mais deve ser usada.

Leituras complementares e fontes oficiais

Para reforçar ainda mais, estas fontes valem a leitura (páginas externas, abrem em nova janela): a página de segurança do ethereum.org, o guia proteja sua carteira do bitcoin.org, a área educativa da Ledger, a central de ajuda oficial da OKX e, para noções gerais de segurança digital, o material de segurança da CISA (Estados Unidos).

Continue lendo

• Manual completo de segurança da conta e dos ativos
• Golpes e phishing mais comuns: falso suporte e airdrop falso destrinchados
• Como conferir o endereço antes do saque, passo a passo
• Tipos de carteira: quente ou fria, como escolher
• Verificador de endereço: passe o saque por uma checagem