2FA e passkeys para contas de cripto

Para o 2FA de uma conta de cripto, use uma passkey ou uma chave de segurança física quando o serviço oferecer, um app autenticador quando não oferecer, e códigos por SMS só em último caso. A diferença é o phishing: uma passkey ou uma chave de segurança está ligada ao site verdadeiro e simplesmente não funciona num falso, enquanto um código de seis dígitos pode ser digitado numa página falsa tão facilmente quanto na verdadeira.

Autenticação em dois fatores, do mais fraco ao mais forte

Códigos por SMS — o mais fraco. Um código enviado por SMS pode ser roubado com um SIM swap, em que o golpista convence a sua operadora a passar o seu número para o chip dele. Quem tem cripto é um dos alvos preferidos. SMS é melhor do que nada, mas não deveria proteger nada que você odiaria perder.

Apps autenticadores (TOTP) — bons. Um app gera um código novo de seis dígitos a cada 30 segundos a partir de um segredo guardado no seu celular. Nenhuma operadora participa, então o SIM swap não funciona. Uma senha roubada sozinha já não basta, mas um site falso ainda pode pedir o código e repassá-lo ao verdadeiro dentro desses 30 segundos. Guarde os códigos de configuração off-line: se o celular se perder, são eles que permitem voltar a entrar.

Chaves de segurança físicas — fortes. Uma pequena chave USB ou NFC que você encosta para entrar, usando o padrão FIDO2. A chave confere qual site está pedindo, então um domínio parecido não recebe nada. Cadastre duas chaves e guarde a reserva num lugar seguro.

Passkeys — fortes, e mais fáceis. Uma passkey é a mesma ideia do FIDO guardada pelo seu celular, computador ou gerenciador de senhas, desbloqueada com sua digital, seu rosto ou o PIN do dispositivo. Ela pode substituir a senha por completo, fica ligada ao domínio do site verdadeiro e não há nada para digitar numa página falsa. A FIDO Alliance explica como elas funcionam. Se um serviço oferece passkeys, use.

As configurações que importam tanto quanto

• Lista de endereços autorizados para saque. Muitas exchanges permitem liberar saques só para endereços que você cadastrou antes, muitas vezes com um período de espera para os novos. Se alguém entrar na conta, não consegue mandar as moedas para si mesmo na hora.
• Sua conta de e-mail. A redefinição de senha chega no seu e-mail, então ele precisa da mesma proteção: uma senha forte e exclusiva e uma passkey ou chave de segurança.
• Código antiphishing. Algumas exchanges permitem definir uma palavra que aparece em todo e-mail verdadeiro delas. Um e-mail sem essa palavra não veio delas.
• Senhas exclusivas. Use um gerenciador de senhas e uma senha diferente em cada lugar, para que um site invadido não abra os outros.
• Chaves de API. Se você criou chaves de API da exchange para um bot ou rastreador, apague as que não usa mais e nunca dê permissão de saque a nenhuma.

Configurando, na ordem

• Primeiro o e-mail. Dê à sua conta de e-mail uma senha forte e exclusiva e uma passkey ou chave de segurança, já que toda outra redefinição passa por ela.
• Depois cada exchange. Adicione uma passkey ou chave de segurança onde houver; se não houver, um app autenticador.
• Guarde os códigos de backup que cada serviço mostrar, em papel, junto com seus outros backups off-line.
• Remova o SMS como alternativa assim que um método mais forte estiver funcionando, onde o serviço permitir.
• Ative a lista de endereços para saque e cadastre os endereços das suas próprias carteiras.

O que o 2FA não protege

O 2FA protege contas: exchanges, e-mail, rastreadores. Ele não faz nada por uma carteira que você mesmo controla, em que a seed phrase é a única chave que importa — como guardá-la. E ele não impede você de aprovar uma transferência para a qual foi enganado; golpes com criptomoedas mais comuns mostra esses truques.

Este guia explica como as coisas funcionam. Não é aconselhamento financeiro, de investimento nem tributário. Achou algum erro? Escreva para hi@perly.io e vamos corrigir.