O marketing de auto-custódia é uma linha: seja seu próprio banco. A versão honesta é mais longa. Você herda responsabilidades que um custodiante absorvia por você, e fingir o contrário é como as pessoas acabam com carteiras vazias e uma história que começa em "eu achava que estava com backup".
Este é o quarto artigo da série Self-Custody Fundamentals. O anterior inventariou os sete modos de falha das exchanges custodiais. Este é a contraparte honesta: o que a auto-custódia coloca em cima de você. Leia antes de decidir que a auto-custódia é "obviamente" o modelo certo para tudo — para alguns ativos e alguns usuários, os trade-offs viram para o outro lado.
TL;DR
- Auto-custódia troca um risco de contraparte por um risco operacional que é seu. Os riscos não vão a zero; mudam de forma.
- A conta vem em cinco categorias: backups, segurança operacional (opsec), gestão de dispositivos, planejamento de recuperação e tempo e atenção.
- A maioria das falhas não é dramática — são lentas, mundanas, e começam com passos pulados meses antes (sem backup escrito, seed fotografada por comodidade, recuperação nunca testada).
- Um multisig 2-de-2 como SSP suaviza vários desses — perder um dispositivo não é catastrófico, comprometimento de chave exige os dois dispositivos — mas não os elimina.
- O enquadramento correto não é "auto-custódia é difícil". É: você está substituindo sua disciplina pela do custodiante. Planeje essa substituição honestamente, ou não faça.
Categoria 1 — Backups
Um custodiante faz seu backup — ao deter as chaves de um saldo que ele rastreia no banco de dados dele. Você não precisa fazer nada para estar "com backup".
A auto-custódia não tem essa figura. O material de recuperação é a carteira — seja uma seed phrase de 12/24 palavras, um par de dispositivos 2-de-2 ou um cartão de backup de hardware wallet. Se esse material se perder ou for destruído, os fundos são irrecuperáveis. Não "mais difíceis de recuperar". Irrecuperáveis.
O que isso significa concretamente:
- Anote a seed quando a carteira pedir. Caneta e papel, na hora. Não um screenshot, nem uma nota em um gerenciador de senhas, nem "faço amanhã".
- Guarde pelo menos duas cópias, em locais fisicamente separados. Incêndio, enchente, roubo ou mudança não devem eliminar as duas. Padrão comum: uma em casa em saco à prova de fogo, outra com a família ou em cofre.
- Para valores significativos, use backup em metal. Papel sobrevive uma década se você for cuidadoso. Uma placa de metal sobrevive à maioria dos incêndios domésticos. Steelplate e Cryptosteel são os produtos comuns; o post de boas práticas de seed phrase cobre as opções.
- Teste a recuperação antes de confiar nela. Restaure a seed em um dispositivo limpo uma vez, verifique se os endereços batem, depois apague e configure de novo. Um backup não testado é uma esperança, não um backup.
Para o SSP especificamente, o modelo 2-de-2 significa que sua "seed" é dividida em duas: a mnemônica mestre da extensão SSP e a mnemônica móvel do SSP Key. As duas passam pela mesma disciplina de backup — e nenhuma das duas isoladamente é suficiente para recuperar a carteira.
Categoria 2 — Segurança operacional (opsec)
Quando as chaves existem nos seus dispositivos, a superfície muda. A opsec de um custodiante é problema dos funcionários dele; em auto-custódia é seu.
As ameaças realistas para um usuário típico não são adversários de nível estatal. São:
- Malware — um substituidor de clipboard que troca seu endereço de destino pelo do atacante no momento do colar, um infostealer que captura um arquivo de seed desbloqueado, uma extensão de navegador maliciosa que assina silenciosamente transações que você não pediu.
- Phishing — emails, DMs e anúncios de busca semelhantes que levam a um site parecido com a carteira em que você confia mas que não é. Uma vez digitada a seed, era.
- Acesso físico — qualquer um que leia o papel da seed, qualquer um que pegue um celular desbloqueado, qualquer um que ache um backup sem criptografia no desktop.
- Engenharia social — ligações ou mensagens que te conduzem por etapas de "verificação" que incluem ler a seed em voz alta ou instalar software de controle remoto.
O que isso te exige:
- Não digite a seed em lugar nenhum onde ela viva digitalmente. Nem email, nem Notas, nem iCloud, nem gerenciador de senhas em nuvem. A seed é offline por design.
- Verifique a URL de qualquer site de carteira em que você entre. Marque a URL canônica uma vez. Confira a cada visita. Lookalikes são baratíssimos de produzir; a única defesa é disciplina de favoritos.
- Use um perfil de usuário ou navegador separado para cripto se puder. Reduz o raio de impacto de uma extensão maliciosa.
- Confira o endereço de destino em um segundo dispositivo. O modelo 2-de-2 do SSP torna isso natural — o app móvel SSP Key mostra o endereço antes de assinar, então um substituidor de clipboard no navegador é flagrado.
Você não precisa de disciplina militar. Precisa de hábitos consistentes e chatos.
Categoria 3 — Gestão de dispositivos
Custodiantes não se importam com qual dispositivo você loga. Eles autenticam a conta, não o dispositivo. Auto-custódia inverte isso: o dispositivo é a carteira. Agora você gerencia dispositivos como um admin gerencia servidores.
As responsabilidades mínimas:
- Mantenha o SO e o software da carteira atualizados. Versões antigas acumulam vulnerabilidades conhecidas. A latência de 24 horas para patches de segurança é real; feche.
- Bloqueie o dispositivo. PIN ou biometria no celular e laptop, com intervalo curto de auto-bloqueio. A senha da própria carteira é a última linha, não a primeira.
- Saiba o ciclo de vida. Ao aposentar um dispositivo, apague antes de revender. Ao perder um dispositivo, trate a carteira nele como comprometida até você migrar.
- Não guarde a seed no mesmo dispositivo onde a carteira roda. Backups criptografados em nuvem de fotos do celular são como seeds vão parar nos servidores da Apple ou do Google.
Para multisig 2-de-2, essa lista vale duas vezes — uma por dispositivo. O lado bom: perder um dispositivo deixa de ser instantaneamente catastrófico. O lado ruim: agora há dois dispositivos para manter em dia.
Categoria 4 — Planejamento de recuperação
A coisa de maior impacto que um usuário de auto-custódia pode fazer e quase ninguém faz é planejar a recuperação antes de precisar dela.
Planejar a recuperação significa responder, por escrito, com as pessoas reais envolvidas:
- O que acontece se eu perder o dispositivo amanhã? Onde está a seed, qual é o processo de restauração, quanto tempo leva?
- O que acontece se eu ficar incapacitado ou morrer? A pessoa certa consegue achar o material de recuperação, sabe para que serve, e a parte legal/sucessória está alinhada (um testamento que menciona "holdings cripto" sem dizer onde estão as chaves é praticamente inútil)?
- O que acontece se a seed for comprometida mas eu ainda controlo a carteira? A resposta é mover imediatamente os fundos para uma nova carteira com seed nova. Pratique uma vez antes de ter que fazer sob pressão.
A série Wallet Recovery Scenarios cobre o ângulo de herança e acesso de emergência em detalhe; a versão curta é que um plano escondido não é um plano. As pessoas que precisam do material de recuperação têm que conseguir achar, numa forma que possam usar, sem você guiando.
Para o setup 2-de-2 do SSP, essa história é mais branda do que em carteiras single-seed — perder o navegador não perde a carteira, o fluxo de wallet recovery da v1.38 resolve isso — mas a sucessão exige os dois conjuntos de backup, não um. Planeje para os dois.
Categoria 5 — Tempo e atenção
O custo menos visível e o que se acumula. Custodiantes absorvem o imposto operacional de operar uma carteira — eles decidem quando rotacionar chaves, quando aplicar patches, quando atualizar a integração com a chain. Você delega a atenção.
Em auto-custódia você assume essa atenção. Conta realista de tempo para um usuário com valores significativos:
- Setup inicial: 1–2 horas feito direito (escrever a seed corretamente, testar recuperação em um segundo dispositivo, fazer backup em dois locais).
- Por mês: ~15 minutos de manutenção — updates da carteira, updates do SO, conferida ocasional de que o backup ainda está onde você deixou.
- Por trimestre: 30 minutos — reverificar backups, verificar avisos sobre o software da carteira, revisar qualquer novo dispositivo ou endereço que tenha adicionado.
- Por ano: 1–2 horas — revisão completa de opsec (dispositivos, backups, plano de recuperação, qualquer coisa que tenha saído do seu plano escrito).
Não é muito. É, no entanto, mais que zero, e zero é o que as pessoas costumam planejar. O padrão que machuca é tratar auto-custódia como "configurar e esquecer" — como a carteira continua funcionando, a disciplina atrofia, e o buraco aparece na primeira vez que algo dá errado.
O que isso significa para você
Três conclusões honestas:
- O trade-off é real, mas não é infinito. Algumas horas de setup e alguns minutos por mês de manutenção são o custo real para o usuário típico. O enquadramento "auto-custódia é difícil demais" geralmente significa "ainda não sei qual é o trabalho" — uma vez que você sabe, é gerenciável.
- A maioria das falhas de auto-custódia é mundana. Seeds perdidas, seeds fotografadas, backups não testados, "amanhã eu faço backup". O dramático (atacantes estatais, ataques de "$5 wrench") é raro. O chato é constante. Planeje para o chato.
- O multisig 2-de-2 suaviza os despenhadeiros. Perder um dispositivo, comprometer uma chave, falha única de seed — deixam de ser catastróficos em um setup 2-de-2. Viram incidentes recuperáveis em vez de eventos terminais. É essa a intenção de design.
O próximo artigo da série, self-custody without going to cold storage, olha para o caminho intermediário entre deixar fundos em uma exchange e ir para air-gap total — e por que, para a maioria dos usuários, a resposta certa mora nesse intermediário.
