Os controles de saque mais valiosos são lista de endereços autorizados, atraso para destinos recém-adicionados, 2FA forte, alertas de sessão e confirmação do saque por um canal protegido separadamente. Configure tudo antes de um incidente; um invasor pode desativar controles fracos depois de assumir a conta.
Configure passo a passo#
- Ative a lista de endereços e adicione destinos conhecidos com cuidado. Confira endereço completo, rede e memo por uma fonte confiável.
- Ative um período de espera após mudanças de endereço ou segurança. O atraso cria tempo para perceber e bloquear uma alteração não autorizada.
- Exija um fator protegido por hardware para saques. Prefira chave FIDO ou passkey quando a corretora permitir.
- Configure alertas imediatos de login e retirada. Proteja separadamente o e-mail ou canal que recebe as notificações.
- Revise permissões de API e desative saques por API salvo quando indispensável. Restrinja IPs e apague integrações que não estão em uso.
A ideia principal#
A proteção de saques funciona como uma corrente. Se e-mail, telefone e senha da corretora compartilham a mesma rota de recuperação, uma única invasão pode derrotar várias barreiras aparentes.
Separe os controles verificáveis antes de agir daqueles que só podem ser monitorados depois. Coloque limites rígidos no segundo grupo.
Quando parar ou mudar de rota#
Faça um saque pequeno de teste sempre que ativo, rede ou destino forem novos. Confirme rede, memo ou tag, compatibilidade do destino e valor líquido antes de enviar o restante.
Falhas que exigem atenção#
- Copiar endereço do histórico sem nova verificação. Ataques de envenenamento podem inserir um endereço parecido entre transações antigas.
- Autorizar a versão de rede errada para um endereço. O mesmo formato visual não garante compatibilidade entre blockchains.
- Aprovar confirmação por e-mail em um dispositivo inesperado. Isso pode indicar uma sessão já controlada por outra pessoa.
- Desativar atrasos porque parecem inconvenientes. A conveniência reduz o tempo disponível para reagir a uma mudança maliciosa.
Evidências que você deve manter#
Não presuma que o controle está ativo só porque apareceu uma mensagem de sucesso. Teste e confira o estado depois de fechar a página.
| Ponto de controle | Evidência | Condição para parar |
|---|---|---|
| Ativar lista e adicionar destinos | Registro autenticado com segredos ocultos | O endereço veio apenas do histórico |
| Ativar período de espera | Teste datado da mudança e do bloqueio | A rede do endereço não foi confirmada |
| Exigir fator protegido por hardware | Teste de saque pequeno e registro correspondente | A confirmação surge em dispositivo desconhecido |
Guarde IDs de saque, protocolos oficiais ou capturas datadas quando ajudarem a documentar a configuração, mas exclua frases-semente, chaves privadas e códigos de autenticação.
Perguntas frequentes#
A lista de endereços impede todo roubo?
Não. Um invasor pode aguardar o atraso de mudança ou comprometer um destino já aprovado, mas a lista adiciona uma barreira relevante.
Por que usar um e-mail separado?
Ele reduz a exposição a invasões da caixa de entrada cotidiana e deixa os alertas da corretora mais visíveis.
O que é um bloqueio de saque?
Algumas corretoras permitem desativar temporariamente saques após atividade suspeita ou alterações de segurança.
Guias relacionados#
Fontes#
Aviso de risco: Ações com criptomoedas podem ser irreversíveis. Nunca compartilhe frase-semente, chave privada, senha ou código de autenticação e verifique cada domínio e solicitação da carteira de forma independente.
Padrão editorial
Este guia é educativo e baseado em fontes. Controles de segurança, regras das corretoras e exigências legais podem mudar; confirme etapas importantes em fontes oficiais.
