Uma armadilha de assinatura esconde ou apresenta de forma enganosa o que sua carteira autoriza. Não assine dados ilegíveis, mensagens de permit desconhecidas nem transações cujo contrato e efeito você não consegue verificar. Uma hardware wallet protege as chaves, mas não impede que você aprove deliberadamente uma instrução maliciosa.
Use um fluxo prático#
- Confirme o domínio e a conta que fazem a solicitação. Compare o endereço exato com uma fonte oficial independente antes de continuar.
- Leia a ação decodificada, a rede, o spender e o valor na carteira. Não confie apenas no botão exibido pelo site.
- Rejeite mensagens somente em hexadecimal ou ambíguas sem decodificação independente. Se você não consegue explicar a autoridade, não a conceda.
- Use simulação e decodificação por uma fonte confiável. Trate a simulação como apoio, e não como substituta da verificação do contrato.
- Revise e revogue permissões após uma assinatura suspeita. Examine também ordens e permits que não aparecem como allowances convencionais.
O que realmente importa#
Assinaturas podem autorizar muito mais que um login. Dependendo do padrão, elas podem definir um allowance de token, listar uma ordem de NFT ou permitir que um relayer aja sem outra solicitação on-chain.
Separe o que pode ser conferido antes de agir do que só pode ser monitorado depois. Coloque limites rígidos na segunda categoria e reduza o saldo da carteira usada em interações desconhecidas.
Use uma regra de decisão repetível#
Classifique a solicitação antes de aprová-la: autenticação, transação, aprovação, permit ou ordem. Se a interface não consegue mostrar a qual classe ela pertence, a resposta segura é rejeitar.
Erros que mudam o resultado#
- Tratar “sem gas” como “sem risco”. Uma assinatura off-chain gratuita pode autorizar uma ação on-chain posterior.
- Aceitar uma mensagem de login com nonce ou termo de gasto inesperado. Uma marca conhecida não transforma conteúdo perigoso em autenticação simples.
- Deixar a assinatura cega ativada permanentemente no hardware. Isso remove uma camada importante de verificação em todas as próximas transações.
- Assinar novamente porque a primeira solicitação pareceu falhar. Você pode criar várias autorizações válidas em vez de corrigir um erro visual.
Evidências que você deve guardar#
Não julgue a assinatura apenas pela mensagem de sucesso. Preserve dados que possam ser conferidos mesmo depois de fechar a interface.
| Ponto de controle | Evidência | Condição para parar |
|---|---|---|
| Confirmar domínio e conta solicitante | URL ou contrato exato comparado à documentação | “Sem gas” é usado como prova de segurança |
| Ler ação, rede, spender e valor | Registro datado com segredos ocultos | A mensagem de login contém poder de gasto inesperado |
| Rejeitar conteúdo ambíguo sem decodificação | Captura ou registro da solicitação | A assinatura cega precisa ficar ativa permanentemente |
Guarde hashes de transação, protocolos oficiais ou capturas datadas quando ajudarem a documentar o risco, mas exclua frases-semente, chaves privadas e códigos de autenticação.
Perguntas frequentes#
Assinar sempre custa gas?
Não. Assinaturas off-chain podem ser gratuitas para criar e ainda assim autorizar ações on-chain futuras.
Posso revogar qualquer assinatura?
Não necessariamente. Algumas permissões podem ser revogadas ou invalidadas; uma ordem assinada pode exigir cancelamento, e uma transferência concluída não pode ser desfeita.
A assinatura cega é necessária em algum caso?
Alguns aplicativos a exigem, mas ativá-la remove verificações importantes. Use-a apenas em uma transação confirmada e compreendida e desative-a em seguida.
Guias relacionados#
Fontes#
Aviso de risco: Ações com criptomoedas podem ser irreversíveis. Nunca compartilhe frase-semente, chave privada, senha ou código de autenticação e verifique cada domínio e solicitação da carteira de forma independente.
Padrão editorial
Este guia é educativo e baseado em fontes. Controles de segurança, regras das corretoras e exigências legais podem mudar; confirme etapas importantes em fontes oficiais.
