Segurança da seed phrase: o que é e como protegê-la
A seed phrase (frase de recuperação) é uma lista de 12, 20 ou 24 palavras capaz de recriar todas as chaves da sua carteira. Quem a vê pode levar seus fundos, então anote-a em papel ou metal, mantenha-a offline e em sigilo e nunca a digite em um site nem a entregue a ninguém, nem mesmo ao suporte.
O que é uma seed phrase?
A seed phrase codifica um número aleatório enorme em palavras legíveis. Sua carteira deriva dela todas as chaves privadas e endereços, em todas as redes que suporta. A maioria das carteiras usa o padrão BIP39, que escolhe palavras de uma lista fixa de 2.048 palavras em inglês. Restaure a mesma frase em uma carteira compatível e os mesmos endereços e saldos aparecem.
Outros nomes para a mesma coisa: frase de recuperação, mnemônico, frase secreta de recuperação (MetaMask), frase de backup, 24 palavras (Ledger).
12 ou 24 palavras (e 20)
| Formato | Segurança | Usado por padrão em (exemplos) |
|---|---|---|
| BIP39 de 12 palavras | 128 bits | A maioria das carteiras de software, ex.: MetaMask, Trust Wallet, Phantom |
| BIP39 de 24 palavras | 256 bits | Dispositivos Ledger, Trezor Model One |
| SLIP-39 de 20 palavras (share única) | 128 bits; as palavras extras guardam metadados e checksum | Trezor Safe 3 (a partir de junho de 2024), Safe 5, Safe 7 |
O próprio guia da Trezor chama todos eles de "extremamente seguros": adivinhar uma frase de 12 palavras realmente aleatória é inviável (Trezor, verificado em out. de 2026). Os riscos reais são uma frase que não foi aleatória (um gerador ruim) ou uma frase que outra pessoa vê. A última palavra de uma frase BIP39 inclui um checksum, então um erro de digitação aleatório costuma ser detectado na restauração.
Aleatoriedade fraca já causou perdas reais: a falha Milk Sad na ferramenta bx seed (mais de US$ 900 mil, ago. de 2023), o bug de entropia em WebAssembly da Trust Wallet (cerca de US$ 170 mil, abr. de 2023) e o erro de compilação do firmware 4.0.1 da Coldcard, explorado a partir de 30 de julho de 2026 (cerca de US$ 116 milhões pela contagem da TRM Labs). Nunca use uma frase gerada por um site ou entregue por outra pessoa.
A passphrase BIP39 ("25ª palavra")
Muitas carteiras, incluindo Ledger e Trezor, permitem adicionar uma passphrase opcional por cima da seed phrase. Cada passphrase diferente abre uma carteira completamente diferente. Ela protege você se alguém encontrar sua frase anotada, e a Trezor diz que ela neutraliza o ataque de extração física que o Kraken Security Labs demonstrou em seus dispositivos mais antigos em janeiro de 2020 (The Block, jan. de 2020).
- Vantagem: uma seed phrase encontrada, sozinha, é inútil.
- Desvantagem: esqueça a passphrase e os fundos estão perdidos. Ninguém consegue redefini-la.
- Guarde a passphrase separada da seed phrase e teste a recuperação primeiro com um valor pequeno.
Como guardar uma seed phrase
| Método | Veredito |
|---|---|
| Papel, escrito à mão, mantido em sigilo | Bom ponto de partida; proteja contra água e fogo |
| Placa de metal ou aço gravado | Melhor para reservas de longo prazo; resiste a incêndio e enchente |
| Duas cópias em locais seguros diferentes | Bom contra perda; cada cópia é mais um lugar onde ela pode ser encontrada |
| Foto, print, notas na nuvem, e-mail, chat | Evite: malwares e roubos de conta miram exatamente isso |
| Gerenciador de senhas | Evite para valores relevantes; cofres online já foram roubados e quebrados |
| Dividir em duas metades | Evite: enfraquece a segurança; use passphrase, shares SLIP-39 ou multisig |
Para valores maiores, considere eliminar de vez o ponto único de falha: o backup multi-share da Trezor (SLIP-39), uma smart account multisig como a Safe ou um plano de herança que diga a uma pessoa de confiança onde está o backup sem entregar as palavras hoje.
Golpes que miram sua seed phrase
- Suporte falso. Contas no X, Telegram e Discord respondem a reclamações e mandam você para um formulário de "validação".
- Cartas e e-mails. Cartas físicas com timbre falso da Ledger e da Trezor exigiam uma verificação "obrigatória" via QR code (The Block, abr. de 2025; BleepingComputer, fev. de 2026). Em setembro de 2026, atacantes que invadiram o provedor de e-mail da Trezor, a Brevo, enviaram phishing a partir do endereço real de suporte da Trezor; a Trezor derrubou o site em cerca de 20 minutos (BleepingComputer, set. de 2026).
- Apps falsos. Apps falsos do Ledger Live na Microsoft Store (cerca de US$ 768 mil, out. de 2023) e na Mac App Store (cerca de US$ 9,5 milhões, abr. de 2026) pediam que os usuários "restaurassem" com a frase. Veja apps de carteira falsos.
- Dispositivos adulterados. Cartões de recuperação já preenchidos na caixa, ou dispositivos comprados de revendedores não oficiais. Uma carteira genuína sempre gera uma frase nova para você.
- Malware que escaneia fotos. O SparkCat usava reconhecimento de texto no próprio aparelho para encontrar fotos de frases de recuperação (The Hacker News, fev. de 2025).
A regra: o único lugar onde sua seed phrase deve ser digitada é a própria carteira, durante uma restauração que você iniciou, de preferência em uma hardware wallet. Ninguém legítimo jamais vai pedi-la. Se você acha que ela foi vista, crie uma carteira nova agora e transfira tudo.
Perguntas frequentes
Uma seed phrase de 12 palavras é segura o bastante?
Sim, se foi gerada aleatoriamente por uma carteira confiável. Uma frase BIP39 de 12 palavras tem 128 bits de segurança, o que a Trezor descreve como extremamente seguro. Os riscos reais são roubo e perda, não adivinhação.
Qual a diferença entre seed phrase e chave privada?
Uma chave privada controla um endereço. Uma seed phrase gera muitas chaves privadas em muitas redes, então ela faz o backup da carteira inteira.
Dá para recuperar uma carteira sem a seed phrase?
Só se a carteira usar outro método de recuperação, como shares MPC, cartões de backup ou uma smart account. Numa carteira padrão com seed phrase, não: ninguém consegue redefini-la.
Devo usar uma passphrase BIP39?
Ela acrescenta uma proteção forte se alguém encontrar sua frase anotada, mas, se você a esquecer, seus fundos estão perdidos. Use-a apenas se puder fazer o backup dela de forma confiável e separada.
O que fazer se eu digitei minha seed phrase em um site?
Considere-a comprometida. Crie uma carteira totalmente nova, com uma frase nova, em um dispositivo limpo e transfira todos os fundos imediatamente, começando pelos mais valiosos.
Posso guardar minha seed phrase em um cofre de banco?
Muita gente faz isso. Protege contra incêndio e roubo em casa, mas considere a demora para acessar e quem mais poderia abri-lo, e mantenha uma segunda cópia em outro lugar.