Erros de Armazenamento Frio que Não Têm Nada a Ver com Hackers

O armazenamento frio é, com razão, apresentado como a forma mais segura de manter uma quantidade significativa de criptomoedas, porque retira os fundos de qualquer sistema conectado à internet que um atacante pudesse alcançar remotamente. O que essa narrativa costuma deixar de fora é que o armazenamento frio introduz uma categoria de risco inteiramente diferente, uma que não tem nada a ver com hackers. Uma parcela significativa dos fundos permanentemente inacessíveis que analisamos nunca foi tocada por um atacante. A seed phrase simplesmente não sobreviveu.

Papel não é um material durável

Uma seed phrase escrita em papel e guardada em uma gaveta ou cofre está exposta a todo risco comum que danifica papel: incêndio, enchente, um vazamento de cano, armazenamento úmido que faz a tinta desbotar ou o papel se deteriorar ao longo dos anos, e o simples descarte acidental por alguém que não reconheceu o que estava vendo. Nenhum desses casos exige qualquer sofisticação por parte de um atacante, porque não há atacante envolvido. A falha é inteiramente física, e frequentemente só é descoberta quando os fundos realmente são necessários, momento em que não resta nada a partir do qual reconstruir.

Erros de caligrafia e de lista de palavras são mais comuns do que se imagina

Um número surpreendente de carteiras inacessíveis que vemos remonta a uma seed phrase registrada incorretamente no momento em que isso mais importava, a configuração original. Uma palavra escrita às pressas que se torna ambígua depois, uma palavra parecida da lista padrão BIP-39 substituindo a correta, ou uma palavra ausente que nunca foi conferida novamente com a tela, são todos erros comuns. Como a frase de recuperação costuma ser usada apenas uma vez, na configuração, e depois não é mais tocada por meses ou anos, raramente há uma oportunidade inicial de identificar um erro de transcrição antes que ele se torne permanente.

Uma única cópia é um ponto único de falha

Mesmo um backup perfeitamente registrado e fisicamente durável ainda é um ponto único de falha se existir apenas uma cópia em um único local. Um incêndio doméstico, um roubo, ou simplesmente perder de vista onde ele foi guardado destrói o único caminho de volta aos fundos em um único evento. O instinto de manter um backup o mais privado e único possível é compreensível, mas isso troca um risco de segurança por um risco de disponibilidade, e uma carteira inacessível é funcionalmente idêntica a uma roubada, do ponto de vista do proprietário.

O que resolve esses modos de falha

• Placas de backup de seed em metal, estampadas ou gravadas em vez de escritas, que sobrevivem a fogo, água e anos de armazenamento de uma forma que o papel não sobrevive.
• Múltiplas cópias de backup guardadas em locais fisicamente separados de verdade, não apenas em cômodos diferentes do mesmo prédio, para que um único evento localizado não destrua todas as cópias de uma vez.
• Um esquema de fracionamento, como o Compartilhamento Secreto de Shamir ou uma simples frase-senha dividida em partes distribuídas entre locais, de modo que nenhuma cópia isolada, roubada ou destruída, seja suficiente por si só para reconstruir a carteira.
• Um processo de recuperação documentado e testado, que um segundo responsável de confiança possa seguir caso o titular principal fique indisponível, sem que esse responsável tenha acesso permanente aos fundos hoje.

Nada disso é sobre acrescentar complexidade por si só. É sobre reconhecer que o armazenamento frio desloca o risco em vez de eliminá-lo, de um atacante digital que precisa vencer criptografia e segurança de rede, para um mundo físico de fogo, água, corrosão e simples erro humano, que é igualmente capaz de tornar os fundos permanentemente inacessíveis, e consideravelmente mais difícil de perceber chegando.

Artigos relacionados