O que fazer quando sua frase semente de cripto é comprometida: medidas imediatas, controle de danos e o que é recuperável
Quando uma frase semente é exposta, bots de varredura automatizados podem esvaziar cada carteira que ela controla em segundos. Aprenda os passos exatos a tomar nos primeiros 60 minutos, o que é realmente recuperável e como proteger sua próxima frase semente.
Como as frases semente funcionam e por que sua exposição significa perda total
Uma frase semente é uma sequência de 12 ou 24 palavras que codifica o segredo mestre a partir do qual cada chave privada é derivada. Quem possui a frase semente controla a carteira de forma completa e irreversível. O comprometimento de chaves privadas e frases semente representou 43,8% de todas as criptomoedas roubadas por valor em 2024 (Chainalysis). No primeiro semestre de 2025, exploits de infraestrutura representaram mais de 80% de todas as criptomoedas roubadas (TRM Labs), com US$ 2,1 bilhões subtraídos em 75 ataques. A Chainalysis registrou 158.000 incidentes de comprometimento de carteiras pessoais em 2025, com perdas totais de US$ 713 milhões.
A regra fundamental: Uma frase semente não é uma senha. Ela não pode ser redefinida, rotacionada ou revogada. Uma vez vista por qualquer outra pessoa além de você, a carteira que ela controla deve ser tratada como permanentemente comprometida. Sem exceções.
Como os atacantes roubam frases semente: os seis vetores principais
O TRM Labs 2025 categoriza o roubo de frases semente dentro dos ataques de infraestrutura. A Elliptic 2025 documentou um aumento de 1.400% em golpes de personificação assistidos por IA.
Vetor 1 — Sites de phishing e interfaces de carteira falsas
Atacantes constroem clones de provedores de carteiras. O SEAL bloqueou 356 URLs maliciosas de anúncios do Google em março de 2026, com perdas superiores a US$ 1,27 milhão.
Vetor 2 — Extensões de navegador maliciosas
Em novembro de 2025, a extensão Safery codificou frases semente roubadas em endereços falsos da blockchain Sui.
Vetor 3 — Malware móvel e sequestradores de área de transferência
A análise da CYFIRMA de junho de 2025 sobre o SeedSnatcher revelou que ele usava OCR para extrair frases semente de capturas de tela, com sobreposições de phishing para MetaMask, Coinbase Wallet e Trust Wallet.
Vetor 4 — Engenharia social e suporte falso
Nenhum serviço legítimo jamais solicitará sua frase semente.
Vetor 5 — Comprometimento de CRM e cadeia de fornecimento (PoisonSeed)
Atacantes comprometeram contas do Mailchimp e SendGrid e enviaram e-mails em massa com uma frase semente falsa.
Vetor 6 — Acesso físico e armazenamento inseguro
Frases armazenadas em arquivos de texto simples, capturas de tela ou notas na nuvem são acessíveis a qualquer pessoa que comprometa essas contas.
Como os bots de varredura esvaziam carteiras em segundos
Um bot de varredura monitora endereços de blockchain em tempo real. O TRM Labs 2025 documentou drenagens automatizadas em velocidade de milissegundos.
Por que o instinto de "mover seus fundos agora" falha: Para transferir tokens ERC-20 de uma carteira Ethereum comprometida, você primeiro precisa de ETH para gás. No momento em que você envia ETH para a carteira, o bot de varredura o reivindica. Sem ETH, você não pode executar a transferência. O bot vence por design.
Alguns ativos são mais difíceis de varrer: cadeias UTXO, ativos em staking, posições bloqueadas em DeFi. Mesmo assim, assuma que o conteúdo da carteira já foi perdido.
Protocolo de resposta imediata: o que fazer nos primeiros 60 minutos
Passo 1 (minutos 0–5): Interrompa todas as transações
Não execute nenhuma transação adicional a partir da carteira comprometida. Cada interação pode sinalizar ativos adicionais para os bots de varredura.
Passo 2 (minutos 5–15): Documente o estado da carteira
Registre cada endereço, saldos, transações de saída com TXIDs e timestamps. Tire capturas de tela de tudo. Essa documentação será essencial para investigações policiais e solicitações de congelamento junto a exchanges.
Passo 3 (minutos 10–20): Gere uma nova frase semente em um dispositivo offline
Use um dispositivo limpo que nunca esteve conectado à internet. Anote a nova frase semente em papel imediatamente. Não a fotografe nem a armazene digitalmente.
Passo 4 (minutos 20–35): Mova os ativos das carteiras relacionadas para o novo endereço
Transfira imediatamente todos os ativos de outras carteiras vinculadas à frase semente comprometida para o novo endereço seguro.
Passo 5 (minutos 35–50): Notifique as exchanges
O FATF 2024 exige que os VASPs regulamentados cooperem com solicitações de congelamento. Contate as exchanges onde os fundos roubados podem ter chegado. Forneça os TXIDs e solicite um congelamento de emergência.
Passo 6 (minutos 50–60): Registre um boletim de ocorrência
No Brasil, registre ocorrência na Divisão de Crimes Cibernéticos da PCDF ou na Polícia Federal. Nos EUA, registre em ic3.gov dentro de 72 horas.
Regra de preservação de evidências: Cada captura de tela, log, hash de transação e registro de comunicação deve ser salvo em formato original antes de fazer qualquer outra coisa. Não exclua nenhuma mensagem.
O que é realmente recuperável após a exposição da frase semente
A taxa de recuperação é de aproximadamente 7% na média da indústria (TRM Labs 2025). A Elliptic 2025 mostra que os VASPs são o destino inicial de aproximadamente 80% dos recursos roubados. A janela de congelamento é de horas a dias. A Operação Level Up do FBI evitou mais de US$ 500 milhões em perdas potenciais.
Posições de staking com bloqueio de tempo e posições bloqueadas em DeFi podem sobreviver por mais tempo, oferecendo uma janela para ação. No entanto, os “serviços de recuperação” que garantem a recuperação são quase universalmente fraudulentos — eles visam as vítimas uma segunda vez.
Armazenamento seguro para sua próxima frase semente: o que fazer diferente
A regra cardinal: nunca deixe a frase semente tocar um dispositivo conectado. Carteiras de hardware protegem chaves privadas, mas não protegem o backup da frase semente.
Opções físicas de armazenamento
- Backups em papel em local seguro e à prova de fogo
- Placas de metal gravadas resistentes a fogo e água
- Cofre resistente a incêndio em casa
- Caixa de depósito bancário (separada do backup principal)
- Compartilhamento Secreto de Shamir (SSS): divida a frase entre múltiplos guardianes de confiança
Higiene de extensões de navegador
A Mozilla 2025 identificou extensões comprometidas que vazavam dados de carteiras. Use um perfil de navegador dedicado exclusivamente para operações cripto. Salve nos favoritos as URLs legítimas das carteiras e nunca acesse via links de e-mail ou anúncio.
Segurança operacional
- Ative a autenticação de dois fatores (2FA) em todas as exchanges
- Configure listas brancas de saque nas exchanges
- Realize auditorias trimestrais de permissões com Revoke.cash
Denunciando às autoridades e empresas de inteligência blockchain
No Brasil, registre ocorrência na Polícia Federal e contate o CERT.br. Internacionalmente: Action Fraud (Reino Unido), BKA (Alemanha), Europol EC3. O FATF 2024 exige que todos os estados membros mantenham mecanismos de denúncia.
Contate as exchanges diretamente com os TXIDs documentados. Empresas de inteligência blockchain como a Recoveris prestam serviços de rastreamento on-chain e de ligação com exchanges, aumentando as chances de congelamento de fundos e apoio a investigações.
Principais lições
- Uma frase semente não é uma senha: não pode ser redefinida. A exposição compromete cada carteira derivada.
- A escala é enorme: 43,8% de todas as criptos roubadas em 2024 (Chainalysis). No primeiro semestre de 2025: US$ 2,1 bilhões roubados (TRM Labs).
- Os bots de varredura são mais rápidos que você: operam em milissegundos.
- Os seis vetores principais: phishing, extensões maliciosas, malware móvel, engenharia social, PoisonSeed e acesso físico.
- A velocidade determina as chances: 80% dos fundos roubados vão primeiro para um VASP (Elliptic). Denuncie em horas, não dias.
- Nova frase semente = armazenamento offline desde o primeiro dia.
- Golpes de recuperação visam vítimas duas vezes: desconfie de qualquer promessa de recuperação garantida.
- Denúncias às autoridades produzem resultados reais: A Operação Level Up do FBI preveniu US$ 500 milhões em perdas.
Precisa de ajuda após a comprometimento da sua frase semente?
A Recoveris é uma empresa de inteligência blockchain especializada em recuperação de ativos digitais. Nossa equipe pode rastrear fundos roubados on-chain, enviar solicitações de congelamento às exchanges e apoiar investigações policiais.
Falar com um especialistaTeste sua prontidão para recuperação
Quão preparado você está se sua carteira for comprometida agora? Faça nossa auditoria de segurança de 3 minutos e descubra onde sua configuração está vulnerável antes que um atacante o faça.
Iniciar a auditoria de segurançaReferências
- 1.Chainalysis: Crypto Hacking Stolen Funds 2026. Chainalysis, 2026. chainalysis.com
- 2.TRM Labs 2025 Crypto Crime Report. TRM Labs, 2025. trmlabs.com
- 3.FBI IC3 2025 Annual Report. FBI Internet Crime Complaint Center, 2025. ic3.gov
- 4.FATF: Targeted Update on Virtual Assets and VASPs 2024. Financial Action Task Force, 2024. fatf-gafi.org
- 5.Elliptic: The State of Crypto Scams 2025. Elliptic, 2025. elliptic.co
- 6.SEAL: Malicious Google Ad Campaigns Targeting Crypto Wallets. Security Alliance, 2026. securityalliance.org
- 7.CYFIRMA: SeedSnatcher Mobile Malware Analysis. CYFIRMA, 2025. cyfirma.com
- 8.Safery Extension: Seed Phrase Theft via Fake Sui Addresses. Blockchain Security Research, 2025. safery.io
- 9.PoisonSeed: CRM Supply Chain Attack on Mailchimp and SendGrid. Security Research, 2025. bleepingcomputer.com
- 10.FBI Operation Level Up: Preventing Crypto Fraud. Federal Bureau of Investigation, 2025. fbi.gov
- 11.Mozilla: Compromised Browser Extensions Report 2025. Mozilla Foundation, 2025. mozilla.org
- 12.Revoke.cash: DeFi Permission Auditing Tool. Revoke.cash, 2025. revoke.cash
- 13.CERT.br: Centro de Estudos, Resposta e Tratamento de Incidentes de Segurança no Brasil. NIC.br, 2025. cert.br
- 14.Europol EC3: European Cybercrime Centre. Europol, 2025. europol.europa.eu
Perguntas frequentes
Posso recuperar fundos depois que minha frase semente foi roubada?
A recuperação é possível, mas depende da velocidade. Se você agir dentro de horas, há chance de rastrear os fundos roubados até uma exchange regulada e congelá-los antes da conversão. Dados da Chainalysis mostram que 80% dos lucros de fraudes chegam a um VASP como primeiro destino. Após 24–48 horas, os fundos frequentemente são mixados, bridgiados ou convertidos, tornando a recuperação muito mais difícil.
Com que rapidez os bots de varredura esvaziam uma carteira comprometida?
Os bots de varredura operam em milissegundos. No momento em que um atacante obtém sua frase semente, scripts automatizados começam a monitorar as carteiras derivadas. Qualquer transação de entrada aciona uma varredura de saída imediata. A resposta manual é quase sempre rápida demais para ser eficaz sem assistência técnica especializada.
O que devo fazer se digitei acidentalmente minha frase semente em um site falso?
Trate a carteira como completamente comprometida imediatamente. Não espere para ver se algo acontece. Mova todos os ativos para uma nova carteira gerada em um dispositivo limpo e offline. Documente a URL do site falso e quando você o visitou — essas informações são fundamentais para as autoridades bloquearem o site e investigarem o caso.
Uma carteira de hardware ainda é segura após a exposição da frase semente?
Não. Uma carteira de hardware protege contra malware que visa chaves privadas em um dispositivo conectado, mas não pode protegê-lo depois que a própria frase semente foi vista por outra pessoa. A frase semente é a chave mestre. Abandone essa carteira completamente e gere uma nova em um dispositivo limpo e offline.
Qual é a diferença entre uma frase semente e uma chave privada?
Uma frase semente é um conjunto legível de 12 ou 24 palavras que codifica o segredo mestre para uma hierarquia completa de carteira. A partir dela, um número ilimitado de chaves privadas pode ser derivado — uma por endereço blockchain. Uma chave privada controla apenas um endereço. Expor uma frase semente compromete cada endereço já gerado nessa carteira em todas as blockchains.