“Não são suas chaves, não são suas moedas” é uma das regras mais conhecidas do mercado de criptomoedas, mas, para quem decide assumir a própria custódia, surge uma pergunta mais específica: como manter a chave privada longe de hackers, malware e outros ataques digitais?
É nesse ponto que entra a carteira air-gapped. A proposta é simples: manter o dispositivo que guarda as chaves completamente isolado da internet e de conexões sem fio.
A carteira air-gapped reduz uma parte relevantedos riscos, mas um detalhe costuma passar despercebido: uma carteira offline ainda pode depender de hardware, firmware, processos de segurança e decisões do próprio usuário.
O que uma carteira air-gapped realmente mantém fora da internet
Uma carteira air-gapped é um tipo de carteira não custodial projetada para manter as chaves privadas isoladas de redes externas. Na prática, isso significa evitar conexões diretas com internet, Wi-Fi, Bluetooth e outras formas de comunicação que poderiam abrir uma porta para ataques remotos.
Isso é diferente de simplesmente colocar um celular em modo avião.
Uma carteira de software instalada em um aparelho comum continua funcionando sobre um sistema operacional complexo, com diversos componentes e possíveis pontos de ataque. Já uma carteira air-gapped é construída especificamente para manter a chave privada separada do ambiente conectado.
O objetivo, portanto, não é deixar o Bitcoin “dentro” do dispositivo. Os ativos continuam registrados na blockchain. O que a carteira protege é a chave privada, usada para autorizar a movimentação desses fundos.
Como uma transação acontece quando a carteira está offline
Se a carteira não está conectada à internet, como ela consegue fazer movimentações com criptomoedas?
O processo separa a criação da transação de sua assinatura.
Um dispositivo conectado pode preparar uma transação indicando, por exemplo, quanto Bitcoin será enviado e para qual endereço. Esses dados são então transferidos para a carteira offline por um mecanismo como QR code ou cartão de memória.
A carteira recebe as informações e usa a chave privada internamente para assinar a operação. A chave não precisa sair do dispositivo.
Depois, a transação assinada pode retornar ao aparelho conectado, que a transmite para a rede Bitcoin.
Essa separação é exatamente o coração do conceito: o computador que acessa a internet pode preparar e transmitir uma transação, mas não precisa ter acesso à chave que autoriza o gasto.
O air gap reduz ataques, mas não elimina todos os riscos
O principal benefício de uma carteira air-gapped é reduzir a superfície de ataque remoto.
Se o dispositivo nunca estabelece uma conexão de rede, um malware instalado no computador ou uma tentativa de exploração via conexão sem fio encontra uma barreira. Isso não torna o ataque impossível em todos os cenários, mas elimina caminhos inteiros que existiriam em um dispositivo conectado.
O problema é que a segurança de uma carteira não depende apenas da internet.
A seed phrase — a sequência de palavras usada para recuperar a carteira, continua sendo um ponto crítico. Se ela for fotografada, copiada ou armazenada de maneira insegura, o air gap não ajuda.
Também existe o risco de um atacante manipular a transação antes da assinatura. Por isso, verificar no próprio dispositivo o endereço de destino e o valor que está sendo enviado continua sendo uma etapa importante.
E há ainda a segurança física: perder o dispositivo, permitir que alguém tenha acesso a ele ou utilizar um equipamento comprometido são problemas diferentes de um ataque remoto.
Uma carteira air-gapped é realmente mais segura para Bitcoin?
Em relação a determinados ataques digitais, sim, mas isso não significa que uma carteira air-gapped seja automaticamente segura em qualquer situação.
A diferença está no tipo de proteção oferecida.
Uma carteira conectada pode estar exposta a ameaças relacionadas à comunicação com outros dispositivos. Uma carteira air-gapped reduz esse vetor ao manter a chave privada isolada.
Por outro lado, o usuário passa a lidar com um sistema operacional de segurança mais complexo. É preciso entender como preparar, transferir e verificar transações. O processo pode ser mais lento e menos conveniente do que simplesmente confirmar uma operação em um aplicativo.
Essa troca é relevante, mais isolamento costuma significar mais responsabilidade operacional.
Para quem guarda Bitcoin por longos períodos e prioriza a redução da exposição digital, essa arquitetura pode ser interessante, mas não existe uma configuração que substitua boas práticas básicas de custódia.
O caso Coldcard mostra onde o “offline” pode falhar
Um dos exemplos mais relevantes para entender essa diferença envolve a Coldcard, uma hardware wallet voltada exclusivamente para Bitcoin.
O caso é particularmente instrutivo porque não depende da ideia de que um hacker simplesmente “entrou pela internet”. O problema estava relacionado à própria implementação do dispositivo.
A lição é mais ampla do que o caso de uma única fabricante: uma carteira pode estar isolada da internet e ainda assim ter vulnerabilidades em seu hardware ou firmware.
A própria fabricante, a Coinkite, descreve a arquitetura da Coldcard como um conjunto de controles de segurança, e não como uma única característica capaz de resolver todos os problemas.
É por isso que, ao avaliar uma carteira de criptomoedas, não basta perguntar se ela possui conexão com a internet. Também é imporante saber como suas chaves são geradas, como o firmware é protegido, como atualizações são verificadas e quanto do processo pode ser auditado.
O usuário continua sendo parte da segurança
Existe uma ironia na autocustódia: quanto mais ferramentas são criadas para proteger o usuário, maior pode ser a responsabilidade de quem as utiliza.
Uma carteira air-gapped pode reduzir significativamente determinados riscos, mas não consegue proteger uma seed phrase que foi armazenada de forma inadequada. Também não consegue impedir que alguém aprove uma transação sem conferir o endereço de destino.
Por isso, a segurança depende de várias camadas funcionando juntas: dispositivo, firmware, geração das chaves, backup, processo de assinatura e comportamento do usuário.
Evitar concentrar todos os ativos em um único ponto também pode reduzir o impacto de uma eventual falha. A ideia não é multiplicar carteiras sem necessidade, mas evitar que um único erro comprometa tudo.
O isolamento tem um preço: menos conveniência
A principal desvantagem de uma carteira air-gapped aparece no uso cotidiano.
Transferir informações por QR codes, cartões de memória ou outros mecanismos offline adiciona etapas ao processo. Para alguém que movimenta Bitcoin frequentemente, essa fricção pode ser significativa.
É aí que aparece o principal trade-off: quanto mais simples é a experiência, maior tende a ser a dependência de conexões e sistemas externos; quanto mais isolado é o dispositivo, maior tende a ser a responsabilidade do usuário.
Não existe, portanto, uma resposta universal para qual arquitetura é melhor.
Para entender uma carteira air-gapped, vale abandonar a ideia de que “offline” significa “à prova de ataques”. O benefício real está em algo mais específico: ela remove uma série de caminhos pelos quais um invasor poderia tentar alcançar sua chave privada.
O restante da segurança continua dependendo da qualidade do dispositivo, do software que o equipa, da forma como a chave foi gerada e, principalmente, das decisões tomadas pelo próprio usuário.
O air gap não é um cofre mágico. É uma camada de defesa — e sua eficácia depende de todas as outras camadas continuarem funcionando.
