A história sempre acontece do mesmo jeito. Alguém fecha o MacBook à noite com o saldo da carteira intacto, e de manhã está zerado. As transações saíram às 3 da manhã, com o notebook dormindo. Parece impossível, porque o Mac estava desligado. Não é, e entender por quê é a coisa mais útil que você pode aprender sobre manter uma hot wallet no Mac. Este guia do MacHabits sobre o modelo de ameaças de uma hot wallet no Mac explica.
Um Mac em repouso não protege você, porque o atacante nunca usou o seu Mac para levar o dinheiro.
Por que o repouso não importa
Uma carteira de navegador como a MetaMask guarda suas chaves num cofre criptografado no seu disco, aberto com a senha da carteira. Um ladrão precisa de duas coisas: uma cópia desse cofre e a senha, ou a frase de recuperação que reconstrói tudo.
Com isso em mãos, o seu Mac é irrelevante. Eles abrem a carteira no computador deles e assinam as transações por lá. O esvaziamento pode vir minutos depois do roubo ou semanas mais tarde, muitas vezes de madrugada no seu fuso horário, porque ninguém está olhando.
Então a perda de verdade aconteceu antes: quando algo copiou o seu cofre e capturou a sua senha, ou quando você digitou a frase de recuperação onde não devia.
Como eles conseguem o cofre e a senha
- Stealers. O MacSync e malwares parecidos copiam dados de extensões de carteira do navegador, senhas salvas no navegador, o seu arquivo de chaveiro e a senha do seu Mac, que pedem diretamente com uma janela falsa. Se a senha da sua carteira for igual ou parecida com qualquer uma delas, o cofre abre.
- Extensões de carteira adulteradas. Pesquisadores de segurança documentaram uma campanha dirigida a desenvolvedores de cripto e Web3 que modificou a extensão da MetaMask para enviar a senha da carteira e o cofre criptografado direto ao atacante. A porta dos fundos do MacSync também tem um comando para instalar extensões de navegador.
- Extensões e sites falsos. Extensões e páginas de download falsas da MetaMask, impulsionadas por anúncios em buscadores ou avaliações falsas, funcionam como a original até você colocar dinheiro nelas.
- Phishing para pegar a frase. E-mails e páginas que se passam pela MetaMask, com uma “atualização obrigatória de 2026” ou uma falsa configuração de verificação em duas etapas, esvaziaram centenas de carteiras este ano. Todos terminam pedindo a sua frase de recuperação.
- Aprovações que você já assinou. Um site malicioso pode enganar você para aprovar gasto ilimitado de um token. Nada acontece até o atacante usar a aprovação, o que pode ser a qualquer momento, enquanto o seu Mac dorme.
O que o macOS protege e o que não protege
- Gatekeeper e notarização barram muitos apps maliciosos, mas não os que você aprova digitando a senha, nem comandos que você cola no Terminal.
- O FileVault protege os seus dados se o Mac for roubado desligado. Não faz nada contra malware rodando enquanto você está logado.
- As permissões de privacidade limitam o que os apps podem ler, mas uma extensão de navegador roda dentro do navegador e já tem acesso à carteira.
Em outras palavras: no Mac, como em qualquer computador, uma hot wallet é tão segura quanto tudo o mais que roda nesse computador e nesse navegador. A configuração de hot wallet que funciona parte desse fato.
Um modelo de ameaças que funciona
- Divida o seu dinheiro. Numa hot wallet, deixe só o dinheiro para gastar. A poupança vai para uma carteira de hardware, onde cada transação precisa ser confirmada na tela do próprio dispositivo.
- Dê à carteira o seu próprio perfil de navegador ou, melhor, a sua própria conta de usuário do macOS. Instale ali a extensão da carteira e mais nada, e use só para cripto.
- Use uma senha de carteira exclusiva, que não seja a do seu Mac, que não esteja salva no navegador e que não seja reutilizada em lugar nenhum.
- Bloqueie a carteira automaticamente depois de alguns minutos, nos ajustes dela.
- Revise e revogue as aprovações de tokens com regularidade, usando um verificador de aprovações confiável, principalmente as ilimitadas.
- Instale extensões de carteira só pelo link do site oficial da carteira e confira o publicador na loja de extensões.
- Trate qualquer pedido da sua frase de recuperação como um ataque. MetaMask, Ledger e Trezor nunca pedem por e-mail, em pop-up ou numa aba do navegador.
- Mantenha o macOS e o navegador atualizados. Esta semana isso significa 27.0.1, 26.7.1 ou 15.8.1.
Se já aconteceu
- De outro dispositivo, limpo, crie uma carteira nova com uma frase de recuperação nova e mova tudo o que sobrou na carteira antiga e em qualquer carteira que dividisse a frase ou a senha dela.
- Revogue as aprovações de tokens pendentes do endereço antigo.
- Procure no Mac os sinais descritos no nosso guia sobre o MacSync. Se achar algum, apague o Mac e reinstale o macOS antes de usá-lo de novo para cripto.
- Troque as senhas de e-mail, corretoras e da sua conta Apple pelo dispositivo limpo.
- Desconfie de quem se oferecer para recuperar o dinheiro mediante uma taxa. Golpes de recuperação miram pessoas logo depois de uma perda.
Resumindo
Uma hot wallet esvaziada enquanto o seu MacBook dormia não foi esvaziada pelo Mac. Algo copiou antes o seu cofre e a sua senha, ou você digitou a sua frase de recuperação em algum lugar, e o ladrão assinou as transações na própria máquina. Mantenha só valores pequenos numa hot wallet, isole-a num perfil de navegador ou conta de usuário próprio, use uma senha exclusiva, revogue aprovações e guarde a poupança numa carteira de hardware. O raio-x do MacHabits sobre como hot wallets são esvaziadas no Mac reúne as verificações num só lugar. Fonte: machabits.info/articles/hot-wallet-on-mac-threat-model