Checklist de Segurança de Carteiras Hyperliquid [Atualizado em 2026]

Por que este checklist é importante em 2026

A autogestão é a promessa central do DeFi, mas também significa que você é o perímetro de segurança. No final de 2025, um trader supostamente perdeu cerca de US$ 21 milhões após um vazamento de chave privada associado a atividades em torno do Hyperdrive, lembrando à indústria (novamente) que uma única chave comprometida pode invalidar todas as outras medidas de segurança que você pensava ter implementado (Cobertura do Cointelegraph).

Ao mesmo tempo, dados de crimes on-chain mostram que os golpes estão escalando rapidamente: a Chainalysis estimou US$ 17 bilhões roubados em golpes e fraudes de criptomoedas em 2025, impulsionados por falsificação de identidade e facilitação por IA (Chainalysis). Para traders ativos, a conclusão prática é simples: seus maiores riscos não são mais "apenas" bugs de contratos inteligentes — são phishing, interfaces falsas, assinaturas maliciosas e dispositivos comprometidos.

Este checklist foca em melhores práticas de segurança e medidas de proteção que você pode aplicar antes de conectar uma carteira, depositar garantias ou autorizar qualquer acesso de negociação/bot.

Modelo de ameaça (contra o que você está se defendendo)

1) Phishing e domínios semelhantes

Atacantes dependem cada vez mais de anúncios, SEO, contas sociais falsas e falsificação de "suporte" para levar os usuários a um site clone e, em seguida, enganá-los para assinar aprovações ou exportar segredos.

2) Assinaturas arriscadas (gasless não significa inofensivo)

Muitas plataformas usam assinaturas gasless por conveniência (por exemplo, fluxos de "habilitar negociação"). Uma assinatura não é automaticamente segura apenas porque não é uma transação paga.

3) Aprovações de tokens e "drainers"

Permissões ilimitadas podem permitir que um contrato malicioso gaste seus tokens mais tarde, mesmo depois de você "desconectar" o site.

4) Comprometimento de extensão de navegador / endpoint

Em 2025, pesquisadores relataram campanhas onde add-ons de navegador maliciosos visavam usuários de cripto e roubavam credenciais (Resumo do TechRadar).

5) Vazamento de carteira de API / agente

Se você automatiza a negociação, o gerenciamento da sua chave operacional se torna parte da sua postura de segurança de carteira. A documentação oficial alerta explicitamente: não compartilhe sua chave privada (documentação oficial).

Checklist de segurança (use antes de cada depósito ou sessão de negociação)

1) Verifique o destino (URL primeiro, carteira depois)

• Marque a interface de negociação oficial e use apenas o marcador a partir de então: app.hyperliquid.xyz
• Verifique se você está lendo a documentação correta (evite "guias" aleatórios em resultados de pesquisa): documentação oficial
• Trate DMs como hostis por padrão. Se alguém afirmar ser "suporte", presuma que é falsificação de identidade até prova em contrário (isso corresponde a como golpes modernos escalam, de acordo com as descobertas de falsificação de identidade da Chainalysis: Chainalysis).

Regra rápida: se você chegou através de um anúncio ou de um link em uma mensagem, pare e reabra a partir do seu marcador.

2) Divida os fundos por propósito (controle de raio de explosão)

Use pelo menos dois endereços:

• Carteira de negociação: apenas o que você pode se dar ao luxo de expor a dApps, assinaturas, aprovações e automação.
• Carteira de cofre / poupança: participações de longo prazo que raramente se conectam a qualquer lugar.

Essa estrutura limita os danos se o ambiente de negociação for comprometido.

3) Se você usa login baseado em e-mail, proteja seu e-mail como se fosse uma chave privada

Se você depende do acesso ao e-mail, sua conta de e-mail se torna um plano de controle. Rigor mínimo:

• Habilite a autenticação multifatorial e prefira métodos baseados em aplicativos ou resistentes a phishing quando disponíveis (orientação MFA da CISA).
• Use senhas exclusivas + um gerenciador de senhas.
• Armazene códigos de recuperação offline.

Para um rigor de autenticação mais profundo, o NIST destaca que senhas e métodos comuns de OTP não são resistentes a phishing, enquanto métodos criptográficos podem ser (autenticadores NIST SP 800-63B).

4) Mantenha suas chaves offline (e mantenha seu ambiente "quente" descartável)

Uma carteira de hardware ainda é uma das melhores defesas contra roubo de chave privada bruta porque a chave nunca precisa existir no seu computador de uso diário.

Se você optar por usar OneKey para armazenamento de longo prazo, a vantagem chave é simples e prática: as chaves privadas permanecem no dispositivo e as transações exigem confirmação física, o que reduz a chance de malware extrair segredos silenciosamente.

Nuance importante: carteiras de hardware não protegem automaticamente contra aprovações maliciosas que você assina (veja riscos de aprovação explicados por Revoke.cash: Revoke.cash).

5) Leia cada assinatura e transação como um engenheiro de segurança

Antes de aprovar qualquer coisa:

• Confirme o domínio com o qual você está interagindo.
• Confirme se você está assinando uma mensagem versus enviando uma transação on-chain.
• Desconfie de:
  • Solicitações de "atualização de segurança"
  • Loops de "verificar carteira"
  • Solicitações de assinatura inesperadas logo após o carregamento da página
  • Páginas de "reivindicação de airdrop" que pedem aprovações

Se o prompt da carteira não estiver claro, cancele, atualize e reabra a partir do seu marcador.

6) Trate aprovações de tokens como passivos contínuos (cancele regularmente)

Faça isso como higiene rotineira da carteira:

• Audite e cancele permissões que você não precisa usando:
  • Revoke.cash
  • Verificador de Aprovação de Token Etherscan

Melhores práticas:

• Evite aprovações ilimitadas quando uma quantidade personalizada funciona.
• Cancele aprovações após terminar de usar um recurso, especialmente se você não retornar em breve.
• Se você suspeita que assinou algo malicioso, cancelar aprovações é uma etapa de contenção de danos (não recuperará fundos já roubados).

7) Se você automatiza a negociação, isole sua "carteira de agente" da sua carteira principal

Se você executa bots ou conecta ferramentas de terceiros, não exponha sua chave principal. Use chaves de assinatura dedicadas e minimize privilégios.

A documentação descreve carteiras de API (carteiras de agente) que podem assinar em nome de uma conta mestre (documentação oficial da carteira de API). Salvaguardas práticas:

• Gere uma chave de agente separada para cada bot / processo (não reutilize uma chave em todos os lugares).
• Armazene a chave do agente em um gerenciador de segredos, não em arquivos .env em texto puro em máquinas compartilhadas.
• Rotacione as chaves após qualquer comprometimento do dispositivo ou mudança de acesso da equipe.
• Remova / substitua chaves de agente não utilizadas para reduzir a superfície de ataque (menos chaves ativas, menos pontos de entrada).

8) Endureça seu navegador e dispositivo (extensões fazem parte da sua carteira)

Dadas as repetidas notícias sobre add-ons maliciosos afetando usuários de cripto (TechRadar):

• Use um perfil de navegador dedicado apenas para cripto.
• Instale o mínimo de extensões possível (idealmente nenhuma além do necessário).
• Mantenha o sistema operacional e o navegador atualizados.
• Se você suspeitar de uma extensão maliciosa, remova-a e siga as etapas oficiais de relatório / remediação (orientação da Mozilla).

9) Deposite / retire com segurança (presuma que copiar e colar pode ser atacado)

• Comece com uma pequena quantia de teste ao usar uma nova rota.
• Verifique os endereços na tela e na interface de confirmação da sua carteira.
• Siga as instruções oficiais de integração / ponte, não capturas de tela de terceiros (guia oficial de integração).

10) Prepare um plano de resposta a incidentes (antes que você precise)

Se algo parecer errado (assinaturas inesperadas, aprovações desconhecidas, UI "travada" que continua solicitando):

• Pare de negociar imediatamente.
• Cancele aprovações recentes (Revoke.cash / verificador Etherscan).
• Mova os fundos restantes para um endereço mais seguro que você controla (preferencialmente sua carteira fria).
• Presuma que o dispositivo pode estar comprometido; mude para um ambiente limpo antes de continuar.

Checklist de pré-negociação de 60 segundos (copiar/colar)

• Abra o site de negociação a partir de um marcador (não de pesquisa / anúncios)
• Confirme o domínio e HTTPS
• A carteira de negociação tem apenas o valor que você está disposto a expor
• Nenhuma nova extensão instalada desde a última sessão
• Leia o prompt da carteira: assinatura de mensagem vs transação
• Após o uso, cancele aprovações desnecessárias

Conclusão: uma maneira prática de aprimorar sua segurança de cripto

A maioria das perdas no mundo real vêm de falhas operacionais (phishing, aprovações, comprometimento de endpoint), não de criptografia obscura. Se você adotar apenas dois hábitos em 2026, faça estes:

1. mantenha seus fundos de longo prazo em uma configuração fria (uma carteira de hardware como OneKey pode ajudar a manter as chaves privadas fora da sua máquina diária), e
2. trate aprovações e assinaturas como um risco contínuo — revise e cancele-as regularmente.