Carteira Web vs app mobile: qual é realmente sem KYC?

"Sem KYC" é uma expressão usada com frequência em produtos de carteira cripto. Mas, na prática, há diferenças importantes entre uma carteira Web e uma carteira em app mobile — não só no formato, mas também em onde a chave privada fica armazenada, qual é a superfície de ataque e em que situações o KYC pode ser exigido.

Neste artigo, analisamos as diferenças de arquitetura entre esses dois tipos de carteira para ajudar você a entender qual faz mais sentido em cada cenário de uso.

Antes de tudo: que tipo de “carteira Web” é realmente sem KYC?

O termo “carteira Web” pode significar coisas diferentes no mercado cripto. Por isso, vale separar em três categorias:

1. Carteira de extensão de navegador
Exemplos: OneKey, MetaMask. Esse tipo de carteira funciona como uma extensão do navegador. A chave privada é criptografada e armazenada localmente no navegador, em um ambiente como o Storage. É uma carteira não custodial e, por natureza, não exige KYC.

2. Carteira custodial acessada pelo navegador
Exemplo: a área de “wallet” de uma corretora centralizada. Nesse caso, você acessa a carteira pela Web, mas as chaves privadas ficam sob custódia da plataforma. Você tem acesso a uma conta, não controle direto das chaves. Por isso, normalmente há exigência de KYC.

3. Carteira Web não custodial pura
Exemplo: uso local do MyEtherWallet para assinar transações. A chave privada é gerada e usada localmente no navegador, sem ser enviada a servidores. Em geral, não exige KYC, mas costuma demandar importação manual de arquivo de chave ou outros cuidados operacionais, o que exige bons hábitos de segurança.

Neste artigo, quando falamos em “carteira Web”, estamos nos referindo principalmente ao primeiro caso: carteiras em formato de extensão de navegador, comparadas a carteiras em app mobile.

Diferença central: onde a chave privada fica armazenada

Tanto extensões de navegador quanto apps mobile podem ser carteiras não custodiais. O ponto em comum é que a chave privada fica sob controle do próprio usuário.

A diferença está no ambiente físico e lógico onde essa chave é armazenada e usada, além da superfície de ataque de cada formato.

Padrões de assinatura como EIP-712 podem ser usados nos dois formatos. Em extensões de navegador, a exibição da assinatura costuma ser mais direta, já que a carteira opera no mesmo ambiente de navegação da DApp.

Lógica de KYC: o formato não é o fator decisivo

Um erro comum é pensar que “se é Web, pode exigir KYC”. Na verdade, o ponto principal é outro: existe uma instituição financeira licenciada custodiando seus ativos no meio do caminho?

As diretrizes da FinCEN diferenciam provedores de software não custodial de operadores de serviços financeiros. O primeiro grupo desenvolve ferramentas; o segundo mantém ou movimenta fundos de usuários. Se a carteira é não custodial — seja extensão de navegador ou app mobile — o desenvolvedor não atua como intermediário financeiro e, portanto, não precisa aplicar KYC apenas por fornecer o software.

A regulação MiCA da União Europeia segue lógica semelhante: provedores de carteiras não custodiais não são tratados como provedores de serviços de criptoativos, conhecidos como CASPs, e não precisam se registrar como tais nem executar procedimentos de KYC por esse motivo.

Comparativo de superfície de ataque

Principais riscos de carteiras em extensão de navegador

O navegador é um ambiente relativamente aberto. Por isso, carteiras em extensão enfrentam riscos como:

• DApps maliciosas solicitando assinaturas perigosas. Você precisa ler com atenção cada solicitação de assinatura para evitar cair em sites de phishing ou autorizações indevidas.
• Approvals excessivamente amplos de tokens. O Revoke.cash é uma boa referência para aprender a identificar e revogar permissões arriscadas.
• Extensões maliciosas ou falsas. Atacantes podem publicar extensões que imitam carteiras conhecidas ou tentar interferir no ambiente do navegador.

Principais riscos de carteiras em app mobile

Apps mobile costumam ter melhor isolamento de segurança, mas também apresentam riscos próprios:

• Perda ou roubo do aparelho. Se o bloqueio do celular for fraco, um invasor pode tentar acessar dados da carteira.
• Apps maliciosos monitorando a área de transferência. Esse tipo de app pode tentar capturar endereços copiados ou até informações sensíveis, caso o usuário cometa o erro de copiar uma seed phrase.
• Engenharia social. Pesquisas da Chainalysis mostram que golpes de engenharia social são comuns contra usuários mobile, com atacantes se passando por suporte para induzir a vítima a digitar a frase de recuperação.

Nos dois formatos, a proteção da seed phrase continua sendo a primeira e mais importante camada de segurança. A documentação da MetaMask sobre frase de recuperação explica bem a importância desse mecanismo e vale como referência educativa.

Qual escolher para trading on-chain?

Se o seu foco é operar em protocolos on-chain, como contratos perpétuos ou DEX spot, os dois formatos têm vantagens diferentes.

A carteira em extensão de navegador costuma ser mais confortável no desktop. A tela maior facilita ajustar parâmetros, acompanhar gráficos, revisar ordens e interagir com interfaces mais completas. Protocolos como dYdX, por exemplo, oferecem uma experiência mais robusta no PC.

Já a carteira mobile é mais prática para acompanhar posições em movimento, fazer verificações rápidas e, quando necessário, fechar uma posição com agilidade.

A OneKey oferece tanto extensão de navegador quanto app mobile. Com o OneKey Perps integrado, você pode acessar mercados de contratos perpétuos on-chain em ambos os ambientes, mantendo a chave privada armazenada localmente e sob seu controle.

Para usuários que buscam uma camada adicional de segurança, a carteira hardware da OneKey pode funcionar como uma camada de “assinatura fria”: você usa o software no dia a dia e confirma movimentações mais sensíveis ou valores maiores no hardware wallet, equilibrando praticidade e proteção.

WalletConnect: conectando app mobile a DApps Web

O WalletConnect é hoje um dos protocolos mais usados para conectar carteiras mobile a DApps no navegador.

Na prática, você escaneia um QR code com o celular, a carteira estabelece um canal criptografado com a DApp e as solicitações de assinatura aparecem no app. Você confirma no celular, sem expor a chave privada ao ambiente do navegador.

Esse modelo combina parte das vantagens dos dois mundos: a conveniência da interface Web com o isolamento de assinatura no dispositivo mobile.

Perguntas frequentes

Q1: A carteira Web da OneKey exige KYC?

Não. A OneKey Wallet, incluindo a extensão de navegador e o app mobile, é um produto não custodial. As chaves privadas ficam com o próprio usuário, sem exigência de verificação de identidade.

Q2: Se eu instalar a extensão e o app mobile, devo usar a mesma seed phrase?

Você pode usar a mesma seed phrase para que os dois ambientes controlem os mesmos endereços e contas, o que facilita a gestão. Mas lembre-se: qualquer problema de segurança em um dos ambientes pode afetar todas as contas associadas àquela seed. Para valores relevantes, considere usar uma carteira hardware.

Q3: Ao conectar uma DApp via WalletConnect, minha chave privada pode vazar?

Não pelo funcionamento normal do protocolo. O princípio do WalletConnect é que a chave privada nunca sai da carteira. A DApp envia apenas uma solicitação de assinatura; a carteira assina localmente e devolve o resultado assinado. A chave privada permanece no dispositivo.

Q4: Existe diferença entre extensão e app mobile nas permissões ERC-20?

No mecanismo em si, não. Ambos seguem o padrão ERC-20 e usam a função approve. A diferença está mais na interface: algumas carteiras de extensão, como OneKey e Rabby, podem simular a transação e destacar riscos antes da autorização. No mobile, os avisos tendem a ser mais compactos, então o usuário precisa prestar atenção redobrada ao valor e ao escopo da permissão.

Q5: Qual formato é melhor para iniciantes?

Para iniciantes, o app mobile costuma ser mais intuitivo, porque a experiência se parece com a de outros aplicativos do dia a dia e o desbloqueio por biometria é prático. A extensão de navegador tem uma curva de aprendizado um pouco maior, mas é mais eficiente para quem usa DApps no computador.

Uma boa abordagem é começar pelo app mobile da OneKey, entender o funcionamento básico e depois instalar a extensão caso você precise operar mais no desktop.

Conclusão: o formato é o meio; a autocustódia é o objetivo

Carteiras Web em extensão de navegador e carteiras em app mobile podem ser realmente sem KYC quando seguem uma arquitetura não custodial. O motivo é simples: em ambos os casos, você mantém controle das chaves privadas, sem entregar a custódia dos ativos a uma plataforma centralizada.

A escolha entre Web e mobile depende do seu uso principal: operar protocolos DeFi com mais precisão no desktop ou gerenciar posições e ativos rapidamente pelo celular.

A OneKey se destaca por oferecer uma experiência consistente nos dois formatos, com código totalmente open source e integração com o OneKey Perps para usuários que precisam acessar trading on-chain sem ficar alternando entre várias ferramentas.

Para experimentar, baixe a OneKey pelos canais oficiais, escolha entre app mobile, extensão de navegador ou hardware wallet conforme seu perfil, e use o OneKey Perps com atenção aos riscos antes de abrir qualquer posição.

Aviso de risco: este conteúdo é apenas informativo e não constitui aconselhamento financeiro, de investimento ou jurídico. Criptomoedas e derivativos on-chain envolvem riscos elevados, e a volatilidade do mercado pode levar à perda do capital. Antes de usar qualquer serviço on-chain, avalie cuidadosamente os riscos e tome decisões de forma independente.