Cosine, da SlowMist, levanta questões de privacidade sobre a coleta de dados na assinatura clara

A assinatura clara busca ajudar os usuários de criptomoedas a entender o que estão autorizando antes que uma transação chegue à blockchain. No entanto, o processo de transformar dados brutos de uma transação em uma mensagem compreensível pode envolver softwares externos à carteira de hardware — e esses softwares podem processar informações que os usuários não esperam compartilhar.

Em 11 de novembro, Cosine, fundador da SlowMist, manifestou preocupação com um mecanismo de coleta de dados associado a uma integração de assinatura clara. Segundo seu relato, o mecanismo coleta por padrão determinadas informações relacionadas à assinatura, entre elas a rede ou o ID da blockchain, o endereço de destino, as versões do dispositivo e do software, além da indicação de uso ou não da assinatura cega.

Essa distinção é importante: Cosine descreveu o mecanismo como parte de um kit de desenvolvimento de software utilizado por aplicativos de carteira, e não como um recurso incorporado ao firmware do dispositivo. De acordo com seu relato, o aplicativo de carteira conectado ao dispositivo precisaria oferecer o controle necessário para que os usuários pudessem alterar essa configuração.

Quais informações podem estar envolvidas?

Os campos mencionados abrangem tanto o contexto da transação quanto o ambiente em que a assinatura é solicitada:

• Rede ou ID da blockchain: Identifica a rede blockchain associada à solicitação.
• Endereço de destino: Pode identificar um contrato inteligente ou um destinatário.
• Modelo do dispositivo e versões dos softwares: Podem indicar o dispositivo, o firmware e o aplicativo envolvidos.
• Status e motivo da assinatura cega: Indica se a solicitação foi assinada sem uma exibição totalmente compreensível e, em caso afirmativo, por quê.

Esses dados não equivalem a uma chave privada nem a uma frase de recuperação. A coleta relatada, por si só, não demonstra que qualquer um desses segredos tenha sido exposto.

Ainda assim, essas informações podem ser sensíveis. O endereço de um contrato pode revelar qual protocolo uma pessoa pretende usar, enquanto o endereço do destinatário pode fornecer contexto sobre um pagamento. Quando combinados com horários ou outras informações disponíveis para um serviço, esses metadados podem facilitar a correlação das atividades de uma carteira.

As transações em blockchain costumam se tornar públicas após o envio, mas isso não significa que todos os metadados relacionados à assinatura também sejam públicos. É razoável que um usuário faça distinção entre transmitir uma transação para a rede e compartilhar detalhes de uma tentativa de assinatura com um aplicativo ou serviço.

Assinatura clara e assinatura cega têm finalidades diferentes

Nem sempre é fácil interpretar uma solicitação de transação a partir de seus dados brutos. A assinatura clara procura apresentar informações relevantes — como a ação, o destino e os parâmetros envolvidos — em um formato que o usuário possa revisar antes de aprovar a operação.

A assinatura cega funciona de outra maneira: o usuário aprova uma solicitação que o dispositivo não consegue interpretar por completo nem exibir de forma compreensível. Isso pode acontecer quando a carteira ou o dispositivo não dispõe do contexto necessário para decodificar determinada interação.

A documentação sobre transações da Ethereum explica os campos básicos envolvidos nas transações da rede. Em interações mais complexas, porém, conhecer apenas o destino pode não ser suficiente. Uma chamada de contrato pode conceder uma permissão de gasto ou acionar um comportamento cuja compreensão exige contexto adicional.

A assinatura clara pode facilitar a análise de uma transação, mas uma mensagem legível não garante que a interação seja segura. Os usuários ainda devem verificar o aplicativo utilizado, a ação solicitada e todas as permissões de gasto envolvidas.

Por que a camada do aplicativo é importante

Uma carteira de hardware protege as chaves de assinatura, mas os usuários normalmente interagem com ela por meio de um aplicativo de carteira, uma extensão de navegador ou outro software. Esse aplicativo pode recorrer a componentes de terceiros para interpretar os dados da transação ou se comunicar com serviços externos.

O mecanismo relatado mostra por que as avaliações de segurança e privacidade precisam abranger todo o fluxo de assinatura:

1. O usuário inicia uma ação em um aplicativo.
2. O aplicativo prepara uma solicitação de assinatura e pode utilizar softwares auxiliares para interpretá-la.
3. A carteira de hardware exibe as informações para aprovação e assina a solicitação caso o usuário confirme.
4. Em seguida, o aplicativo pode enviar a transação assinada para a rede.

Se a coleta de dados ocorrer em um software utilizado pelo aplicativo, alterar apenas as configurações do dispositivo talvez não seja suficiente para controlá-la. Nesse caso, os usuários podem precisar de uma opção específica na carteira conectada — ou de uma explicação do desenvolvedor sobre quais dados são coletados e como desativar essa coleta.

As informações disponíveis não permitem concluir que todas as carteiras que utilizam esse tipo de software coletam os mesmos dados. Tampouco esclarecem por quanto tempo as informações eventualmente coletadas são armazenadas ou se são combinadas com outros registros. Esses aspectos dependem da integração específica e das práticas de privacidade adotadas.

Como avaliar a privacidade das suas assinaturas

Os usuários não precisam abrir mão de mensagens de transação compreensíveis para levar a privacidade a sério. Uma análise prática pode considerar tanto o que é exibido no dispositivo quanto o comportamento do software conectado:

• Verifique as configurações de privacidade da carteira. Procure controles relacionados a análises de uso, diagnósticos, simulação de transações ou serviços externos de dados.
• Leia as declarações de privacidade do aplicativo. Observe quais dados são enviados, quem os recebe, por quanto tempo são armazenados e se a desativação da coleta afeta alguma funcionalidade.
• Confira a tela do dispositivo antes de confirmar. Compare a rede, o destino, o valor e a ação exibidos com aquilo que você pretendia fazer.
• Considere a assinatura cega uma decisão de maior risco. Se você não consegue entender a solicitação, interrompa o processo e investigue antes de aprová-la.
• Revise periodicamente as permissões de tokens. Uma autorização pode permitir que um contrato gaste tokens futuramente; ela não representa necessariamente uma transferência única.
• Mantenha os softwares atualizados. As atualizações podem melhorar a segurança e a interpretação das transações, embora também possam alterar recursos ou configurações de privacidade que mereçam ser revisados.

A principal conclusão

A questão central não é se a assinatura clara é útil — ela pode tornar as transações com criptomoedas mais fáceis de avaliar. O ponto é saber se os usuários têm visibilidade e controle suficientes sobre as informações compartilhadas para oferecer essa experiência.

Para quem está escolhendo uma carteira de criptomoedas ou um aplicativo conectado, a proteção da chave privada é apenas uma parte da decisão. A transparência das transações, o consentimento informado e a facilidade de acesso aos controles de privacidade também são importantes.