O que é uma hardware wallet?

Hardware wallet é um dispositivo físico dedicado que armazena ou deriva chaves privadas e assina separado do computador ou celular. Quando funciona como projetado, o app recebe a assinatura, não a chave.

Ativos não ficam como arquivos no aparelho; ele controla material de assinatura.

Como preparação e assinatura são separadas

O host lê dados e cria o pedido. O dispositivo analisa, exibe detalhes suportados e assina após confirmação. O host transmite.

PSBT Bitcoin permite troca entre criador, signatário e finalizador e inclui dados para reconhecer destinatário e troco. Outras redes usam formatos diferentes; aceitar bytes não significa interpretá-los. BIP-174

NIST descreve hardware protegido e assinatura sem expor chaves ao app, como objetivo de projeto, não prova igual para todo produto. NISTIR 8301

A tela do dispositivo faz parte da autorização

Isolar a chave não impede host comprometido de trocar endereço ou ação. O dispositivo só ajuda quando interpreta e exibe detalhes significativos.

Ledger chama isso de clear signing e diferencia de blind signing. É terminologia do fornecedor, mas a fronteira é geral: hash opaco oferece menos verificação que destino legível. Telas e decodificação variam. Ledger: clear signing

Mesmo um endereço exibido corretamente pode ser difícil de comparar, e permissões ou chamadas aninhadas nem sempre cabem em um valor resumido. O botão de confirmação só ajuda quando o aparelho mostra os dados com precisão e o usuário os confere.

Hardware, cold e não custodial descrevem propriedades diferentes

Hardware é dispositivo; cold é fluxo offline; não custodial é controle. O aparelho pode conversar com host online, integrar multisig ou serviço gerenciado. USB, Bluetooth, NFC, QR e mídia são canais e não comprovam custódia ou validade. Trezor: hardware wallet

Ter o dispositivo também pode não bastar para autorizar se a conta exigir outro signatário ou condição de política.

PIN, frase de recuperação e passphrase não são intercambiáveis

PIN restringe acesso local e não muda as chaves. Implementações BIP-39 podem usar mnemônico e passphrase; a passphrase muda seed e carteira. BIP-39

Dados de recuperação são outro caminho para as chaves. Perder aparelho e backup suficiente pode impedir acesso. Nem todo aparelho usa BIP-39, e frase pode não restaurar chaves importadas, multisig ou smart accounts.

Quem tiver frase, eventual passphrase e configurações compatíveis talvez consiga reconstruir as chaves sem o aparelho original. Esse caminho de recuperação é uma fronteira de segurança própria.

Falhas além da extração remota

Persistem firmware defeituoso, atualização maliciosa, adulteração física, host enganoso, tela incompleta, frase exposta, assinatura indesejada e perda de outros signatários. Hardware não é garantia absoluta. Ethereum: security

Perguntas frequentes

Perder o aparelho significa perder os ativos?

Não necessariamente. Recuperação compatível pode reconstruir acesso com todos os dados e configurações.

Malware pode gastar sem obter a chave?

Não cria sozinho a assinatura se a chave continuar isolada, mas pode apresentar pedido malicioso para confirmação.

Saiba mais

Veja Hardware Wallet Guide (em inglês).

Conceitos relacionados

Leia sobre cold wallets, carteiras não custodiais, chaves privadas e seed phrases, ou retorne ao Glossário.

Fontes

• NISTIR 8301 — hardware e assinatura.
• BIP-174 — PSBT.
• Bitcoin Developer Guide — separação de funções.
• BIP-39 — mnemônico e passphrase.
• Ledger: clear signing — verificação legível.
• Trezor: hardware wallet — isolamento e confirmação.
• Ethereum: security — phishing e recuperação.