Vlad constrói na NEAR desde a própria fundação do protocolo, trabalhou ao lado do cofundador Ilya e possui mestrado em cibersegurança. A conversa abordou os drenos de carteiras Coldcard, os limites da autocustódia e como funciona a custódia compartilhada quando sua equipe não possui formação em ciência da computação.

O equívoco que fundamenta tudo

"Já ouvi de algumas pessoas menos técnicas que elas acreditam que seus tokens ficam armazenados dentro do dispositivo da cold wallet. Não é o caso."

O registro vive na blockchain. Saldos, transferências, histórico completo — público e visível para qualquer pessoa com um navegador. Seu dispositivo armazena exatamente uma única coisa: uma chave criptográfica.

Essa distinção altera o próprio significado de "segurança". Não há nada em seu dispositivo que precise ser invadido. A única questão que importa é se alguém consegue gerar a mesma chave que você possui.

Normalmente, não conseguem. O número de chaves possíveis é tão vasto que adivinhar a sua levaria mais tempo do que a idade do universo. Esse é todo o modelo de segurança, e ele funciona — desde que a chave tenha sido gerada de forma adequada.

Onde a Coldcard falhou

O ponto fraco não foi o hardware, o armazenamento offline ou a configuração do usuário. Foi o algoritmo que gerou a chave inicial.

Uma vez que os atacantes compreenderam o funcionamento desse gerador, o espaço de busca colapsou. Em vez de um número impossível de candidatos, eles tinham um conjunto gerenciável — pequeno o suficiente para ser processado, testando cada palpite contra a rede para verificar se correspondia a uma conta com fundos.

A perspectiva de Vlad sobre o ocorrido merece reflexão: nenhuma chave foi roubada. Os atacantes simplesmente geraram chaves duplicadas. Sob a ótica da blockchain, ambas as cópias são igualmente válidas. Ambas podem assinar transações.

"A segurança de qualquer sistema é definida pelo seu ponto mais fraco."

Ele conecta isso ao motivo pelo qual a computação quântica preocupa os criptógrafos. Máquinas quânticas também não invadem carteiras offline. Elas apenas tornam a geração de chaves duplicadas extremamente rápida — comprimindo milhões de anos em dias ou semanas. É o mesmo modelo de ameaça, mas em outra escala.

Então, o que uma cold wallet realmente oferece?

Ela protege a chave contra roubos baseados em rede. Um malware no seu notebook não consegue acessá-la. Uma extensão de navegador comprometida não pode tocá-la.

Isso é real e de extrema importância. Mas cobre apenas um dos vários vetores de ataque. Não adianta nada contra um gerador defeituoso dentro do próprio dispositivo. Não ajuda se alguém encontrar o seu backup físico anotado. E não resolve a maior categoria de perda em cripto: os próprios usuários perdendo o acesso.

O apresentador, que atua no mercado cripto desde 2012, argumentou que a perda autoinduzida provavelmente destruiu mais fundos do que todos os hacks combinados. Primeiros adeptos de Bitcoin em New Hampshire cujas famílias nunca conseguiram recuperar as moedas. Um investidor de Dash que enterrou chaves atrás de caminhos de derivação exóticos e perdeu o acesso permanentemente.

O armazenamento a frio lida muito bem com uma ameaça específica. Tratá-lo como a resposta definitiva é o grande erro.

O padrão entre as carteiras que resistiram

Dois fatores diferenciaram as contas que passaram intactas pelo incidente da Coldcard.

Chaves de fabricantes diferentes. Se o seu multisig exige três assinaturas e as três vieram do mesmo fabricante usando o mesmo método de geração, você não multiplicou a segurança — você multiplicou uma única fraqueza por três. Fabricantes diferentes significam implementações diferentes. Uma falha em um não afeta os outros.

Uma passphrase BIP-39. Uma palavra extra que apenas o usuário conhece, aplicada sobre a seed gerada. Entropia fornecida pelo usuário somada à entropia fornecida pelo fabricante. Isso salvou muita gente.

A cautela de Vlad, porém, vale para os dois lados. Se você definir seu limite para cinco de cinco e perder uma única chave, ficará bloqueado para sempre. "Os fundos continuam na sua conta, mas você perde o controle sobre eles." O excesso de engenharia na segurança cria seu próprio modo de falha.

Multisig sem o jargão cripto

A referência de Vlad para usuários não técnicos é a autenticação de dois fatores. Uma senha mais um código enviado a um segundo dispositivo. A execução só ocorre quando ambos são fornecidos.

A Trezu implementa isso como uma smart account na NEAR. Ela rastreia as confirmações e executa a transação assim que o limite de assinaturas é atingido. Um princípio simples — mas a arquitetura viabiliza duas funções que o multisig clássico não consegue oferecer.

As chaves não são iguais. Uma chave pode ter permissão apenas para propor um pagamento e nada mais. Outra pode apenas aprovar ou rejeitar. No multisig tradicional e em carteiras de assinatura de limiar (MPC), a criptografia combina assinaturas equivalentes. Não é possível impor funções — e Vlad é categórico ao afirmar que isso é 100% impossível nessas tecnologias.

"Do ponto de vista da segurança, você não quer dar ao seu estagiário a mesma chave que os aprovadores possuem."

As rejeições ficam registradas. Na maioria das configurações, você vê quem aprovou uma transação, mas nunca quem a recusou. Em uma smart account, ambos os votos são visíveis on-chain, junto com quais chaves estiveram envolvidas em cada etapa.

Vlad afirma que essa funcionalidade específica despertou mais interesse em entrevistas com usuários do que quase qualquer outra, porque equipes reais já trabalham com funções definidas. Um gerente de operações prepara o pagamento. Um fundador o aprova. As ferramentas devem refletir como o trabalho é realmente distribuído.

A pergunta direta do apresentador

Tudo roda na NEAR. Isso não seria um ponto único de falha?

Vlad não hesitou. Não existe software livre de bugs, e o risco é real. O que ele apresentou foi o histórico operacional: a NEAR funciona desde 2020 com 100% de uptime. O contrato multisig por trás da Trezu está ativo desde 2021, já protegeu mais de US$ 250 milhões no pico de valorização dos tokens e gerencia mais de US$ 70 milhões sob custódia atualmente.

Auditorias são realizadas continuamente — especialistas humanos e os modelos mais recentes de IA analisam o sistema em busca de falhas que análises anteriores possam ter deixado passar. Nada foi encontrado até o momento.

"O elo mais fraco define toda a sua segurança. Por isso, nunca corremos riscos desnecessários."

Assista à entrevista completa no Digital Cash Network.