Usando a MetaMask com segurança

A MetaMask é uma das carteiras de autocustódia mais usadas. Ela funciona como extensão de navegador e como aplicativo de celular, e foi criada para o Ethereum e as muitas redes compatíveis com ele. Esta lição a usa como exemplo porque muita gente começa por ela; os mesmos hábitos valem para qualquer carteira, e citá-la não é uma recomendação.

Instalando

• Instale apenas pelo site oficial, metamask.io, ou pelos links que ele indica para a loja de extensões do seu navegador ou para a loja de aplicativos. Extensões e aplicativos falsos da MetaMask já foram usados para roubar frases de recuperação.
• Confira na loja o nome de quem publica e o número de usuários antes de instalar.

Configurando

1. Crie uma nova carteira. A MetaMask mostra uma Secret Recovery Phrase (frase secreta de recuperação), o nome que ela dá à seed phrase. Anote a frase e guarde-a como o curso Protegendo Suas Chaves descreve.
2. Defina uma senha. A senha só desbloqueia a MetaMask naquele dispositivo; ela não consegue restaurar a carteira em nenhum outro lugar. A frase consegue.
3. Entenda as contas. Você pode criar várias contas a partir da mesma frase, e todas elas são restauradas por ela. Uma conta que você importa com uma chave privada separada não é coberta pela frase e precisa de um backup próprio.

Redes e tokens

• O Ethereum vem configurado por padrão. Para usar outra rede, como Base, Arbitrum ou Robinhood Chain, adicione-a com os dados de rede da documentação oficial dessa rede. Uma configuração de rede maliciosa pode mostrar saldos falsos ou registrar sua atividade.
• Um token que você tem pode não aparecer até você adicioná-lo. Adicione-o pelo endereço do contrato, obtido de uma fonte oficial, e não buscando pelo nome.
• Tokens e NFTs que você nunca pediu costumam aparecer nas carteiras como isca. Não visite os sites que eles mencionam nem tente vendê-los.

Assinando com ela

• Quando um site pede para gastar um token, a MetaMask mostra o limite de gasto (spending cap). Normalmente dá para mudá-lo para o valor exato que você pretende usar.
• A MetaMask mostra alertas de segurança que sinalizam alguns pedidos maliciosos conhecidos. Eles pegam alguns ataques, não todos, então leia cada pedido você mesmo.
• Pedidos de assinatura que não são transações ainda podem conceder permissões, como explica a lição "Aprovações, permits e drainers de carteira".

Como isso falha

• Uma extensão ou um aplicativo falso instalado a partir de um anúncio ou de um resultado de busca.
• Um "agente de suporte" ou um site de "validação" que pede a Secret Recovery Phrase. A equipe da MetaMask nunca pede a frase.
• Uma extensão de navegador ou um computador infectado por malware. Mantenha valores significativos em uma carteira de hardware conectada à MetaMask, ou em uma carteira separada.