Como proteger sua conta de cartão cripto: frase-semente e 2FA na prática

Como funciona uma conta com frase-semente

Contas tradicionais combinam um nome de usuário com uma senha. O USDT Crypto Card usa um único código gerado, no formato xxxx-xxxx-xxxx-xxxx, criado no cadastro. Não há usuário para adivinhar nem senha escolhida por você, então ela não pode ser reaproveitada do vazamento de outro site.

A contrapartida é a responsabilidade. A seed é mostrada no cadastro, e qualquer pessoa que a obtenha pode tentar entrar. Por isso as camadas abaixo importam:

1. A seed, que você mantém em sigilo.
2. Um e-mail confirmado, obrigatório antes do primeiro depósito ou cartão. Ele recebe alertas de segurança e permite voltar a entrar se você perder a seed.
3. 2FA opcional, um código temporário de um app autenticador, mais códigos de backup de uso único.

Como guardar sua frase-semente com segurança

Faça

• Anote no papel e guarde num lugar privado e protegido de danos, como uma gaveta trancada ou um cofre.
• Considere uma segunda cópia em outro local seguro, para que um incêndio ou uma enchente não leve as duas.
• Use um gerenciador de senhas confiável se preferir guardar no digital. Um bom gerenciador criptografa o cofre e é protegido por uma senha mestra forte e um 2FA próprio.
• Confira se consegue ler o que anotou. Letra ambígua é um jeito comum de se trancar fora da conta.

Não faça

• Não tire print. As galerias de fotos sincronizam com a nuvem e são um alvo comum.
• Não envie por e-mail para você mesmo nem guarde num app de notas sem criptografia.
• Não cole em conversas, inclusive com alguém que diz ser do suporte. O suporte nunca precisa da sua seed.
• Não digite em nenhum lugar além da página de login do site em que você realmente se cadastrou. Confira a barra de endereço.

Vendo sua seed depois

Se precisar ver sua seed de novo, você pode revelá-la nas configurações de segurança do painel. Ela aparece por pouco tempo e a tela se fecha sozinha, e o painel registra quando a seed foi vista pela última vez. Se notar uma visualização da seed que você não reconhece, trate a conta como exposta.

Configurando a autenticação em dois fatores

O 2FA acrescenta um segundo fator: algo que você tem (seu celular com um app autenticador) além de algo que você sabe (a seed). Com o 2FA ativado, uma seed roubada sozinha não dá acesso à sua conta.

Escolha um app autenticador

Qualquer app que suporte senhas temporárias de uso único (TOTP) padrão funciona, por exemplo Google Authenticator, Authy, 2FAS ou o autenticador embutido de muitos gerenciadores de senhas. Prefira um que faça backup ou sincronize os códigos com segurança, para que trocar de celular não tranque você fora.

Ative

1. Abra a seção de segurança do painel e escolha ativar o 2FA.
2. Escaneie o QR code com o app autenticador ou digite a chave de configuração manualmente.
3. Digite o código de 6 dígitos que o app mostrar para confirmar.
4. Salve seus códigos de backup quando aparecerem. Eles são exibidos uma única vez.

Os códigos mudam a cada 30 segundos. Se um for rejeitado, espere o próximo; uma diferença grande entre o relógio do celular e a hora real também causa rejeições, então mantenha a hora automática ativada.

Guarde seus códigos de backup com segurança

Os códigos de backup são o jeito de entrar se você perder o celular. Cada um funciona uma vez. Guarde-os como guarda a seed, mas não no mesmo celular do app autenticador; senão, perder o celular significa perder os dois. Quando estiverem acabando, gere um novo conjunto no painel; isso invalida os códigos antigos.

O que o 2FA protege

Com o 2FA ativado, você digita um código ao entrar, e ações sensíveis também podem pedir um código novo. Desativar o 2FA ou gerar novos códigos de backup exige um código do app autenticador, não um código de backup. Isso impede que alguém que encontrou um código de backup desative sua proteção em silêncio.

Seu e-mail como caminho de recuperação

Você precisa de um e-mail confirmado antes de depositar ou de emitir e recarregar cartões. Além dessa exigência, ele é sua rede de segurança:

• Recuperação. Se perder a seed, você pode pedir, na página de recuperação, um link de login de uso único enviado ao seu e-mail confirmado.
• Alertas. Você recebe recibos de depósito e avisos sobre novos logins.
• O 2FA continua valendo. Se o 2FA estiver ativado, entrar por um link de recuperação ainda pede o código do autenticador.

Proteja essa caixa de entrada à altura: use uma senha forte e exclusiva e ative o 2FA na própria conta de e-mail.

Como reconhecer phishing e golpes

A maioria das invasões de conta começa com alguém sendo enganado para entregar suas credenciais. Fique atento a:

• Sites falsos parecidos. Confira o domínio antes de digitar sua seed. Salve a página de login real nos favoritos e use o favorito.
• "Suporte" pedindo sua seed ou código 2FA. O suporte real é feito por tickets no painel e nunca precisa de nenhum dos dois.
• Urgência. Mensagens dizendo que sua conta será encerrada se você não agir agora são uma tática clássica de pressão.
• Endereços de depósito falsos. Use apenas o endereço de depósito mostrado no seu próprio painel, e confira de novo depois de colar.

Monitore sua conta

Segurança não é só configuração; é também perceber quando algo está errado.

• Confira o histórico de logins. O painel lista os acessos recentes com horário, endereço IP e país.
• Leia os e-mails de segurança. Um alerta de novo login que você não reconhece merece atenção imediata.
• Congele os cartões que não está usando. Um cartão congelado não pode ser cobrado, e você pode descongelá-lo a qualquer momento.
• Mantenha em cada cartão só o necessário. Os saldos dos cartões são separados do saldo da conta, então um número de cartão vazado expõe apenas os fundos daquele cartão.

Se você acha que sua conta foi comprometida

1. Entre e revise o histórico de logins e as transações recentes.
2. Congele seus cartões pelo painel.
3. Ative o 2FA se ainda não estiver ativado, ou gere novos códigos de backup se achar que foram vistos.
4. Abra um ticket de suporte pelo painel explicando o que você notou.

Perguntas frequentes

O que é a frase-semente numa conta de cartão cripto?

É o código gerado, no formato xxxx-xxxx-xxxx-xxxx, que você usa para entrar. Ele substitui usuário e senha, então qualquer pessoa que o tenha pode tentar entrar.

O 2FA é obrigatório?

Não, o 2FA é opcional, mas recomendado. Já o e-mail confirmado é obrigatório antes de depositar ou de emitir e recarregar cartões.

O que acontece se eu perder o celular com o app autenticador?

Entre com um dos seus códigos de backup, depois configure o 2FA de novo no celular novo e gere novos códigos de backup.

E se eu perder minha seed?

Peça um link de login de uso único para o seu e-mail confirmado na página de recuperação. Se o 2FA estiver ativado, você ainda vai precisar do código do autenticador ou de um código de backup.

O suporte vai pedir minha seed algum dia?

Não. O suporte funciona por tickets no painel e nunca precisa da sua seed nem dos seus códigos 2FA. Quem pedir isso não é legítimo.