Segurança dos cartões cripto: como proteger o seu cartão e os seus fundos

Até que ponto são seguros os cartões cripto?

Os cartões cripto são muitas vezes associados às preocupações mais gerais que as pessoas têm com as criptomoedas: ataques informáticos, chaves perdidas, falências de exchanges. Mas o lado do pagamento com cartão é mais familiar do que pode parecer.

Os cartões cripto emitidos na rede Visa funcionam exatamente na mesma infraestrutura que os cartões bancários tradicionais. Quando aproxima o cartão de um terminal, o pagamento percorre as mesmas redes de autorização e liquidação da Visa que processam milhares de milhões de transações todos os dias. O comerciante recebe moeda fiduciária, a rede aplica a mesma monitorização de fraude que aplica a qualquer outra transação Visa e, se algo correr mal, aplicam-se os mesmos direitos de estorno.

A camada específica das cripto, a parte onde as suas stablecoins ou outros ativos digitais estão guardados, é onde surgem as verdadeiras questões de segurança. Um fornecedor de cartões guarda os seus fundos em custódia, o que significa que está a confiar-lhe a segurança desses fundos. As principais considerações:

• Custódia qualificada. A DPT guarda os ativos digitais na BitGo, um custodiante qualificado de nível institucional, com a maioria dos fundos em armazenamento a frio (cold storage) e uma pequena reserva operacional em carteiras quentes (hot wallets) para as conversões do dia a dia.
• Licenciamento regulatório. Um fornecedor licenciado e regulado está sujeito a supervisão, a requisitos de capital e a regras de proteção do consumidor. Isto não elimina o risco, mas garante responsabilização e um enquadramento legal para recurso.
• Proteções contra fraude sem cartão presente. Nas compras online, aplicam-se as proteções da Visa para transações sem cartão presente (card-not-present), incluindo a verificação 3D Secure em transações não autorizadas.

O resumo honesto: no ponto de venda, os cartões cripto não são intrinsecamente menos seguros do que os cartões de débito tradicionais. Os riscos adicionais decorrem da natureza de custódia da carteira cripto associada ao cartão e dos ataques ao nível da conta, que visam qualquer conta online com valor.

Riscos de segurança comuns e como evitá-los

Conhecer as ameaças concretas permite-lhe tomar precauções proporcionais. Eis os vetores de ataque mais comuns contra utilizadores de cartões cripto, com medidas práticas para cada um.

• Apropriação da conta através de palavras-passe fracas

  Se um atacante obtiver a sua palavra-passe, através de uma fuga de dados noutro site onde a reutilizou ou de uma página de phishing, pode iniciar sessão na conta do seu cartão e esvaziar o saldo. Utilize uma palavra-passe única, gerada aleatoriamente, para o seu fornecedor de cartão cripto, guardada num gestor de palavras-passe. Ative a autenticação de dois fatores para que uma palavra-passe roubada, por si só, não seja suficiente.

• Ataques de troca de SIM (SIM swap)

  Num ataque de SIM swap, um criminoso convence o seu operador móvel a transferir o seu número de telemóvel para um cartão SIM que ele controla. Isto permite-lhe receber os seus códigos 2FA enviados por SMS. Pode mitigar este risco trocando a 2FA por SMS por uma aplicação de autenticação (como o Google Authenticator ou o Authy), que gera os códigos no seu dispositivo e não pode ser desviada através de uma troca de SIM.

• E-mails de phishing e sites falsos

  Os atacantes enviam e-mails convincentes fazendo-se passar pelo seu fornecedor de cartão e pedem-lhe que verifique a conta ou confirme uma transação. O link leva a uma página de início de sessão falsa que captura as suas credenciais. Aceda sempre diretamente ao site do fornecedor, escrevendo o URL ou usando um marcador guardado; nunca clique em links de início de sessão recebidos por e-mail. Verifique cuidadosamente o domínio antes de introduzir quaisquer credenciais.

• Roubo do cartão físico

  Um cartão físico roubado pode ser usado em terminais contactless, sem PIN, até ao limite dos pagamentos contactless. Congele o cartão de imediato na app assim que se aperceber de que desapareceu. A maioria dos fornecedores permite congelar e descongelar em segundos. Em tipos de cartão de valor elevado, pondere desativar o pagamento contactless se não precisar dele.

• Observação por cima do ombro em caixas automáticos e terminais

  Alguém a espreitar por cima do seu ombro pode ver o seu PIN. Tape o teclado com a outra mão sempre que introduzir o PIN num caixa automático ou num terminal de pagamento. Tenha especial cuidado em zonas turísticas movimentadas e em espaços públicos com muita gente, onde este tipo de observação é mais frequente.

Funcionalidades de segurança a procurar num fornecedor

Nem todos os fornecedores de cartões cripto investem da mesma forma em segurança. Antes de se comprometer com um fornecedor, confirme que estas funcionalidades básicas existem.

Vale também a pena perguntar se o fornecedor tem algum seguro sobre os ativos em custódia. Alguns fornecedores têm seguro contra crimes ou trabalham com custodiantes segurados. Não é universal, mas é um fator de diferenciação relevante na hora de decidir onde guardar fundos.

O que acontece se o cartão for perdido ou roubado?

Perder um cartão é stressante, mas os passos para se proteger são simples. Se agir depressa, o período de exposição é mínimo.

Passo 1. Congele o cartão de imediato

Abra a app do cartão e congele-o assim que reparar que desapareceu. Um cartão congelado é recusado em todas as novas transações. Demora segundos e pode ser revertido com a mesma rapidez se encontrar o cartão debaixo de uma almofada. Não espere até ter a certeza de que o cartão desapareceu: primeiro congele, depois investigue.

Passo 2. Contacte o apoio do fornecedor

Informe o fornecedor do cartão de que o perdeu ou de que este pode ter sido roubado. O fornecedor pode sinalizar a conta para monitorização adicional, confirmar se já ocorreram transações suspeitas e iniciar o processo de emissão de um cartão de substituição. Tenha os dados da conta à mão: o apoio terá de verificar a sua identidade antes de fazer quaisquer alterações à conta.

Passo 3. Peça um cartão de substituição

A maioria dos fornecedores emite um cartão físico de substituição, que normalmente chega em poucos dias úteis, consoante a sua localização. Entretanto, o cartão virtual pode, em regra, ser reemitido de imediato, o que lhe dá um novo número de cartão para compras online e pagamentos com carteiras móveis, sem qualquer período de espera.

Passo 4. Reveja e conteste quaisquer transações não autorizadas

Verifique cuidadosamente o histórico de transações e assinale as cobranças que não reconhece. A política de responsabilidade zero da Visa significa que os titulares de cartões não são responsáveis por transações não autorizadas feitas com o número do seu cartão, desde que as comuniquem prontamente. O fornecedor vai orientá-lo no processo de disputa, que normalmente implica apresentar uma declaração escrita e aguardar a conclusão de uma investigação.

Proteger os seus fundos cripto (e não apenas o cartão)

A segurança ao nível do cartão protege os seus gastos. Mas vale também a pena pensar na forma como estrutura as suas detenções, para limitar a exposição de forma global.

Mantenha na conta do cartão apenas o que pretende gastar

Trate o saldo do cartão cripto como uma carteira de uso diário, não como uma conta poupança. Carregue o que precisa para os gastos previstos e mantenha a maior parte das suas detenções numa conta separada e mais segura, ou numa carteira fria (cold wallet). Desta forma, mesmo no pior cenário de comprometimento da conta, o alcance do problema fica limitado.

Separe a conta do cartão das suas principais detenções em custódia

Se detém montantes significativos em cripto numa carteira de autocustódia ou numa exchange, mantenha-os separados da conta do fornecedor do cartão. Um atacante que consiga aceder à conta do cartão não deve ter automaticamente um caminho para o resto das suas detenções.

Ative confirmações de levantamento, quando disponíveis

Alguns fornecedores permitem configurar passos de confirmação ou atrasos para levantamentos de valor elevado. Se o seu fornecedor oferecer esta funcionalidade, ativá-la acrescenta um obstáculo que pode impedir um atacante de esvaziar os fundos de imediato, mesmo que consiga aceder à conta.