Usamos o Google Analytics para estatísticas de tráfego. Os cookies de análise só são definidos se você aceitar. Sem consentimento, as estatísticas são estimadas a partir de sinais sem cookies. Política de Cookies.
Safe · Autocustódia
Hot wallets perdem fundos em segundos. O Safe faz cada saque levar 24 horas, dois guardiões e um endereço conhecido: três barreiras independentes que um atacante precisa vencer.
Um pedido de saque inicia uma contagem de 24 horas, visível para você e seus guardiões. Um saque legítimo exige um dia de paciência; um fraudulento dá um dia de aviso, tempo de sobra para cancelar uma solicitação que você nunca fez.
Somente destinos aprovados — um novo endereço espera 48h antes do primeiro uso. · Um toque e acabou — cancelar é instantâneo, aprovar não.
Os fundos só se movem com a aprovação de 2 de 3 guardiões e apenas para endereços que já estão na whitelist. Adicionar um novo endereço também é uma operação protegida e com time-lock, então um atacante não consegue simplesmente se incluir na whitelist antes.
Três caminhos de volta: seed, guardiões, hardware e um simulado para praticar.
Recursos
A tela do cofre mostra €48,210 em cold storage entre Bitcoin, Ethereum e USD Coin — chaves offline, isoladas (air-gapped). As três proteções ficam na mesma tela: time-lock ativo, 2 de 3 guardiões, somente whitelist. Nada da segurança fica escondido em uma página de configurações.
A solicitação WD-3A18 move 0.10 BTC — cerca de €6,124 — e a tela mostra todas as camadas funcionando: 18:42:07 até as chaves serem liberadas, uma das duas aprovações exigidas já feita, destino verificado na whitelist. Cancelar fica a um toque durante todo o tempo.
Três guardiões, dois precisam aprovar — a política fica no topo da tela, não em letras miúdas. O quórum da demo mistura tipos de chave de propósito: este celular, a chave do celular de uma segunda pessoa e uma chave de hardware vista pela última vez em 14 de julho. Alterar o quórum também fica sob time-lock de 48 horas.
Quatro destinos nomeados em Base, Bitcoin, Ethereum e Solana — três ativos, um ainda em contagem regressiva. Os saques só podem ir para endereços desta lista, e uma nova entrada espera 48 horas antes do primeiro uso, com todos os guardiões alertados no momento em que ela é adicionada.
O saque nesta tela veio da conta de um guardião em um dispositivo novo — exatamente o tipo de solicitação que você quer poder derrubar. Um toque a anula: os 0.10 BTC permanecem em cold storage, os três guardiões são notificados e o solicitante não consegue reiniciá-la sem um novo quórum. Sem taxas, sem espera, registrado para todos.
Três caminhos de volta configurados: um backup de seed verificado em uma placa de aço, recuperação por guardiões em que 2 de 3 restauram o acesso de qualquer dispositivo e uma chave de hardware lacrada guardada fora do local. Chaves reemitidas esperam um time-lock de 72 horas, e um simulado executa o fluxo inteiro com chaves de teste — guardiões incluídos, nada se move.
Todo saque inicia um relógio de 24 horas antes de as chaves serem liberadas. Um saque legítimo custa um dia de paciência; um celular roubado dá ao invasor um dia de alertas em vez dos seus fundos.
Cancelar não exige quórum nem espera — parar o dinheiro é sempre mais fácil do que movê-lo. Qualquer guardião pode derrubar uma solicitação a qualquer momento dentro das 24 horas, e o cancelamento fica registrado para todos.
Adicionar um endereço já é uma operação com time-lock: 48 horas antes do primeiro uso, com todos os guardiões alertados na hora. O ataque óbvio — incluir seu endereço na whitelist primeiro, sacar depois — custa duas rodadas completas do mesmo percurso.
As entradas da whitelist têm rótulos legíveis — carteira principal, cofre de hardware, tesouraria do estúdio — junto de endereços e redes. Remover um endereço vale na hora; só as adições esperam.
Uma chave de hardware pode ser guardiã: conecte para aprovar. Uma aprovação fica totalmente fora do celular, então um dispositivo comprometido não consegue dar dois votos.
Os guardiões confirmam que estão acessíveis a cada 90 dias, e o cofre mostra quando cada um foi verificado pela última vez. Um guardião que sumiu é algo que você descobre no prazo — não numa emergência.
Cada solicitação de saque notifica todos os guardiões na hora — não só os dois que precisam aprovar. O alarme é coletivo por design: três pessoas veem a tentativa de roubo, não uma.
Pessoas trocam de celular e se afastam, então a substituição é um fluxo de primeira classe: time-lock de 48 horas e duas aprovações do quórum atual. Um atacante não consegue trocar seus guardiões em silêncio.
Uma solicitação vinda de um dispositivo que o cofre nunca viu é sinalizada como tal, na própria tela de aprovação. Os guardiões avaliam o pedido com esse contexto diante deles.
As chaves são suas — geradas e guardadas por você, nunca pela Protocore. O Safe adiciona processo em torno das suas chaves; não assume a custódia delas.
Um cofre guarda BTC, ETH e USDC — 0,42 BTC, 12,4 ETH e 1.150 USDC na demo. Mover fundos para o Safe é uma só ação, e cada ativo herda as mesmas três proteções.
Um saque pendente informa seu valor em moeda fiduciária antes de qualquer liberação — a tela da solicitação diz isso em texto claro. O que sai do cofre nunca é uma surpresa expressa só em moedas.
O backup da seed não é um checkbox — ele traz uma data de verificação, e o da demo foi conferido contra uma placa de aço. Um backup comprovado vale mais que um backup em que você acredita.
A recuperação reemite as chaves para um novo dispositivo só após um time-lock de 72 horas — três vezes a janela de saque. Assumir um cofre é bem mais lento do que esvaziá-lo, e esvaziar leva um dia e dois guardiões.
Execute toda a recuperação com chaves de teste — os guardiões participam, nada se move. O último simulado da demo foi há 118 dias, e a tela avisa; uma recuperação ensaiada é uma que você consegue executar sob estresse.
Adições, remoções, cancelamentos, aprovações — o cofre mantém os últimos 30 dias na tela e todos os eventos registrados, com a autoria de cada um. Os guardiões auditam o cofre rolando a tela.
Toda solicitação, cancelamento e mudança de política é visível aos três guardiões, não só às partes envolvidas. Um quórum só protege o que consegue ver.
O Safe leva a pessoas físicas o modelo de custódia que a Protocore Chain opera para tesourarias: assinatura por quórum, time-locks e destinos conhecidos. Uma só filosofia de segurança, em escala pessoal.
O Safe funciona de forma independente ou como cofre dentro do seu próprio produto — sua marca nas telas, o mesmo time-lock, quórum e whitelist por baixo. Cold storage vira um recurso que você oferece, não uma empresa que você precisa construir.
FAQ
Perder uma chave não bloqueia seu acesso: o quórum é 2 de 3, então duas das três ainda movimentam os fundos. A recuperação tem três caminhos: backup da seed, recuperação por 2 de 3 guardiões e uma chave de hardware lacrada em local externo, cada um com um simulado para você aprender que funciona antes de precisar.
Não. Todo saque fica em time-lock por 24 horas, exige aprovação de 2 de 3 guardiões e só pode ir para um endereço da whitelist. Além disso, uma solicitação que você nunca fez pode ser cancelada na hora enquanto a contagem corre. Um único aparelho roubado não vence nenhuma dessas barreiras.
Você. O Safe é autocustódia: as chaves são geradas e mantidas por você e seus guardiões, nunca por nós. Não podemos movimentar seus fundos, e ninguém que comprometa um único dispositivo pode fazê-lo.
De propósito, não. Adicionar um endereço à whitelist também é uma alteração protegida e com time-lock (48 horas na demo), então um atacante não consegue incluir o próprio endereço e sacar para ele. O atrito é a proteção.
Um dia. O time-lock de 24 horas é o alarme: um saque real é um dia de paciência; um fraudulento é um dia de aviso. Cancelar é instantâneo, embora aprovar não seja. A assimetria favorece o dono.
Avalie
Percorremos um saque de ponta a ponta — o time-lock de 24 horas, a aprovação de 2 de 3 guardiões e a lista de permitidos — inclusive o cancelamento de uma solicitação que você nunca fez.
Um cofre de teste em que sua equipe pode definir guardiões, adicionar um endereço à lista de permitidos e iniciar e cancelar um saque com time-lock.
Cadastre dispositivos de teste como guardiões para ver na prática o quórum de 2 de 3 e as alterações da lista de permitidos sujeitas a time-lock.
Avalie como um cofre independente ou como um cofre whitelabel dentro do seu próprio produto — sempre em autocustódia.
Disponível de forma independente ou como cofre whitelabel dentro do seu próprio produto.
o Safe aplica o modelo de custódia de tesouraria do Chain (quórum, time-locks, destinos conhecidos) em escala pessoal, guardando aquilo que o Wallets movimenta.
Tudo acima roda em demos de produção que podemos apresentar a você — standalone, whitelabel ou como uma única plataforma. Conte o que você está construindo e mostraremos o caminho mais curto até lá.
