Utilizamos o Google Analytics para estatísticas de tráfego. Os cookies de análise só são definidos se aceitar. Sem consentimento, as estatísticas são estimadas a partir de sinais sem cookies. Política de Cookies.
Safe · Autocustódia
As hot wallets perdem fundos em segundos. A Safe faz com que cada levantamento demore 24 horas, exija dois guardiões e um endereço conhecido — três barreiras independentes que um atacante tem de ultrapassar.
Um pedido de levantamento inicia um relógio de 24 horas, visível para si e para os seus guardiões. Um levantamento legítimo é um dia de paciência; um fraudulento é um dia de aviso — tempo de sobra para cancelar um pedido que nunca fez.
Apenas destinos aprovados — um novo endereço espera 48 h antes da primeira utilização. · Um toque e acabou — cancelar é instantâneo, aprovar não.
Os fundos só se movem quando 2 de 3 guardiões aprovam, e apenas para endereços já na whitelist. Adicionar um novo endereço é, em si, uma operação protegida e com time-lock — por isso um atacante não consegue pôr-se primeiro na whitelist.
Três formas de voltar a entrar — seed, guardiões, hardware e um simulacro para praticar.
Funcionalidades
O ecrã do cofre mostra €48,210 em armazenamento a frio entre Bitcoin, Ethereum e USD Coin — chaves offline, air-gapped. As três proteções estão no mesmo ecrã: time-lock ativo, 2 de 3 guardiões, apenas whitelist. Nada na segurança se esconde numa página de definições.
O pedido WD-3A18 move 0.10 BTC — cerca de €6,124 — e o ecrã mostra todas as camadas a funcionar: 18:42:07 até as chaves desbloquearem, uma de duas aprovações necessárias já dada, destino verificado na whitelist. Cancelar fica a um toque durante todo o tempo.
Três guardiões, dois têm de aprovar — a política está no topo do ecrã, não em letra miúda. O quórum da demo mistura tipos de chave de propósito: este telemóvel, a chave no telemóvel de uma segunda pessoa e uma chave de hardware vista pela última vez a 14 de julho. Alterar o quórum está, ele próprio, sujeito a time-lock de 48 horas.
Quatro destinos etiquetados em Base, Bitcoin, Ethereum e Solana — três ativos, um ainda em contagem decrescente. Os levantamentos só podem seguir para endereços desta lista, e uma nova entrada espera 48 horas antes da primeira utilização, com todos os guardiões alertados no momento em que é adicionada.
O levantamento neste ecrã veio da conta de um guardião num dispositivo novo — exatamente o pedido que se quer poder travar. Um toque anula-o: os 0.10 BTC ficam em armazenamento a frio, os três guardiões são notificados e o requerente não o pode reiniciar sem um novo quórum. Sem comissões, sem esperas, registado para todos.
Três formas configuradas de voltar a entrar: uma cópia da seed verificada numa placa de aço, recuperação por guardiões em que 2 de 3 restauram o acesso a partir de qualquer dispositivo, e uma chave de hardware selada guardada fora do local. As chaves reemitidas esperam um time-lock de 72 horas, e um simulacro percorre todo o fluxo com chaves de teste — guardiões incluídos, sem mover nada.
Cada levantamento inicia um relógio de 24 horas antes de as chaves desbloquearem. Um levantamento legítimo custa um dia de paciência; um telemóvel roubado rende ao atacante um dia de alertas, e não os seus fundos.
Cancelar não exige quórum nem espera — parar dinheiro é sempre mais fácil do que movê-lo. Qualquer guardião pode anular um pedido a qualquer momento das 24 horas, e o cancelamento fica registado para todos.
Adicionar um endereço é, em si, uma operação com time-lock: 48 horas antes da primeira utilização, com todos os guardiões alertados de imediato. O ataque óbvio — pôr-se primeiro na whitelist e levantar depois — custa duas rondas completas do mesmo percurso.
As entradas da whitelist têm etiquetas legíveis — carteira principal, cofre de hardware, tesouraria do estúdio — junto dos endereços e das redes. Remover um endereço é imediato; só as adições esperam.
Uma chave de hardware pode ser guardião: basta ligá-la para aprovar. Uma aprovação fica totalmente fora do telemóvel, pelo que um dispositivo comprometido não consegue dar dois votos.
Os guardiões confirmam a disponibilidade num ciclo de 90 dias, e o cofre mostra quando cada um foi verificado pela última vez. Um guardião que deixou de responder é algo que se descobre dentro do calendário — não numa emergência.
Cada pedido de levantamento notifica todos os guardiões de imediato — não apenas os dois que têm de aprovar. O alarme é coletivo por conceção: três pessoas veem uma tentativa de roubo, não uma.
As pessoas mudam de telemóvel e afastam-se, por isso a substituição é um fluxo de primeira classe: um time-lock de 48 horas e duas aprovações do quórum existente. Um atacante não consegue trocar os seus guardiões em silêncio.
Um pedido vindo de um dispositivo que o cofre nunca viu é sinalizado como tal, no próprio ecrã de aprovação. Os guardiões avaliam o pedido com esse contexto à frente.
As chaves são suas — geradas e guardadas por si, nunca pela Protocore. O Safe acrescenta processo às suas chaves; não assume a custódia delas.
Um só cofre guarda BTC, ETH e USDC — 0,42 BTC, 12,4 ETH e 1150 USDC na demo. Mover fundos para o Safe é uma só ação, e cada ativo herda as mesmas três proteções.
Um levantamento pendente indica o seu valor em moeda fiduciária antes de qualquer libertação — o ecrã do pedido di-lo em texto simples. O que sai do cofre nunca é uma surpresa expressa só em criptomoedas.
O backup da seed não é uma caixa de seleção — tem data de verificação, e a da demo foi confirmada contra uma placa de aço. Um backup comprovado vale mais do que um backup em que se acredita.
A recuperação só reemite chaves para um novo dispositivo após um time-lock de 72 horas — o triplo da janela de levantamento. Tomar um cofre é estritamente mais lento do que esvaziá-lo, e esvaziá-lo exige um dia e dois guardiões.
Execute toda a recuperação com chaves de teste — os guardiões participam, nada se move. O último simulacro da demo foi há 118 dias, e o ecrã di-lo; uma recuperação ensaiada é uma recuperação que se executa sob stress.
Adições, remoções, cancelamentos, aprovações — o cofre mostra no ecrã os últimos 30 dias e guarda todos os eventos, atribuídos a quem os fez. Os guardiões auditam o cofre a fazer scroll.
Cada pedido, cancelamento e alteração de política é visível para os três guardiões, não apenas para as partes envolvidas. Um quórum só protege aquilo que vê.
O Safe aplica a particulares o modelo de custódia que a Protocore Chain corre para tesourarias: assinatura por quórum, time-locks e destinos conhecidos. Uma só filosofia de segurança, à escala pessoal.
O Safe pode ser usado de forma autónoma ou como cofre dentro do seu próprio produto — a sua marca nos ecrãs, o mesmo time-lock, quórum e whitelist por baixo. O cold storage passa a ser uma funcionalidade que oferece, não uma empresa que tem de construir.
FAQ
Perder uma chave não o deixa de fora — o quórum é 2 de 3, pelo que duas das três movem os fundos. A recuperação faz-se de três formas: cópia da seed, recuperação por 2 de 3 guardiões e uma chave de hardware selada fora do local, cada uma com um simulacro para confirmar que funciona antes de precisar.
Não. Cada levantamento fica em time-lock durante 24 horas, exige aprovação de 2 de 3 guardiões e só pode ir para um endereço na whitelist — e um pedido que nunca fez pode ser cancelado de imediato enquanto o relógio corre. Um dispositivo roubado não ultrapassa nenhuma destas barreiras.
É você. A Safe é autocustódia: as chaves são geradas e guardadas por si e pelos seus guardiões, nunca por nós. Não podemos mover os seus fundos, nem qualquer pessoa que comprometa um único dispositivo.
De propósito, não. Adicionar um endereço à whitelist é, em si, uma alteração protegida e com time-lock — 48 horas na demo — para que um atacante não possa adicionar o seu endereço e levantar para lá. O atrito é a proteção.
Um dia. O time-lock de 24 horas é o alarme: um levantamento real é um dia de paciência, um fraudulento é um dia de aviso. Cancelar é instantâneo, ainda que aprovar não seja — a assimetria favorece o titular.
Avaliar
Percorremos um levantamento de ponta a ponta — o bloqueio temporal de 24 horas, a aprovação de 2 de 3 guardiões e a whitelist — incluindo o cancelamento de um pedido que nunca fez.
Um cofre de teste onde a sua equipa pode definir guardiões, adicionar um endereço à whitelist e iniciar e cancelar um levantamento com bloqueio temporal.
Registe dispositivos de teste como guardiões para ver na prática o quórum de 2 de 3 e as alterações à whitelist com bloqueio temporal.
Avalie como cofre autónomo ou como cofre whitelabel dentro do seu próprio produto — sempre em autocustódia.
Disponível em modo autónomo ou como cofre whitelabel dentro do seu próprio produto.
a Safe aplica o modelo de custódia de tesouraria da Chain — quórum, time-locks, destinos conhecidos — à escala pessoal, guardando aquilo com que a Wallets transaciona.
Tudo o que vê acima corre em demos de produção que lhe podemos mostrar — autónomo, whitelabel ou como uma única plataforma. Diga-nos o que está a construir e mostramos-lhe o caminho mais curto.
