KTX × LUKKEY AMA: Duas Linhas de Defesa para Proteger os Seus Ativos Cripto
Resumo: No mercado cripto, os riscos para os ativos não provêm apenas de hackers. Um link aparentemente normal, uma assinatura que não compreende totalmente ou uma autorização maliciosa podem levar os utilizadores a ceder, sem saberem, o controlo dos seus ativos. Depois de entrarem no mercado de negociação, uma alavancagem excessiva, dimensões de posição descontroladas e tentativas impulsivas de recuperar perdas também podem amplificar rapidamente o risco.
No mais recente KTX Space (20 de outubro), Mia, da Equipa de Marketing da KTX, convidou Jaime, CEO da LUKKEY, para uma conversa de aproximadamente 40 minutos sobre segurança das carteiras, chaves privadas e autorizações, links de phishing, assinaturas maliciosas, riscos das DApps, alavancagem, gestão de posições, liquidação e a psicologia da negociação após perdas.
Em última análise, o AMA resumiu-se a duas perguntas simples:
A que permissão estou a dar acesso e a quem?
Se as coisas não correrem como planeado, que perda estou preparado para assumir?
Para obter mais atualizações do mercado da KTX, produtos de negociação e conteúdos de transmissões em direto, visite o site oficial da KTX.
1. A segurança da carteira é mais do que “não divulgar a sua chave privada”
Para muitos utilizadores de cripto, o primeiro passo para a sensibilização em matéria de segurança é simples: proteja a sua chave privada e a frase-semente.
Isso é certamente importante. Mas, segundo Jaime, CEO da LUKKEY, uma segurança adequada da carteira deve responder a pelo menos três perguntas:
Quem controla a chave privada?
O que estou exatamente a aprovar?
Se perder o meu dispositivo, ainda consigo recuperar os meus ativos?
Durante o AMA, Jaime explicou que a autocustódia proporciona aos utilizadores um maior controlo sobre os seus ativos, mas também significa que têm de assumir a responsabilidade pelas cópias de segurança e pela utilização. Uma função importante de uma carteira de hardware é proteger as chaves privadas e realizar a assinatura num ambiente de hardware dedicado.
A LUKKEY Air, por exemplo, é uma carteira de hardware em formato de cartão que funciona com uma aplicação para smartphone através de NFC. Utiliza um chip de segurança EAL6+ para proteger as chaves privadas, enquanto os cálculos de assinatura são concluídos dentro do cartão. Os utilizadores podem consultar os ativos e os pedidos de transação nos seus telemóveis e, em seguida, aproximar o cartão para concluir a operação.
No entanto, Jaime também salientou que uma carteira de hardware não significa que os utilizadores possam deixar de verificar as suas transações.
Uma carteira pode proteger a chave privada e o processo de assinatura, mas não pode determinar, em nome do utilizador, o que uma determinada assinatura significa realmente.
Se um utilizador aprovar uma autorização maliciosa, os seus ativos podem continuar em risco, mesmo que a própria chave privada nunca tenha sido exposta.
A segurança da carteira tem, por isso, duas camadas:
Camada um: Proteger a chave privada.
Camada dois: Compreender o que está a aprovar.
2. Porque é que os ativos podem continuar a ser roubados mesmo que nunca tenha divulgado a sua chave privada?
Este foi um dos pontos mais importantes para os utilizadores comuns abordados durante o AMA.
Muitas pessoas partem do princípio de que, desde que nunca forneçam a sua frase-semente ou chave privada a ninguém, a sua carteira permanecerá segura.
Na realidade, um atacante não precisa necessariamente de obter primeiro a chave privada.
Jaime utilizou uma analogia simples: pode guardar a sua chave em segurança, mas, se assinar um documento que permita a outra pessoa levar determinados bens, essa pessoa pode não precisar de roubar a sua chave.
As autorizações de tokens na blockchain podem funcionar de forma semelhante.
Um utilizador pode pensar que está simplesmente a participar numa campanha, a reclamar um airdrop ou a ligar-se a uma DApp. No entanto, a operação pode, na realidade, conceder a um contrato inteligente permissão para utilizar os seus tokens.
Se o contrato autorizado for malicioso, ou se o âmbito da autorização for significativamente mais amplo do que o necessário para a operação pretendida, os ativos do utilizador podem ficar expostos a riscos.
Outra área que merece atenção são as assinaturas do tipo Permit.
Estas assinaturas podem não desencadear imediatamente uma transferência nem exigir que o utilizador pague gas, o que pode facilmente criar a impressão de que “não foi transferido nada, por isso não há risco”.
Mas a ausência de uma transferência imediata não significa automaticamente que a assinatura seja inofensiva.
Os utilizadores devem perguntar:
Quem iniciou este pedido?
Porque me estão a pedir para o assinar?
O que poderá esta assinatura permitir mais tarde?
Que ativos e permissões estão envolvidos?
Esta foi uma das mensagens centrais repetidas ao longo do AMA: não pergunte apenas se introduziu a sua chave privada; pergunte também se concedeu voluntariamente a alguém uma permissão específica.
3. Vê “Ligar a carteira para reclamar 500 USDT”. O que deve fazer primeiro?
Imagine que vê uma campanha no X:
“Ligue a sua carteira e reclame 500 USDT.”
O site parece profissional. Tem um site com aparência oficial, contas nas redes sociais e informações detalhadas sobre o projeto.
O erro mais fácil neste momento é ligar imediatamente a sua carteira.
A primeira recomendação de Jaime foi exatamente o contrário:
Não ligue ainda.
Primeiro, aceda à campanha através de um ponto de entrada oficial que já conheça e tenha verificado de forma independente. Confirme que a campanha existe realmente.
Depois, compare a descrição da campanha, os requisitos de participação, a origem da recompensa e as regras para a reclamar.
Mais importante ainda, verifique se:
O objetivo descrito na promoção corresponde às ações solicitadas pelo site.
Se uma campanha afirmar que apenas precisa de verificar a elegibilidade, mas pedir aos utilizadores que introduzam uma frase-semente ou concedam a um contrato desconhecido uma permissão ampla para utilizar os seus ativos, os utilizadores devem parar imediatamente.
Existe também outro equívoco comum:
“E se eu utilizar apenas uma carteira pequena para testar?”
Separar os investimentos de longo prazo dos fundos utilizados para explorar novas aplicações pode ajudar a limitar a exposição ao risco.
Mas utilizar uma carteira pequena não prova que um projeto seja seguro.
A pergunta mais importante é:
A que estou exatamente a renunciar em troca desta recompensa?
4. Também não deve confiar automaticamente num link publicado por uma conta oficial no X
Outro cenário comum envolve mensagens no Telegram.
Alguém contacta-o subitamente, afirma ser do apoio oficial ao cliente e até conhece o endereço da sua carteira e as suas transações recentes na blockchain.
Muitos utilizadores podem pensar:
“Conhecem o meu histórico de transações, por isso devem ser realmente oficiais.”
Não necessariamente.
Os endereços públicos das carteiras e os registos de transações na blockchain podem frequentemente ser consultados por qualquer pessoa.
Conhecer estas informações não prova que alguém tenha uma identidade oficial.
Se se deparar com esta situação, uma abordagem mais segura é parar de interagir através de mensagens privadas e verificar a questão através de um canal de apoio oficial que tenha encontrado de forma independente.
Não utilize um “link de verificação” enviado por essa pessoa e nunca forneça a sua frase-semente ou chave privada a pedido dela.
Se alguém afirmar que a sua carteira tem um problema de segurança e lhe pedir para transferir os seus ativos para uma chamada “conta segura”, pare imediatamente.
Os processos legítimos de apoio não exigem a sua frase-semente para investigar um problema da carteira.
E quanto mais urgentemente alguém o pressionar, mais importante é abrandar.
O objetivo não é resolver o problema imediatamente.
O primeiro passo é verificar com quem está realmente a lidar.
5. “É apenas uma assinatura de mensagem.” Será mesmo isenta de riscos?
Outra situação que pode facilmente levar os utilizadores a baixar a guarda é:
“Assine esta mensagem para verificar que é o proprietário desta carteira.”
Não existe qualquer pedido para transferir fundos nem para introduzir uma chave privada.
Então, é seguro assinar?
A recomendação de Jaime foi clara:
Se não compreender, rejeite primeiro e verifique.
Os processos normais de início de sessão numa carteira podem, efetivamente, envolver assinaturas, pelo que seria incorreto afirmar que todas as assinaturas de mensagens são maliciosas.
Mas os utilizadores também não devem presumir que uma assinatura é inofensiva simplesmente porque a janela pop-up diz “Message” ou porque não são deduzidos fundos imediatamente.
Algumas assinaturas podem produzir efeitos de autorização posteriores.
Antes de assinar, os utilizadores devem confirmar, pelo menos:
- Que site iniciou a assinatura?
- Porque é que a assinatura é necessária?
- O conteúdo da assinatura corresponde à operação que está a ser realizada?
- Envolve permissão para utilizar ativos?
Se a carteira apresentar um aviso de segurança, leia-o atentamente. Mesmo que não apareça qualquer aviso, isso não significa que o pedido deva ser ignorado sem ser analisado.
Existe também outro ponto facilmente ignorado:
Desligar um site não é o mesmo que revogar uma autorização de tokens na blockchain.
Se já tiver sido concedida uma autorização na blockchain, sair do site ou desligar a carteira não remove necessariamente essa autorização.
6. De “prevenir ataques” a “prevenir liquidações”: porque é que utilizadores cautelosos podem tornar-se subitamente agressivos?
Se a segurança da carteira aborda a questão de saber se outra pessoa pode aceder aos seus ativos, a gestão do risco de negociação aborda outra questão:
Pode ampliar o seu próprio risco para além do que consegue suportar?
Durante o AMA, Mia colocou uma questão muito prática:
Porque é que alguns utilizadores são extremamente cautelosos relativamente à segurança das carteiras, mas estão dispostos a utilizar uma alavancagem muito elevada assim que entram no mercado de negociação?
Jaime explicou que as pessoas tendem a percecionar de forma diferente as várias fontes de risco.
Quando um desconhecido nos envia um link suspeito, tornamo-nos naturalmente cautelosos.
Mas, quando se trata de uma negociação que pesquisámos, analisámos e decidimos realizar, é muito mais fácil ganharmos confiança no nosso próprio julgamento.
Após várias negociações bem-sucedidas, as pessoas podem gradualmente passar de:
“Acertei nestas negociações.”
para:
“Consigo controlar o que acontece a seguir.”
E é aí que começa o problema.
Antes de entrar numa negociação, os utilizadores devem separar duas questões:
Primeiro, porque acredito que o mercado se irá mover desta forma?
Segundo, o que farei se estiver errado?
A primeira questão determina se existe uma razão para entrar numa negociação.
A segunda determina se a negociação excede a sua tolerância real ao risco.
Muitos traders concentram-se intensamente na primeira questão, mas não planeiam a segunda.
Só começam a pensar no que fazer depois de o mercado já se ter movido contra eles.
7. O que significa realmente uma alavancagem de 100x?
Durante o AMA, Jaime utilizou um exemplo simples para explicar o risco de uma alavancagem elevada.
Suponha que um utilizador tem 1 000 USDT, utiliza o montante total como margem inicial para uma posição de futuros lineares e aplica uma alavancagem de 100x.
O valor nocional correspondente da posição seria aproximadamente:
100 000 USDT.
Ignorando as comissões e outros fatores, se o mercado se mover 0,5% contra a posição, a perda seria aproximadamente:
500 USDT.
Isso equivale a metade da margem inicial.
Naturalmente, isto não significa que um movimento adverso de 0,5% desencadeará automaticamente uma liquidação.
O nível efetivo de liquidação também depende de fatores como a margem de manutenção, o preço de referência, o modo de margem e as regras específicas da plataforma.
O ponto essencial é:
A alavancagem aumenta a dimensão da posição e, consequentemente, amplifica o impacto dos movimentos de preço de curto prazo na margem.
Mais importante ainda, mesmo que a direção final do mercado esteja correta, a negociação pode continuar a falhar.
Se o mercado se mover primeiro contra si e a posição for liquidada, um movimento posterior na direção que previu não pode reverter uma negociação que já foi encerrada.
Os utilizadores podem consultar o site de negociação de contratos perpétuos com margem em USDT da KTX e devem compreender a margem, a alavancagem e os mecanismos de liquidação antes de negociar. A KTX também disponibiliza um guia em inglês sobre contratos perpétuos com margem em USDT.
8. A verdadeira questão não é “vou perder?”, mas “quanto posso perder?”
Então, o que devem os traders comuns controlar primeiro?
A alavancagem?
A dimensão da posição?
Ou as emoções?
A resposta de Jaime não foi concentrar-se numa única variável, mas começar por uma questão mais fundamental:
Quanto estou disposto a perder se esta negociação falhar?
Estabeleça primeiro esse limite.
Depois determine a dimensão da posição, as condições de saída e se a alavancagem é adequada.
Não abra primeiro uma posição para só decidir quanto consegue tolerar depois de a posição começar a perder dinheiro.
Em vez disso, defina antecipadamente as regras:
Em que condições sairei?
Quando farei uma pausa na negociação?
Devo parar depois de um determinado número de perdas consecutivas?
Estou autorizado a adicionar temporariamente mais fundos?
O valor destas regras está no facto de tomar decisões para o seu futuro eu enquanto ainda se encontra num estado racional.
As ordens stop-loss podem ser ferramentas úteis de gestão do risco, mas, durante uma volatilidade extrema ou quando a liquidez é insuficiente, os preços efetivos de execução podem diferir das expectativas.
Por conseguinte, um preço de stop-loss não deve ser tratado como uma garantia de que as perdas ficarão limitadas exatamente a esse nível.
9. O pensamento mais perigoso depois de uma perda: “Tenho de recuperar”
Depois de perder dinheiro, muitos traders sentem um forte impulso:
“Tenho de recuperar na próxima negociação.”
O problema é que, quando a negociação seguinte traz consigo a missão adicional de recuperar a perda anterior, deixa de ser apenas mais uma negociação.
Pode transformar-se em:
“Tenho de provar que a última negociação foi apenas má sorte.”
“Tenho de recuperar a minha conta.”
“Não posso terminar o dia com esta perda.”
Mas o mercado não funciona de acordo com a sua necessidade de recuperar dinheiro.
Jaime sugeriu uma simples autoavaliação:
Se a perda anterior nunca tivesse acontecido, eu faria esta negociação na mesma?
Utilizaria a mesma dimensão de posição?
Se a resposta for não, talvez seja altura de parar.
Durante a pausa, os traders podem analisar a negociação anterior:
O julgamento do mercado estava errado?
A posição era demasiado grande?
A regra de saída não foi respeitada?
Ou não existia, desde o início, um plano claro?
Existe também uma distinção importante:
Aumentar gradualmente uma posição de forma planeada não é o mesmo que aumentar repetidamente o risco depois de uma perda.
As perguntas essenciais são:
Existia uma razão clara para adicionar?
Havia um limite máximo de risco predefinido?
A tese de negociação original continua válida?
Se não for possível responder claramente a estas perguntas, preservar o capital pode ser mais valioso do que tentar recuperar a perda à pressa.
10. Cinco regras para combinar a segurança da carteira com a gestão do risco de negociação
Se todo o AMA fosse condensado em cinco recomendações, as respostas de Jaime seriam muito claras.
Compreenda e proteja o seu método de recuperação
Compreenda que modelo de carteira está a utilizar e que materiais de recuperação precisa de manter em segurança.
Nunca forneça a sua frase-semente ou chave privada ao apoio ao cliente, a sites ou aos organizadores de campanhas.
Antes de cada confirmação, compreenda o que está realmente a fazer
Ligar, iniciar sessão, autorizar e transferir são ações diferentes.
Quando uma operação envolve permissões sobre ativos, analise cuidadosamente o destinatário e o âmbito.
Estabeleça limites claros para os diferentes tipos de fundos
Os investimentos de longo prazo, os fundos de utilização diária e os fundos utilizados para explorar novas aplicações podem ser geridos separadamente, de acordo com a sua situação.
Antes de experimentar uma nova aplicação, decida quanto está disposto a colocar em risco.
Determine a perda aceitável antes de decidir a dimensão da negociação
Não ignore o orçamento de risco apenas porque pretende obter rendimentos mais elevados ou acredita que o seu capital é demasiado reduzido.
No caso dos derivados, compreenda os modos de margem e as regras de liquidação antes de negociar.
Dê a si próprio tempo para verificar e fazer uma pausa
Se não compreender uma assinatura, pode simplesmente optar por não a assinar.
Se der por si a pensar apenas em recuperar perdas, pode optar por não negociar.
A lógica subjacente a estas cinco recomendações é consistente:
Não deixe que outra pessoa o apresse a ceder permissões da carteira e não deixe que as suas próprias emoções o levem a assumir um risco de negociação excessivo.
11. Seis perguntas de verdadeiro ou falso: compreende realmente os riscos das carteiras e da negociação?
Durante a parte final de perguntas rápidas, Mia e Jaime resumiram toda a discussão através de seis afirmações.
“Desde que não tenha divulgado a minha chave privada, a minha carteira está segura.”
Falso.
Autorizações maliciosas e assinaturas com efeitos de autorização também podem colocar os ativos em risco.
“Um link publicado por uma conta oficial no X é sempre seguro.”
Falso.
As contas oficiais também podem ser comprometidas. Os utilizadores precisam, ainda assim, de verificar o link e a ação solicitada.
“Ligar uma carteira é apenas iniciar sessão, por isso não há risco.”
Não necessariamente.
Ligar simplesmente uma carteira normalmente não concede, por si só, permissão para transferir tokens, mas as assinaturas de início de sessão, as autorizações e as transações subsequentes continuam a ter de ser verificadas separadamente.
“Uma carteira fria significa 100% de segurança.”
Falso.
Uma carteira de hardware pode reforçar a proteção da chave privada, mas os utilizadores continuam a ter de fazer cópias de segurança das suas informações de recuperação e analisar cuidadosamente as autorizações e transações.
“Se a direção do mercado estiver correta, uma alavancagem de 100x é aceitável.”
Falso.
O mercado pode mover-se primeiro contra a posição, desencadeando uma liquidação antes de a direção prevista acabar por se concretizar.
“Adicionar mais fundos a uma posição com perdas é sempre razoável porque reduz o custo médio.”
Falso.
As questões essenciais são saber se existia um plano predefinido, um limite máximo de risco e uma tese de negociação que continua válida.
12. Conclusão: verdadeira segurança significa manter o controlo nas suas próprias mãos
O AMA da KTX × LUKKEY passou da segurança das carteiras para a gestão do risco de negociação. Embora possam inicialmente parecer dois temas diferentes, acabam por apontar para o mesmo princípio:
Deve manter o controlo dos seus ativos nas suas próprias mãos.
A segurança da carteira pergunta:
A que permissão estou a dar acesso e a quem?
A gestão do risco de negociação pergunta:
Se as coisas não correrem como planeado, que perda estou preparado para assumir?
Um utilizador pode ter uma carteira de hardware altamente segura e, ainda assim, enfrentar riscos devido a uma autorização maliciosa.
Da mesma forma, um utilizador pode nunca encontrar um hacker, mas ainda assim perder uma quantia significativa de capital devido a uma alavancagem excessiva e a dimensões de posição descontroladas.
A verdadeira segurança dos ativos cripto não consiste, por isso, simplesmente em comprar uma carteira de hardware ou definir um stop-loss.
É um conjunto de hábitos diários:
Se não compreende o link, não se apresse a clicar.
Se não compreende a assinatura, não se apresse a assiná-la.
Se não compreende a autorização, não se apresse a aprová-la.
Se não ponderou devidamente a negociação, não se apresse a abrir a posição.
Depois de uma perda, não se apresse a recuperá-la.
No final do AMA, Jaime resumiu a discussão com uma mensagem simples:
Verifique a autorização antes de cada confirmação, pense na saída antes de cada negociação e mantenha o controlo dos seus ativos nas suas próprias mãos.
Os utilizadores podem visitar o site oficial da KTX para explorar a negociação à vista, futuros e outros produtos de negociação. A página de negociação à vista BTC/USDT da KTX dá acesso ao mercado à vista, enquanto a página de mercado da KTX disponibiliza dados de mercado e informações de negociação.
Para obter mais conteúdos educativos, análises de mercado, guias de negociação e recapitulações da KTX Live, visite a KTX Crypto Learn.
Para programadores e traders quantitativos, a Documentação da API da KTX disponibiliza documentação em inglês sobre dados de mercado, dados de utilizadores, fluxos WebSocket, dados do livro de ordens e APIs relacionadas com a negociação.
Para consultar as comissões de negociação atuais, os utilizadores podem também consultar a página das taxas da KTX.
Este artigo baseia-se no guião da entrevista AMA do Twitter Space da KTX × LUKKEY “Duas Linhas de Defesa para Proteger os Seus Ativos: Segurança das Carteiras e Gestão do Risco de Negociação”. As opiniões expressas na discussão baseiam-se na experiência e nas opiniões pessoais do convidado e não constituem aconselhamento ou garantias de investimento, negociação ou segurança. Os ativos cripto e os derivados envolvem riscos significativos. Tome decisões com base na sua própria situação e tolerância ao risco.