Conectar sua carteira a um site não é necessariamente o mesmo que assinar algo. A conexão costuma compartilhar seu endereço; uma assinatura também pode autenticar você, autorizar uma operação ou conceder a um contrato permissão para movimentar tokens. O que ela permite depende do conteúdo aprovado e de como o aplicativo e o contrato interpretam esse conteúdo.
- Conectar uma carteira não é o mesmo que assinar uma mensagem ou enviar uma transação.
- Uma assinatura pode servir para autenticação ou conceder a um contrato permissão para usar tokens.
- Confira domínio, rede, endereço autorizado, ativo, quantidade, finalidade e prazo quando esses dados forem apresentados.
- Se não entender o alcance do pedido, rejeite e revise as permissões existentes depois de uma autorização.
Por isso, não basta reconhecer o nome do site ou ver sua carteira identificada na tela. Antes de confirmar, entenda que tipo de pedido apareceu, o que está sendo autorizado e quem poderá usar essa autorização. Se a carteira não mostrar essas informações de forma compreensível, não assine até conseguir verificá-las.
Conectar, assinar e enviar uma transação são coisas diferentes
Uma conexão costuma permitir que um aplicativo veja o endereço público da carteira e solicite outras ações. Por si só, informar o endereço não equivale a entregar as chaves privadas nem a aprovar automaticamente uma movimentação. Ainda assim, conectar-se a um site não comprova que ele seja legítimo, nem significa que toda solicitação posterior seja segura.
Uma assinatura de mensagem confirma que a carteira aprovou determinado conteúdo. Ela pode ser usada para comprovar que você controla aquele endereço ou para autorizar uma ação descrita na mensagem. Essa assinatura pode não ser enviada imediatamente à blockchain, mas isso não a torna inofensiva: o aplicativo ou um contrato pode usar a autorização depois, conforme o padrão e as condições assinadas.
Já uma transação assinada é uma instrução autorizada pela conta que pode ser enviada à rede. Ela pode alterar o estado da rede, por exemplo ao executar código de um contrato. A carteira pode mostrar uma tela de confirmação antes do envio, mas a assinatura não garante que o resultado corresponda ao que você pretendia. O ponto principal é distinguir o tipo de pedido antes de aprová-lo.
O que conferir na tela da carteira
Leia a solicitação inteira, não apenas o botão de confirmação. Procure o domínio ou aplicativo que iniciou o pedido, a rede selecionada e o endereço que receberá alguma autorização. Se houver um ativo envolvido, confira qual token é, qual quantidade está indicada e qual finalidade aparece. Quando o pedido incluir validade ou prazo, verifique também esse campo.
O endereço que recebe uma permissão pode ser diferente do endereço do site que você está visitando. Esse endereço, chamado de spender, é a conta ou o contrato autorizado a gastar o token nos termos definidos pela assinatura. Se ele estiver presente, confira se corresponde ao serviço que você pretendia usar. O nome ou a aparência familiar de um aplicativo não substituem essa verificação.
Os dados podem aparecer de forma técnica ou incompleta. Se a carteira mostrar uma sequência que você não consegue interpretar, ou se os campos essenciais estiverem ausentes, não trate isso como uma confirmação rotineira. Procure uma explicação em uma fonte confiável sobre aquela operação específica. Se não conseguir entender exatamente o alcance, rejeite o pedido.
Quando uma assinatura é só para autenticação
Alguns sites pedem uma assinatura para verificar que você controla a carteira e permitir uma entrada, como um login. Um pedido de autenticação bem delimitado deve explicar essa finalidade. No padrão SIWE, a mensagem pode incluir o domínio, o endereço, a rede, um nonce e uma validade. Esses campos ajudam a vincular a assinatura ao contexto informado e a reduzir a possibilidade de reutilização indevida.
Confira se o domínio exibido na mensagem é o mesmo do site que você abriu e se a finalidade está descrita como autenticação. Se o pedido mencionar ativos, autorização de gasto, contrato ou uma ação que você não esperava, não conclua que se trata de um login só porque a página usa palavras como conectar ou entrar.
Uma mensagem de autenticação mais clara ajuda você a entender o pedido, mas não certifica que o site seja legítimo. O padrão técnico organiza o conteúdo da mensagem; não verifica por você se o domínio é confiável nem se a página foi aberta por um caminho seguro. A decisão ainda depende de comparar o que aparece na carteira com a ação que você pretendia realizar.
Permissão para gastar tokens não é login
Uma autorização de token define se outro endereço pode gastar aquele ativo, dentro das condições indicadas. No mecanismo permit, essa autorização pode ser feita por uma mensagem assinada, sem a etapa usual de uma aprovação enviada pelo titular como transação. Portanto, uma assinatura que não parece mover tokens imediatamente ainda pode ter consequência sobre o uso futuro deles.
Antes de aprovar, confira o token, o endereço autorizado, o valor e o prazo. Não confunda o prazo para apresentar a assinatura com a duração da autorização resultante: são conceitos distintos. No padrão, o deadline limita até quando a assinatura pode ser submetida; ele não determina, por si só, por quanto tempo a autorização permanecerá ativa.
O efeito também depende de o token implementar o mecanismo e de o contrato aceitar a assinatura nas condições previstas. Isso não significa que você precise conhecer todos os detalhes do código, mas é importante não presumir que toda carteira ou todo aplicativo apresenta os mesmos campos. Se não estiver claro qual ativo ou endereço será afetado, pare antes de aprovar.
Por que uma assinatura sem taxa também exige atenção
Nem toda assinatura cobra uma taxa de rede no momento em que você a confirma. Isso pode acontecer porque a mensagem ainda não foi enviada como transação. Mas a ausência de cobrança imediata não informa se o conteúdo é apenas uma prova de identidade ou uma autorização que poderá ser usada depois.
Também não basta avaliar a solicitação pela palavra usada na página. Um botão com texto de conexão pode levar a um pedido de assinatura; uma tela de assinatura pode conter uma autorização com efeitos que vão além do login. Leia o que a carteira apresenta e compare com o que você esperava fazer. Se houver divergência, rejeite e investigue antes de tentar novamente.
Desconfie de pedidos que não explicam a finalidade, escondem campos importantes ou mostram dados que você não consegue interpretar. A assinatura demonstra que a carteira aprovou uma mensagem ou transação; ela não confirma que o aplicativo é legítimo nem que o resultado será o desejado. A explicação da interface e o efeito do contrato são coisas que você precisa avaliar separadamente.
O que fazer depois de conceder uma autorização
Depois de uma autorização de token, confira as permissões existentes para a carteira e a rede envolvida. Se encontrar uma permissão que já não é necessária, você pode revogá-la por meio de uma ferramenta confiável. Antes de qualquer ação, verifique a rede e o contrato relacionados à autorização. Uma interface de consulta pode ajudar a encontrar permissões, mas também precisa ser avaliada com cuidado.
Revogar não é o mesmo que desfazer uma operação que já ocorreu. A revogação trata da permissão ainda existente; ela não deve ser entendida como garantia de recuperação de ativos movimentados anteriormente. Por isso, vale distinguir entre revisar uma autorização ativa e responder a uma transação já executada.
Como regra prática, identifique se o pedido é conexão, mensagem ou transação; leia domínio, rede, destinatário, ativo, quantidade, finalidade e prazo quando forem apresentados; e só aprove aquilo que você consegue explicar com suas próprias palavras. Se a tela não permitir essa conferência, rejeitar é uma forma de evitar uma autorização que você não entendeu.
O controle da carteira e o efeito de uma assinatura estão ligados, mas não são a mesma questão. Para entender melhor o papel das chaves e o que significa controlar uma cripto, veja também o que você realmente possui quando compra uma criptomoeda.
Perguntas frequentes
Assinar uma mensagem de carteira sempre movimenta cripto?
Não. Uma mensagem pode servir para autenticação ou representar uma autorização utilizável depois. O efeito depende do conteúdo assinado e de como o aplicativo ou contrato o interpreta.
Uma assinatura sem taxa de rede é segura?
A ausência de taxa imediata não revela o alcance da assinatura. Leia o conteúdo e confira se ele autoriza alguma ação ou uso de tokens antes de aprovar.
O que faço se não entendi o pedido da carteira?
Rejeite a solicitação até conseguir verificar o domínio, a rede, a finalidade e os dados da autorização em uma fonte confiável.
Fontes
- Transações — ethereum.org
- EIP-2612: Permit Extension for EIP-20 Signed Approvals
- Autenticação no Ethereum — ethereum.org
- EIP-4361: Sign-In with Ethereum
Este conteúdo tem caráter exclusivamente informativo e não constitui recomendação de investimento. Rentabilidade passada não é garantia de rentabilidade futura. Investimentos envolvem riscos. Leia os documentos do produto antes de investir.
