#钱包安全风险 Os eventos de Mt.Gox em 2014, o colapso da FTX em 2022, o incidente de hacking da Trust Wallet agora — vi demasiados "acidentes" ao longo destes anos. O maior perdedor perdeu 3,5 milhões de dólares, o segundo maior perdedor perdeu 1,4 milhões, e estas duas carteiras foram até atacadas após mais de um ano de inatividade — isto ilustra precisamente a essência do problema: o risco não está em quanto está ativo, mas em existir é em si ser um alvo.

O que mais me alerta neste incidente não é o número em si, mas os detalhes apontados pela Slowmist — o JS do PostHog foi injetado para recolher informações de carteiras, e a versão corrigida nem sequer removeu completamente o código. O que significa isto? Muitos utilizadores pensaram que a atualização era segura, sem saber que ainda estavam sendo monitorados. Isto é idêntico aos projetos em 2022 com "verificação oficial" mas com portas traseiras injetadas.

Historicamente, cada onda de risco de segurança de carteiras segue a mesma regra: **quando a confiança é quebrada, o tempo já passou**. Os grandes detentores de carteiras inativas foram roubados precisamente porque a consciência de segurança ficou presa num determinado ponto no tempo — pensavam que a versão antiga era suficiente, ou que não usar a carteira por muito tempo era perfeitamente seguro.

A lição agora é clara: exportar desligado da rede, transferir antes de atualizar, não confiar nas promessas de "versão corrigida" — isto não é um conselho, é obrigatório. Já vi demasiadas pessoas pagarem custos de milhões por não quererem fazer um passo adicional. Segurança de carteira não tem áreas cinzentas, ou controla completamente ou confiar numa solução de armazenamento a frio profissional. Esta lição deveria ter sido aprendida há dez anos, e ainda hoje há pessoas a repetir os mesmos erros.