Uma carteira modificada pode enviar as suas moedas ou a sua seed a um ladrão enquanto parece normal. Verificar o download protege contra sites falsos, mirrors hackeados e apps parecidos.
Duas verificações
- Checksum: o hash SHA-256 do arquivo deve coincidir com a lista oficial. Isso prova que o arquivo não foi alterado nem corrompido.
- Assinatura: a lista de hashes deve ser assinada por pessoas em quem você confia. Caso contrário um atacante poderia trocar tanto o arquivo como a lista.
Exemplo: Bitcoin Core
- Descarregue o release,
SHA256SUMSeSHA256SUMS.ascde bitcoincore.org. - Verifique que o hash do seu arquivo aparece em SHA256SUMS.
- Use GPG para verificar SHA256SUMS.asc. O release é assinado por várias pessoas; as suas chaves estão listadas no repositório guix.sigs.
Por que muitos assinantes importam
O Bitcoin Core é construído de forma reprodutível com Guix: builders independentes compilam o mesmo código-fonte e devem obter arquivos idênticos bit a bit. Quando várias pessoas assinam os mesmos hashes, você não precisa confiar num único programador ou servidor.
Hábitos práticos
- Digite endereços de sites de carteiras você mesmo ou use favoritos; não confie em anúncios ou resultados de busca.
- Instale apps móveis só a partir do link do próprio desenvolvedor para a loja oficial.
- Carteiras de hardware: compre diretamente do fabricante, e deixe o dispositivo verificar o seu próprio firmware.
«Don't trust, verify» aplica-se ao software tanto quanto à cadeia de blocos.