Considere o computador comprometido

A ameaça é a máquina, não a matemática

Pense em como os fundos realmente saem de uma carteira. Um pacote nas ferramentas de um desenvolvedor vem com algo a mais. Uma extensão de navegador (browser extension) publica uma atualização que ninguém leu. Um documento não é bem um documento. Uma página mostra uma transação e pede que você assine outra. Um utilitário de área de transferência (clipboard) troca um endereço um instante antes de você colar.

Nenhum desses ataques toca na criptografia. Todos precisam da mesma coisa: uma chave privada (private key), ou a sua aprovação, numa máquina conectada à internet. O computador é o alvo porque é no computador que a chave fica.

Por isso, a primeira decisão de projeto da AirNox Wallet é simples: a chave não fica lá.

Chaves fora do computador

A AirNox Wallet roda no desktop. Sozinha, ela é uma carteira nativa completa, com a seed (a frase-semente da carteira) selada no seu cofre, e essa é uma configuração sólida para as operações do dia a dia. No modo AirGap ela vai um passo além: nunca guarda uma chave capaz de movimentar seus fundos. Ela guarda só os endereços que você escolheu mostrar a ela. Com eles, faz tudo o que uma carteira faz online: conversa com a rede, lê saldos e histórico, monta transações não assinadas, faz a triagem delas e transmite para a rede o que voltar assinado.

A assinatura acontece no AirNox Vault, um app num celular Android que nunca fica online. É ele que guarda as seeds. Ele decodifica cada pedido a partir dos bytes que está prestes a assinar, mostra a operação, o valor, as partes e a rede, e só assina depois que você pressiona Accept (Aceitar).

Entre os dois existe um air gap, um isolamento físico. O celular não tem nenhuma rota para a internet, e as únicas coisas que atravessam são um pedido indo num sentido e uma assinatura voltando.

O que cada etapa faz

Um pedido pode começar numa página da web, na própria carteira ou num agente de IA conectado à carteira. Onde quer que comece, ele percorre o mesmo caminho.

A extensão de navegador fala as interfaces padrão de carteira que os sites esperam. Ela não guarda chaves e não assina nada. Ela encaminha o pedido para o desktop por um canal local.

O desktop decodifica o pedido e faz a triagem. Ele reconhece operações padrão, sinaliza qualquer coisa que apenas se pareça com uma delas, verifica aprovações (allowances) e spenders (os endereços autorizados a gastar) e monta a transação não assinada. Depois entrega essa transação ao celular por QR codes, Bluetooth LE ou NFC.

O celular decodifica o pedido de novo, a partir dos bytes exatos que vai assinar, e mostra a você em palavras simples. A descrição que o desktop faz do pedido é uma alegação. O que o celular mostra é a verdade. Você lê e pressiona Accept, ou não. Só a assinatura volta.

Onde a chave fica decide o que o malware pode fazer

A AirNox oferece dois níveis de proteção. Ajuda vê-los ao lado da configuração comum mais fraca: uma carteira clássica que vive como extensão de navegador.

Uma carteira de extensão clássica roda dentro do programa mais exposto do computador. Os segredos dela são selados com uma criptografia que placas de vídeo modernas quebram por força bruta (brute force) em larga escala. Código injetado numa página pode alcançá-la, e qualquer coisa que capture a tela pode vê-la. Além disso, vem com rastreadores e publicidade, não protege contra um endereço trocado e consome recursos o dia inteiro.

A AirNox Wallet no desktop é outro tipo de programa, e ela se defende. É C++ nativo, sem motor de scripts onde injetar código e sem página para envenenar. Uma seed fica na memória só pelo tempo de uso e é apagada em seguida. A carteira vigia os processos ao redor e as bibliotecas carregadas dentro dela, para que código estranho não rode ali sem ser notado. Cada pedido é decodificado e passa pela triagem, para que o que você aprova (approve) seja o que você vê. A área de transferência é monitorada atrás de um endereço trocado, e as janelas da carteira ficam fora das capturas de tela. Os segredos que ela armazena são selados com Argon2id, que é memory-hard (exige muita memória), e ancorados no chip TPM 2.0 do computador, algo que placas de vídeo não conseguem contornar. Rastreadores, ela não carrega nenhum. Para as operações do dia a dia, ela é uma escolha sólida por si só, e todos os recursos de segurança desta série valem para ela, com ou sem celular envolvido.

O AirGap é a camada máxima por cima disso. Tudo o que foi dito acima continua valendo, e a seed passa para um celular offline. Mesmo um atacante que domina o sistema operacional inteiro não encontra nada no computador para copiar nem tem como alterar a tela em que a decisão final é tomada. Trocar o destinatário é a única jogada que continua parcialmente aberta em todo lugar, porque o envenenamento de endereço (address poisoning) mira os seus olhos, não o software. As imagens de endereço nos dois aparelhos estão lá para pegar essa troca.

O que isso não resolve

Um assinador (signer) offline mostra a verdade sobre o que você está assinando. Ele não pode impedir que você concorde com ela. O backup da sua seed continua sendo responsabilidade sua, em papel ou aço, e não num gerenciador de senhas. E nenhuma carteira protege você de alguém que force você a desbloqueá-la. Preferimos que você saiba dos limites por nós a descobri-los por conta própria.

O resto desta série passa pelas partes uma a uma: por que o assinador é um celular que você já tem, os três caminhos através do air gap, como o celular fica invisível no ar, por que nunca confiamos no transporte, o que o celular mostra e o registro que ele mantém.