Hardware wallet

O dispositivo gera a semente BIP-39 no próprio aparelho (on-device) e deriva as chaves hierárquicas com BIP-32 e BIP-44. Sua peça central é o Secure Element, um chip certificado segundo critérios do tipo Common Criteria (EAL5+ ou EAL6+), projetado para resistir a ataques físicos, que gerencia o PIN e o contador de tentativas. A assinatura é feita de forma isolada via USB, Bluetooth ou código QR: o computador envia a transação sem assinatura e o usuário a verifica e aprova na tela do próprio dispositivo, o que protege contra malware do equipamento conectado. Uma passphrase opcional permite wallets ocultas.

É a forma prática de armazenamento a frio para pessoas físicas e instituições, protegendo grandes saldos contra malware, roubo remoto e phishing de chaves. Convém ter clara uma limitação central: o dispositivo assina o que o usuário confirma, portanto não protege contra a assinatura cega de uma aprovação maliciosa. Daí a importância do clear signing, isto é, ler na tela exatamente o que está sendo autorizado.