Como usar wallet multisig para custódia segura de cripto
Tutorial sobre wallets multisig — o que são, como configurar Safe (ex-Gnosis), thresholds apropriados e quando faz sentido vs single-sig.
17/05/2026 · 4 min de leitura · Tutorial · Seguranca · Multisig · Safe
Multisig em uma frase
Wallet multisig (multi-signature) é uma wallet que requer múltiplas assinaturas para autorizar transação. Em vez de uma única chave privada controlar a wallet, há N chaves, e M de N devem assinar (M ≤ N). Notação comum: 2-of-3 (2 assinaturas de 3 chaves), 3-of-5, etc.
A propósito é eliminar single point of failure. Se uma chave é comprometida (hack, phishing, perda), a wallet ainda está segura — atacker não tem M-1 chaves restantes. Para custódia de valor significativo (acima de R$ 50k), multisig é considerada best practice em 2026.
Quando faz sentido usar multisig
Multisig faz sentido em: (1) custódia pessoal de alto valor (>R$ 50k) — proteção contra perda de chave única; (2) custódia familiar (heranças, parcerias) — distribuição de chaves entre membros; (3) tesouraria de DAO ou empresa — exige M signatures de board members; (4) hot wallets de exchanges/protocolos — todas as exchanges sérias usam multisig (incluindo OFFCODE via AWS KMS multisig).
Multisig não faz sentido em: (1) wallets de uso diário (frequent transactions) — overhead é alto; (2) capital baixo (<R$ 5k) — complexidade não justifica; (3) ambientes onde você não controla 2+ devices seguros.
Safe (ex-Gnosis Safe): padrão da indústria
Safe (renomeado de Gnosis Safe em 2023) é o multisig mais usado em Ethereum, com mais de US$ 100 bilhões em assets sob custódia em maio de 2026. Contrato auditado múltiplas vezes (OpenZeppelin, Trail of Bits, Certora). Free para usar — você paga apenas gas para deploy e transações.
Funciona em Ethereum mainnet e em todas as L2s principais (Arbitrum, Optimism, Base, Polygon, zkSync). Para chains non-EVM (Solana, Aptos), há equivalentes — Squads em Solana, MovementX em Aptos. Princípio é o mesmo.
Setup passo a passo: 2-of-3
Passo 1: prepare 3 wallets independentes — ideal: 1 MetaMask em PC pessoal, 1 hardware wallet (Ledger/Trezor), 1 wallet em smartphone separado. Cada uma com seed phrase própria. NÃO derive todas da mesma seed — defeats the purpose.
Passo 2: vá em safe.global, conecte uma das três wallets como criador, adicione os endereços das outras duas como signers, escolha threshold 2-of-3. Confirme a transação de criação (paga gas). Passo 3: você recebe novo endereço Safe (não é o endereço das wallets — é um novo contrato). Esse é o endereço para receber fundos.
Threshold: como escolher M-of-N
Para pessoa física: 2-of-3 é o sweet spot. 2 assinaturas para gastar, 3 chaves para redundância. Se perder uma chave, ainda funciona com as outras duas. Mais simples que 3-of-5.
Para empresa/DAO: 3-of-5 ou 4-of-7. Mais signers = mais política governance, mas overhead operacional sobe. Para tesouraria muito grande, considere multisig hierárquico (uma Safe que controla outra Safe).
Limitações e armadilhas
Limitação 1: multisig em chains diferentes são entidades separadas. Seu Safe em Ethereum tem endereço diferente do seu Safe em Arbitrum. Não envie cross-chain para o mesmo endereço sem confirmar.
Limitação 2: assinatura requer M signers online no momento da transação. Se um signer está dormindo em fuso horário oposto, transação atrasa. Limitação 3: gas é levemente maior que single-sig (~30% acima). Para pequenas operações, isso é fricção significativa.
Multisig vs custódia OFFCODE
Custódia em exchanges sérias como OFFCODE já é multisig institucional via AWS KMS — você não precisa gerenciar chaves. Trade-off: você confia na exchange, não tem control direto. Se a exchange falir ou for hackeada, você depende de Proof of Reserves e processo legal.
Modelo híbrido recomendado: capital de trading ativo (3-6 meses de operações) na exchange. Capital de hold longo prazo (>6 meses) em multisig self-custody. Diversifique entre os dois para reduzir risco. Aviso: nunca compartilhe seed phrase de signer da multisig. Comprometer uma chave é tolerável; comprometer M é game over.