---
title: "WalletConnect: Como Conectar sua Carteira em dApps com Segurança | Ethereum IA"
url: "https://ethereum.ia.br/blog/walletconnect-como-conectar-carteira-dapp-seguranca/"
markdown_url: "https://ethereum.ia.br/blog/walletconnect-como-conectar-carteira-dapp-seguranca.MD"
description: "Guia completo sobre WalletConnect: como o protocolo funciona, como conectar sua carteira a dApps, riscos de golpes, blind signing e boas práticas de segurança para brasileiros."
date: "2026-07-18"
author: "Equipe Ethereum IA"
---

# WalletConnect: Como Conectar sua Carteira em dApps com Segurança | Ethereum IA

Guia completo sobre WalletConnect: como o protocolo funciona, como conectar sua carteira a dApps, riscos de golpes, blind signing e boas práticas de segurança para brasileiros.


Conectar uma carteira de criptomoedas a um aplicativo descentralizado (dApp) é um gesto cotidiano para qualquer pessoa que usa DeFi, NFTs, bridges ou plataformas de governança. Quase sempre, essa conexão é feita por meio do **WalletConnect**, um protocolo aberto que liga a carteira ao dApp sem nunca expor as chaves privadas do usuário. Para quem está começando no Ethereum a partir do Brasil, entender como essa ponte funciona — e principalmente onde estão os riscos — é parte essencial da higiene de segurança.

Este guia explica o que é o WalletConnect, como ele cria a conexão, como usá-lo passo a passo, os golpes mais comuns que exploram assinaturas e as boas práticas para reduzir a chance de perda de fundos. O conteúdo é educativo e não constitui aconselhamento financeiro.

## O que é o WalletConnect

O WalletConnect é um protocolo de comunicação que permite que uma carteira de criptomoedas converse com um dApp pela internet, de forma criptografada, sem que nenhum dos lados precise compartilhar chaves privadas. Ele foi lançado em 2018 para resolver um problema simples: carteiras móveis (aplicativos no celular) não conseguiam interagir diretamente com dApps abertos no navegador de um computador.

A ideia central é que a **chave privada nunca sai da carteira**. O dApp apenas *propõe* operações (transações ou mensagens a serem assinadas); a carteira, que mantém as chaves no dispositivo do usuário, decide se assina ou recusa. O WalletConnect é apenas o mensageiro criptografado entre os dois.

Hoje o protocolo é suportado por centenas de carteiras (MetaMask, Rabby, Rainbow, Trust Wallet, Safe, Keplr, entre outras) e por praticamente todos os dApps relevantes do ecossistema Ethereum e de outras redes compatíveis com a EVM.

## Como a conexão funciona

Uma sessão do WalletConnect é estabelecida em poucos passos técnicos, que vale a pena conhecer para reconhecer comportamentos suspeitos:

1. **Pareamento (pairing).** O dApp exibe um código QR ou um link profundo (`wc://` ou semelhante). Ao escanear ou clicar, a carteira decodifica o link e abre um canal de pareamento com um **relay server** — um servidor de retransmissão operado pela WalletConnect Foundation ou por terceiros.
2. **Criptografia ponta a ponta.** A própria conexão é protegida por chaves criptográficas negociadas entre a carteira e o dApp. Os relay servers retransmitem as mensagens, mas não conseguem decifrá-las.
3. **Proposta de sessão.** O dApp envia uma proposta indicando quais redes (mainnet, Arbitrum, Base etc.) e quais métodos (`eth_sendTransaction`, `personal_sign`, `eth_signTypedData_v4`) deseja utilizar. A carteira mostra ao usuário quais permissões estão sendo pedidas.
4. **Aprovação do usuário.** Se o usuário aprovar, a sessão fica ativa por um tempo determinado (frequentemente 7 dias ou 30 dias). Durante esse período, o dApp pode pedir assinaturas à carteira, mas cada pedido continua exigindo a confirmação manual do usuário na carteira.
5. **Assinatura local.** Quando o usuário confirma, a carteira assina a transação ou mensagem usando a chave privada — que permanece no dispositivo — e devolve apenas a assinatura ao dApp.

Esse desenho significa que **o ponto fraco não é o protocolo, mas o usuário**. A maioria dos roubos envolvendo dApps não quebra o WalletConnect: ela induz o usuário a assinar uma operação prejudicial.

## WalletConnect v1 e v2

A versão 1 do protocolo (v1) foi desativada em 2023 e não deve mais ser usada. A versão 2 (v2), hoje o padrão, traz melhorias importantes: sessões persistentes com expiração explícita, suporte nativo a múltiplas redes em uma única sessão, pareamento reutilizável e melhores práticas de segurança.

Carteiras atualizadas já operam exclusivamente com v2. Se algum dApp insistir em abrir uma conexão v1, trate com desconfiança: pode ser um sinal de software desatualizado ou, em alguns casos, de uma isca maliciosa.

## Como conectar sua carteira passo a passo

O fluxo abaixo descreve a conexão de uma carteira móvel a um dApp no navegador do computador, que é o uso mais comum do WalletConnect:

1. **Acesse o dApp pela URL oficial**, digitada manualmente. Não clique em links de anúncios, e-mails, Telegram ou Discord.
2. Clique em **"Conectar carteira"** e selecione a opção **WalletConnect** (em vez da injeção direta via MetaMask ou extensão).
3. O dApp exibirá um **código QR**.
4. Abra sua carteira móvel, escolha a opção **conectar via QR** (no MetaMask, costuma estar no ícone de câmera ou em "Conectar a hardware/QR") e **aponte a câmera para o código**.
5. A carteira mostrará a proposta de sessão: redes solicitadas e permissões pedidas. **Leia com atenção** quais redes estão listadas — se houver uma rede que você não esperava, cancele.
6. **Aprove** apenas se reconhecer o dApp e concordar com as permissões.
7. A partir daí, quando o dApp precisar de uma assinatura, sua carteira móvel exibirá a notificação para você confirmar manualmente.

Mantenha o hábito de **desconectar** a sessão quando terminar de usar o dApp (na própria carteira ou no painel do dApp), especialmente em dispositivos compartilhados.

## Riscos e golpes mais comuns

O WalletConnect não protege o usuário de si mesmo. Os principais ataques exploram o momento da assinatura, não o canal de comunicação:

- **Phishing de dApp.** Um site clonado (por exemplo, `uniswap-app.org` em vez de `app.uniswap.org`) pede a conexão da carteira e, em seguida, solicita a aprovação de um token falso ou o assinatura de um `permit` malicioso. A defesa é simples e implacável: **digite sempre a URL oficial**.
- **Blind signing (assinatura às cegas).** Quando a carteira mostra hexadecimal ou uma mensagem ilegível e o usuário assina só para "continuar", qualquer coisa pode estar sendo autorizada — inclusive a transferência de todos os tokens de um contrato. **Nunca assine o que você não consegue ler.** Carteiras modernas, com suporte a EIP-712, tentam traduzir essas mensagens; ainda assim, leia com cuidado.
- **Approvals excessivos.** Um dApp malicioso pode pedir aprovação de gasto (`approve`) com limite máximo. Revise sempre o valor autorizado antes de confirmar e **revogue aprovações antigas** periodicamente com ferramentas como Etherscan ou serviços dedicados.
- **Permit (EIP-2612).** Alguns golpes pedem uma assinatura off-chain que autoriza um gasto futuro sem necessidade de nova aprovação on-chain. Uma única assinatura pode liberar tokens. Trate toda mensagem de assinatura com a mesma cautela de uma transação.
- **Address poisoning (envenenamento de endereço).** Atacantes enviam pequenas transações de endereços parecidos com os seus para confundir na hora de copiar e colar destinatários. Sempre confira os primeiros e últimos caracteres do endereço.

A regra geral: **se você não entende exatamente o que está assinando, cancele.** Não há pressa legítima em uma carteira de criptomoedas.

## Boas práticas de segurança para brasileiros

Além de nunca assinar às cegas, algumas práticas reduzem drasticamente o risco ao usar WalletConnect:

- **Use carteiras separadas por finalidade.** Mantenha uma carteira de "uso diário" (com saldo modesto) para conectar a dApps, e uma carteira de "tesouraria" (preferencialmente de hardware, ou multisig) para guardar valores maiores. As chaves das duas nunca devem se misturar. O conceito é semelhante a uma allowlist: a carteira de dApps é o que você expõe, e a de custódia fica isolada.
- **Prefira redes Layer 2 para testar.** Em redes como Arbitrum, Optimism ou Base, as taxas são baixas o suficiente para que pequenos erros de operação custem pouco. Aprenda o fluxo com valores ínfimos antes de operar valores relevantes.
- **Simule antes de assinar.** Serviços de simulação de transações (disponíveis em carteiras como Rabby e em ferramentas externas) mostram o efeito previsto da assinatura — quais tokens sairão, quais entrarão, quais approvals serão criados — antes de você confirmar. Se a simulação mostra uma transferência surpresa, cancele.
- **Mantenha software atualizado.** Use a versão mais recente da carteira e do sistema operacional. Atualizações frequentemente corrigem vetores de assinatura malformada e melhoram a decodificação de mensagens.
- **Revogue aprovações periodicamente.** Mesmo dApps legítimos podem ser comprometidos. Conferir e revogar approvals antigos é higiene básica, como conciliar a fatura do cartão.
- **Cuidado com "airdrops" por conexão.** Propostas de "conecte sua carteira para resgatar tokens grátis" são vetor clássico de phishing. Airdrops legítimos geralmente têm site oficial, contrato auditado e histórico verificável.

## Considerações fiscais no Brasil

O canal técnico usado para operar — WalletConnect, injeção direta no navegador ou assinatura com carteira de hardware — **não altera as obrigações fiscais**. O que a Receita Federal observa são as operações com criptoativos, registradas on-chain.

A Instrução Normativa RFB 1.888/2019 e as regras do imposto de renda brasileiro exigem que operações de compra, venda e permuta de criptoativos sejam informadas quando os limites da norma são atingidos, inclusive por meio da declaração mensal específica. Swaps realizados via dApp, empréstimos em protocolos como a Aave, resgates de liquidez e qualquer movimentação que configure fato gerador podem precisar ser declarados. Guardar comprovantes on-chain (hash de transação, data, rede, contratos, valores em moeda estrangeira e em reais na data) é essencial para a contabilidade e para responder a eventual fiscalização.

O tratamento exato depende da sua situação, dos valores envolvidos e da sua categoria de contribuinte (pessoa física, MEI ou pessoa jurídica). **Confirme sempre com um contador.** Este conteúdo é educativo e não oferece conclusão tributária.

## Aviso

**Aviso:** Este conteúdo é apenas informativo e não constitui aconselhamento financeiro, tributário ou recomendação de investimento. Criptomoedas são ativos de alto risco e a recuperação de fundos assinados por engano ou enviados a endereços maliciosos geralmente não é possível. Consulte um profissional qualificado antes de tomar decisões.