A carteira Phantom é segura?
A Phantom é uma carteira de autocustódia amplamente usada, com prévias de transação, alertas de sites maliciosos, suporte à Ledger, auditorias de terceiros e um programa de bug bounty, e as reportagens públicas não mostram nenhuma invasão dos seus próprios sistemas que tenha esvaziado carteiras de usuários. A maioria dos usuários da Phantom que perdem fundos os perde por apps e sites falsos da Phantom, suporte falso, sites drainer, envenenamento de endereço e frases de recuperação vazadas. O quão segura ela é depende em grande parte de como você a usa.
"Segura" tem duas partes: se o software da carteira protege suas chaves e se você consegue evitar os golpes que miram seus usuários. A Phantom vai razoavelmente bem na primeira. A segunda é onde acontecem quase todas as perdas. Esta página cobre as duas, com fatos datados. O Ghostlight Guide é independente e não é pago pela Phantom.
Como a Phantom protege seus fundos
Suas chaves ficam com você
A Phantom é de autocustódia. Sua frase de recuperação e suas chaves privadas são criadas no seu dispositivo e protegidas pela sua senha. A Phantom não guarda seus fundos e não pode movê-los. O outro lado é que ninguém pode reverter uma transação que você assina nem restaurar uma frase que você perde.
Prévias de transação e alertas
Antes de você assinar, a Phantom simula a transação e mostra as mudanças de saldo esperadas. Ela também verifica o site em uma lista de bloqueio de domínios maliciosos. A documentação para desenvolvedores da Phantom lista alertas como This dApp could be malicious. Do not proceed unless you are certain it is safe. (este dApp pode ser malicioso; não prossiga a menos que tenha certeza de que é seguro) e This domain is new or has not been reviewed yet. Proceed with caution. (este domínio é novo ou ainda não foi analisado; prossiga com cautela). Se você vir o primeiro, pare. Veja os alertas de dapp malicioso da Phantom explicados.
Em novembro de 2024, a Phantom adquiriu a Blowfish, empresa por trás de suas prévias de transação. A Phantom diz que a Blowfish havia evitado 2,8 milhões de golpes e analisado 1,3 bilhão de transações (blog da Phantom). Trate isso como uma rede de proteção, não como garantia: novos sites drainer surgem todos os dias, e uma prévia não protege você se você entregar sua frase de recuperação.
Suporte a carteira de hardware
Você pode conectar uma Ledger à extensão ou ao app para celular da Phantom. As transações passam então a exigir uma confirmação física no dispositivo, de modo que um malware no seu computador não consegue mover fundos sozinho. Veja Phantom com Ledger.
Filtro de spam
A Phantom oculta muitos tokens e NFTs de spam e permite denunciar e queimar NFTs indesejados. Airdrops falsos são uma forma comum de atrair pessoas para sites drainer, então nunca acesse um link impresso em um token ou NFT que você não esperava.
Auditorias, bug bounty e código aberto
Os apps da carteira Phantom não são open source, então você não pode inspecionar o código por conta própria. Em vez disso, a Phantom se apoia em revisões externas. A Least Authority publicou um relatório final de auditoria do código mobile e da extensão da Phantom em junho de 2024. A Phantom mantém um programa público de bug bounty na Cantina, ativo desde 1º de julho de 2026, com recompensas de até 100.000 dólares por falhas críticas (Cantina, 2026). Sua lista de bloqueio de domínios maliciosos é pública no GitHub.
Em janeiro de 2025, um pesquisador de segurança criticou publicamente a Phantom por causa de um relato de vulnerabilidade não divulgado. A Phantom pediu desculpas pela comunicação lenta e disse que o problema não colocou fundos em risco; nenhum detalhe técnico foi publicado (CryptoSlate, 2025).
Histórico de segurança
| Data | Evento | Resultado |
|---|---|---|
| Junho de 2022 | Divulgação "Demonic" da Halborn: a restauração de sessão do navegador podia gravar frases de recuperação no disco em várias carteiras, incluindo a Phantom | Exigia acesso ao computador; nenhuma exploração relatada; já corrigido pela Phantom (Halborn; CoinDesk, 2022) |
| Agosto de 2022 | Cerca de 4 milhões de dólares drenados de 9,230 carteiras Solana | Atribuído à carteira Slope; a Phantom não encontrou comprometimento de seus sistemas (The Block, 2022) |
| Junho de 2024 | App "Phantom" falso de outro desenvolvedor promovido por anúncios de busca na App Store; uma vítima relatou ter perdido mais de 100,000 dólares | Falsificação, não uma falha da Phantom (CryptoSlate, 2024) |
| Novembro de 2024 | Atualização do iOS causou redefinições do app | Usuários sem backup da frase de recuperação perderam o acesso até restaurá-la (The Block, 2024) |
| Fevereiro de 2025 | Pedidos falsos de "atualizar extensão" e pop-ups falsos da Phantom pedindo frases de recuperação (Scam Sniffer) | Phishing direcionado aos usuários (Cointelegraph, 2025) |
| Abril de 2025 | Ação judicial alegando uma falha no tratamento de chaves após o roubo de mais de 500,000 dólares em tokens | Phantom: "totalmente sem fundamento"; nenhuma decisão encontrada (Decrypt, 2025) |
| Fevereiro de 2026 | Envenenamento de endereço que o investigador ZachXBT associou ao chat embutido da Phantom; uma vítima perdeu cerca de 264,000 dólares em wBTC | O envenenamento de endereço engana você para enviar a um endereço parecido; não expõe chaves (Cointelegraph, 2026) |
| 6 de abril de 2026 | Instabilidade exibindo preços e saldos errados | Resolvida na mesma noite; a Phantom disse que os fundos não foram afetados (The Block, 2026) |
A lista completa, incluindo outras instabilidades, está em histórico de segurança da Phantom. Uma instabilidade pode impedir você de operar por um tempo, o que importa se você faz trading ativo, mas não é o mesmo que ter fundos roubados. As redefinições do iOS em novembro de 2024 mostram por que um backup escrito da sua frase de recuperação importa mesmo quando nada é roubado.
Como os usuários da Phantom realmente perdem fundos
- Downloads falsos. Cópias da extensão ou do app, muitas vezes encontradas por anúncios de busca ou páginas de "download oficial" em sites de hospedagem gratuita, roubam a frase de recuperação assim que você a digita.
- Suporte falso. Não existe linha telefônica da Phantom, e a Phantom diz que seu suporte nunca entra em contato com você primeiro. Números e janelas de chat falsos pedem que você "verifique" ou "sincronize" sua carteira com sua frase. Veja o golpe do suporte por telefone da Phantom.
- Sites drainer. Airdrops, mints e resgates de tokens falsos pedem que você assine uma transação que envia tudo para o atacante.
- Pop-ups falsos. Páginas web que imitam uma janela da Phantom dentro da aba do navegador e pedem a frase.
- Envenenamento de endereço. Transferências minúsculas ou mensagens de chat vindas de endereços parecidos para que você copie o errado.
- Frases vazadas. Fotos, notas na nuvem, gerenciadores de senhas invadidos ou uma frase compartilhada com alguém que está "ajudando".
Todos eles são explicados com exemplos em golpes com Phantom falsa.
Regras que evitam a maioria das perdas
- A Phantom nunca pede sua frase de recuperação. Nem para atualizar, verificar, sincronizar, desbloquear ou resgatar qualquer coisa. O único lugar para digitá-la é o app verdadeiro da Phantom, ao restaurar uma carteira.
- Obtenha a Phantom apenas de fontes oficiais. Digite phantom.com ou use um favorito. Confira o ID da extensão ou a página do app com nosso verificador de download.
- Mantenha sua frase offline. Em papel ou metal, nunca em captura de tela, e-mail ou nota na nuvem.
- Use duas carteiras. Uma carteira "quente" com valores pequenos para apps novos e mints, e uma carteira separada, de preferência em uma Ledger, para as economias, que você nunca conecta a sites desconhecidos.
- Leia antes de assinar. Se a Phantom mostrar um alerta, não conseguir simular a transação ou se a prévia mostrar mais saindo do que você espera, rejeite. Nosso explicador de assinaturas ajuda com mensagens de login e aprovações EVM.
- Confira os endereços por inteiro. Copie-os do destinatário ou da sua agenda de endereços, não da sua lista de atividades nem de um chat. Nosso verificador de endereços compara dois endereços.
- Mantenha a Phantom atualizada apenas pela Chrome Web Store, App Store ou Google Play. Um pop-up pedindo sua frase para "atualizar" é falso.
Como distinguir uma janela real da Phantom de uma falsa
A Scam Sniffer, empresa de segurança, sugeriu estas verificações em fevereiro de 2025 (Cointelegraph, 2025):
- Um pop-up real da extensão é uma janela separada cujo endereço começa com
chrome-extension://. Um falso é desenhado dentro da página web. - Um pop-up real pode ser movido, minimizado e redimensionado como qualquer janela. Um falso fica preso dentro da aba do navegador.
- Páginas de phishing costumam bloquear o clique com o botão direito; a janela real da Phantom não bloqueia.
A Phantom é mais segura que uma corretora?
É um tipo diferente de risco. Em uma corretora, a empresa pode ser hackeada, congelar sua conta ou quebrar, mas também pode redefinir uma senha e às vezes reverter erros. Com a Phantom, nenhuma empresa fica entre você e seus fundos: não há congelamentos, mas também não há como desfazer. Muitas pessoas mantêm saldos de trading em uma corretora e investimentos de longo prazo em autocustódia com uma carteira de hardware.
Uma observação sobre nomes
A Fantom (hoje Sonic) é um projeto cripto separado. Análises de segurança da "Fantom wallet" não são sobre a Phantom, e a Phantom não a suporta.
Se algo já deu errado
Se você digitou sua frase de recuperação em um site ou app, ou assinou algo que não entendeu, aja agora: siga o que fazer se sua carteira Phantom foi esvaziada. Não entre em contato com ninguém que ofereça recuperar fundos mediante pagamento; essas pessoas também são golpistas.
Perguntas frequentes
A Phantom pode roubar minhas criptomoedas?
A Phantom é de autocustódia: suas chaves são criadas e armazenadas no seu dispositivo. A Phantom diz que nunca pede sua frase de recuperação. Seus apps não são open source, então você depende de auditorias e da reputação da Phantom, e esse é um dos motivos pelos quais muita gente guarda valores altos em uma carteira de hardware.
A Phantom é segura no celular?
Sim, se você instalar o app verdadeiro (ID do app na App Store 1598432977, pacote no Google Play app.phantom) e mantiver o celular atualizado. Cópias falsas já apareceram nas duas lojas, então confira o desenvolvedor antes de instalar.
A Phantom tem seguro?
Não. Cripto em uma carteira de autocustódia não tem seguro e, se você for enganado e assinar uma transação, ninguém pode revertê-la. Os fundos do Phantom Cash também não têm seguro do FDIC.
É seguro conectar a Phantom a sites?
Conectar apenas compartilha seu endereço público. O risco surge quando você assina uma transação ou mensagem. Conecte-se apenas a sites que você acessou por conta própria, leia a prévia da Phantom e pare diante de qualquer alerta vermelho.
A Phantom foi afetada pelo hack da Slope?
Não. O esvaziamento de carteiras Solana em agosto de 2022 foi atribuído à carteira Slope. A Phantom disse não ter encontrado evidência de que seus sistemas tenham sido comprometidos.
Devo usar uma Ledger com a Phantom?
Para valores que você não poderia perder, sim. Uma Ledger mantém as chaves fora do seu computador e do seu celular e exige uma confirmação física para cada transação.