A Rabby Wallet é segura?

A resposta curta

A Rabby Wallet verdadeira, instalada pelas lojas oficiais, é uma escolha sólida para o uso diário em EVM, e suas verificações antes da assinatura a tornam, na prática, mais segura que muitas carteiras. "Segura" depende mais de como você a usa do que da carteira: um download falso, uma frase-semente digitada em um site ou uma aprovação ilimitada para um contrato drainer esvaziam qualquer carteira. Para valores altos, combine a Rabby com uma carteira de hardware.

Como a Rabby protege suas chaves

• Autocustódia. Sua frase-semente e suas chaves privadas são geradas no seu dispositivo e armazenadas criptografadas com sua senha. Os servidores da Rabby não as guardam.
• Senha local. A senha apenas desbloqueia a carteira naquele dispositivo. Não é a senha de uma conta e não recupera seus fundos em outro lugar. Se você esquecê-la, restaure pela frase-semente (veja esqueci a senha da Rabby).
• Opção de carteira de hardware. Com uma Ledger, Trezor, Keystone ou dispositivo similar, as chaves nunca tocam seu computador ou celular; a Rabby apenas prepara as transações para o dispositivo assinar. Veja carteiras de hardware na Rabby.
• Verificações antes da assinatura. A Rabby simula cada transação e mostra as mudanças de saldo esperadas, e sinaliza aprovações arriscadas, destinatários desconhecidos e contratos suspeitos. Veja simulação de transações.

Código aberto

O código-fonte da extensão é público no GitHub sob a licença MIT, e o código do app mobile é público em um repositório separado (sem arquivo de licença, segundo o CryptoSlate, outubro de 2026). O código público permite que pesquisadores verifiquem como as chaves são armazenadas. Por si só, ele não prova que a versão na loja corresponde ao código, e é por isso que auditorias e um longo histórico também importam.

Auditorias

A Rabby mantém seus relatórios de auditoria na pasta audits do repositório no GitHub, e a Least Authority publica seus relatórios no próprio site.

Fontes: páginas de auditoria da Least Authority; pasta de auditorias da Rabby no GitHub; análise do CryptoSlate (atualizada em 24 de outubro de 2026). Não resumimos os apontamentos dos relatórios de 2026 porque não conseguimos lê-los na íntegra. Uma auditoria é uma revisão do código em um momento específico, não uma garantia. Apontamentos sem solução significam que os auditores viram espaço para melhorias que a Rabby ainda não havia adotado quando o relatório foi publicado; não significa que os fundos estavam em risco por um exploit conhecido.

O exploit do Rabby Swap em outubro de 2022

O Rabby Swap foi lançado em 14 de setembro de 2022. Em 11 de outubro de 2022, um atacante explorou uma falha no contrato de swap que permitia movimentar tokens de usuários que o haviam aprovado, em várias redes (The Block, 11 de outubro de 2022). As perdas relatadas foram de cerca de 114 ETH e 179 BNB, aproximadamente 200 mil dólares americanos na época (Web3 Is Going Great; CryptoSlate). O contrato havia sido auditado pela PeckShield, que não detectou a falha.

A Rabby orientou todos que haviam usado o Swap a revogar todas as aprovações em todas as redes e disse que carteiras que nunca usaram o Swap não foram afetadas. As chaves privadas não foram afetadas. Algumas análises posteriores dizem que as vítimas foram reembolsadas, mas não encontramos a declaração original da Rabby sobre isso. O contrato antigo não pode ser pausado, então qualquer aprovação que ainda aponte para ele continua arriscada. A lição vale para qualquer carteira: uma aprovação a um contrato fica aberta até você revogá-la. Verifique as suas com o explicador de aprovações e revogue aprovações antigas. Mais eventos estão listados no histórico de segurança da Rabby.

Bug de assinatura silenciosa, agosto de 2026

Em agosto de 2026, o pesquisador de segurança V12 divulgou uma falha na extensão: um site malicioso ao qual você já havia se conectado podia obter uma assinatura sem que você visse, mas apenas se o bloqueio automático estivesse configurado para 10 minutos. A correção no código da Rabby garantiu que um pedido de assinatura pendente não pudesse mais ser aprovado apenas desbloqueando a carteira. A extensão corrigida foi lançada em 11 de agosto de 2026; o app mobile não foi afetado e nenhuma exploração foi relatada (TechFlow, 20 de agosto de 2026; GitHub da Rabby). Mantenha a Rabby atualizada.

Em setembro de 2025, durante um ataque amplo a pacotes JavaScript populares, a Rabby disse que sua carteira não foi afetada porque fixa as versões de suas dependências (Rabby no X, 9 de setembro de 2025, conforme resumido pelo IQ.wiki).

O risco maior: carteiras Rabby falsas

Falsificações causam muito mais perdas relacionadas à Rabby do que bugs:

• App falso na App Store (fevereiro de 2024). Um app chamado "Rabby Wallet & Crypto Solution", de um desenvolvedor chamado "Solution Development", roubou frases-semente antes do lançamento do app oficial da Rabby para iOS. A Rabby alertou os usuários em 16 de fevereiro de 2024 (ForkLog).
• Complementos falsos no Firefox (2025 e 2026). Pesquisadores da Socket encontraram 13 versões modificadas da Rabby entre 40 complementos maliciosos do Firefox que enviavam dados de carteiras para atacantes (The Hacker News, 20 de agosto de 2026), e mais quatro clones da Rabby em outubro de 2026. A Rabby não tem complemento oficial para Firefox.
• Sites falsos. Os resultados de busca para Rabby estão cheios de páginas de download parecidas em hospedagens gratuitas, plataformas de cursos e sites hackeados.

Detalhes e passos de recuperação: golpes com carteiras Rabby falsas.

Sinais de alerta na janela de assinatura

A janela pop-up da Rabby dá a informação; você ainda precisa lê-la. Pare e rejeite se vir qualquer um destes:

• Tokens saindo que você não esperava, por exemplo um "free mint" ou "claim" que mostra seu ETH ou suas stablecoins saindo.
• Uma aprovação ou permit para um token que você não estava negociando, especialmente para um valor ilimitado ou para um spender que a Rabby marca como novo ou arriscado.
• Um pedido de "set approval for all" para uma coleção de NFT em um site que você não conhece. Ele entrega todos os NFTs dessa coleção.
• Uma assinatura off-chain (permit) que você não entende. Assinar uma mensagem pode autorizar uma transferência sem gastar gas naquele momento.
• Um destinatário de primeira vez para um endereço que você achava já ter usado. Esse é o sinal clássico de address poisoning; compare o endereço completo com o verificador de endereços.
• Um site que não é o que você pretendia visitar. Verifique o domínio mostrado no pedido.

Limites, com honestidade

• É uma hot wallet. As chaves ficam em um dispositivo conectado à internet. Um malware no computador ou no celular, ou uma extensão de navegador maliciosa, ainda pode roubá-las.
• Risco do navegador. Qualquer outra extensão que você instala pode ler e alterar páginas da web, e algumas podem ser tomadas por atacantes. Mantenha poucas extensões.
• Alertas podem ser ignorados. A Rabby permite assinar mesmo com alertas, e a assinatura às cegas (blind signing) ainda é possível em transações incomuns.
• A simulação tem limites. Ela mostra o que aconteceria agora; não consegue prever o que um contrato aprovado fará depois, e pode não funcionar em todas as redes personalizadas.
• Senhas fracas enfraquecem a criptografia local. Use uma senha longa e exclusiva.

Como usar a Rabby com segurança

1. Instale apenas pelas lojas oficiais. Digite rabby.io você mesmo ou use um favorito, e confira o ID da extensão acmacodkjbdgmoleebolmdjonilkdbch com o verificador.
2. Anote sua frase-semente em papel ou metal e guarde-a offline. Veja backup da frase-semente.
3. Nunca digite sua frase-semente em um site, chat ou formulário. A Rabby e a DeBank nunca a pedem, e o suporte verdadeiro nunca manda DM primeiro.
4. Leia a prévia das mudanças de saldo em toda assinatura. Pare se ela mostrar tokens saindo que você não esperava.
5. Evite aprovações ilimitadas e revogue as antigas regularmente.
6. Use uma carteira de hardware para suas economias e mantenha apenas o dinheiro do dia a dia em uma conta hot.
7. Mantenha o navegador e a Rabby atualizados e remova as extensões de que não precisa.

Perguntas frequentes