Análise da carteira Xverse: segurança, recuperação e a lacuna de auditoria

A Xverse é uma carteira Bitcoin de autocustódia da Secret Key Labs Limited, uma empresa de Hong Kong, disponível como extensão do Chrome e como apps para iOS e Android. A carteira não cobra taxa de instalação nem de armazenamento e não acrescenta taxa a um envio normal de Bitcoin. Provedores terceiros precificam compras, swaps e serviços cross-chain. O próprio pool de stacking de STX da Xverse deduz uma taxa de gestão das recompensas.

O alcance da carteira no ecossistema Bitcoin é amplo. Além de BTC, ela lida com Ordinals, Runes e tokens BRC-20, além de Stacks, Starknet, Spark e Lightning, e emite endereços separados de pagamento e Taproot para reduzir o risco de inscrições ou sats raros serem selecionados como entradas normais de Bitcoin.  

Perfil de teste

O que testamos e o que não testamos

Instalamos a extensão do Chrome no Windows, criamos uma carteira do zero, percorremos as telas de Enviar, Receber, Comprar e Vender, registramos as cotações dos provedores oferecidas para uma compra com cartão, depois removemos a extensão, reinstalamo-la e restauramos a carteira a partir da frase de recuperação.

Não concluímos uma compra com cartão, não executamos um pagamento cross-chain, não usamos o app web externo de swap, não pareamos uma hardware wallet, nem testamos os apps móveis. Além da sessão, lemos o relatório de auditoria publicado, as páginas de segurança e privacidade, a base de conhecimento do suporte e os repositórios públicos do GitHub. Qualquer informação retirada dessas fontes, e não do nosso próprio uso, vem identificada como tal.

Xverse em resumo

Como configurar a Xverse

A configuração leva quatro telas e termina em menos de um minuto.  

Testado na versão 2.7.3, em 19 de agosto de 2026.

Passo 1. Criar uma nova carteira ou restaurar uma

A extensão abre com dois botões.

Captura de tela: extensão Xverse Chrome 

Passo 2. Ler o aviso de coleta de dados

O app avisa que coletará dados de uso anônimos para entender melhor os usuários e melhorar o aplicativo, e informa que a configuração pode ser alterada.  

Captura de tela: aviso de coleta de dados

Passo 3. Definir e confirmar a senha

A senha criptografa as chaves privadas no dispositivo.

Captura de tela: configuração da senha

Passo 4. A carteira é criada — sem backup

A carteira existe neste ponto e pode receber fundos. A Xverse não oferece mostrar ou fazer backup da frase de recuperação durante a configuração e não exige que você a anote antes de a carteira se tornar utilizável.

Captura de tela: finalização da criação da carteira 

O aviso de backup chega depois

Na próxima vez que você abrir a extensão, a Xverse oferece fazer backup da seed phrase.  

Captura de tela: lembrete de backup

Como a Xverse organiza os endereços

A tela de Receber mostra dois endereços Bitcoin: um endereço Native SegWit e um endereço Nested SegWit.

Captura de tela: tela Receber da Xverse

De acordo com a documentação da Xverse, a carteira separa famílias de ativos por tipo de endereço e mantém Ordinals, Runes e tokens BRC-20 em um endereço Taproot distinto daqueles que carregam bitcoin gastável. Uma carteira que agrupa todos os satoshis em um único saldo pode selecionar um satoshi com uma inscrição valiosa como entrada para um pagamento comum, e o artefato vai embora com o troco. A derivação separada torna isso estruturalmente difícil.

Como a Xverse recebe e envia bitcoin

A seção Enviar tem três abas.

Enviar para endereço pede um endereço do destinatário, um valor e uma taxa de rede. A taxa é ajustável, com níveis de prioridade Medium e High selecionáveis para confirmação mais rápida.

O material de suporte da Xverse explica que as taxas são cotadas em satoshis por byte virtual e vão para os mineradores, e a Secret Key Labs afirma que nem as controla nem lucra com elas. 

O tamanho da transação, e portanto o custo, depende de quantas entradas e saídas um pagamento precisa, então um saldo formado por muitos pequenos pedaços custa mais para mover do que o mesmo valor mantido em um só. 

A Xverse também observa que algumas carteiras expressam a mesma taxa em satoshis por unidade de peso, onde 1 sat/vB equivale a 0,25 sat/WU — uma taxa copiada entre carteiras sem conversão fica errada por um fator de quatro.

Captura de tela: tela Enviar da Xverse

Lightning apresenta uma única linha de endereço.

Captura de tela: tela de pagamento Lightning

Cross-chain alterna entre stablecoins em redes diferentes e traz um aviso de que o pagamento é processado por Flashnet.

Captura de tela: tela de pagamento cross-chain

Três abas, três modelos de liquidação, um botão Enviar. On-chain aguarda blocos, Lightning liquida fora da cadeia, e a rota cross-chain depende de um terceiro de quem a maioria dos usuários não ouviu falar e que não escolheu.  

Como comprar bitcoin com cartão na Xverse

A Xverse não vende bitcoin diretamente. Ela apresenta várias opções para comprar cripto, uma delas é uma transferência com cartão de crédito, e essa rota permite escolher entre uma lista de provedores disponíveis.

Captura de tela: tela Comprar da Xverse

Carteiras que embutem um único on-ramp escondem quanto a alternativa teria custado; uma carteira que lista provedores concorrentes transforma a escolha em uma decisão novamente, e em compras repetidas essa decisão se acumula. Cada provedor dessa lista precifica o próprio serviço, e a carteira funciona como uma espécie de vitrine.

A tela Comprar oferece uma alternativa chamada Pagar com cripto, e ao selecioná-la você é redirecionado para portfolio.xverse.app/swap, onde conecta uma carteira para iniciar uma transação.

Captura de tela: app Swap da Xverse

A própria documentação de suporte da Xverse nomeia a Changelly como a provedora por trás dos swaps cross-chain, com tolerância a slippage fixada em 10% e sem possibilidade de ajuste.

Como sacar

A tela Vender move BTC ou stablecoins para um cartão bancário ou por transferência SEPA.

Captura de tela: tela Vender da Xverse

As duas direções passam por terceiros. A disponibilidade de SEPA também implica um corredor europeu, o que significa que o conjunto de opções quase certamente muda por região.

Como fazer swap 

A Xverse tem uma tela de swap, e ela funciona sem redirecioná-lo para lugar algum. Ela não converte entre ecossistemas. Os pares disponíveis permanecem na cadeia Bitcoin, cobrindo um conjunto definido de ativos nativos do Bitcoin. Ethereum, Solana e outras redes não aparecem como opções, então quem espera trocar ETH por SOL aqui não encontrará o par.

Captura de tela: tela Swap da Xverse

Um swap restrito a uma única cadeia move valor apenas dentro do Bitcoin. Quem quiser manter outra coisa ainda precisa exchange Bitcoin (BTC) por meio de um serviço externo, e a Xverse oferece um caminho para fazer isso via exchanges de terceiros (por meio da Changelly). 

Redes e ativos suportados

A Xverse cobre a camada base do Bitcoin e um conjunto de cadeias construídas em torno dela: BTC, Ordinals, Runes, tokens BRC-20 e Rare Sats no próprio Bitcoin, depois Stacks com seus tokens SIP-10, Starknet, Spark, sBTC e Lightning. O suporte a stablecoins cobre USDC e USDB, e a aba cross-chain da tela Enviar move stablecoins entre redes.

Três ressalvas importam.

Ativos de outros ecossistemas chegam por conversão, não por armazenamento. Manter Solana (SOL) ou Ethereum (ETH) em forma nativa ainda exige uma segunda carteira.

As camadas liquidam de forma diferente umas das outras. Bitcoin aguarda blocos, Lightning liquida fora da cadeia, e Stacks e Starknet executam seus próprios modelos de confirmação. Uma única interface cobre vários conjuntos de regras sobre quando o dinheiro realmente chegou.

E a lista cresce. A Xverse adiciona camadas de forma constante, então verifique o app em vez de qualquer lista publicada, incluindo esta análise.

O que mais há no app

A Xverse já foi muito além de armazenamento, e a maioria das adições envolve uma parte externa:

• Produtos de earn, cobrindo staking de Stacks por meio do pool da Xverse, staking nativo de WBTC por meio do validador da Xverse e staking de BTC por meio da Lombard. O próprio site da Xverse afirma que as taxas de rendimento são variáveis e nunca garantidas.
• Xverse Cash, uma aba para stablecoins e pagamentos via Spark e Starknet.
• Ferramentas para desenvolvedores: uma API pública, um serviço Bitcoin RPC, a biblioteca Sats Connect e uma carteira de agente para uso programático.

Esse último item entra na análise porque é uma escolha de design, não um bug. Cada pop-up treina o usuário a dispensar um modal sem ler, e uma carteira gasta a sua credibilidade restante nos modais que mais importam — os que pedem uma assinatura. O hábito é barato de criar e caro de desaprender.

Observe o custo dessa amplitude em outras áreas. Cada integração é um lugar onde código que a Xverse não escreveu pede aprovação, e a postura de segurança da carteira é tão boa quanto a mais fraca delas. Esse é o trade-off que o produto faz deliberadamente, e é razoável, mas deve ser feito de olhos abertos.

O que você pode verificar por conta própria

Aqui é onde o marketing e as evidências se separam.

• Código-fonte. A Secret Key Labs publica a extensão do navegador, a biblioteca principal e o Sats Connect no GitHub. Não encontramos repositório público para os aplicativos iOS ou Android. Para a extensão do navegador, o código-fonte está disponível sob uma licença não comercial personalizada.
• Auditorias — uma, de 2021. Encontramos uma auditoria pública de terceiros: a análise de 2021 da Least Authority da então atual carteira móvel de Stacks. Não encontramos relatório publicado cobrindo a extensão atual, ativos nativos de Bitcoin, Starknet, Spark, Lightning, swaps ou agregação de provedores.
• Privacidade — parcialmente verificável. A página de segurança da Xverse diz que o serviço não rastreia endereços ou saldos de contas. Sua política de privacidade é mais ampla: permite a coleta de endereços de carteira, detalhes de transações, dados de uso, identificadores do dispositivo, endereços IP, dados do navegador e do sistema operacional, e informações processadas por recursos de terceiros. Essas duas descrições oficiais não são totalmente consistentes.

Nada disso torna a carteira insegura. Significa que as duas garantias nas quais um usuário cuidadoso mais se apoia são mais fracas do que parecem.

Incidentes de segurança

Um incidente divulgado é um registro público curto, e a Xverse o tratou emitindo um aviso próprio nomeando a causa, as versões afetadas, as condições de exposição e a correção, publicado em até um dia.

A falha não estava na criptografia, mas em uma suposição sobre o ambiente abaixo dela — um recurso de senha funcionando como projetado enquanto o navegador escrevia o segredo em disco de qualquer forma. A Xverse observou que a exposição exigia uma máquina já comprometida.

Recuperação: o backup funciona?

Um backup que ninguém testou é apenas esperança. Removemos a extensão do Chrome, reinstalamo-la em uma máquina Windows e restauramos a partir da frase de recuperação, armazenada do jeito que uma frase de recuperação deve ser armazenada.

O fluxo de restauração pergunta qual carteira recuperar em vez de presumir uma.

Captura de tela: tela de restauração da carteira

A Xverse usa o seletor de carteira de origem para escolher o caminho de derivação usado pelo cliente original. Selecionar a origem errada pode produzir endereços inesperados ou saldo zerado, mesmo quando a frase de recuperação em si está correta.

Os endereços coincidem caractere por caractere, e o saldo e o histórico vieram junto. Esse é o resultado desejado, e vale dizê-lo claramente porque a seção que mais importa em qualquer análise de carteira é a que prova que a saída funciona.

Uma ressalva que o teste não cobre: verificamos o endereço Native SegWit. Quem possuir Ordinals, Runes ou tokens BRC-20 deve confirmar o endereço Taproot separadamente após uma restauração, já que é lá que esses ativos vivem, e um saldo BTC correspondente não diz nada sobre eles.

Onde a interface nos confundiu

A carteira existe antes do backup. A configuração termina, a carteira pode receber fundos, e a frase de recuperação ainda não foi mostrada. O aviso aparece na próxima abertura e pode ser dispensado. Nada no fluxo marca a carteira como sem backup nesse meio-tempo, e a sequência reverte silenciosamente a regra que todo guia de carteira ensina.

Modais promocionais competem com prompts de segurança. Pop-ups aparecem com frequência suficiente no uso normal para virarem ruído de fundo.

Captura de tela: pop-ups promocionais da Xverse 

Pontos fortes

• Endereços separados de pagamento Bitcoin e Taproot reduzem o risco de gastar acidentalmente inscrições e sats raros.
• A recuperação testada restaurou o endereço Native SegWit, o saldo e o histórico em menos de um minuto.
• As cotações de compra são comparadas entre vários provedores, em vez de ficarem escondidas atrás de uma única integração.
• A carteira suporta ativos nativos de Bitcoin junto com Stacks, Starknet, Spark, Lightning e rotas de pagamento com stablecoins.
• A Xverse publicou um aviso detalhado próprio e uma correção após o problema da extensão em 2023.

Limitações

• A extensão e a biblioteca principal têm código disponível sob uma licença não comercial restritiva, não são open source.
• Nenhum repositório público oficial de cliente móvel foi encontrado.
• A única auditoria pública de terceiros encontrada é de 2021 e antecede a maioria dos recursos atuais.
• O marketing de privacidade da Xverse e sua política de privacidade descrevem a coleta de dados de forma diferente.
• As funções de swap, pagamento, Lightning, compra, venda e rendimento dependem de vários provedores externos.
• A configuração permite que a carteira se torne utilizável antes de a frase de recuperação ser respaldada.

Para quem a Xverse serve e para quem não serve

Se você mantém Ordinals, Runes ou Rare Sats

A derivação Taproot separada é uma proteção estrutural exatamente para esses ativos. Uma carteira que agrupa todos os satoshis pode gastar uma inscrição valiosa como parte de uma taxa, e nenhum cuidado no momento do envio previne isso de forma confiável.

Se você compra bitcoin com cartão com frequência

Treze opções com comparação entre provedores faz algo que a maioria das carteiras não faz: permite ver o que as alternativas cotam em vez de escondê-las atrás de uma única integração. Em compras repetidas, essa visibilidade vale mais do que polimento de interface.

Se você lê código antes de confiar nele

Os apps móveis não têm um repositório público que pudemos encontrar, e a única auditoria publicada data de 2021 e cobre um produto que já não se parece com este. A extensão é a única versão que você pode inspecionar.

Se você quer uma superfície de ataque pequena

Compras, vendas, staking, pagamentos cross-chain, um app externo de swap e uma carteira de agente alargam essa superfície, e os modais promocionais frequentes treinam exatamente o reflexo de que um prompt malicioso depende. Uma carteira que apenas envia e recebe bitcoin dá menos lugares para aprovar algo que você não leu por completo.

Se esta fosse sua primeira carteira

A ordem de configuração pesa contra isso. Uma carteira que se torna gastável antes de mostrar a frase de recuperação transfere o ônus de perceber para alguém que ainda não sabe o que precisa perceber.

Veredito

A Xverse é mais forte para usuários que gerenciam ativamente Bitcoin, Ordinals, Runes e outros ativos nativos de Bitcoin a partir de uma única interface. Seu fluxo de recuperação funcionou bem no cenário testado Xverse-para-Xverse, mas sua história de verificação é mais fraca do que o marketing de “open source e auditado regularmente” sugere. É uma carteira de uso ativo rica em recursos, não a escolha mais clara para usuários que priorizam uma superfície de ataque mínima, código do cliente totalmente aberto e cobertura de auditoria recente.

Alternativas

• Exodus — mantém Bitcoin ao lado de dezenas de outros ativos, com on-ramp via cartão e suporte por chat ao vivo dentro do app. Seu aplicativo principal é fechado, então a troca em relação à Xverse acontece no sentido oposto: cobertura mais ampla e ajuda mais rápida, menos coisa para inspecionar. Escolha a Exodus em vez da Xverse se você mantém uma carteira mista e valoriza a resposta do suporte mais do que o tratamento de ativos nativos de Bitcoin.
• Trust Wallet — cobre Bitcoin, Ethereum, Solana e outras redes a partir de uma única frase de recuperação, com compras com cartão no app. Ela não oferece suporte a Ordinals, Runes ou BRC-20, então quem mantém artefatos nativos de Bitcoin perde a separação de endereços em torno da qual a Xverse foi construída. Vale notar que a extensão de navegador da Trust Wallet sofreu um comprometimento confirmado em dezembro de 2025, afetando a versão 2.68 e resolvido na 2.69 — uma categoria de evento que o registro público da Xverse ainda não contém.
• Rabby — criada exclusivamente para redes EVM, sem suporte a Bitcoin algum, portanto é um complemento e não um substituto para a maioria dos usuários da Xverse. A razão para mencioná-la aqui é a postura em relação a auditorias: a Rabby publica uma série de relatórios de terceiros datados, que é o padrão contra o qual o único documento de 2021 da Xverse deve ser lido. Escolha a Rabby se seus ativos forem apenas EVM e a verificabilidade tiver prioridade sobre a amplitude de ativos.

Perguntas frequentes

Quanto custa a Xverse?

Nada para instalar e nada para guardar ativos, e a Secret Key Labs não fica com nenhuma parte da operação da carteira. Você paga taxas de rede Bitcoin on-chain, com níveis de prioridade ajustáveis na tela de envio. Além disso, terceiros definem suas próprias cobranças: o provedor de compra em uma compra com cartão e a Flashnet em um pagamento cross-chain.

A Xverse é segura para usar?

Ela é de autocustódia, e a Xverse afirma que não pode congelar nem acessar fundos. Um incidente consta no registro público, de junho de 2023, quando frases de recuperação chegaram a um log do Chrome sem criptografia; não houve perdas reportadas, e a correção veio em poucos dias. Nosso teste de recuperação passou limpo. Os pontos mais fracos dizem respeito à verificação, não a incidentes.

A Xverse é open source?

É parcialmente aberta. A extensão do navegador, a biblioteca principal e o Sats Connect aparecem no GitHub, e o próprio aviso de segurança de 2023 da Xverse restringe a afirmação à extensão. Não encontramos repositório público para os apps iOS ou Android, então os usuários móveis não podem inspecionar o código que executam. A Xverse divulga o produto como open source, enquanto os dois principais repositórios públicos da carteira usam uma licença personalizada restritiva.

A Xverse foi auditada?

Uma vez, publicamente. A Least Authority concluiu um relatório em 27 de agosto de 2021, cobrindo o que descreveu como um aplicativo de carteira móvel para a blockchain Stacks. Não encontramos relatório publicado cobrindo Ordinals, Runes, agregação de provedores ou qualquer camada Bitcoin adicionada desde então. A frase “auditada regularmente” se apoia nesse único documento de cinco anos atrás.

Por que a Xverse me mostra dois endereços Bitcoin?

A tela Receber lista um endereço Native SegWit e um Nested SegWit. A Xverse separa famílias de ativos por tipo de endereço, e sua documentação coloca Ordinals, Runes e tokens BRC-20 em um endereço Taproot separado do bitcoin gastável, para que uma inscrição valiosa nunca seja selecionada como entrada para um pagamento comum e perdida como troco.

Posso fazer swap de moedas dentro da Xverse?

A Xverse tem várias rotas de conversão e pagamento em vez de um único motor universal de swap. Swaps de BTC para STX rodam dentro da carteira por meio da Changelly. Swaps de Runes comparam vários marketplaces e provedores de liquidez. Um aplicativo web separado cuida de conversões de ecossistemas externos como Ethereum ou Solana, enquanto a rota cross-chain da tela Enviar é um fluxo de pagamento com stablecoins envolvendo a Flashnet.

A Xverse exige verificação de identidade?

Não para criar ou manter uma carteira — a configuração pede uma senha e nada mais. Comprar ou vender é diferente, porque essas funções passam por provedores terceiros que aplicam suas próprias verificações antes de liberar fundos ou dinheiro. A Xverse afirma isso em seu próprio site em vez de deixar você descobrir sozinho.

A frase de recuperação restaura tudo?

Em nosso teste, sim para Bitcoin. Reinstalamos a extensão no Windows, inserimos a frase e o endereço Native SegWit coincidiu caractere por caractere, com saldo e histórico intactos em menos de um minuto. Quem possui Ordinals ou Runes deve verificar o endereço Taproot separadamente, já que um saldo BTC correspondente não prova nada sobre esses ativos.

Fontes

Todos os links verificados em 19.08.2026.

• Site oficial da Xverse, página de segurança e FAQ
• Página de segurança e auditoria da Xverse
• Auditoria da Least Authority da Secret Key Labs Xverse Wallet, 27 de agosto de 2021
• Índice de auditorias publicadas da Least Authority
• Aviso de segurança da Xverse: problema de criptografia na extensão do Chrome, 7 de junho de 2023
• Repositórios públicos da Secret Key Labs
• Suporte da Xverse: como fazer swap de ETH ou SOL para BTC
• Suporte da Xverse: saldo insuficiente ao incluir a taxa de transação
• Suporte da Xverse: como as taxas de transação são estimadas
• Documentação para desenvolvedores da Xverse
• Xverse na Chrome Web Store