Qual a melhor carteira de criptomoedas em 2026

Não existe uma melhor para todos, e quem responde com um nome só está vendendo alguma coisa. Para até uns R$ 5 mil, carteira de celular de código aberto basta. Acima disso, aparelho dedicado: Trezor Safe 3 a US$ 59 é o menor preço com firmware auditável, e a BitBox02 a US$ 172 é a única da comparação que junta build reprodutível, auditoria externa e secure element.

Por Felipe Sant'Ana, fundador da Paradigma e autor de Um Café com Satoshi (Editora Paradigma, 2024) · revisado em 17 de setembro de 2026 · todos os guias

Antes de comparar marca, decida duas coisas

A escolha da marca é a última decisão, não a primeira. Duas perguntas vêm antes e eliminam a maior parte das opções.

De quem é a chave. Se a chave está com uma corretora, você não tem moeda: tem uma promessa de uma empresa. Se a chave é sua, a moeda é sua — e o erro também. Tudo nesta página trata do segundo caso, que é o que a palavra carteira deveria significar.

Quanto você tem. É o que define se vale gastar com um aparelho. Carteira de hardware protege contra um cenário específico: o seu computador ou celular estar comprometido na hora de assinar a transação. Se o valor guardado não justifica o preço do aparelho e o incômodo, o ganho é teórico.

Uma referência prática, e ela é nossa opinião, não regra de mercado: abaixo de uns R$ 5 mil, carteira de celular de código aberto resolve. Acima, o aparelho dedicado passa a se pagar. Acima de umas seis cifras, a conversa deixa de ser sobre marca e passa a ser sobre múltiplas assinaturas.

As carteiras de hardware, lado a lado

Os preços abaixo são os do fabricante, em dólar, e o de revenda no Brasil, em real, ambos lidos em 17 de setembro de 2026. Falta a coluna que todo comparador põe e que quase ninguém sustenta — uma nota de zero a dez —, porque os critérios que importam aqui não se somam num número.

O preço no Brasil é outro, e o pulo é nos modelos com tela

A KriptoBR é revendedora oficial de Trezor, Ledger e SecuX no Brasil, com estoque em São Paulo e garantia nacional de um ano. Ela não vende Coldcard, Blockstream Jade, BitBox nem Foundation Passport — para essas marcas, ou você importa, ou não compra.

O padrão que aparece na tabela vale ser dito em voz alta: nos modelos de entrada o preço em real fica perto da conversão direta, e nos modelos com tela ele dispara. Uma Ledger Stax de US$ 399 sai por R$ 4.999. Se o seu critério é segurança, e não acabamento, a conta fica difícil de fechar.

Importar tem regra, e ela mudou em 12 de maio de 2026. Pela Portaria MF 1.342/2026, para pessoa física em site certificado no Remessa Conforme, o imposto de importação é zero até US$ 50 e, de US$ 50,01 a US$ 3.000, é de 60% com dedução fixa de US$ 30. Em site não certificado, ou em compra por empresa, são 60% sem dedução nenhuma. O ICMS incide sempre, de 17% a 20% conforme o estado, calculado por dentro e também sobre o imposto de importação. Na prática, uma Coldcard Q de US$ 289 chega perto de dobrar de preço até a sua porta.

O histórico de cada marca, que é o que os comparadores omitem

Comparar só preço e número de moedas ignora a única variável que já custou dinheiro de gente de verdade. Aqui está o que aconteceu com cada marca, com data.

Ledger, e o vazamento que ninguém consegue desfazer. Em 25 de junho de 2020, um terceiro acessou o banco de dados de e-commerce e marketing da empresa. A falha só foi avisada em 14 de julho, por um pesquisador do programa de recompensas. Em 20 de dezembro de 2020 o conteúdo foi despejado num fórum de hackers: 1.075.382 endereços de e-mail e 272.853 registros com nome, endereço residencial e telefone. O problema não é o passado, é o presente — esses endereços continuam circulando, e desde então clientes recebem phishing pedindo a frase de recuperação, aparelhos falsos pelo correio e mensagens de extorsão com ameaça física, viáveis justamente porque o endereço de casa vazou. Nós cobrimos o caso na época, em O Cavalo de Troia da Ledger.

Ledger, o Recover, e o que ele revelou. Em maio de 2023 o firmware 2.2.1 trouxe um serviço opcional que fragmenta uma cópia cifrada da sua frase entre três custodiantes. A polêmica não foi o serviço: foi ele demonstrar que o aparelho podia extrair material da chave através de uma atualização de firmware aprovada pelo usuário — algo que a comunicação anterior da empresa dava a entender ser impossível. O lançamento foi adiado.

Ledger, dezembro de 2023. Um ex-funcionário caiu em phishing e o atacante publicou versões maliciosas de uma biblioteca da Ledger usada por sites de terceiros. Ficou cerca de cinco horas no ar. O hardware e o aplicativo não foram comprometidos, só sites que usavam aquela biblioteca. Também cobrimos, em Ledger sofre ataque e afeta todo ecossistema.

Trezor, janeiro de 2024. Um portal terceirizado de suporte foi acessado sem autorização, expondo e-mail e nome de até 66 mil pessoas que tinham escrito para o suporte desde dezembro de 2021. Cerca de 41 receberam mensagem direta pedindo a frase. Nenhuma frase vazou pelo incidente.

Trezor, e a fraqueza física. Em 2020 a Kraken Security Labs demonstrou extrair a chave de um Trezor One ou Model T com quinze minutos de acesso físico ao aparelho, usando manipulação de tensão no microcontrolador. É um ataque que exige ter o aparelho na mão, o que o torna irrelevante para a maioria e decisivo para quem viaja com o dispositivo ou mora com gente em quem não confia.

Coldcard, e o problema mais grave desta página. O repositório oficial da fabricante traz um aviso ativo: versões de firmware de 2021 até julho de 2026 geravam entropia insuficiente. Quem criou uma carteira nesse período precisa gerar uma frase nova e mover os fundos em cadeia — e atualizar o firmware não resolve, porque o estrago aconteceu no momento em que a chave foi criada. A causa, documentada pela engenharia da Block, é de arrepiar: uma migração de biblioteca fez a geração passar a usar o gerador de números aleatórios de software em vez do de hardware, porque as duas funções tinham o mesmo nome e o build não acusou erro. A entropia efetiva caiu para algo em torno de 72 bits nos modelos recentes, contra os 128 pretendidos. Se você tem uma Coldcard, pare de ler e vá conferir a versão.

Blockstream Jade, BitBox02, SeedSigner e Passport. Não encontramos incidente explorado em nenhuma das quatro. Isso não é o mesmo que dizer que não existe: é dizer que não achamos. A Jade e a SeedSigner têm uma limitação estrutural que vale saber — nenhuma das duas tem chip dedicado de segurança, o que enfraquece a proteção contra quem tem o aparelho em mãos. O Passport tem auditoria independente sem achado crítico, mas ainda não oferece build reprodutível, ou seja, não dá para verificar que o programa instalado corresponde ao código publicado. A BitBox02 oferece as duas coisas, e é por isso que ela aparece na nossa resposta curta.

Se for de celular, o custo está escondido na troca

Para valor pequeno, carteira de celular resolve — e aí o critério muda completamente. Nenhuma delas cobra mensalidade, então a pergunta certa é quanto elas tiram quando você troca uma moeda por outra, porque é dali que vem o dinheiro delas.

O caso Exodus, que explica a categoria inteira

A Exodus diz não cobrar taxa de transação, e é verdade. Só que a troca de moedas dentro do aplicativo rendeu US$ 110,7 milhões no último ano fiscal, o equivalente a 91,1% de toda a receita da empresa, por um spread que ela nunca publicou em lugar nenhum.

Isso não é ilegal nem escondido em sentido jurídico. É só a demonstração de que "carteira sem taxa" é uma frase sem conteúdo. Toda carteira gratuita ganha dinheiro de alguma forma, e vale a pena descobrir qual antes de escolher. Quando a resposta não está na página de preços, ela está no spread.

A frase de recuperação continua sendo a carteira

Escolher bem o aparelho resolve menos do que parece, porque a maior parte do dinheiro perdido em cripto não some por falha do aparelho. Some porque a pessoa perdeu as palavras, ou porque as digitou onde não devia.

As doze ou vinte e quatro palavras são os seus fundos. Quem as tiver, tem tudo, sem precisar do seu aparelho. Daí três regras sem exceção: escreva em papel ou metal e nunca em foto, nuvem, e-mail ou gerenciador de senhas; nunca digite as palavras num site, seja qual for o motivo alegado; e teste a recuperação com um valor pequeno antes de confiar um valor grande a ela.

A Paradigma não recebe comissão de nenhuma empresa citada nesta página, e nenhum link aqui é de afiliado. Vendemos assinatura de pesquisa, e é só de onde vem o nosso dinheiro.

Perguntas frequentes

Para ir mais fundo

• O Cavalo de Troia da Ledger
• Ledger Sofre Ataque e Afeta Todo Ecossistema
• Imersão em Auto-Custódia [pt.1]
• Cyber-Privacidade: 7 Passos (10min.) Pra Dormir Mais Tranquilo