A Cake Wallet é segura?
A Cake Wallet é uma carteira legítima, de código aberto e de autocustódia que funciona desde 2018, e para a maioria dos usuários ela é segura quando instalada de uma fonte oficial e com backup bem feito. Seu pior incidente foram as seeds de Bitcoin fracas criadas por versões de 2020–2021, que a Cake revelou em maio de 2021. A maioria das perdas reais vem de apps falsos, phishing e seeds compartilhadas, não do app em si.
Para uma carteira de autocustódia, "segura" tem duas partes: se o software protege suas chaves e se você consegue evitar os golpes em volta dele. Esta página trata das duas, com datas, até outubro de 2026.
A resposta curta
- Confiável: sim. A Cake Wallet é feita pela Cake Labs, está na App Store desde 2018 e publica seu código no GitHub sob a licença MIT.
- Suas chaves ficam com você: as moedas on-chain são não custodiais. A Cake não pode congelar, reverter nem recuperar seus fundos.
- Não é perfeita: teve uma falha grave (seeds de Bitcoin fracas em 2020–2021), um alerta moderado em 2026 e builds que não podem ser reproduzidos de forma independente.
- Maior risco: pessoas, não código. Apps falsos, suporte falso e roubo de seed respondem pela maior parte das perdas que vemos relatadas.
Fatores de segurança
| Fator | Status (outubro de 2026) |
|---|---|
| Custódia | Não custodial para moedas on-chain; chaves criadas e guardadas no seu dispositivo |
| Código-fonte | Público no GitHub, licença MIT |
| Builds reproduzíveis | Não; a Cake diz que seus builds ainda não são reproduzíveis |
| Releases assinados | Em setembro de 2026 a Cake publicou uma chave de release para assinar arquivos de checksum e tags de versão; versões sem arquivo de checksum assinado listam hashes SHA-256 nas notas |
| Auditoria independente | Nenhuma do app encontrada |
| Relato de vulnerabilidades | Política de segurança com canal privado de alertas no GitHub e um endereço de e-mail criptografado |
| Conta ou KYC | Nenhum para a carteira |
| Coleta de dados | O rótulo da App Store diz "Data Not Collected" [Dados não coletados] (autodeclarado pelo desenvolvedor) |
| Proteção do app | PIN, biometria, Cake 2FA opcional, Duress PIN |
As seeds de Bitcoin fracas de 2020–2021
Este é o incidente que mais importa. Versões da Cake Wallet lançadas em 2020 e no início de 2021 geravam carteiras Bitcoin com um gerador de números aleatórios inseguro. As seeds afetadas são seeds Bitcoin de 12 palavras no estilo Electrum ("Segwit"). Pesquisadores estimam que a aleatoriedade efetiva era tão baixa que as chaves podem ser reconstruídas por um atacante.
| Data | Evento |
|---|---|
| 10 de maio de 2021 | A versão 4.1.7 muda a forma como as seeds de Bitcoin são geradas |
| 11 de maio de 2021 | A versão 4.2.0 adiciona um banner no app pedindo que os usuários recriem as carteiras; em maio de 2021 a Cake revela o problema publicamente e orienta os usuários a criar novas carteiras e transferir os fundos |
| Dezembro de 2023 | A Cake adiciona um aviso no app para usuários que ainda usam uma seed fraca conhecida (código incorporado em 18 de dezembro de 2023, lançado por volta da versão 4.12.0), usando dados de mais de 8.700 carteiras fornecidos pelos pesquisadores do Milk Sad |
| Maio de 2024 | A equipe do Milk Sad publica um relatório técnico |
| A partir de 21 de maio de 2024 | Os pesquisadores avaliam que as transações de saída maiores de carteiras fracas são, em sua maioria, maliciosas |
Os pesquisadores contaram 8.757 carteiras fracas e cerca de 548,9 BTC que passaram por elas entre novembro de 2020 e outubro de 2024; nem tudo isso foi roubado, e nenhum número total de perdas foi publicado (atualização da pesquisa Milk Sad, 2024). Monero, Litecoin e outras moedas não foram afetados, até onde se sabe.
O que fazer: se você tem uma seed Bitcoin de 12 palavras criada na Cake Wallet em 2020 ou no início de 2021, ou importou uma seed assim para outra carteira, considere-a comprometida. Crie uma nova carteira com uma versão atual e transfira imediatamente os fundos restantes. Nosso verificador de tipo de seed ajuda a identificar o tipo de seed só pelo número de palavras. Nunca digite as palavras em si em um site.
O que o código aberto prova e o que não prova
O código aberto permite que qualquer pessoa leia como a Cake Wallet cria chaves, se comunica com nodes e monta transações. Foi assim que pesquisadores externos conseguiram estudar em detalhe a falha de seed de 2021, e isso significa que as mudanças no código acontecem em público no GitHub.
Ele não prova que o app da loja foi compilado a partir desse código. A Cake diz que seus builds ainda não são reproduzíveis, então você não consegue compilar o código por conta própria e obter um arquivo idêntico para comparar (VERIFY.md da Cake Wallet, 2026). O que dá para verificar é se um download é autêntico: em setembro de 2026 a Cake publicou uma chave de release para assinar os arquivos de checksum e as tags das novas versões, todo release lista hashes SHA-256, e os APKs Android do GitHub, da Accrescent e do repositório F-Droid da Cake compartilham um mesmo certificado de assinatura. Nosso guia de download mostra como verificar as duas coisas.
Também não encontramos nenhuma auditoria de segurança independente publicada sobre o app Cake Wallet até outubro de 2026. A Cake mantém, sim, uma política de divulgação de vulnerabilidades: pesquisadores podem relatar problemas de forma privada pelo GitHub ou por e-mail criptografado, e a Cake publica alertas assim que as correções saem.
Outros alertas
Em 4 de setembro de 2026 a Cake publicou o alerta GHSA-695v-fhpj-fv8x no GitHub, classificado como moderado. Nas versões 6.1.2 a 6.3.0, uma solicitação de pagamento no estilo Ethereum podia ser preparada na rede EVM errada porque o chain ID era descartado. O risco era um pagamento falho ou mal direcionado, não roubo de chaves, e foi corrigido na 6.4.4. Atualize para a versão mais recente. A lista completa de incidentes está na nossa página de histórico de segurança.
A questão do Lightning
O Lightning, adicionado na versão 6.0 (fevereiro de 2026), roda na rede Spark por meio do Breez SDK. A Cake o descreve como de autocustódia, sem canais para gerenciar. A documentação também diz que as transferências Spark são coassinadas por um pequeno grupo de operadores autorizados, que podem ver valores e endereços (documentação da Cake Wallet, 2026).
Em 6 de outubro de 2026 o WalletScrutiny reclassificou a Cake Wallet como "Custodial" porque, na análise dele, o app não oferece forma de levar um saldo Lightning de volta para on-chain sem os operadores. Esse é um julgamento apenas sobre o saldo Lightning; não se refere a Monero, Bitcoin on-chain ou outras moedas. Uma abordagem cautelosa é manter no Lightning só o dinheiro para gastos. Veja Lightning na Cake Wallet.
Privacidade versus segurança
Por padrão, a Cake Wallet se conecta aos nodes e serviços da própria Cake. É prático, mas esses serviços podem ver seu endereço IP e quais dados de carteira você solicita. Para mais privacidade, use seu próprio node ou o Tor. Uma ressalva: para Silent Payments, se o seu próprio servidor Bitcoin não tiver o índice necessário, a documentação da Cake diz que o app recorre a um servidor da Cake. Detalhes em privacidade e Tor e nodes personalizados.
Onde as perdas realmente acontecem
- Apps falsos e sites clonados que pedem sua seed. Instale apenas das fontes oficiais do nosso guia de download e confira links com o verificador de download.
- Suporte falso. A Cake Wallet diz que seu suporte nunca vai pedir sua seed e que quem manda mensagem primeiro oferecendo suporte é quase sempre golpista (documentação da Cake Wallet, 2026).
- Seed guardada online em capturas de tela, apps de notas, nuvem ou e-mail.
- Endereço ou rede errados. Transações não podem ser revertidas. Use o verificador de endereços e envie antes um pequeno teste.
- Serviços de "recuperação" que prometem reaver cripto roubada. São golpes.
Mais sinais de alerta em apps falsos e golpes da Cake Wallet.
Checklist de segurança
- Instale pela App Store, Google Play, Accrescent, repositório F-Droid da Cake ou GitHub, chegando lá ao digitar cakewallet.com você mesmo.
- Mantenha o app atualizado.
- Anote cada seed no papel e guarde offline. Para uma seed Monero de 25 palavras, anote também a restore height. Veja backup da seed.
- Defina um PIN forte; considere o Cake 2FA. A Cake observa que o 2FA ajuda contra quem está com seu celular, não contra quem tem sua seed.
- Para valores maiores, use uma carteira de hardware ou o Cupcake. Veja Ledger e Trezor.
- Substitua qualquer carteira Bitcoin antiga da Cake com seed Electrum de 12 palavras de 2020–2021.
- Nunca compartilhe sua seed e ignore quem entrar em contato com você primeiro.
Se você acha que sua carteira foi comprometida
A orientação da Cake é criar imediatamente uma nova carteira para cada moeda afetada e transferir para ela os fundos restantes, parar de usar a carteira antiga, guardar registro de tudo e denunciar o roubo à polícia e ao suporte da Cake (documentação da Cake Wallet, 2026). Carteiras Monero podem demorar mais para um atacante sincronizar, o que pode lhe dar uma pequena janela para agir. Nunca envie mais dinheiro a "ajudantes de recuperação".
Perguntas frequentes
A Cake Wallet é confiável?
Sim. É uma carteira real, de código aberto, feita pela Cake Labs e disponível na App Store desde 2018. Existem cópias falsas, então instale apenas de fontes oficiais.
A Cake Wallet já foi hackeada?
Não encontramos nenhuma invasão dos sistemas da própria Cake que tenha exposto fundos de usuários. O problema grave foram as seeds de Bitcoin fracas geradas por versões de 2020–2021, e os pesquisadores avaliam que as transações de saída maiores dessas carteiras são, em sua maioria, maliciosas desde 21 de maio de 2024, nos casos em que os usuários nunca transferiram seus fundos.
A Cake Wallet pode ver ou congelar meus fundos?
Não, no caso das moedas on-chain. A Cake não pode congelar, reverter nem recuperar transações. Os servidores da Cake podem ver seu endereço IP, a menos que você use o Tor ou seu próprio node.
A Cake Wallet é segura para valores altos?
Para quantias maiores, combine-a com uma Ledger ou Trezor, ou use o Cupcake como assinador offline, e mantenha o backup da seed offline.
O suporte da Cake Wallet manda mensagem primeiro?
A Cake Wallet diz que quem manda mensagem primeiro dizendo oferecer suporte é quase sempre golpista, e que seu suporte nunca vai pedir sua seed.
Meus fundos em Monero foram afetados pela falha de seed de 2021?
Não. A falha afetou seeds Bitcoin de 12 palavras no estilo Electrum criadas em 2020 e no início de 2021, não seeds Monero.