Bot de cripto seguro: por que a chave só-trade muda tudo
O maior medo de quem automatiza cripto é simples: e se o bot sumir com meu dinheiro? O Theta responde a isso por arquitetura, não por promessa. O bot opera com uma chave de API só-trade — pode ler o saldo e enviar ordens de compra e venda, mas não pode sacar. Seus fundos nunca saem da sua conta na exchange.
Isso é o oposto de custódia. Você não transfere cripto para nós; nós nunca tocamos em saldo. A pior coisa que uma chave vazada poderia fazer é operar dentro da sua própria conta — nunca mover fundos para fora.
Por que confiar
A chave de API lê e opera, e não pode sacar. E a recusa é do tipo que erra pro lado seguro: se a corretora responder de um jeito que não deixe confirmar as permissões, a conexão nem se completa. Seus fundos nunca saem da sua conta na exchange.
Não é filosofia, é uma trava do motor: por conta própria ele exige 0,35% acima do custo médio, o que cobre a ida e a volta da taxa mais folga (a taxa exata varia por corretora). Se o preço cair, o bot segura e reabre depois. A trava é sobre o que o bot faz sozinho, não sobre você: mandar vender agora continua sendo sua decisão.
Simule com saldo virtual, sem limite de tempo, antes de arriscar um centavo real. O simulador roda contra candles reais da própria corretora, então é ele que reproduz qualquer número que a gente publica.
Nos bots geridos, o Plano do Piloto ajusta quantas moedas e quanto por moeda a partir do dinheiro que existe na corretora — subindo uma escada pública conforme o capital cresce. Se ele não conseguir ler o saldo da corretora, não planeja o degrau: prefere parar a chutar um número.
O que aconteceu em 2022 (e por que importa)
Em dezembro de 2022, a 3Commas — uma das maiores plataformas de automação de trading — confirmou o vazamento de cerca de 100 mil chaves de API de usuários (fonte: comunicado da própria 3Commas, dezembro de 2022). Muitas dessas chaves tinham permissão de saque. O resultado foi previsível: quem tinha saque habilitado ficou vulnerável a ter fundos drenados.
A lição não é "nunca use bots". É: nunca dê permissão de saque a um bot. Uma chave só-trade transforma um vazamento catastrófico em um susto administrável — o atacante não consegue tirar nada da exchange.
Como criar uma chave API segura, passo a passo
Na sua exchange (Binance, Bybit ou Coinbase), ao gerar a chave de API:
- Habilite apenas Leitura (Read) e Spot Trading. Deixe Saque (Withdraw) DESMARCADO.
- Ative a restrição por IP (IP allowlist) e adicione apenas o IP do bot do Theta: 187.127.30.44.
- Nunca compartilhe a Secret Key — ela aparece uma única vez. Guarde-a apenas onde você a colará no Theta.
- Se a exchange oferecer, exija confirmação em 2 etapas para alterar permissões da chave.
Por que a IP allowlist muda o jogo
Mesmo que sua chave vaze, com IP allowlist ela só funciona a partir do servidor do Theta. Um atacante em outra máquina simplesmente é recusado pela exchange — a chave é inútil fora do IP autorizado. É uma segunda tranca, independente da primeira.
E do lado do Theta isso não depende da corretora: a conexão recusa qualquer chave que venha com permissão de saque, e recusa também quando não consegue confirmar as permissões — na dúvida, nega.
O que fazemos com a sua chave (e o que vigiamos)
A chave que você conecta é só-trade por obrigação: uma chave com permissão de saque é recusada já no cadastro. A que entra é cifrada no banco. E se você ativar a restrição por IP na corretora (passo 2 acima), uma chave vazada vira pedaço de papel, porque de outro IP a exchange recusa — sem a restrição ela continua sem poder sacar, mas pode operar. Além disso, uma auditoria de contabilidade roda toda madrugada e um vigia checa o servidor a cada 5 minutos.
- Chave com saque: recusada no cadastro. Só entra chave só-trade.
- Cifrada no banco; com a restrição de IP ativada na corretora, inútil fora do nosso servidor.
- Auditoria de contabilidade toda madrugada; vigia checa o servidor a cada 5 min.
Custódia vs. não-custódia, em uma frase
Custódia: você entrega seus fundos a um terceiro e confia que ele devolva. Não-custódia (o Theta): seus fundos ficam na sua conta na exchange o tempo todo; o bot só opera dentro dela. Não existe botão de sacar do Theta — logo, não existe custódia. Você mantém o controle e revoga a chave quando quiser, direto na exchange.
Perguntas frequentes
Por que devo confiar no Theta?
O Theta pode sacar meu dinheiro?
E se a chave de API do Theta vazar?
Preciso configurar a IP allowlist manualmente?
Quais exchanges são suportadas?
Sem cobrança automática. Cancele quando quiser.
30 dias grátis, sem cartão · depois R$ 59/mês (de R$ 97) ou R$ 490/ano (de R$ 790) · preço de fundador travado até 31/12/2026. Fora do Brasil: US$ 12/mês (de US$ 19) ou US$ 99/ano (de US$ 149). Cripto (USDT): $12 = 1 mês, $24 = 3 meses, $79 = 1 ano.
Continue explorando
O Theta é software de automação; não é recomendação de investimento. Cripto envolve risco; resultado passado não garante resultado futuro. Você paga pelo software — seus fundos permanecem na sua corretora.