Criptomoedas podem ser hackeadas? Blockchain, carteiras e ataques.

Criptomoedas podem ser hackeadas? Blockchain, carteiras e ataques.

Então, é possível hackear criptomoedas? Mais ou menos, e mais ou menos ao mesmo tempo. Deixe-me explicar.

O próprio livro-razão da blockchain, a cadeia real que a rede blockchain confirma, nunca foi hackeado. Nem uma vez em 17 anos. Todas as manchetes enormes que você leu sobre um ataque hacker a criptomoedas? Aconteceu em outro lugar. Corretora. Ponte. Contrato inteligente. Aplicativo de carteira de alguém. As partes seguras e as partes perigosas ficam lado a lado na sua tela, e a maioria das pessoas não consegue diferenciá-las até perder dinheiro.

Em 2025, isso se tornou uma questão pessoal para muita gente. Os ataques levaram US$ 3,4 bilhões em fundos roubados de serviços de criptomoedas só no ano passado, segundo a atualização de dezembro da Chainalysis sobre os riscos da tecnologia blockchain. A CertiK contabilizou US$ 3,35 bilhões em 630 incidentes distintos. A TRM Labs chegou a US$ 2,87 bilhões. Três empresas, três metodologias, a mesma conclusão: o pior ano da história. E quase nada disso afetou as próprias blockchains.

Deixe-me explicar onde o roubo realmente acontece, onde reside o seu verdadeiro risco e o que você pode fazer a respeito.

Criptomoedas podem ser hackeadas? Uma resposta direta primeiro.

Então, criptomoedas podem ser hackeadas de alguma forma significativa? Criptomoedas podem, sim, ser roubadas. O livro-razão da blockchain que as armazena, quase nunca.

Parece um jogo de palavras, mas não é. Quando as pessoas dizem "o Bitcoin foi hackeado", geralmente se referem a uma destas três coisas: as moedas de alguém foram roubadas de uma corretora, a chave privada de uma carteira foi comprometida ou um contrato inteligente em execução na blockchain foi drenado. Nenhum desses ataques é direcionado ao Bitcoin ou ao Ethereum em si. As regras de consenso de nenhuma das duas blockchains jamais foram quebradas, e ambas estão em operação há mais de uma década, com bilhões em valor ativo disponíveis para qualquer um que seja inteligente o suficiente para quebrá-las. O rótulo de "blockchain inviolável" é apenas parcialmente verdadeiro: a blockchain em si é segura e resistente, mas a superfície ao seu redor está repleta de alvos.

Comece por esta distinção, pois ela muda a forma como você pensa sobre defesa. Se a cadeia fosse o elo mais fraco, nada o salvaria. Como os elos fracos estão acopladas acima da cadeia (custódia, gerenciamento de chaves, comportamento do usuário, código do contrato inteligente), você tem, na verdade, controle sobre a maioria deles.

Entendendo a segurança da blockchain e como as transações funcionam.

Antes de analisarmos o que pode falhar, deixe-me explicar o que realmente sustenta tudo. Entender a segurança do blockchain se resume a três mecanismos que se sobrepõem, e a maioria das pessoas conhece apenas um deles, ignorando os outros dois.

Comecemos pela criptografia. Cada transação em uma blockchain é assinada com uma chave privada e verificada com a chave pública correspondente. Se você quiser quebrar a chave, terá que usar força bruta para tentar decifrar um número de 256 bits. Números desse tamanho são extremamente complexos e praticamente impossíveis de serem decifrados por qualquer computador clássico que conhecemos. Blockchains como o Bitcoin criptografam a assinatura de cada transação dessa forma. Satoshi Nakamoto escolheu o protocolo ECDSA para criptografar as chaves em 2008, e ele se mantém eficaz desde então.

Em seguida, vem o hash. Cada bloco de transações de criptomoedas passa por um algoritmo como o SHA-256. Cada novo bloco incorpora o hash do bloco anterior. Altere uma única transação em algum lugar no histórico e todos os hashes subsequentes serão corrompidos. É por isso que os blockchains são chamados de imutáveis. Não porque ninguém queira editá-los, mas porque você não pode editá-los sem que toda a cadeia entre em colapso.

O terceiro ponto, aquele que as pessoas mais entendem errado, é o consenso. Imagine milhares de nós independentes na rede blockchain, todos executando as mesmas regras, todos verificando uns aos outros. Sem conta de administrador. Sem botão de pausa. Sem sede central que possa ser invadida por qualquer um. Para reescrever a história, você precisa superar a capacidade computacional ou a participação da maioria honesta. É isso que as pessoas querem dizer quando afirmam que as blockchains descentralizam a confiança. Uma rede blockchain descentralizada não tem uma única entidade que possa ser subornada, intimada ou sofrer um ataque DDoS offline.

Junte esses três elementos e você terá algo realmente notável: as transações confirmadas pelo blockchain são basicamente permanentes, e as técnicas criptográficas e os mecanismos de consenso, juntos, eliminam a necessidade de um banco central, só que sem um banco. Essa é a parte segura. A parte insegura é cada ser humano, cada corretora, cada aplicativo de carteira digital, cada contrato inteligente que opera sobre essa rede.

O Bitcoin já foi hackeado alguma vez? A camada base ainda se mantém.

Resumindo? Não.

A camada 1 do Bitcoin nunca foi atacada com sucesso. Nem uma vez em 17 anos. Bugs? Sim, corrigidos. Forks problemáticos? Muitos. Polêmicas intermináveis no Twitter sobre o tamanho do bloco? Claro. Mas o livro-razão principal nunca foi reescrito. Cada nova transação é adicionada ao blockchain somente após passar pelas mesmas regras que protegem o blockchain do Bitcoin desde o primeiro bloco, em janeiro de 2009.

A Iniciativa de Moeda Digital do MIT mantém um registro de todos os ataques de 51% conhecidos em redes de prova de trabalho. A linha do Bitcoin está vazia. A linha da rede principal do Ethereum também está vazia. O famoso ataque à DAO em 2016? Foi uma falha em um único contrato inteligente em execução no Ethereum, não na própria rede. As consequências disso são o motivo pelo qual o Ethereum e o Ethereum Classic existem hoje como duas redes que não conseguem chegar a um acordo sobre como lidar com a situação.

Agora, vamos à parte econômica, que é quase mais convincente do que a matemática. Veículos de notícias sobre criptomoedas fizeram as contas em 2024 e estimaram o custo de um ataque de 51% ao Bitcoin em cerca de US$ 6 bilhões. Hardware, eletricidade, colocation, tudo. E depois? No momento em que o ataque fosse bem-sucedido, o preço do Bitcoin despencaria. Suas moedas roubadas valeriam uma fração do que valeriam. Seu data center com ASICs se tornaria inútil. Os atacantes compram caro e vendem barato de propósito. Uma das maneiras mais caras de perder dinheiro já criadas.

Portanto, a verdadeira ação nunca acontece lá embaixo. Ela está sempre um nível acima.

Onde as criptomoedas são realmente roubadas

Imagine a infraestrutura de criptomoedas como um prédio. O blockchain é a fundação. Acima dele, estão os contratos inteligentes, as pontes, as corretoras, os custodiantes e, no topo, os usuários com suas carteiras. Quase todos os ataques cibernéticos que você lê acontecem em um dos andares superiores. Muitos deles ocorrem por meio de sites, plugins e ferramentas de terceiros que, silenciosamente, acabam controlando seus fundos.

A Chainalysis compilou seus dados de 2024 e descobriu que a violação de chaves privadas, por si só, representou 43,8% de tudo o que foi roubado. Violação de chaves privadas. Não bugs em contratos inteligentes. Chaves. Carteiras pessoais (não exchanges, não DeFi) saltaram para 44% do valor roubado, um aumento em relação aos 7,3% de 2022. Em 2025, a TRM Labs afirmou que 76% das perdas vieram do que eles chamam de ataques à infraestrutura. Assinaturas comprometidas. Provedores de nuvem. Laptops de desenvolvedores. Engenharia social direcionada à equipe de suporte. Explorações de contratos inteligentes ainda acontecem? Sim. Hackers ainda exploram vulnerabilidades em novos protocolos? O tempo todo. Mas eles não são mais o principal problema.

Os hackers costumam seguir o dinheiro, e os alvos mudaram. O DeFi dominou de 2021 a 2023. Serviços centralizados e carteiras pessoais assumiram o controle em 2024 e 2025. O padrão é econômico, até mesmo banal. Um único usuário comprometido em uma empresa específica pode movimentar muito mais dinheiro do que qualquer indivíduo jamais conseguiria. Portanto, os principais alvos dos hackers hoje não são os investidores comuns. São os engenheiros, a equipe de suporte e os desenvolvedores que detêm as chaves da propriedade de criptomoedas de terceiros.

Ataques a carteiras: golpes com chaves privadas e endereços de carteira.

Uma carteira de criptomoedas não armazena moedas fisicamente. Ela armazena as chaves privadas que controlam para onde essas moedas podem ser transferidas na blockchain. Perder a chave significa perder as moedas. Se a chave vazar, outra pessoa fica com as suas moedas. Esse é o princípio de funcionamento.

As carteiras digitais se dividem em dois grandes grupos. As carteiras quentes (hot wallets) ficam armazenadas em um dispositivo conectado à internet. Exemplos incluem aplicativos de celular, extensões de navegador e saldos em corretoras. Elas são convenientes, mas vulneráveis, já que qualquer malware no dispositivo ou um navegador comprometido representa uma porta de entrada para hackers que desejam esvaziar a carteira. Já as carteiras frias (cold wallets), incluindo carteiras de hardware e sistemas isolados da internet (air-gapped), armazenam suas chaves offline; nelas, as chaves privadas ficam armazenadas em um chip que nunca se conecta à internet. Uma carteira fria é um alvo muito mais difícil, e é por isso que a maioria dos investidores sérios a utiliza para guardar apenas as criptomoedas que não pretendem negociar durante a semana.

A armadilha do endereço da carteira é uma categoria à parte. "Envenenamento de endereço" ocorre quando um atacante envia uma pequena transação de um endereço de carteira quase idêntico a um que você usa regularmente. Os quatro primeiros caracteres são os mesmos, os quatro últimos também, mas o endereço do meio é diferente. Mais tarde, ao copiar do seu histórico, você cola o endereço envenenado por engano. Pesquisadores da Carnegie Mellon encontraram 270 milhões dessas tentativas registradas em blockchains públicas, com perdas confirmadas em torno de US$ 83,8 milhões. Em dezembro de 2025, um único investidor perdeu US$ 50 milhões em USDT devido a um ataque de envenenamento de endereço.

O ponto incômodo aqui é o seguinte: a blockchain se comportou exatamente como projetada. A transação foi confirmada. Não houve violação de segurança, nenhuma vulnerabilidade, nenhum bug. O usuário simplesmente colou a sequência de caracteres errada.

Invasões de exchanges e os maiores ataques de criptomoedas de 2024-2025

As corretoras são onde reside a maior parte dos ativos sob custódia do setor e continuam sendo alvos principais. Os maiores ataques cibernéticos a criptomoedas dos últimos dois anos seguem um padrão claro: os atacantes visam as chaves, não o código.

Incidente Data Quantia Vetor de ataque
Bybit 21 de fevereiro de 2025 US$ 1,4 a 1,5 bilhão Compromisso do desenvolvedor Safe{Wallet}, Grupo Lazarus
DMM Bitcoin 31 de maio de 2024 US$ 305 milhões Roubo de chave privada, ligado à Coreia do Norte
PlayDapp 9 a 12 de fevereiro de 2024 US$ 290 milhões Exploração de cunhagem em dois estágios
Protocolo de Deriva 1 de abril de 2026 US$ 285 milhões Solana DeFi, ligado à Coreia do Norte
WazirX 18 de julho de 2024 US$ 234,9 milhões Exploração de carteira multi-sig, Grupo Lazarus
Cetus (Sui) 22 de maio de 2025 US$ 223 milhões Falha no contrato inteligente (parcialmente corrigida)
Balanceador V2 3 de novembro de 2025 US$ 128 milhões Exploração de pool multi-cadeia
Nobitex (Irã) 18 de junho de 2025 US$ 80-90 milhões Hacktivista, fundos supostamente queimados
Capital Radiante 16 de outubro de 2024 US$ 50 milhões Malware em carteiras de hardware de desenvolvedores
GMX V1 9 de julho de 2025 US$ 42 milhões Reentrada (retornou mediante recompensa de 5 milhões de dólares)

Observe novamente o número da Bybit. US$ 1,4 bilhão provenientes de uma única violação. Mais do que todas as campanhas de phishing no varejo de 2025 juntas. De acordo com o anúncio de serviço público do IC3 do FBI, os invasores entraram em uma máquina de desenvolvedores no Safe{Wallet}, a infraestrutura de múltiplas assinaturas usada pela Bybit. Eles inseriram um código malicioso. Os signatários viram uma transação que parecia legítima, clicaram em aprovar e 401.347 ETH desapareceram.

E agora vem a parte surpreendente. As principais plataformas de apostas regulamentadas nos EUA tiveram uma espécie de vitória peculiar em 2024 e 2025. Não houve zero incidentes, mas sim nenhum roubo de fundos.

A Coinbase sofreu uma violação de segurança em maio de 2025. Os invasores subornaram funcionários terceirizados de suporte de uma empresa chamada TaskUs e levaram os dados de 69.461 clientes. Eles exigiram US$ 20 milhões. A Coinbase os ignorou e abriu seu capital na bolsa de valores. Nenhum cliente perdeu criptomoedas.

A Kraken divulgou um incidente interno ocorrido em fevereiro de 2025 que afetou cerca de 2.000 contas (aproximadamente 0,02% de seus usuários). A Binance, por sua vez, teria ignorado uma tentativa semelhante de engenharia social em maio de 2025. Nenhum desses casos resultou em roubo de ativos de clientes. Esse histórico é significativo e um dos principais motivos para usar plataformas regulamentadas e bem seguradas se você compra criptomoedas com alguma regularidade.

Contratos inteligentes, DeFi e táticas de hackers de ponte

Um contrato inteligente é código. Só isso. Código que roda em uma blockchain. Se o código tiver um bug, alguém o explora, e a blockchain confirma alegremente cada transferência porque, para a blockchain, o contrato fez o que lhe foi ordenado. Nenhuma irregularidade detectada. Ataques a contratos inteligentes são território clássico de hackers. Bugs de reentrância. Cálculos quebrados. Manipulação de oráculos. Erros de lógica ocultos em protocolos de empréstimo. Tecnicamente, coisas belas se você olhar com atenção. Só que, como vimos, não representam mais a maior parte das perdas.

As pontes são um problema à parte. Funcionam mais ou menos assim: você quer transferir tokens do Ethereum para, digamos, o Arbitrum. A ponte bloqueia seus tokens no Ethereum e cria cópias "empacotadas" do outro lado. Isso significa que a ponte precisa ter uma enorme quantidade de tokens reais em algum lugar, protegida por um pequeno grupo de signatários multisig ou por um conjunto de lógica de contrato inteligente. Se um dos lados for comprometido, a ponte fica vazia. Uma pesquisa da Chainlink estima as perdas acumuladas com pontes em cerca de US$ 2,8 bilhões. Isso representa cerca de 40 centavos de cada dólar já hackeado na Web3. Que prejuízo!

Alguns casos envolvendo bridges definiram o tom para toda a categoria. Ronin Bridge, março de 2022: US$ 625 milhões, porque os atacantes obtiveram cinco das nove chaves de validação. Poly Network, agosto de 2021: US$ 612 milhões devido a uma falha em uma chamada entre contratos e, em uma reviravolta talvez a mais estranha da história das criptomoedas, o hacker devolveu a maior parte do valor. Wormhole, fevereiro de 2022: US$ 326 milhões por meio de uma falha na verificação de assinatura. Orbit Chain, 2 de janeiro de 2024: US$ 81 milhões após uma multisig de 7 de 10 ter sido comprometida. A segurança das bridges melhorou consideravelmente depois disso tudo. O problema central, porém, permanece o mesmo. Enormes garantias conjuntas, protegidas por pequenos grupos de signatários, ainda são um chamariz para qualquer pessoa com tempo e motivação.

Coreia do Norte, Lazarus e crime organizado em criptomoedas

Um adversário continua aparecendo nesses relatórios de incidentes: Lazarus. Equipes ligadas ao Estado norte-coreano, principalmente o próprio Lazarus, mas também o APT38, BlueNoroff, TraderTraitor e o mais recente grupo Famous Chollima. Pense neles como uma pequena agência nacional de exploração de criptomoedas, totalmente financiada e paciente.

Os números são brutais. Em 2024, a Chainalysis rastreou US$ 1,34 bilhão em 47 incidentes atribuídos a atacantes da Coreia do Norte. Isso representou 61% do valor total roubado naquele ano. Em 2025, o valor saltou para US$ 2,02 bilhões, um aumento de 51% em relação ao ano anterior. O roubo acumulado ligado ao grupo Lazarus já ultrapassou US$ 6,75 bilhões desde 2017. Um país inteiro. Um único grupo de hackers.

O que eles realmente fazem? O mesmo roteiro, repetidamente. Encontram um engenheiro de criptomoedas. Ou um profissional de suporte terceirizado. Contatam-nos pelo LinkedIn ou Telegram com uma oferta de emprego que parece legítima. Enviam um "desafio de programação" ou um "aplicativo de carteira" que instala malware silenciosamente. Coletam credenciais. Esperam. Depois, esvaziam carteiras ou corretoras ao longo de semanas ou meses. Assim que os fundos saem, começa a lavagem: mixers, swaps entre blockchains, corretoras com múltiplas camadas que apagam os rastros da atividade ilícita.

O caso da Radiant Capital em outubro de 2024 é um exemplo clássico. Um ex-contratado envia um PDF pelo Telegram. Não é um PDF. Cinquenta milhões de dólares perdidos. Vários signatários foram comprometidos simultaneamente, pois todos revisaram o "documento" em seus próprios computadores.

Chamar isso de ataque às criptomoedas é ignorar a realidade. Trata-se de uma operação de inteligência contra indivíduos que por acaso trabalham com criptomoedas. O antivírus ajuda um pouco. A paranoia ajuda muito mais.

51% dos ataques e riscos teóricos da blockchain

Um ataque de 51%. Você já viu esse termo. O que ele realmente significa?

Uma das partes obtém mais da metade do poder computacional de uma rede (em prova de trabalho) ou das moedas em staking (em prova de participação). Com essa maioria, ela pode reverter transações recentes ou censurar novas. Um ataque clássico de consenso. E, na prática, isso só atingiu blockchains de pequeno porte.

O Bitcoin Gold é o exemplo perfeito. Dois casos. Em maio de 2018, foram perdidos cerca de US$ 18 milhões em fundos gastos duas vezes. Em janeiro de 2020, outros US$ 70.000. O Ethereum Classic foi afetado em agosto de 2020, com US$ 5,6 milhões gastos duas vezes. Por que essas blockchains? Baixa taxa de hash. Com algumas dezenas de milhares de dólares, você poderia alugar poder de mineração suficiente para um fim de semana e sair no lucro.

O Bitcoin é um planeta à parte. Seu poder de processamento é milhares de vezes maior. O pool de staking do Ethereum tem dezenas de milhões de ETH bloqueados. Alguém poderia, teoricamente, realizar um ataque de 51%? Claro. Mas faria algum sentido financeiramente? Não. As moedas roubadas derrubariam o preço do ativo roubado, e seu equipamento de mineração ou participação se tornariam inúteis instantaneamente.

Outras ameaças teóricas? Elas existem. Mineração egoísta em prova de trabalho. Ataques de longo alcance em prova de participação. Nada em jogo em alguns dos primeiros designs de PoS. Nenhuma delas causou um impacto real em uma blockchain entre as 20 maiores. Então, quando alguém diz "o Bitcoin é inviolável", é a isso que se refere. A camada de consenso, sim. Tudo acima dela, não.

A computação quântica é a incógnita que ainda está a uma década de distância. Vitalik Buterin estimou recentemente em cerca de 20% a probabilidade de uma máquina quântica capaz de quebrar criptografia surgir antes de 2030. Adam Back, da Blockstream, acredita que ainda faltam décadas. De acordo com a opinião de diversos especialistas, o período mencionado situa-se entre 2029 e 2035.

Alguém está se preparando? Sim. A Solana realizou o primeiro teste de assinatura pós-quântica de camada 1 em sua rede de testes em dezembro de 2025. A Fundação Ethereum tem uma equipe dedicada à pós-quântica trabalhando em caminhos de migração. Portanto, a indústria não está parada. Mas também não está concluída. Nada resistente à computação quântica foi lançado na rede principal ainda.

Phishing e golpes comuns com criptomoedas

Eis a triste verdade. A maioria das perdas nunca envolve uma exploração sofisticada. Envolve uma pessoa clicando em um link malicioso, assinando uma transação fraudulenta ou enviando criptomoedas para o endereço errado de propósito, porque alguém lhe disse para fazer isso. O relatório IC3 do FBI de 2024 registrou mais de 140.000 reclamações relacionadas a criptomoedas, com perdas de US$ 9,3 bilhões. Um aumento de 66% em relação a 2023. Só os americanos com mais de 60 anos perderam US$ 2,8 bilhões em 33.000 reclamações distintas.

Só o abate de porcos movimentou US$ 5,8 bilhões. Esses são os golpes de longo prazo. Alguém te manda uma mensagem direta em um aplicativo de namoro. Ou no WhatsApp. Ou no Telegram. A pessoa é simpática. Não está interessada em nada romântico, na verdade. Aí, depois de algumas semanas, ela menciona que ganhou dinheiro em uma "ótima plataforma de investimentos". Você gostaria de tentar? Você deposita um pouco. O painel mostra um lucro. Você deposita mais. Eventualmente, você tenta sacar e a plataforma cobra uma taxa primeiro. Depois, outra taxa. E então a pessoa desaparece.

O restante do menu: phishing para drenar carteiras (sites falsos que enganam você para assinar uma aprovação maliciosa), airdrops falsificados, personificação de administradores do Telegram e ataques de troca de SIM que roubam seus códigos de autenticação de dois fatores (2FA) por SMS.

Uma pequena boa notícia. As perdas com phishing que drenam carteiras caíram 83% em 2025, para cerca de US$ 83,85 milhões, ante aproximadamente US$ 494 milhões em 2024 (dados do Scam Sniffer). Por quê? A interface do usuário das carteiras melhorou. A maioria agora avisa quando uma assinatura aprova um gasto ilimitado de tokens. Mesmo assim, o número absoluto de vítimas continua enorme.

As táticas dos golpistas mudam mais rápido do que a educação do consumidor jamais conseguirá. Portanto, não memorize golpes. Aprenda o padrão. Se um estranho mencionar negociação de criptomoedas, trate como engenharia social. Se uma solicitação de carteira pedir que você aprove algo que não consegue explicar, rejeite. Se um administrador do Telegram lhe enviar uma mensagem direta oferecendo ajuda, não é o administrador.

Protegendo suas criptomoedas: melhores práticas que funcionam

Proteger suas criptomoedas não é complicado; basta ter bons hábitos. Aqui está um conjunto conciso de medidas de segurança e boas práticas que protegem a superfície de ataque de um usuário comum que possui uma quantia significativa. Essas são as práticas de segurança que a maioria das ameaças e riscos potenciais contornam. Adote um método seguro para cada uma delas e a superfície de ataque diminuirá rapidamente. Seguindo-as, você protegerá suas criptomoedas contra a grande maioria dos ataques reais.

Camada Prática Por que isso importa
Armazenar Use uma carteira de hardware para valores acima de algumas centenas de dólares; reserve carteiras online para gastos. Chaves offline eliminam o vetor de roubo mais comum.
Backup Escreva a frase-semente em papel ou metal; nunca a fotografe, faça capturas de tela, envie por e-mail ou armazene na nuvem. Os backups em nuvem de sementes são rotineiramente coletados por malware.
Intercâmbio Dê preferência a corretoras bem regulamentadas e com histórico limpo; utilize plataformas respeitáveis com autenticação de dois fatores (2FA) obrigatória. Locais de boa reputação têm responsabilidade legal e melhores controles internos.
2FA Use um aplicativo autenticador ou uma chave de hardware, não um SMS. Os ataques de troca de SIM visam a autenticação de dois fatores baseada em número de telefone.
Aprovações Revise cada solicitação de assinatura; revogue permissões antigas de tokens por meio do Revoke.cash ou similar. A maioria dos aplicativos que drenam carteiras digitais depende de usuários que assinam aprovações ilimitadas.
Transações Verifique o endereço completo do destinatário, não apenas os quatro primeiros e os quatro últimos caracteres. Derrota armadilhas de envenenamento de endereço
Higiene Mantenha um navegador ou computador dedicado para uso com criptomoedas de alto valor. Reduz a exposição a malware durante a navegação geral.
Conhecimento Considere todas as mensagens diretas sobre criptomoedas como phishing até que se prove o contrário. Operadores do tipo Lázaro visam especificamente profissionais de criptomoedas.

Como proteger suas criptomoedas em uma carteira de hardware

Duas observações sobre carteiras de hardware. A Ledger sofreu uma violação de dados em dezembro de 2020 que expôs os endereços residenciais de 270.000 clientes, um lembrete de que mesmo empresas de carteiras de hardware são alvos de dados (embora não de fundos). Uma violação separada em janeiro de 2026, por meio de sua parceira de comércio eletrônico Global-e, expôs novamente dados de contato, não sementes ou fundos. Seu dispositivo ainda é o local mais seguro para suas chaves; seu endereço postal, infelizmente, não é.

Alguns investidores perguntam se as carteiras frias podem ser hackeadas. A resposta honesta é que uma carteira fria bem utilizada, armazenada corretamente e com uma frase mnemônica devidamente salva é a defesa mais forte disponível para quem deseja manter criptomoedas a longo prazo. As falhas são, em sua maioria, causadas por ação humana: fotos da frase mnemônica, sites de phishing que enganam os usuários para que digitem a frase mnemônica, compartilhamento de informações sensíveis em chats ou compra de "carteiras de hardware" em mercados de segunda mão onde alguém já inicializou o dispositivo. Compre apenas do fabricante. Essa é a postura básica de segurança robusta que todos devem adotar.

Se você for hackeado: roubo, recuperação e o que não fazer.

Suspeita que sua carteira foi hackeada? Aja. Agora mesmo. Primeiro: estanque o sangramento. Crie uma carteira nova em um dispositivo limpo, transfira o que ainda estiver na antiga e tente recuperar o que sobrou antes do ladrão. Segundo: revogue todas as aprovações de tokens que você já concedeu, usando o Revoke.cash ou uma ferramenta similar. Terceiro: documente tudo. Hashes de transações. Timestamps. Capturas de tela de todos os chats, e-mails ou URLs que pareçam suspeitos. Todo o rastro. Faça isso antes de qualquer outra coisa.

Agora, a parte que ninguém quer ouvir: a recuperação. Em casos comuns de roubo individual, menos de 10% das criptomoedas roubadas são recuperadas. A transparência do blockchain permite que os investigadores rastreiem os fundos através de mixers e bridges, o que é ótimo. Mas rastrear não é recuperar. As grandes vitórias que você lê por aí (Tether congelando US$ 3,29 bilhões em USDT ilícito entre 2023 e 2025, cerca de 30 vezes o que a Circle congelou no mesmo período; o Reino Unido apreendendo 61.000 BTC em 2025; a Cetus recuperando US$ 162 milhões de sua perda de US$ 223 milhões) são famosas justamente por serem exceções. Elas exigiram a cooperação de um emissor de stablecoin, um governo ou um protocolo disposto a acionar com firmeza as alavancas de governança.

O que você não deve fazer. Por favor, não contrate uma empresa de "recuperação de criptomoedas" que te contate por mensagem direta do nada. Ou uma que use anúncios no Instagram. Ou uma com uma página de destino cheia de depoimentos de celebridades impecáveis. Todo esse setor é uma fraude. A recuperação real é lenta, tediosa, conduzida pelas autoridades com a ajuda de empresas como Chainalysis ou TRM, e quase nunca promete um resultado. Se alguém garantir seu dinheiro de volta? Fuja. Se pedirem um adiantamento antes de registrar um boletim de ocorrência? Fuja.

Registre uma denúncia junto ao IC3 do FBI se você estiver nos EUA (ou no equivalente local), junto à corretora se algum valor foi movimentado por ela e junto à emissora da stablecoin se stablecoins estiveram envolvidas. O congelamento de ativos pelas emissoras se tornou uma via real de recuperação. As stablecoins agora representam 84% do volume de criptomoedas ilícitas, segundo a Chainalysis. Esse número explica exatamente por que a quantidade de ativos congelados da Tether continua aumentando.

Alguma pergunta?

Nem de longe, em termos práticos. Uma carteira fria configurada corretamente, com uma frase mnemônica armazenada em segurança, é a defesa mais forte disponível para um usuário comum. Os verdadeiros pontos fracos são causados pelo usuário: frases mnemônicas fotografadas, carteiras de hardware falsificadas compradas de segunda mão ou sites de phishing que enganam os usuários para que digitem a frase mnemônica em um navegador.

Por meio de três mecanismos combinados: criptografia de chave pública que torna as assinaturas de transação resistentes à falsificação, encadeamento de hash que torna o histórico imutável e consenso entre milhares de nós independentes que impede que qualquer parte individual reescreva o livro-razão. Juntos, eles tornam a própria cadeia efetivamente à prova de adulteração, sem qualquer intermediário central.

Às vezes, sim, mas as chances para um indivíduo são mínimas. Bem abaixo de 10% em casos típicos, de acordo com a pesquisa agregada da CoinLaw. A recuperação melhora consideravelmente quando o ativo roubado é uma stablecoin (Tether e Circle podem congelar endereços) ou quando a polícia apreende uma carteira. Evite serviços de recuperação que entrem em contato com você sem que você tenha solicitado; quase sempre se trata de um segundo golpe.

No uso comum, um ataque cibernético é qualquer incidente em que criptomoedas são roubadas por meio de ataques técnicos ou sociais. Isso inclui invasões de exchanges, exploração de contratos inteligentes, esgotamento de pontes, comprometimento de chaves privadas, phishing e envenenamento de endereços. Estritamente falando, quebrar a própria blockchain quase nunca faz parte disso.

Não na camada de rede. O Bitcoin opera desde janeiro de 2009 sem um ataque de consenso bem-sucedido ou quebra de criptografia. Todas as manchetes sobre "ataques ao Bitcoin" se referem a uma corretora, um custodiante, uma carteira ou um erro do usuário. Um ataque de 51% ao Bitcoin custaria cerca de US$ 6 bilhões e destruiria as próprias moedas roubadas do atacante.

As blockchains subjacentes das principais redes (Bitcoin, Ethereum e as 20 principais blockchains) nunca foram hackeadas em sua camada de consenso. Serviços de custódia, contratos inteligentes e carteiras construídas sobre elas são outra história: perderam US$ 3,4 bilhões em 2025, segundo a Chainalysis. A segurança depende mais de como você armazena e movimenta as moedas do que das próprias blockchains.

Ready to Get Started?

Create an account and start accepting payments – no contracts or KYC required. Or, contact us to design a custom package for your business.

Make first step

Always know what you pay

Integrated per-transaction pricing with no hidden fees

Start your integration

Set up Plisio swiftly in just 10 minutes.