Segurança em cripto: golpes frequentes, phishing, rug pulls e ataques reais a corretoras

Por Unicorn Private Research. Publicado em 27 de outubro de 2026.

Como se proteger de golpes e ataques em cripto? A maior parte das perdas não vem da quebra da criptografia, mas do engano: sites falsos, falsos atendentes, falsas plataformas de investimento e autorizações maliciosas. As defesas básicas são simples: nunca compartilhar a frase-semente nem um código de acesso, contatar empresas apenas por endereços digitados ou salvos por você, usar um aplicativo autenticador ou uma chave física, conferir cada endereço e cada autorização antes de assinar, e tratar qualquer promessa de rendimento fixo ou muito alto como sinal de alerta.

O tamanho do problema

O Internet Crime Complaint Center (IC3) do FBI recebeu em 2025 181.565 denúncias envolvendo criptomoedas, com perdas declaradas de cerca de 11,4 bilhões de dólares, alta de 22% sobre 2024; só a fraude de investimento em cripto respondeu por cerca de 7,2 bilhões de dólares, e as perdas por caixas eletrônicos de cripto chegaram a 389 milhões de dólares (relatório IC3 2025, publicado em abril de 2026, segundo o resumo do The Block). Somam-se os roubos a plataformas: a Chainalysis contou cerca de 2,17 bilhões de dólares roubados de serviços cripto só no primeiro semestre de 2025 (atualização de meio de ano da Chainalysis, julho de 2025).

Os golpes mais frequentes

• Fraude de investimento: um contato conhecido em rede social, aplicativo de relacionamento ou grupo de mensagens mostra lucros em uma plataforma de aparência profissional, incentiva depósitos cada vez maiores e depois bloqueia os saques ou cobra taxas e impostos para liberá-los. É a maior categoria nos dados do IC3.
• Phishing: e-mails, SMS e resultados patrocinados em buscadores que copiam a página de uma corretora ou carteira para roubar logins, códigos ou a frase-semente.
• Falso suporte: perfis em redes sociais ou ligações que se passam por atendimento, muitas vezes depois de a vítima publicar uma dúvida, e pedem acesso remoto, códigos ou uma transferência para uma suposta carteira segura.
• Autorizações maliciosas e drainers: um site pede que você assine uma transação ou permissão que deixa um contrato mover seus tokens.
• Envenenamento de endereço: o golpista envia um valor ínfimo de um endereço parecido com um que você usa, esperando que você o copie do histórico.
• Rug pulls: os criadores de um token ou projeto atraem dinheiro e depois retiram a liquidez ou vendem suas posições, deixando os compradores com tokens que não podem ser vendidos a nenhum preço significativo.
• Falsos sorteios e airdrops: promessas de dobrar o que você enviar, ou tokens que exigem conectar a carteira para resgatá-los.
• Golpes de recuperação: depois de uma perda, alguém se oferece para recuperar os recursos mediante pagamento antecipado.

Proteger as contas

• Use uma senha longa e exclusiva para cada corretora e para o e-mail ligado a ela, guardada em um gerenciador de senhas.
• Prefira um aplicativo autenticador ou uma chave de segurança física aos códigos por SMS, expostos à clonagem de chip; peça à operadora o bloqueio de portabilidade.
• Ative listas de endereços de saque autorizados e códigos antiphishing quando a corretora oferecer.
• Acesse a corretora apenas digitando o endereço ou por um favorito salvo, nunca por anúncios ou links recebidos.
• Mantenha os aparelhos atualizados, instale carteiras e extensões apenas de lojas e links oficiais e remova extensões que não usa.

Proteger a frase-semente e as carteiras de autocustódia

• Anote a frase-semente off-line, em papel ou metal, e nunca a fotografe nem a guarde na nuvem.
• Nunca a digite em um site ou formulário: uma carteira só a pede quando você a restaura no seu próprio aparelho.
• Confira na tela do dispositivo o endereço de destino completo, a rede e o valor antes de confirmar.
• Leia o que está assinando; revogue autorizações antigas de tokens de que não precisa mais.
• Mantenha patrimônios maiores em armazenamento frio ou em uma solução multiassinatura e use uma carteira quente separada para o dia a dia.

Ataques reais a corretoras e carteiras

• Bybit, 21 de fevereiro de 2025: cerca de 1,5 bilhão de dólares em ether foram roubados de uma carteira fria durante uma transferência de rotina; em 26 de fevereiro de 2025 o FBI atribuiu o roubo a agentes norte-coreanos conhecidos como TraderTraitor (FBI IC3). A Chainalysis estimou que ele representou cerca de 69% dos recursos roubados de serviços no primeiro semestre de 2025.
• Coinbase, maio de 2025: criminosos subornaram prestadores de suporte fora dos Estados Unidos para obter dados de clientes e depois se passaram pela Coinbase para convencer clientes a enviar recursos; a empresa recusou um resgate de 20 milhões de dólares e estimou custos entre 180 e 400 milhões de dólares (formulário 8-K arquivado na SEC, maio de 2025). Senhas e chaves privadas não foram comprometidas.
• Trust Wallet, dezembro de 2025: uma versão 2.68 maliciosa da extensão de navegador, publicada com uma credencial vazada da loja, esvaziou carteiras em cerca de 7 milhões de dólares; a empresa anunciou reembolsos (The Block, dezembro de 2025).
• Ledger, junho de 2020: uma invasão do banco de dados de comércio eletrônico expôs cerca de 1 milhão de e-mails e os dados de 9.500 clientes, depois usados em cartas e e-mails de phishing; dispositivos e recursos não foram afetados (Ledger, julho de 2020).
• FTX, novembro de 2022: não foi um ataque hacker, mas a falência de uma corretora que, segundo a ação da SEC de 13 de dezembro de 2022, desviou recursos de clientes. O risco de custódia inclui má conduta, além de ataques.

Se algo der errado

Aja rápido: transfira os recursos restantes para uma carteira nova com uma nova frase-semente, troque as senhas, revogue autorizações, contate a corretora pelos canais oficiais e registre ocorrência na polícia e, nos Estados Unidos, em ic3.gov. Guarde os hashes das transações e capturas de tela. Desconfie de quem entrar em contato depois prometendo recuperar o dinheiro mediante pagamento.

Segurança e Unicorn Club

As mesmas regras valem para qualquer pagamento em cripto a uma contraparte: confirme o endereço por um canal verificado e, na dúvida, envie antes um pequeno valor de teste. O Unicorn Club, o clube para investidores credenciados organizado pela Unicorn Private LLC, aceita BTC, ETH, USDT e USDC (ERC-20) para seus club deals pré-IPO; o guia sobre como investir em empresas pré-IPO com criptomoedas descreve como os pagamentos são confirmados.

Perguntas frequentes

Cripto roubada pode ser recuperada?

Às vezes, quando os recursos chegam a uma corretora que os bloqueia a pedido das autoridades, mas na maioria dos casos uma transferência confirmada não pode ser desfeita. A prevenção importa mais que a recuperação.

Como reconhecer uma falsa plataforma de investimento?

Sinais de alerta: rendimentos que parecem garantidos, pressão para depositar mais, um contato que você nunca encontrou pessoalmente, saques que exigem taxas extras e uma empresa que não aparece no registro de nenhum regulador.

Uma carteira de hardware basta?

Ela protege a chave privada contra malware, mas não impede que você revele a frase-semente ou aprove uma transação maliciosa. Funciona junto com bons hábitos.

Guia relacionado

• Como investir em empresas pré-IPO com criptomoedas por meio do Unicorn Club
• ETFs de bitcoin e ether e outras formas indiretas de investir em cripto
• Carteiras cripto explicadas: custodiadas e de autocustódia, quentes e frias, frase-semente
• Como comprar sua primeira criptomoeda, passo a passo
• O que é um club deal? Como funcionam os club deals pré-IPO

Fontes

• FBI Internet Crime Complaint Center, 2025 IC3 Report, April 2026
• The Block, FBI says crypto-related fraud losses hit record 11.4 billion dollars in 2025, April 2026
• Chainalysis, 2025 crypto crime mid-year update, July 2025
• The Record, Chainalysis: 2.17 billion dollars stolen in the first half of 2025, July 2025
• FBI IC3, public service announcement on the Bybit theft, 26 February 2025
• Coinbase Global, Form 8-K filed with the SEC, May 2025
• The Block, Trust Wallet extension incident, December 2025
• Ledger, addressing the July 2020 e-commerce and marketing data breach, July 2020
• SEC, charges against the founder of FTX, 13 December 2022