Tempo de leitura: 11 min · Publicado em 11/08/2026
A exchange pode responder por falha de segurança comprovada, mas não por toda perda de criptoativos, especialmente quando decorre apenas do risco de mercado.
A análise exige identificar se houve invasão da conta individual, comprometimento da estrutura da plataforma, entrega de credenciais, falha de autenticação ou simples desvalorização do ativo.
Minha exchange foi invadida: a plataforma tem que devolver?
Resposta direta: a restituição depende da prova de defeito do serviço, dano e nexo causal; não existe recuperação integral ou indenização automática.
O artigo 14 do Código de Defesa do Consumidor prevê responsabilidade por defeitos na prestação do serviço. Uma exchange que oferece custódia, negociação e movimentação de ativos deve adotar segurança compatível com os riscos de sua atividade.
A ocorrência de uma transferência não reconhecida, porém, não prova sozinha que a plataforma falhou. É necessário investigar como a conta foi acessada, quais autenticações foram realizadas, se o e-mail ou celular do usuário também foi comprometido e quais alertas foram emitidos.
A exchange pode demonstrar inexistência de defeito ou culpa exclusiva do consumidor ou de terceiro, conforme o artigo 14, § 3º, do CDC. A conclusão depende dos registros técnicos e da coerência do conjunto probatório.
Invasão da exchange e invasão da conta são a mesma coisa?
Não. Uma invasão sistêmica atinge a infraestrutura da empresa, suas carteiras, chaves ou sistemas internos e pode afetar vários usuários. Nesse caso, os controles corporativos, a arquitetura de custódia e a resposta ao incidente ganham relevância.
Na invasão da conta individual, o criminoso obtém credenciais do cliente por phishing, malware, e-mail comprometido, troca de chip ou engenharia social. A plataforma pode não ter sofrido violação interna, embora ainda seja necessário verificar se seus mecanismos de autenticação eram adequados.
Também pode haver ameaça interna, abuso de credencial administrativa ou falha de prestador terceirizado. A natureza do incidente altera as provas e a atribuição de responsabilidade.
Quais sinais indicam falha de segurança da plataforma?
Podem ser relevantes login de localização incompatível, inclusão de novo dispositivo sem confirmação adequada, alteração de senha e autenticação em sequência, retirada imediata após troca cadastral e ausência de bloqueio preventivo diante de sinais acumulados.
A desativação do segundo fator sem validação robusta, a recuperação da conta entregue a terceiro ou a liberação de saque após modificação sensível também merecem análise. Nenhum desses fatores, isoladamente, define o resultado.
A exchange deve explicar a jornada da operação: entrada na conta, dispositivo, endereço IP, alterações, conversões, inclusão de carteira e retirada. A falta de transparência pode dificultar a defesa do consumidor, mas não substitui automaticamente a prova do defeito.
O que fazer imediatamente após descobrir a invasão?
Utilize dispositivo seguro para trocar as senhas do e-mail e da exchange, encerrar sessões e bloquear retiradas quando essa função estiver disponível. Ative autenticação em dois fatores e revise API keys, dispositivos, endereços autorizados e métodos de recuperação.
Abra chamado no suporte oficial e peça preservação de todos os registros. Identifique as transações, hashes, redes, ativos, quantidades e carteiras de destino. Evite publicar dados sensíveis ou responder a perfis que oferecem suporte em mensagens privadas.
Se houve conversão de reais ou débito bancário, comunique também a instituição financeira. Não faça novos depósitos para “desbloquear” a conta ou recuperar os ativos. Essa exigência pode integrar um segundo golpe.
Quais provas precisam ser preservadas?
Guarde histórico de login, alertas de acesso, e-mails, notificações, alteração de senha, autenticação e dispositivos. Preserve os hashes das transações, endereços de destino, redes, horários, quantidades e extratos da plataforma.
Registre o saldo antes e depois, as ordens de conversão e os saques. Se a exchange bloqueou a conta ou enviou resposta, guarde todos os protocolos. Não dependa somente de capturas; exporte relatórios quando possível.
Organize o material cronologicamente. O guia de provas para fraudes financeiras auxilia na reunião de extratos, comunicações e registros, adaptados às particularidades dos criptoativos.
Quais registros técnicos podem ser solicitados à exchange?
Podem ser relevantes IPs, dispositivos, geolocalização quando utilizada, horários, autenticações, redefinições, criação de API keys, alteração de limites, inclusão de carteiras e confirmações de retirada.
Também devem ser solicitados os critérios de segurança aplicados, alertas exibidos e comunicações enviadas. O pedido precisa indicar período e eventos específicos, evitando formulações genéricas que dificultem o atendimento.
O artigo sobre como pedir logs de uma plataforma digital explica a diferença entre dados cadastrais, registros de acesso e conteúdo. Parte das informações pode exigir ordem judicial.
A LGPD se aplica à invasão da exchange?
Sim, quando existe tratamento de dados pessoais. O artigo 46 da LGPD exige medidas técnicas e administrativas aptas a proteger dados contra acessos não autorizados e situações ilícitas.
Os artigos 42 e 44 tratam da responsabilidade por tratamento irregular, exigindo análise de violação, dano, nexo e excludentes. O artigo 48 disciplina a comunicação de incidente que possa acarretar risco ou dano relevante, conforme os critérios aplicáveis.
Nem todo acesso indevido gera dano moral automático. É necessário distinguir exposição de dados, perda patrimonial, uso da identidade e consequências concretas.
O CDC protege o investidor de criptoativos?
O CDC pode incidir sobre serviços de custódia, intermediação e negociação oferecidos ao consumidor. A exchange deve prestar informação adequada e segurança compatível com o serviço que comercializa.
Isso não significa que a plataforma garanta o valor econômico dos ativos. O consumidor assume riscos de volatilidade, liquidez e oscilação quando realiza investimento regular e informado.
O dever de segurança recai sobre a integridade do serviço, da conta e da custódia, e não sobre a promessa de valorização. A diferença entre perda de mercado e perda por invasão é essencial.
Qual a diferença entre risco de mercado e falha de segurança?
Risco de mercado ocorre quando o ativo se desvaloriza por oferta, demanda, liquidez, notícias ou comportamento do setor. Se a ordem foi executada corretamente e não houve informação enganosa ou defeito, a queda não gera dever automático de indenizar.
Falha de segurança envolve retirada não autorizada, acesso indevido, custódia deficiente ou autenticação inadequada. Nesse cenário, pode haver dano indenizável se o defeito e o nexo forem comprovados.
Há situações mistas. O ativo pode ter sido desviado e depois valorizado ou desvalorizado. A quantificação exige definir momento, quantidade e critério de conversão, sem presumir automaticamente o maior valor histórico.
A exchange responde quando o usuário entregou o código?
A entrega voluntária de senha, código ou frase de recuperação é relevante e pode sustentar alegação de culpa exclusiva. Não se deve garantir indenização quando o consumidor fornece credenciais a terceiro.
Entretanto, a análise não deve terminar mecanicamente. É preciso verificar se existiam operações atípicas, mudanças sensíveis e falhas concorrentes nos controles da plataforma.
A palavra “exclusiva” do artigo 14, § 3º, exige avaliar se o comportamento do usuário foi a única causa. Se uma deficiência adicional contribuiu, a conclusão pode ser diferente.
É possível rastrear os criptoativos desviados?
Transações em blockchains públicas podem ser visualizadas por hashes e endereços. O rastreamento mostra o caminho técnico, mas não identifica automaticamente a pessoa que controla cada carteira.
Se os ativos passam por exchange custodiante, podem existir dados cadastrais e controles de KYC. A obtenção dessas informações pode depender de cooperação ou ordem judicial.
Misturadores, pontes, conversões e carteiras privadas dificultam o rastreamento. Não se deve prometer identificação ou recuperação integral, mesmo quando o caminho on-chain é visível.
Uma ordem judicial pode bloquear os ativos?
Se os criptoativos estiverem sob custódia de exchange identificável, pode ser avaliada tutela de urgência para preservação ou indisponibilidade. O artigo 300 do CPC exige probabilidade do direito e perigo de dano.
A ordem não reverte transações on-chain nem alcança automaticamente carteira privada controlada por chave desconhecida. Sua efetividade depende de localização, custódia e cooperação do destinatário.
A rapidez é relevante, mas não garante saldo. Os ativos podem ter sido retirados, convertidos ou transferidos por várias redes antes da medida.
A exchange estrangeira pode ser responsabilizada no Brasil?
A análise depende da oferta dirigida ao mercado brasileiro, representação, contratos, estrutura e participantes envolvidos. A Lei 14.478/2022 estabelece diretrizes para prestadores de serviços de ativos virtuais, conforme regulamentação aplicável.
Uma plataforma sem representação, patrimônio ou operação identificável no Brasil pode dificultar citação, obtenção de registros e execução. Não se deve garantir recuperação contra exchange estrangeira.
Mesmo assim, bancos, intermediários e outras plataformas nacionais podem possuir registros úteis. A existência desses dados não cria responsabilidade automática para quem apenas processou etapa legítima.
Como calcular o prejuízo por cripto roubada?
O ponto de partida é a quantidade efetivamente desviada, o ativo, a data e o valor de referência. A volatilidade pode gerar controvérsia sobre o momento adequado para conversão em reais.
Não se deve prometer indenização pelo maior preço histórico posterior. Também não é correto ignorar recuperação parcial, restituição de tokens ou bloqueio de parcela do saldo.
O cálculo deve evitar enriquecimento sem causa e refletir o dano comprovado. Custos necessários podem ser incluídos quando documentalmente demonstrados e ligados ao incidente.
Exchange invadida, golpe e perda de mercado: diferenças
| Situação | Característica | Responsabilidade a analisar |
|---|---|---|
| Invasão sistêmica | Infraestrutura ou carteiras da exchange são comprometidas | Segurança e custódia da plataforma |
| Conta individual invadida | Credenciais do cliente são utilizadas por terceiro | Autenticação, conduta do usuário e nexo |
| Phishing | Usuário entrega dados em página falsa | Engenharia social e eventuais falhas concorrentes |
| Erro de endereço | Usuário envia para carteira incorreta | Informação, execução e possível restituição |
| Desvalorização | Preço do ativo cai no mercado | Risco normal, salvo fraude ou informação defeituosa |
Como contestar a invasão e buscar providências?
Apresente à exchange uma cronologia, identifique transações e peça registros e preservação. Não se limite a afirmar que “sumiram moedas”; indique exatamente o que não reconhece.
Se houver instituição de pagamento envolvida, veja os critérios da responsabilidade por falha em serviço financeiro. Cada agente deve ser analisado conforme sua função.
Registre boletim de ocorrência e avalie medidas contra destinatários identificados. A estratégia dependerá do local dos ativos, das provas e da capacidade de execução, sem garantia de recuperação integral.
Dúvidas sobre exchange invadida (FAQ)
1. A exchange tem que devolver todas as criptomoedas?
Não automaticamente. A restituição depende da prova de falha de segurança, dano e nexo, além da possibilidade técnica e patrimonial de cumprimento.
2. Dá pra bloquear cripto em uma carteira privada?
Não diretamente sem controle da chave. Uma ordem pode alcançar pessoa identificada ou plataforma custodiante, mas não reescreve a blockchain.
3. Se eu passei o código, perdi meus direitos?
Não necessariamente, mas a entrega será relevante e pode afastar a responsabilidade se for comprovada como causa exclusiva do dano.
4. A queda do preço também é indenizável?
Em regra, a desvalorização normal é risco de mercado. A indenização exige fraude, informação defeituosa ou falha de serviço comprovada.
5. Quanto tempo eu tenho pra avisar a exchange?
Avise imediatamente. A rapidez favorece preservação e eventual bloqueio, mas não garante que os ativos ainda estejam sob custódia.
Fontes oficiais consultadas
- Código de Defesa do Consumidor — responsabilidade pelo serviço
- Lei 14.478/2022 — diretrizes sobre serviços de ativos virtuais
- Lei Geral de Proteção de Dados — segurança e responsabilidade
- Código de Processo Civil — tutela de urgência e provas
Leia também
Falsa corretora de criptomoedasSaiba identificar plataforma fraudulenta e preservar as provas dos depósitos realizados.Ler o guia →
Golpe da recuperação de criptomoedasVeja por que promessas de recuperação garantida mediante taxa antecipada exigem cautela.Ler o guia →
