Segurança, investigações, recuperação de fundos e proteção de ativos

Entrevista exclusiva para o portal iTrusty.io

Alexander Mercer, editor-chefe do iTrusty.io × Robert Stanley, chefe do departamento de cibersegurança

Prefácio da redação

Em 2025, a indústria cripto enfrentou um volume sem precedentes de roubos: segundo dados da Chainalysis e da TRM Labs, mais de 3,4 bilhões de dólares foram roubados ao longo do ano. Só a invasão à exchange de Dubai, a Bybit, em fevereiro de 2025, rendeu ao grupo norte-coreano Lazarus cerca de 1,5 bilhão de dólares em Ethereum — o maior roubo da história da indústria cripto e um dos maiores crimes financeiros da história da humanidade.

Além disso, o número de incidentes envolvendo comprometimento de carteiras pessoais cresceu para 158.000 casos, afetando mais de 80.000 vítimas únicas. Os hackers norte-coreanos roubaram um total de 2,02 bilhões de dólares apenas em 2025 — 51% a mais do que no ano anterior —, elevando o valor acumulado roubado por Pyongyang para 6,75 bilhões de dólares.

Vivemos numa era em que ativos digitais avaliados em centenas de bilhões de dólares são protegidos por um conjunto de 12 palavras anotadas num papel, enquanto hackers profissionais a serviço de governos atacam exchanges cripto com a mesma precisão metodológica com que unidades especiais assaltam instalações militares.

Para entender a anatomia dos crimes cripto, as tecnologias de investigação e as formas práticas de proteção, organizamos um encontro entre dois especialistas.

Alexander Mercer é editor-chefe do portal iTrusty.io, responsável pela coluna "AI × Crypto: Data-Driven Insights" e especialista na interseção entre tecnologia e mercados financeiros. Suas análises semanais são lidas por mais de 200 mil assinantes.

Robert Stanley é chefe do departamento de cibersegurança de um dos maiores bancos do mundo. Anteriormente, dirigiu o setor de investigação de crimes de alta tecnologia no departamento de polícia de um país europeu. Em mais de 15 anos de carreira, participou da investigação de dezenas de grandes crimes cripto, incluindo casos envolvendo grupos hackers patrocinados por Estados. Por razões de segurança e política corporativa, o nome do banco e do país não são divulgados.

Formato do encontro: entrevista aprofundada com especialistas. Alexander Mercer faz as perguntas na perspectiva de jornalista e analista; Robert Stanley responde na perspectiva de um profissional de campo — alguém que investigou pessoalmente os maiores ataques e construiu sistemas de proteção para players institucionais. A conversa durou mais de quatro horas e abordou tudo: desde a anatomia técnica dos ataques até a psicologia das vítimas, passando pela chain forensics e recomendações práticas para o armazenamento de criptoativos. A seguir, a transcrição completa.

Parte I. A dimensão do problema: quanto se rouba no cripto e por que os números crescem

Alexander Mercer: Robert, vamos começar pela dimensão do problema. Quando uma pessoa comum ouve "roubaram um bilhão e meio de uma exchange", parece coisa de filme. Quão real e sistêmico é o problema dos roubos na indústria cripto?

Robert Stanley: Não é de filme — é a realidade, e a escala impressiona até mesmo a nós, profissionais. Vamos olhar para os números dos últimos anos, porque a dinâmica fala por si mesma.

Em 2022, foi estabelecido o recorde anterior — 3,8 bilhões de dólares roubados. Em 2023, o volume caiu para 1,7 bilhão — uma queda de 54%. Parecia que a indústria estava aprendendo. Mas em 2024, a tendência se reverteu: 2,2 bilhões de dólares, crescimento de 21% em relação ao ano anterior, 303 incidentes distintos. E 2025 bateu todos os recordes: 3,4 bilhões de dólares, sendo que só no primeiro semestre foram roubados 2,17 bilhões — mais do que em todo o ano de 2024.

Alexander Mercer: Ou seja, a indústria cresce — e os roubos crescem junto com ela?

Robert Stanley: Exatamente. Mas é importante contextualizar: o volume total de roubos representa menos de 1% de todas as transações cripto. O problema é real, mas não define a indústria. O que a define é a capacidade de reagir, investigar e recuperar.

O que me preocupa como profissional é a mudança no perfil das ameaças. Se antes o principal alvo eram protocolos DeFi com código sem auditoria, em 2024–2025 o foco se deslocou para serviços centralizados e comprometimento de chaves privadas. Segundo dados da TRM Labs, ataques à infraestrutura — principalmente roubo de chaves privadas e seed phrases — responderam por quase 70% do volume total roubado em 2024. Isso significa que o problema saiu do campo do "código ruim" para o campo dos "processos de segurança deficientes".

Alexander Mercer: E a Coreia do Norte — isso não é mito? Um Estado realmente se dedica ao roubo de criptomoedas?

Robert Stanley: Não é mito, e não é exagero. A Coreia do Norte é o único Estado no mundo que rouba criptomoedas de forma sistemática e institucionalizada, para financiar seus programas militares. Em 2025, hackers norte-coreanos roubaram 2,02 bilhões de dólares — o equivalente a 76% de todos os roubos a serviços. O valor acumulado desde o início de suas operações é de pelo menos 6,75 bilhões de dólares.

O grupo Lazarus, responsável pela maioria desses ataques, utiliza métodos extremamente sofisticados. Um dos principais vetores é a infiltração de especialistas em TI norte-coreanos em empresas ocidentais disfarçados de freelancers. Essas pessoas obtêm acesso legítimo aos sistemas e o repassam a seus colegas hackers. Não se trata de um "hacker de capuz num porão" — é uma operação organizada, com vastos recursos e apoio estatal.

O FBI declarou publicamente que o ataque à Bybit foi conduzido pela Coreia do Norte. E os instrumentos tradicionais de sanções, infelizmente, não funcionam — a Coreia do Norte já está sob as máximas sanções possíveis. Para eles, o roubo de criptomoedas não é crime: é estratégia econômica.

Parte II. Anatomia dos crimes cripto: todos os métodos de ataque e roubo

Alexander Mercer: Vamos detalhar isso ao máximo. Quais são exatamente os métodos que os criminosos usam para roubar criptomoedas? Quero que nossos leitores entendam cada vetor de ataque.

Robert Stanley: Essa é a abordagem certa, porque sem entender as ameaças é impossível se proteger. Vou sistematizar todos os principais vetores — são sete grandes categorias, cada uma com suas subcategorias.

Categoria 1. Exploits de smart contracts

Robert Stanley: Smart contracts são código de software que gerencia bilhões de dólares. Um erro em uma única linha pode custar centenas de milhões.

Ataques de reentrancy

Um vetor clássico que se tornou famoso ainda em 2016, com o ataque à DAO, quando foram roubados 3,6 milhões de ETH (60 milhões de dólares na cotação da época). A ideia é: o atacante chama a função de saque e, antes que o contrato atualize o saldo, chama a mesma função novamente — de forma recursiva. O contrato "acredita" que o saldo não mudou e libera os fundos mais uma vez. Parece algo que todos já conhecem. Mas em 2023, a Curve Finance perdeu cerca de 70 milhões de dólares devido a uma vulnerabilidade semelhante. Os desenvolvedores conhecem a teoria, mas em sistemas complexos com dezenas de contratos interagindo entre si, bugs de reentrancy se escondem em lugares não óbvios.

Manipulação de oráculos

Smart contracts não têm acesso direto a dados externos. Eles obtêm preços de ativos, taxas de câmbio e outras informações por meio de oráculos — serviços intermediários externos. Se o atacante consegue manipular temporariamente o preço de um ativo em uma plataforma (via flash loan, por exemplo), ele pode "enganar" o oráculo e realizar uma operação vantajosa a um preço artificial. É como se alguém alterasse temporariamente a taxa de câmbio no painel de uma casa de câmbio enquanto você está trocando dinheiro.

Erros lógicos em sistemas de garantias e liquidez

Protocolos DeFi de empréstimo e liquidez usam fórmulas matemáticas complexas para calcular garantias, taxas de juros e posições. Um erro na fórmula, um caso extremo não considerado, um arredondamento incorreto — e o atacante pode sacar mais do que deveria, ou criar uma posição que "sistematicamente" não pode ser liquidada.

Vulnerabilidades em bridges (bridge exploits)

Bridges são a infraestrutura para transferência de ativos entre blockchains. Na prática, funcionam como um "banco" que guarda garantias em uma rede e emite tokens equivalentes em outra. As bridges se tornaram o alvo mais "caro": a Ronin Network perdeu 624 milhões, a Wormhole, 320 milhões, e a Nomad, 190 milhões. O motivo é que as bridges combinam a complexidade da interoperabilidade entre redes com volumes enormes de fundos bloqueados.

Ataques de flash loan

Um flash loan é um empréstimo instantâneo sem garantia, que deve ser devolvido dentro de uma única transação. É um instrumento legítimo que os atacantes utilizam para manipulações: pegar um valor enorme emprestado, manipular o preço, extrair lucro, devolver o empréstimo — tudo em uma única transação. O atacante não precisa de capital próprio.

Categoria 2. Comprometimento de chaves privadas e seed phrases

Alexander Mercer: Você disse que esse é agora o principal vetor — 70% de todos os roubos. Fale mais sobre isso.

Robert Stanley: É o método mais "simples" e, ao mesmo tempo, o mais perigoso. A chave privada é a única coisa necessária para ter controle total sobre uma carteira. A seed phrase é a representação mnemônica da chave, geralmente 12 ou 24 palavras. Quem possui a chave, possui os ativos. Sem exceções, sem recursos.

Phishing — clássico e avançado

O método mais comum. A vítima recebe um e-mail, mensagem no Telegram, Discord ou Twitter imitando um serviço legítimo: uma exchange, uma carteira, um protocolo DeFi. O link leva a um site de phishing visualmente idêntico ao original. A vítima insere a seed phrase ou assina uma transação maliciosa.

O phishing avançado em 2025 usa IA para gerar mensagens personalizadas, clonar vozes em ligações e criar deepfakes para videoconferências. Vimos casos em que "colegas" em uma videochamada pediam para assinar uma transação — e todos os rostos na tela eram deepfakes.

Malware (software malicioso)

Clippers — programas que substituem o endereço de carteira copiado pelo endereço do atacante. Você copia o endereço de um amigo, cola no campo de envio — mas o que aparece é o endereço do hacker. Keyloggers — registram todas as teclas digitadas, incluindo senhas e seed phrases. Stealers — softwares especializados que buscam no computador arquivos de carteiras, configurações, cookies e sessões. Trojans do tipo InfoStealer, como RedLine, Raccoon e Vidar, são uma ameaça em massa. Eles se espalham por meio de softwares piratas, programas "crackeados" e falsas atualizações.

Bibliotecas infectadas e CI/CD

Esse vetor tem como alvo os desenvolvedores. O atacante publica um pacote malicioso no npm, PyPI ou outro repositório, com um nome semelhante ao de uma biblioteca popular (typosquatting). O desenvolvedor o instala, e o código malicioso obtém acesso a chaves privadas, variáveis de ambiente e segredos do pipeline de CI/CD. Foi exatamente assim que as chaves de vários projetos importantes foram comprometidas.

Vazamento de seed phrase por fator humano

Foto da seed phrase armazenada na nuvem (Google Photos, iCloud), anotação em aplicativo do celular, arquivo "passwords.txt" na área de trabalho, seed phrase em nota de um gerenciador de senhas que foi comprometido (como o LastPass em 2022). Parecem erros óbvios. Mas continuam sendo um dos principais canais de vazamento.

"Assinou sem ler" — malicious approval

O usuário conecta a carteira a um site e assina uma transação sem entender o que está aprovando. Em vez de "permitir que este contrato use 100 USDT", ele assina "permitir que este contrato use uma quantidade ilimitada de todos os meus tokens". Ou assina um permit que dá ao atacante o direito de sacar fundos sem confirmações adicionais. Esse é o flagelo dos usuários de DeFi.

Foi exatamente assim que a Bybit foi hackeada: os signatários da carteira multisig aprovaram uma transação sem verificar o que estavam assinando na tela da hardware wallet. Se tivessem verificado os dados da transação, os 1,5 bilhão de dólares teriam permanecido em segurança.

Categoria 3. Ataques à infraestrutura

Robert Stanley: São ataques hackers mais "tradicionais", adaptados para o universo cripto.

DNS hijack — sequestro de domínio

O atacante obtém controle sobre os registros DNS do domínio de um projeto. Quando o usuário acessa o site familiar pelo endereço habitual, é redirecionado para uma cópia de phishing. O domínio é o mesmo, e o certificado SSL pode ser reemitido. A vítima não percebe a diferença. Vários grandes projetos DeFi já foram atacados dessa forma.

Substituição de frontend

O atacante compromete a CDN (rede de distribuição de conteúdo) ou o pipeline de CI/CD do projeto e modifica o frontend — a interface do usuário. O smart contract permanece seguro, mas a interface insere um endereço malicioso nas transações. O usuário acredita estar interagindo com o contrato legítimo, mas na verdade está enviando fundos para o hacker.

Comprometimento de chaves de API de exchanges

Se um usuário cria uma chave de API em uma exchange para um bot ou serviço de terceiros, e essa chave vaza (por um serviço comprometido, repositório no GitHub ou logs), o atacante obtém acesso à conta de negociação. Pode operar e sacar fundos (se a chave tiver essas permissões).

Ataques de SIM swap

O atacante convence a operadora de telefonia a reeditar o SIM card da vítima em seu próprio nome. Obtém acesso aos códigos SMS de 2FA. Entra no e-mail, na exchange, na carteira. Esse ataque é especialmente eficaz em países onde a verificação pelas operadoras é insuficiente. Vimos dezenas de casos em que um SIM swap resultou em perdas de centenas de milhares de dólares.

Ataques a armazenamentos em nuvem e servidores

Se chaves privadas ou seed phrases estão armazenadas em um servidor na nuvem, VPS ou rede corporativa, o comprometimento dessa infraestrutura automaticamente significa o comprometimento das carteiras. Vazamento de um bucket S3 na AWS, conta de administrador comprometida, configurações de acesso incorretas — todos são vetores reais.

Categoria 4. Engenharia social e ameaças internas

Alexander Mercer: Esse é provavelmente o vetor mais "humano"?

Robert Stanley: Sim, e frequentemente o mais devastador. Aqui o problema não está na tecnologia, mas na confiança, na manipulação e nas fraquezas humanas.

"Pig butchering" — golpes românticos em cripto

Um esquema que se tornou uma verdadeira epidemia. A vítima conhece uma pessoa "atraente" em redes sociais ou em um aplicativo de relacionamento. Um vínculo vai se desenvolvendo — às vezes ao longo de semanas ou meses. Então o "parceiro" fala sobre uma "incrível oportunidade de investimento" em cripto. A vítima se cadastra em uma plataforma falsa, deposita dinheiro e vê "lucros" na tela. Vai investindo cada vez mais. Quando tenta sacar — o dinheiro desaparece.

Segundo dados do Departamento de Justiça dos EUA, apenas em 2024 os americanos perderam cerca de 10 bilhões de dólares em golpes de investimento em cripto. Em outubro de 2025, o DOJ apreendeu mais de 15 bilhões de dólares em uma das maiores operações contra uma rede de pig butchering. A escala desses esquemas é industrial, frequentemente envolvendo trabalho forçado em call centers no Sudeste Asiático.

Plataformas de investimento falsas

Exchanges falsas com design profissional, gráficos fictícios e "suporte ao cliente". A vítima transfere os fundos — e nunca mais os vê. Essas plataformas costumam ser anunciadas via YouTube, canais do Telegram, spams, e agora também por meio de "especialistas financeiros" gerados por IA em vídeos.

Ataques internos (insider)

A categoria mais delicada. Um funcionário de uma exchange, desenvolvedor de projeto, parceiro ou prestador de serviços com acesso aos sistemas usa esse acesso para roubar — ou concede esse acesso a um atacante externo. Roubos internos são especialmente difíceis de investigar, porque o "atacante" aparece como um usuário legítimo.

A Coreia do Norte explora ativamente esse vetor: seus especialistas em TI se infiltram fraudulentamente em empregos remotos em empresas ocidentais, obtêm acesso a sistemas internos e abrem caminho para o grupo hacker.

Airdrops e sorteios falsos

"Elon Musk está distribuindo Bitcoin — envie 0,1 BTC e receba 1 BTC de volta". Parece absurdo. Mas as pessoas continuam caindo nessa. A versão mais sofisticada: airdrops falsos que exigem "confirmar" a participação conectando a carteira a um contrato malicioso.

Categoria 5. Rug pull — "puxar o tapete"

Robert Stanley: Uma categoria à parte que merece atenção. Rug pull é quando os criadores de um projeto criam intencionalmente um token ou protocolo para atrair investimentos e depois somem com todo o dinheiro.

Como funciona: a equipe cria um token, infla o hype nas redes sociais com a ajuda de influenciadores, atrai liquidez de investidores e, em seguida, saca todos os fundos do pool de liquidez de uma só vez. O preço do token despenca a zero. Os investidores ficam com tokens sem valor.

Variações: "soft rug" — a equipe não desaparece imediatamente, mas vai perdendo o interesse gradualmente, abandona o desenvolvimento e vende seus tokens. "Hard rug" — saque instantâneo de toda a liquidez. "Honeypot" — token que pode ser comprado, mas que tecnicamente não pode ser vendido por causa de um código oculto no contrato.

Categoria 6. Ataques à segurança física

Alexander Mercer: Até agora falamos de ataques digitais. E as ameaças físicas?

Robert Stanley: Infelizmente, é uma tendência crescente. À medida que o valor dos criptoativos aumenta, cresce também o número de ataques físicos contra detentores de cripto.

"Wrench attack" — o ataque da chave inglesa — é um termo da comunidade cripto que descreve a situação em que um criminoso ameaça fisicamente o dono de uma carteira para obter acesso aos fundos. Pode se tratar de sequestro, assalto ou chantagem. Listas públicas desses incidentes registram dezenas de casos ao redor do mundo, alguns com desfecho fatal.

Em 2024–2025, houve um aumento de ataques direcionados a investidores e empreendedores do setor cripto. Os criminosos encontram suas vítimas por meio de dados públicos em blockchain, atividade em redes sociais e participação em conferências.

Categoria 7. Ameaças estatais e sistêmicas

Robert Stanley: Vale mencionar separadamente os riscos relacionados não a hackers, mas a governos e falhas institucionais.

Confisco: autoridades governamentais podem congelar ou apreender criptoativos em plataformas reguladas. Falência de exchanges: FTX, Mt. Gox, QuadrigaCX — histórias em que os fundos dos usuários ficaram inacessíveis não por um ataque externo, mas por fraude ou incompetência da gestão da exchange. Mudanças regulatórias: proibições repentinas, bloqueios e novos requisitos podem restringir o acesso aos fundos.

Parte III. Chain forensics: como são investigados os roubos em blockchain

Alexander Mercer: Agora vamos falar sobre investigações. Quando dizem "no mundo cripto tudo é anônimo" — isso é verdade?

Robert Stanley: Esse é um dos mitos mais persistentes. O blockchain não é um sistema anônimo. É um sistema pseudônimo. E a diferença é enorme.

Anonimato significaria que as transações não podem ser vistas. Mas o blockchain é literalmente um livro-razão público. Cada transação é registrada para sempre, acessível a qualquer pessoa, imutável. Sim, o endereço de uma carteira é apenas uma sequência de caracteres, não um nome e sobrenome. Mas associar um endereço a uma pessoa é exatamente o que o chain forensics faz.

O que é chain forensics como indústria?

Robert Stanley: Chain forensics é uma indústria na interseção de várias disciplinas. Não é "um único botão" nem uma ferramenta mágica. É um ecossistema composto de cinco componentes essenciais.

O primeiro componente são os dados. São os nós dos blockchains, indexadores, arquivos de transações. Para uma investigação, é necessário acesso ao histórico completo de cada endereço, cada contrato, cada movimentação de fundos em todas as redes.

O segundo é a análise. Clusterização de endereços, construção de grafos de transações, identificação de padrões. É um trabalho algorítmico, onde IA e machine learning desempenham um papel cada vez maior.

O terceiro é o trabalho operacional. Contatos com exchanges, mesas OTC, bridges, provedores de carteiras. Quando você identifica que os fundos foram para uma determinada exchange — é preciso entrar em contato rapidamente com o departamento de compliance deles para solicitar o bloqueio.

O quarto é o compliance e a parte jurídica. Listas de sanções, procedimentos de AML, preparação de provas para o tribunal, interação com autoridades policiais.

O quinto é a resposta a incidentes (incident response). É o que precisa ser feito nos primeiros minutos e horas após um ataque.

Principais players da indústria de chain forensics

Como funciona a clusterização de endereços?

Alexander Mercer: Há bilhões de endereços no blockchain. Criminosos fragmentam os fundos em centenas de carteiras. Como vocês os conectam em um único "cluster"?

Robert Stanley: A clusterização não é adivinhação. É o acúmulo sistemático de sinais, cada um aumentando a confiança na conexão entre os endereços.

Padrões comportamentais: intervalos de tempo idênticos entre transações, valores iguais (ou matematicamente relacionados), sequências de etapas semelhantes. Se dois endereços realizam transações com um intervalo de 3 minutos e 47 segundos cinco vezes seguidas — isso não é coincidência.

Vínculos técnicos: em blockchains UTXO (Bitcoin) — entradas compartilhadas em transações, o que geralmente indica controle por uma única chave. Em blockchains baseados em contas (Ethereum) — interação por meio de contratos intermediários comuns, padrões de gas.

Rastros de infraestrutura: uso das mesmas bridges, mixers, contratos de troca. Rotas de movimentação de fundos idênticas.

Cruzamentos com entidades conhecidas: endereços de depósito de exchanges centralizadas, hot wallets conhecidas de serviços, endereços sancionados pela OFAC. Se o dinheiro chega a um endereço que já associamos a uma exchange específica — a cadeia se fecha.

Princípio importante: investigações sérias têm gradações de confiança. Não dizemos "é definitivamente ele" sem fundamento. Trabalhamos com categorias: high confidence, medium confidence, low confidence — e sempre indicamos em quais dados a afirmação se baseia.

Mixers, tumblers e moedas privadas: é possível "apagar" o rastro?

Alexander Mercer: E quanto a mixers como o Tornado Cash? Eles não apagam os rastros?

Robert Stanley: Mixers complicam a tarefa, mas não a tornam impossível. Tornado Cash, ChipMixer, Sinbad — todos esses serviços "misturam" fundos de diferentes usuários para romper a ligação entre remetente e destinatário.

Mas a forense tem suas contramedidas. Análise de timing: quando os fundos entram no mixer e quando saem, correlação por tempo e valores. Análise de "dust": pequenos resíduos que não conseguem ser "misturados" perfeitamente. Desanonimização dos endereços de depósito do mixer por meio de dados externos. Análise de rede: se um mesmo usuário usa o mixer repetidamente, seu padrão se torna reconhecível.

Além disso, grandes mixers acabam sendo sancionados. O Tornado Cash foi incluído na lista de sanções da OFAC em 2022. Isso significa que os fundos que passaram pelo Tornado Cash são automaticamente "marcados" nos sistemas de compliance de todas as exchanges regulamentadas.

Quanto às moedas privadas (Monero, Zcash) — elas realmente dificultam muito a investigação. O Monero usa assinaturas em anel, endereços furtivos e transações confidenciais. Mas mesmo aqui há pontos vulneráveis: o momento de entrada (compra de Monero com outra cripto) e de saída (troca de volta). E uma empresa russa, segundo rumores, chegou a desenvolver ferramentas para desanonimização parcial do Monero.

Parte IV. A primeira hora após o roubo: protocolo de ação passo a passo

Alexander Mercer: Suponha que nosso leitor descobriu que seus fundos foram roubados. Ou que o gestor de um projeto cripto tomou conhecimento de um ataque. O que fazer? Dê um guia passo a passo.

Robert Stanley: A primeira hora é como uma reanimação. Cada minuto conta. Vou apresentar dois protocolos: um para usuários individuais e outro para projetos e empresas.

Protocolo para o usuário individual: o que fazer se sua criptomoeda foi roubada

Passo 1. Estanque o sangramento (primeiros 5 minutos)

Transfira imediatamente todos os fundos restantes da carteira comprometida para um novo endereço seguro. Se for uma conta em exchange — congele a conta pelo suporte e revogue todas as chaves de API. Se a seed phrase foi comprometida — considere que TODAS as carteiras criadas a partir dessa frase estão em risco. Crie uma nova carteira com uma NOVA seed phrase em um dispositivo LIMPO.

Passo 2. Registre as evidências (5–30 minutos)

Anote: o horário exato da descoberta, os hashes das transações pelas quais os fundos foram retirados, os endereços do remetente (o seu) e do destinatário (do atacante), os valores e tipos de tokens, capturas de tela da tela, conversas e links suspeitos. Não tente "corrigir" nada nessa etapa — apenas documente. Esses dados serão necessários para a investigação e um eventual processo judicial.

Passo 3. Comunique as exchanges (30 minutos — 2 horas)

Se os fundos foram transferidos para uma exchange — entre em contato imediatamente com o suporte dessa exchange. Todas as grandes exchanges (Binance, Coinbase, Kraken, OKX, Bybit) têm procedimentos de bloqueio emergencial mediante apresentação de provas de roubo. Quanto mais rápido você agir — maior a chance de os fundos serem bloqueados antes que o hacker os saque.

O que incluir no contato: hashes das transações, descrição do incidente, seu endereço (remetente), endereço do destinatário, comprovação de sua propriedade (histórico de transações, dados de KYC).

Passo 4. Consulte especialistas em forense (2–24 horas)

Se o valor for significativo — entre em contato com uma empresa especializada em investigações de blockchain (Chainalysis, TRM Labs, SlowMist, Crystal Blockchain ou especialistas independentes). Eles podem: rastrear o caminho dos fundos, preparar um relatório para as autoridades policiais, notificar exchanges pelos seus próprios canais (geralmente mais rápido do que pelo suporte público).

Passo 5. Registre um boletim de ocorrência (24–72 horas)

Mesmo que pareça que "a polícia não vai ajudar" — o registro é necessário. Primeiro, é a base jurídica para solicitar dados às exchanges. Segundo, em algumas jurisdições, sem o registro não é possível iniciar o processo de devolução. Terceiro, se o caso for investigado em nível internacional (Interpol, Europol, FBI), seu registro fará parte da base de provas.

Passo 6. Realize uma auditoria de segurança (1–7 dias)

Descubra COMO o roubo aconteceu. Verifique se o computador tem malware, troque as senhas em todos os serviços, ative ou reforce o 2FA, revise todas as sessões ativas e conexões. Se a causa não for identificada — consulte um especialista em segurança da informação.

Protocolo para projetos/empresas: a primeira hora após a descoberta de um ataque

Robert Stanley: Para projetos, o procedimento é mais complexo e exige coordenação da equipe.

Parte V. É possível recuperar criptomoedas roubadas?

Alexander Mercer: A principal pergunta dos nossos leitores: existe uma chance real de recuperar o que foi roubado?

Robert Stanley: A resposta honesta é: às vezes — sim. Mas depende de vários fatores.

Do que depende a chance de recuperação?

A velocidade de reação é o fator mais crítico. Se os fundos chegaram a uma CEX antes de você notificar a exchange — podem ser bloqueados. Se o hacker já sacou — a chance cai drasticamente.

O caminho dos fundos. Se o dinheiro foi para uma exchange regulamentada — alta chance de bloqueio. Se passou por um mixer e seguiu para Monero — chance mínima. Se foi por uma bridge descentralizada para outra rede — depende da complexidade da investigação.

A jurisdição. Se o hacker está em um país com um sistema jurídico desenvolvido — um tribunal pode obrigá-lo a devolver os fundos. Se for a Coreia do Norte — não há chances.

O valor. Paradoxalmente, roubos maiores são investigados com mais agilidade. 1,5 bilhão de dólares do Bybit — mobilizou toda a indústria. 5.000 dólares de uma carteira pessoal — infelizmente, receberá atenção mínima.

A qualidade da base de provas. Quanto melhor documentado — mais fácil investigar e mais convincente para o tribunal.

Casos reais de recuperação de fundos

Como se pode ver, o espectro é amplo. Da devolução total em dias a processos judiciais que duram décadas. Mas mesmo quando a recuperação total é impossível, a forense ajuda: a fechar a vulnerabilidade, a restaurar a confiança dos usuários, a fornecer um relatório transparente, a reduzir a probabilidade de reincidência e a auxiliar as autoridades na investigação.

Parte VI. Onde e como armazenar criptomoedas: guia completo de segurança

Alexander Mercer: Vamos à prática. Como uma pessoa comum pode proteger seus criptoativos?

Robert Stanley: Comecemos pelo princípio fundamental: não existe uma forma 100% segura de armazenamento. Mas existe um espectro — de "muito perigoso" a "máximo de proteção". E sua tarefa é escolher o nível de segurança adequado ao seu patrimônio e às suas necessidades.

Tipos de carteiras: das mais arriscadas às mais seguras

Carteiras hardware em 2026: qual escolher?

Robert Stanley: A carteira hardware é o padrão ouro para armazenamento. Suas chaves privadas nunca saem do dispositivo físico, mesmo quando conectado ao computador. Veja os principais modelos:

A regra de distribuição de ativos: "Não coloque todos os ovos na mesma cesta"

Alexander Mercer: Como distribuir corretamente os criptoativos entre diferentes formas de armazenamento?

Robert Stanley: Recomendo a regra 5/25/70 para a maioria dos usuários.

5% — na exchange. Apenas os fundos com os quais você está operando ativamente agora. Dinheiro vivo para negociações.

25% — em carteira quente (MetaMask, Trust Wallet, Phantom). Para DeFi, staking, transações do dia a dia. Valores cuja perda você conseguiria absorver.

70% — em carteira hardware ou em multisig. Poupança de longo prazo. O que você não planeja mexer por meses ou anos.

Para valores elevados (acima de $100.000), recomendo uma configuração multisig: 2-de-3 ou 3-de-5 chaves, distribuídas entre diferentes dispositivos e localizações físicas. Isso protege mesmo no caso de roubo de um único dispositivo.

Top 20 regras de segurança: checklist completo

Parte VII. Como avaliar a segurança de um projeto cripto: checklist para o investidor

Alexander Mercer: Como um usuário comum pode saber se vale a pena confiar seus fundos a um projeto ou exchange específico?

Robert Stanley: Ótima pergunta. Desenvolvi um sistema de avaliação que uso pessoalmente e recomendo aos meus clientes.

Auditoria de smart contracts

Uma auditoria foi realizada? Por quem? (CertiK, Trail of Bits, OpenZeppelin, Halborn — são auditores reconhecidos.) Quantas auditorias foram feitas? Uma auditoria é o mínimo. Duas ou três de auditores diferentes — é bom sinal. Vulnerabilidades críticas foram encontradas? Como foram corrigidas? O relatório é público? Se a auditoria foi "aprovada", mas o relatório está fechado — isso é um sinal de alerta.

Programa de bug bounty

O projeto possui um programa de recompensas por vulnerabilidades encontradas? As plataformas Immunefi, HackerOne, Code4rena são os canais padrão. Adequação das recompensas: se o projeto administra centenas de milhões e o bounty máximo é de $10.000, isso não é sério. Os melhores projetos oferecem bounty de até 10% do dano máximo possível.

Gestão de chaves

Multisig: quantas assinaturas são necessárias? 3-de-5 é o padrão. 1-de-1 é um sinal vermelho. Timelock: há atraso para alterações em parâmetros críticos do contrato? Isso dá aos usuários tempo para reagir a ações suspeitas. Uma equipe anônima com controle total sobre os fundos é o maior sinal vermelho possível.

Proof of Reserves

Para exchanges: elas publicam relatórios regulares de Proof of Reserves? Utilizam Merkle Tree como comprovação? O auditor é independente? Após o colapso da FTX, isso se tornou um padrão obrigatório.

Transparência na comunicação

Como o projeto reagiu a incidentes anteriores? Houve um post-mortem público? Os prejudicados foram compensados? A transparência é o melhor indicador de comprometimento sério com a segurança.

Parte VIII. O futuro da segurança cripto: o que vai mudar entre 2026 e 2030

Alexander Mercer: Para onde a indústria está caminhando? Vai ficar mais segura?

Robert Stanley: Vejo algumas tendências-chave.

IA em cibersegurança e forense

A IA já está sendo usada pelos dois lados. Os atacantes utilizam IA para gerar mensagens de phishing, criar deepfakes e automatizar a busca por vulnerabilidades. Os defensores — para analisar padrões de transações, monitoramento preditivo e classificação automática de ameaças. A Chainalysis adquiriu a Hexagate — uma empresa que usa IA para detectar e prevenir ataques em tempo real. Esse é o futuro: uma IA que interrompe o ataque antes mesmo de ele acontecer.

Account abstraction e o fim das seed phrases

A tecnologia de account abstraction (EIP-4337) permite criar "contas inteligentes" com lógica de segurança flexível: recuperação social (amigos confirmam o acesso), limites em transações, autenticação multifator diretamente na camada do blockchain. A Tangem já oferece carteiras sem seed phrases. A ZenGo usa MPC. O objetivo é eliminar o ponto único de falha (uma única frase que pode ser roubada).

Regulação e compliance

O MiCA na Europa, frameworks regulatórios nos Emirados Árabes Unidos, em Singapura e no Japão. As exchanges são obrigadas a implementar procedimentos de AML/KYC cada vez mais rigorosos. Isso dificulta a vida dos criminosos na etapa de conversão em dinheiro. A Rússia está preparando suas próprias regras para julho de 2026. A tendência é que cada vez mais "pontos de saída" sejam controlados.

A ameaça quântica — o que nos espera?

Computadores quânticos poderiam, teoricamente, quebrar a criptografia sobre a qual Bitcoin e Ethereum são construídos. Mas na prática, essa é uma ameaça no horizonte de 10 a 15 anos. O Trezor Safe 7 já é posicionado como "quantum-ready". A indústria se prepara, e a transição para a criptografia pós-quântica é uma questão de tempo — mas não de urgência imediata.

Descentralização de chaves

MPC (Multi-Party Computation), SSS (Shamir Secret Sharing), distributed key generation. Essas tecnologias distribuem o controle sobre uma chave entre vários participantes ou dispositivos, eliminando o ponto único de comprometimento. O Cypherock X1 já usa Shamir para distribuir a chave em cartões físicos. Essa área continuará crescendo.

Parte IX. Psicologia dos crimes cripto: por que as pessoas caem em golpes

Alexander Mercer: O último bloco que eu queria discutir é o fator humano. Por que até pessoas experientes se tornam vítimas?

Robert Stanley: Porque os criminosos exploram não vulnerabilidades técnicas, mas psicológicas. E fazem isso de forma profissional.

FOMO (medo de perder uma oportunidade)

«Esse token subiu 1000%, e você ainda não comprou?» — esse é o motor mais poderoso de decisões impulsivas no cripto. O FOMO leva as pessoas a investir em projetos não verificados, interagir com contratos suspeitos e ignorar sinais de alerta. Os criminosos criam FOMO artificial de propósito: «restam apenas 5 vagas», «o preço vai subir em uma hora», «acesso exclusivo só pelo link».

Confiança em autoridades

«Elon Musk recomendou», «esse influencer ganhou um milhão» — autoridades falsas e recomendações fabricadas. Os deepfakes tornam isso ainda mais convincente. Vimos vídeos em que «Vitalik Buterin» recomendava um token específico. O vídeo foi totalmente gerado por IA.

Sobrecarga cognitiva

As interfaces DeFi são complexas. As transações parecem um conjunto de caracteres hexadecimais. As pessoas são solicitadas a assinar algo que não conseguem ler, e «não há tempo» para entender. Os criminosos exploram essa sobrecarga: quanto mais etapas, quanto mais complexo o processo, maior a chance de a vítima clicar em «confirmar» sem nem olhar.

O outro lado da descentralização: «não há botão de cancelar»

Nas finanças tradicionais, o banco pode cancelar uma transação fraudulenta. No cripto — não pode. Isso é liberdade, mas também responsabilidade. Muitas pessoas entram no cripto com a mentalidade bancária: «se der errado — cancelam». Não cancelam. E isso precisa ser entendido com antecedência.

Parte X. Análise dos maiores hacks: lições que valem bilhões

Alexander Mercer: Robert, vamos analisar casos concretos — os hacks mais significativos e emblemáticos dos últimos anos. Que lições a indústria está tirando?

Robert Stanley: Cada grande hack é um manual de cibersegurança. Vamos analisar seis casos fundamentais.

Caso 1: Bybit — US$ 1,5 bilhão (fevereiro de 2025)

O maior roubo da história da indústria cripto. A exchange de Dubai Bybit perdeu cerca de 1,5 bilhão de dólares em Ethereum. O FBI e várias empresas de análise de blockchain atribuíram o ataque ao grupo norte-coreano Lazarus.

Vetor de ataque: comprometimento do processo de assinatura de transações multisig. Os signatários da carteira multisig da Bybit aprovaram uma transação sem verificar seu conteúdo nas telas de seus dispositivos de hardware. Na prática, eles assinaram uma transação maliciosa achando que estavam assinando uma transferência de rotina.

O que deu errado: verificação insuficiente. Se cada signatário tivesse conferido exatamente o que estava assinando — endereço do destinatário, valor, calldata — o ataque teria sido evitado. O problema é que muitas carteiras de hardware exibem transações em formato bruto — um conjunto de caracteres hexadecimais que o ser humano não consegue interpretar.

Lição: multisig é uma condição necessária, mas não suficiente para a segurança. Sem uma cultura de verificação de cada transação, ele se torna uma mera formalidade. Após o caso Bybit, a indústria debate ativamente padrões de verificação «legível por humanos» e a melhoria das interfaces de carteiras de hardware.

Reação: a Bybit lançou um programa de recompensas por informações sobre a movimentação dos fundos roubados. Parte dos recursos foi rastreada e congelada em diversas plataformas. Mas a maior parte foi rapidamente distribuída por meio de bridges e mixers, utilizando cadeias complexas características da tática da Coreia do Norte.

Caso 2: DMM Bitcoin — US$ 305 milhões (maio de 2024)

A exchange japonesa perdeu 4.502 BTC. O ataque também é atribuído ao Lazarus Group.

Vetor: comprometimento de chaves privadas. Supostamente, os invasores obtiveram acesso por meio de engenharia social — um dos funcionários foi comprometido. Especialistas em TI norte-coreanos usaram perfis falsos no LinkedIn para estabelecer contato.

As consequências foram catastróficas: a DMM Bitcoin não conseguiu se recuperar do golpe e decidiu encerrar as operações em dezembro de 2024. Os ativos e contas dos clientes foram transferidos para a SBI VC Trade — subsidiária do conglomerado financeiro japonês SBI Group.

Lição: até uma exchange regulamentada em um país com algumas das regulações cripto mais rigorosas do mundo (Japão) pode ser vítima de engenharia social. A proteção técnica é impotente quando um funcionário se torna o elo fraco.

Caso 3: WazirX — US$ 234,9 milhões (julho de 2024)

A maior exchange indiana perdeu fundos depois que hackers enganaram os signatários autorizados, levando-os a aprovar uma transação maliciosa. O ataque contornou o sistema de segurança em múltiplas camadas porque tinha como alvo as pessoas, não o código.

O diferencial desse caso: os atacantes estudaram por muito tempo os procedimentos de assinatura da exchange, identificaram os pontos fracos no elo humano e golpearam no momento em que a vigilância estava reduzida. Isso demonstra o nível de preparação de grupos hackers patrocinados por estados — eles estudam a vítima por meses antes de atacar.

Caso 4: Ronin Network — US$ 624 milhões (março de 2022)

A bridge Ronin Network, que dava suporte ao jogo Axie Infinity, perdeu 173.600 ETH e 25,5 milhões de USDC. O ataque só foi descoberto seis dias após ocorrer.

Vetor: comprometimento de 5 dos 9 validadores por meio de engenharia social. Quatro chaves foram obtidas por meio de um funcionário comprometido da Sky Mavis. A quinta — por meio de uma organização terceira, a Axie DAO, que ainda detinha autorização de assinatura, embora já não participasse do processo.

Lição principal: higiene de acessos. Autorizações desatualizadas são o assassino silencioso da segurança. Se uma organização não participa mais da assinatura — sua chave deve ser revogada imediatamente. Além disso: 5-de-9 é um limite muito baixo para US$ 624 milhões. E a descoberta após seis dias representa uma falha grave de monitoramento.

Caso 5: FTX — US$ 8,7 bilhões (novembro de 2022)

Formalmente, a FTX não foi um «hack». Foi uma fraude, a maior da história do cripto. O fundador Sam Bankman-Fried usou os fundos dos clientes para operar por meio do fundo afiliado Alameda Research. Quando isso veio à tona, a exchange entrou em colapso em questão de dias.

Mas além da fraude, no momento da falência também houve um roubo: cerca de 477 milhões de dólares foram retirados das carteiras da FTX por pessoas desconhecidas. A investigação continua.

Lições da FTX: não guarde todos os fundos em uma única exchange. Proof of Reserves é um padrão obrigatório. Regulação e transparência não são inimigas da inovação — são condições de sobrevivência. Um líder carismático e um escritório bonito não são prova de confiabilidade.

Caso 6: Poly Network — US$ 611 milhões (agosto de 2021)

Um caso único: um hacker explorou uma vulnerabilidade na lógica de verificação cross-chain e sacou US$ 611 milhões. Mas depois... devolveu quase tudo. Ele declarou que o ataque foi «por diversão» e para demonstrar a vulnerabilidade. A Poly Network chegou a oferecer a ele o cargo de «consultor-chefe de segurança».

Esse caso popularizou o conceito de «white hat hacking» no cripto e a prática de negociações de bounty. Hoje, muitos projetos incluem em seus contratos um «safe harbor» — um marco legal que permite ao hacker devolver os fundos em troca de recompensa e imunidade de processo.

Parte XI. Segurança em DeFi: como usar finanças descentralizadas sem perder tudo

Alexander Mercer: DeFi é uma das partes mais inovadoras e, ao mesmo tempo, mais perigosas do cripto. Como usar DeFi com segurança?

Robert Stanley: DeFi oferece possibilidades incríveis — empréstimos descentralizados, trocas, staking, yield farming. Mas é justamente no DeFi que o usuário fica mais vulnerável, porque aqui não existe «suporte ao cliente» nem «botão de cancelar». Vamos analisar regras práticas e concretas.

Regra 1: Sempre verifique o que você está assinando

Toda interação com um protocolo DeFi é a assinatura de uma transação de smart contract. Antes de assinar, você precisa entender: com qual contrato está interagindo (o endereço é conhecido e verificado?), qual função está chamando, quais permissões (approvals) está concedendo.

Use ferramentas que «traduzem» transações para linguagem humana: Fire Extension, Pocket Universe, Blowfish. Essas extensões de navegador mostram o que realmente acontecerá se você assinar a transação — antes de clicar em «Confirm».

Regra 2: Verifique e revogue approvals regularmente

Quando você usa uma DEX (Uniswap, PancakeSwap), concede ao contrato uma permissão (approval) para gastar seus tokens. Muitas vezes, trata-se de um «unlimited approval» — permissão ilimitada. Se o contrato for comprometido após sua aprovação, o hacker terá acesso a todos os tokens aprovados.

Solução: use o serviço revoke.cash para visualizar e revogar regularmente approvals desnecessários. Faça isso pelo menos uma vez por mês. E melhor ainda — ao conceder cada approval, especifique um valor exato em vez de unlimited.

Regra 3: Não persiga rendimentos anormais

Se um protocolo promete 100% de APY quando o mercado médio oferece 5–15%, pergunte a si mesmo: de onde vem esse dinheiro? Em 90% dos casos, a resposta é: do bolso de novos investidores (Ponzi) ou de riscos que você não enxerga (impermanent loss, smart contract risk, rug pull).

Regra: se o rendimento parece bom demais para ser verdade — é porque é. Um rendimento sustentável em DeFi em 2026 é de 3–15% ao ano para stablecoins e 5–20% para ativos voláteis.

Regra 4: Use transações de teste

Antes de enviar um valor alto, sempre envie primeiro uma transação «de teste» com o mínimo possível. Isso custa centavos em taxas, mas pode salvar milhares de dólares. Certifique-se de que os fundos chegaram ao endereço correto e que o contrato funciona como esperado.

Regra 5: Separe carteiras «quentes» e «frias» para DeFi

Não use a mesma carteira para armazenamento e para interações DeFi. Crie uma carteira «de trabalho» separada, para a qual você transfere apenas o valor que está disposto a usar no DeFi. Se essa carteira for comprometida por um contrato malicioso — seus fundos principais permanecerão seguros.

Regra 6: Verifique o contrato antes de interagir

Checklist mínimo: o contrato está verificado no Etherscan/BSCScan? Existe auditoria? Quando o contrato foi implantado (contratos novos = risco maior)? Qual é o TVL (Total Value Locked)? TVL baixo = risco alto. Quem está por trás do projeto — uma equipe pública ou anônimos?

Use os serviços DeFi Safety, DefiLlama, DappRadar para verificar protocolos antes de investir. Token Sniffer e GoPlusLabs — para verificar tokens quanto a honeypots e funções ocultas.

Regra 7: Tenha cuidado com bridges

As bridges cross-chain são uma das categorias de infraestrutura mais vulneráveis. Dos cinco maiores roubos da história do cripto, três foram ataques a bridges (Ronin, Wormhole, Nomad). Se você precisar transferir fundos entre redes — use bridges consolidadas, com boa reputação e auditorias. Divida grandes transferências em partes menores. E lembre-se: cada bridge adiciona risco de contrato.

Parte XII. Panorama regulatório: como a legislação ajuda e atrapalha o combate aos crimes cripto

Alexander Mercer: Como a regulação impacta o combate aos crimes cripto? Ela ajuda ou atrapalha?

Robert Stanley: É uma pergunta complexa, porque a resposta é «as duas coisas», dependendo da jurisdição específica e da solução regulatória em questão.

Como a regulação ajuda

KYC/AML nas exchanges — uma ferramenta essencial. Quando fundos roubados chegam a uma exchange com KYC obrigatório, é possível congelá-los e identificar o destinatário. É exatamente por isso que os criminosos se esforçam tanto para contornar plataformas regulamentadas.

Listas de sanções (OFAC) — a inclusão de mixers como o Tornado Cash em listas de sanções cria uma barreira legal para seu uso. Fundos que passam por endereços sancionados são automaticamente «marcados» pelos sistemas de compliance das exchanges.

Cooperação internacional — Europol, Interpol e FBI colaboram cada vez mais nas investigações de crimes cripto. Em 2025, o DOJ apreendeu mais de 15 bilhões de dólares na maior operação contra uma rede de pig butchering.

Padrões obrigatórios de segurança — exchanges licenciadas são obrigadas a implementar Proof of Reserves, fundos de seguro para usuários e procedimentos de resposta a incidentes.

Como a regulação atrapalha

Fragmentação de jurisdições — o criminoso rouba em um país, lava em outro, converte em dinheiro em um terceiro. A coordenação entre autoridades policiais de diferentes países leva semanas e meses, enquanto o dinheiro se move em segundos.

A regulação excessiva empurra os usuários para a «zona cinzenta». Se as exchanges legítimas se tornam muito complicadas de usar, as pessoas migram para plataformas não regulamentadas, onde a proteção é mínima.

A incapacidade do sistema jurídico tradicional de operar na velocidade do cripto. Obter uma ordem de congelamento pode levar dias. Nesse tempo, os fundos já passaram por dez bridges e três mixers.

Principais iniciativas regulatórias de 2025–2026

Parte XIII. Herança cripto e acesso de emergência: o que acontece com seus ativos se algo acontecer com você

Alexander Mercer: Um tema sobre o qual quase ninguém pensa: o que acontecerá com seus criptoativos se você de repente não puder mais gerenciá-los?

Robert Stanley: Esse é um dos problemas de segurança mais subestimados. Segundo diversas estimativas, entre 3 e 4 milhões de bitcoins foram perdidos para sempre por causa de chaves extraviadas. Isso representa cerca de 20% de todo o fornecimento de BTC. E uma parte significativa dessas perdas corresponde a casos em que o titular faleceu ou ficou incapacitado, e os herdeiros não sabiam como obter acesso.

O problema da herança cripto

Nas finanças tradicionais, uma conta bancária passa aos herdeiros por meio de cartório. O cripto funciona de forma diferente: não existe um órgão centralizado que «transfira» o acesso. Se sua seed phrase estiver guardada apenas na sua cabeça (ou em um cofre que ninguém sabe que existe) — seus ativos serão perdidos para sempre.

Soluções

Primeira. Documente. Crie um guia detalhado: quais carteiras você possui, em quais exchanges tem contas, onde as seed phrases estão armazenadas. Guarde esse documento em um envelope lacrado em cartório, em um cofre bancário ou com uma pessoa de confiança.

Segunda. Shamir Secret Sharing. Divida a seed phrase em várias partes (por exemplo, 3-de-5) e entregue as partes a diferentes pessoas de confiança. Nenhuma delas terá acesso completo, mas juntas, quaisquer 3 das 5 podem restaurar a carteira. O Cypherock X1 implementa essa função em nível de hardware.

Terceira. Use serviços com mecanismo de herança. A Casa Wallet oferece uma função de «acesso hereditário» — se você não acessar a carteira por um determinado período, é ativado um processo de transferência de acesso ao herdeiro designado, por meio de várias etapas de verificação.

Quarta. Social recovery por smart contract. Algumas soluções de carteira permitem designar «guardians» — pessoas de confiança que, coletivamente, podem restaurar o acesso à sua conta. Isso está implementado em diversas carteiras baseadas em account abstraction.

Quinta. Multisig com acesso distribuído. Crie um multisig 2-de-3, onde uma chave fica com você, a segunda com seu cônjuge/parceiro e a terceira com um advogado. Você gerencia a carteira com as duas primeiras chaves, e em situação de emergência, o cônjuge e o advogado podem obter acesso juntos.

Parte XIV. Perguntas frequentes: respostas especializadas para as principais dúvidas dos leitores

É possível roubar bitcoin hackeando o blockchain?

Robert Stanley: Não. O blockchain do Bitcoin nunca foi hackeado em mais de 16 anos de existência. Todos os roubos de Bitcoin são roubos de chaves, não ataques ao protocolo. O blockchain é uma fortaleza inexpugnável. As chaves são o cadeado na porta da sua casa — que pode ser forçado, roubado ou obtido enganando você para que o entregue.

O que é mais seguro — Ledger ou Trezor?

Robert Stanley: Ambos são ótimas opções, e ambos são significativamente mais seguros do que guardar em exchange ou em carteira quente. A principal diferença: Trezor é open-source (código aberto para verificação independente). Ledger é closed-source (código fechado), mas usa chips de segurança certificados. Para a maioria dos usuários, as duas opções são mais do que suficientes. Escolha pela comodidade, pelo preço e pelo suporte às moedas que você usa.

É verdade que o Monero é impossível de rastrear?

Robert Stanley: O Monero é significativamente mais difícil de rastrear do que Bitcoin ou Ethereum, graças às ring signatures, stealth addresses e confidential transactions. Mas «impossível» é uma palavra forte demais. Os pontos de entrada e saída (conversão para outras moedas) criam vulnerabilidades. Pesquisadores trabalham em métodos de desanonimização estatística. Na prática, o Monero é um obstáculo sério para investigações, mas não intransponível — especialmente quando o usuário comete erros.

Preciso de uma carteira de hardware se tenho apenas US$ 500 em cripto?

Robert Stanley: Não é obrigatório, mas é útil. A Tangem custa US$ 55 — o equivalente a 11% dos seus US$ 500. Se você planeja aumentar seu portfólio, faz sentido começar com os hábitos certos. Se US$ 500 é seu limite máximo e você não pretende crescer — dá para se virar com uma boa carteira quente (MetaMask, Trust Wallet) com senha forte e 2FA.

O que fazer se assinei uma transação maliciosa?

Robert Stanley: Imediatamente: verifique quais approvals você concedeu via revoke.cash e revogue-os. Transfira todos os fundos restantes para uma carteira nova e limpa. Se os fundos já foram debitados — siga o protocolo: registre os hashes, entre em contato com exchanges, com especialistas em chain forensics e com a polícia.

Como verificar se o site de um protocolo DeFi é legítimo e não é phishing?

Robert Stanley: Algumas verificações: use favoritos para sites visitados com frequência (não pesquise no Google toda vez — anúncios patrocinados podem conter links de phishing). Verifique o certificado SSL. Compare a URL caractere por caractere. Use extensões como MetaMask Snaps ou Pocket Universe, que alertam sobre sites suspeitos. Em caso de dúvida — verifique o link no Discord oficial ou no Twitter do projeto.

É possível segurar criptoativos?

Robert Stanley: Sim, é uma área em desenvolvimento. Protocolos descentralizados de seguro (Nexus Mutual, InsurAce, Unslashed) oferecem cobertura contra riscos de hacks em smart contracts. O custo geralmente é de 2–10% do valor segurado por ano. Opções centralizadas: o fundo SAFU da Binance, seguros de alguns custodiantes. Grandes investidores institucionais utilizam seguros tradicionais pela Lloyd's of London e seguradoras especializadas.

Como identificar se um token é golpe (honeypot)?

Robert Stanley: Verifique o contrato do token via Token Sniffer ou GoPlusLabs. Sinais de alerta: impossibilidade de vender o token, funções ocultas de mint (criação de novos tokens do nada), taxa alta de venda (hidden tax), liquidez desbloqueada (LP unlocked), equipe anônima sem histórico. Se pelo menos dois desses sinais estiverem presentes — fique longe.

Me oferecem «rendimento garantido» em cripto. É golpe?

Robert Stanley: Em 99% dos casos — sim. No cripto não existe rendimento «garantido». Até o staking de ETH, que é o mais próximo de uma «taxa livre de risco», carrega riscos de slashing e volatilidade do ativo base. Qualquer pessoa que prometa «50% garantidos por mês» é golpista. Sem exceção.

O que é um «drainer» e como se proteger?

Robert Stanley: Drainer é um smart contract malicioso que, ao conectar a carteira e assinar a transação, retira automaticamente todos os tokens e NFTs. Os drainers se propagam por sites de phishing, airdrops falsos e servidores Discord infectados. Proteção: não conecte sua carteira a sites desconhecidos, use uma carteira «vazia» para interagir com novos serviços, utilize extensões de proteção (Pocket Universe, Wallet Guard).

Como funciona a lavagem de cripto roubado?

Robert Stanley: O esquema típico: após o roubo, os fundos são imediatamente fragmentados em dezenas ou centenas de endereços. Parte passa por mixers (Tornado Cash, ChipMixer). Parte é convertida via DEX em outros tokens. Parte é transferida por bridges para outros blockchains. Os valores finais chegam a uma CEX ou balcão OTC para conversão em moeda fiduciária. Segundo dados da TRM Labs, os hackers norte-coreanos utilizam principalmente serviços em língua chinesa para lavagem, com um ciclo típico de cerca de 45 dias entre o roubo e a conversão em dinheiro.

Conclusão: principais aprendizados e recomendações

Alexander Mercer: Robert, vamos fazer um resumo. O que é mais importante que nosso leitor leve deste conteúdo?

Robert Stanley: Dez aprendizados fundamentais da nossa conversa.

Primeiro. O cripto deixa rastros. O blockchain é um livro-razão público. «Desaparecer» completamente com fundos roubados é extremamente difícil. Chain forensics é uma indústria real que prende criminosos.

Segundo. A escala das ameaças está crescendo. 3,4 bilhões de dólares foram roubados em 2025. Hackers patrocinados por estados, grupos profissionais, golpes industrializados — isso não é mais um «hacker solitário».

Terceiro. O principal vetor de ataque não é o código, são as chaves. 70% dos roubos envolvem o comprometimento de chaves privadas e seed phrases. Proteger as chaves é a prioridade número um.

Quarto. Carteira de hardware é necessidade, não opção. Se você tem mais de US$ 1.000 em cripto — compre uma carteira de hardware. É o melhor investimento de US$ 79 que você pode fazer.

Quinto. Não assine o que você não entende. Toda transação assinada é um potencial vetor de ataque. Se não tiver certeza — não assine.

Sexto. A velocidade de reação decide tudo. Em caso de roubo, a primeira hora é crítica. Tenha um plano de ação com antecedência.

Sétimo. Diversifique o armazenamento. Regra 5/25/70: 5% em exchange, 25% em carteira quente, 70% em hardware/multisig.

Oitavo. Seed phrase no metal, não na nuvem. Nunca guarde uma cópia digital da seed phrase. Grave em uma placa metálica e guarde em múltiplos locais físicos.

Nono. Verifique projetos antes de investir. Auditorias, bug bounty, multisig, timelock, Proof of Reserves — o mínimo exigido para um projeto «confiável».

Décimo. Educação é a melhor proteção. Quanto mais você souber sobre os mecanismos de ataque, menor a chance de se tornar uma vítima. É exatamente por isso que passamos quatro horas nesta entrevista — para que você esteja armado com conhecimento.

Posfácio da redação

Nossa conversa com Robert Stanley durou mais de quatro horas, e cada minuto foi repleto de conhecimentos práticos. Deliberadamente tornamos este material o mais detalhado possível, porque quando se trata de segurança de criptoativos, a superficialidade pode custar dinheiro de verdade.

A ideia central que permeia toda a entrevista é: as criptomoedas representam, ao mesmo tempo, uma liberdade incrível e uma responsabilidade incrível. Aqui não existe um banco que "vai resolver tudo". Aqui você mesmo é o banco, o serviço de segurança e o auditor. E quanto antes você aceitar isso, melhor protegidos estarão seus ativos.

Para aprofundamento, recomendamos: o relatório da Chainalysis "Crypto Crime 2025/2026", o blog da TRM Labs sobre crypto forensics, a plataforma Immunefi para aprender sobre bug bounty, o site revoke.cash para verificar e revogar token approvals, e os materiais educacionais da Binance Academy e da Ledger Academy.

Você pode acompanhar as análises de Alexander Mercer e os conteúdos especializados sobre cibersegurança de criptoativos no portal iTrusty.io.