Como uma exchange deve responder a uma fraude de cliente

Uma exchange que recebe a notificação de fraude de um cliente deve tratá-la como um evento de compliance e de risco jurídico — não apenas de atendimento. Isso significa preservar os registros da transação, comunicar a operação suspeita ao Conselho de Controle de Atividades Financeiras (COAF), cumprir eventuais ordens judiciais e cooperar com o rastreamento. O Superior Tribunal de Justiça já responsabiliza a plataforma de forma objetiva.

No REsp 2.104.122-MG, julgado em 2025, a Quarta Turma do STJ, sob relatoria da Ministra Isabel Gallotti, decidiu que a plataforma de criptomoedas responde objetivamente por fraude em transação de cliente. O tribunal aplicou a Súmula 479 do STJ, segundo a qual as instituições financeiras respondem pelos danos gerados por fraudes de terceiros no âmbito de suas operações [1][2]. No caso, o cliente teve 3,8 bitcoins subtraídos — cerca de R$ 200 mil à época dos fatos, e a exchange arcou com o prejuízo porque não comprovou ter gerado o e-mail de confirmação daquela transação.

O pano de fundo é a escala do problema. Segundo o FBI Internet Crime Complaint Center (IC3), as perdas com crimes envolvendo ativos digitais reportadas nos Estados Unidos somaram US$ 9,3 bilhões em 2024 — alta de 66% sobre 2023 [3]. Para a plataforma, cada uma dessas fraudes é um cliente que pode bater à sua porta cobrando reparação, e a qualidade da resposta é o que separa a exchange que se defende da que paga a conta.

Por que a resposta não é opcional: o STJ responsabiliza a plataforma

A decisão da Ministra Gallotti parte de uma premissa: a exchange autorizada e supervisionada pelo Banco Central é instituição financeira para os fins do art. 17 da Lei nº 4.595/1964. Como o STJ já firmou, pela Súmula 297, que o Código de Defesa do Consumidor se aplica às instituições financeiras, a plataforma responde de forma objetiva — independentemente de culpa — pelos defeitos na prestação do serviço [6]. Essa construção jurisprudencial foi analisada em detalhe em artigo sobre a responsabilidade das exchanges perante o STJ.

O ponto decisivo é o ônus da prova. No caso julgado, existiam login, senha e autenticação em dois fatores, e ainda assim a responsabilidade foi mantida: o tribunal entendeu que, mesmo admitida a invasão por um hacker, uma segurança inadequada é fortuito interno — risco da própria plataforma —, e não fortuito externo capaz de excluir o dever de indenizar. A lição operacional é direta: a exchange só se exime se conseguir provar que o cliente completou toda a cadeia de autenticação, e isso depende de um log auditável, transação por transação.

A resposta começa antes da fraude: o programa de compliance obrigatório

Responder bem a uma fraude pressupõe uma estrutura montada antes de ela acontecer — e essa estrutura deixou de ser facultativa. As Resoluções BCB nº 519 e 520, de novembro de 2025, submeteram os prestadores de serviços de ativos virtuais a um regime de autorização e de prevenção à lavagem de dinheiro equivalente ao das instituições financeiras. Na prática, a exchange deve manter um programa de PLD/FT com diretor responsável, política de prevenção e avaliação interna de risco (Resolução BCB nº 520) [4].

Três obrigações desse programa são o alicerce de qualquer resposta a fraude. A primeira é o KYC — identificar o cliente na abertura da conta e manter o cadastro atualizado (art. 10 da Lei nº 9.613/98). A segunda é o monitoramento de transações atípicas, que dispara o alerta interno. A terceira é a Travel Rule (art. 44 da Resolução BCB nº 520), que obriga a plataforma a identificar os titulares das carteiras e a verificar origem e destino dos ativos — regra cujo cumprimento pleno é escalonado até 2 de fevereiro de 2028 [4][5].

Como responder a uma fraude de cliente, passo a passo

Recebida a notificação de fraude, a resposta segue uma ordem que preserva a prova, cumpre a lei e protege a plataforma. Cada etapa alimenta a seguinte.

Preserve os registros e reconstitua a cadeia de autenticação da transação

Antes de qualquer coisa, reúna e proteja os registros da operação contestada: logs de acesso, endereços de IP, autenticações realizadas e, sobretudo, a confirmação da transação — o e-mail, o código ou o token que comprova que o cliente autorizou aquele envio específico. Foi justamente a ausência dessa prova que fez a plataforma arcar com a perda no REsp 2.104.122-MG. É este o registro que, mais tarde, defende a exchange.

Comunique a operação suspeita ao COAF

Diante de indício de fraude ou de operação atípica, a exchange tem o dever de comunicar ao COAF, em regra em até 24 horas e sem dar ciência ao cliente (art. 11 da Lei nº 9.613/98) [5]. A comunicação não é acusação — é cumprimento de obrigação legal de quem integra o sistema de prevenção à lavagem de dinheiro.

Restrinja ou congele a conta e a transação suspeita quando houver base

Havendo base legítima — suspeita fundada sobre a origem dos valores ou determinação de autoridade —, a plataforma pode restringir a conta ou a transação para preservar o ativo. Criptoativos se movem em segundos, e a janela para evitar a dissipação é curta. A medida deve ser proporcional e documentada, para não se converter, ela própria, em bloqueio abusivo contra um cliente legítimo.

Cumpra ordens judiciais e coopere com o rastreamento on-chain

A exchange nacional é alcançável por ofício e por ordem de bloqueio — inclusive pela via do CriptoJud, do Conselho Nacional de Justiça —, e cumprir essas ordens é dever cujo descumprimento agrava a exposição da plataforma. No mesmo movimento, cooperar com o rastreamento forense que reconstrói o fluxo dos valores on-chain ajuda a delimitar responsabilidades e a mostrar para onde os ativos foram. Vale a precisão: o rastreamento entrega o destino, não a identidade — chegar ao titular da conta que recebeu depende do cadastro KYC daquela plataforma, revelado em regra por ordem judicial. Nesse tipo de análise, um profissional de forense blockchain pode atuar como assistente técnico.

Conserve os registros pelo prazo legal de cinco anos

A Lei nº 9.613/98 (art. 10) obriga a exchange a conservar os cadastros e os registros das transações por, no mínimo, cinco anos, contados do encerramento da conta ou da conclusão da operação [5]. Esse acervo não serve só ao regulador: são exatamente esses logs de autenticação que, no cenário do REsp 2.104.122-MG, permitem à plataforma demonstrar que o cliente autorizou a operação — e, assim, afastar a responsabilidade.

O limite da responsabilidade: objetiva não é automática

Responder de forma objetiva não é responder sempre. A própria Súmula 479 e o art. 14, §3º, inciso I, do Código de Defesa do Consumidor [6] preveem a excludente: a exchange se exime se comprovar que não houve defeito no serviço — ou seja, que seus mecanismos de segurança eram adequados e que o cliente completou toda a cadeia de autenticação, tornando a fraude fruto de culpa exclusiva dele ou de terceiro. O problema, para a plataforma, é que essa prova muitas vezes não existe. Um compliance robusto é justamente o que a produz. Vale, ainda, a distinção: a lavagem de dinheiro (art. 1º da Lei nº 9.613/98) exige dolo, de modo que o dever da exchange não é presumir a má-fé de cada cliente, e sim manter os controles que permitem detectar, comunicar e comprovar.

Considerações finais

Para a exchange, uma fraude de cliente não é um problema de atendimento, e sim de compliance e de prova. O STJ já sinalizou, no REsp 2.104.122-MG, que a plataforma responde objetivamente — e que o ônus de demonstrar a regularidade da operação é dela. A resposta correta, por isso, não começa quando a reclamação chega: começa no programa de PLD/FT, no KYC, no monitoramento e nos registros que, guardados por cinco anos, se tornam a prova que defende a plataforma.

Preservar a transação, comunicar ao COAF, cumprir ordens e cooperar com o rastreamento on-chain são os passos que transformam um incidente em um caso documentado — e é a documentação técnica do fluxo dos valores que delimita, afinal, quem responde pelo quê. A Chainspect realiza esse tipo de rastreamento e produz laudo pericial com validade jurídica; uma avaliação inicial de viabilidade pode ser feita pelo diagnóstico preliminar.

Perguntas frequentes

Uma exchange responde pela fraude sofrida por um cliente?

Sim. No REsp 2.104.122-MG, o STJ firmou que a plataforma de criptomoedas responde de forma objetiva, aplicando a Súmula 479. A responsabilidade só é afastada se a exchange provar que o cliente completou toda a cadeia de autenticação e que seus mecanismos de segurança eram adequados.

O que a exchange deve comunicar ao COAF diante de uma fraude?

A operação suspeita, em regra em até 24 horas e sem dar ciência ao cliente (art. 11 da Lei nº 9.613/98). A comunicação é obrigação de quem integra o sistema de prevenção à lavagem de dinheiro, não uma acusação contra o cliente.

Por quanto tempo a exchange precisa guardar os registros das transações?

No mínimo cinco anos, contados do encerramento da conta ou da conclusão da transação (art. 10 da Lei nº 9.613/98). Esses registros — em especial os logs de autenticação — são a prova que pode afastar a responsabilidade da plataforma.

A exchange é obrigada a cumprir ordem judicial de bloqueio?

Sim. A exchange nacional, autorizada pelo Banco Central, deve cumprir ofícios e ordens de bloqueio, inclusive pela via do CriptoJud. O descumprimento agrava a exposição jurídica da plataforma.