Golpe do QR code em pagamento cripto

Sim, é possível: no golpe do QR code em pagamento cripto, o código não é um comprovante inofensivo — ele carrega o endereço da carteira do golpista, ou uma autorização que drena a sua. Ao escanear para "pagar", você envia a criptomoeda direto para ele, e a transferência não se estorna.

O alerta não é novo. Em novembro de 2021, o FBI, por meio do seu Internet Crime Complaint Center (IC3), publicou um comunicado descrevendo exatamente esse esquema com QR codes e caixas eletrônicos de criptomoeda [1]. Não existe, porém, uma cifra pública que isole quanto esse golpe específico movimenta — o que se conhece é a dimensão do problema maior: a Chainalysis estima cerca de US$ 17 bilhões desviados em golpes com cripto em 2025 [4]. O golpe do QR code é uma das portas de entrada desse total, e sua força está justamente em parecer um passo banal de pagamento.

Como funciona o golpe do QR code em pagamento cripto

Um QR code (do inglês quick response) é apenas uma imagem que codifica um texto. Quando esse texto é um endereço de carteira ou um pedido de pagamento em cripto, escanear o código faz o aplicativo preencher automaticamente o campo de destino — uma comodidade pensada para você não digitar, à mão, uma sequência de dezenas de caracteres. O golpe explora precisamente essa comodidade: se o QR foi fornecido pelo golpista, o endereço que ele autopreenche é o dele.

O FBI descreveu um roteiro clássico. Segundo o comunicado do IC3, o golpista "direciona a vítima a um caixa eletrônico de criptomoeda para inserir o dinheiro, comprar cripto e usar o QR code fornecido para autopreencher o endereço de destino" [1]. A vítima acredita estar pagando uma dívida, liberando uma conta ou fazendo um investimento; na prática, deposita em espécie e envia a criptomoeda para a carteira do golpista, num terminal físico. O órgão ressalta que a natureza descentralizada dificulta a devolução, porque os valores podem ser movidos ao exterior quase instantaneamente.

Há ainda uma versão física do golpe. Em janeiro de 2022, o IC3 alertou que "um criminoso pode substituir o código pretendido por um QR code adulterado e redirecionar o pagamento do remetente" [2] — na prática, colando um adesivo de QR falso sobre o verdadeiro, num ponto de pagamento. O comunicado trata de pagamentos em geral, mas o mecanismo atinge cripto do mesmo jeito: você escaneia o código que está ali, à vista, sem saber que ele foi trocado.

A variante mais nova: o QR que rouba a autorização da carteira

Desde 2024, o golpe ganhou uma forma mais sofisticada, em que o QR não carrega um endereço de pagamento, e sim uma armadilha de autorização. Em agosto de 2024, a empresa de inteligência em blockchain Bitrace alertou, em reportagem da Cointelegraph, para um esquema em que o golpista propõe uma troca a taxa favorável, envia um pequeno valor em USDT para ganhar confiança e pede à vítima que faça um "teste de reembolso" escaneando um QR code [3]. O código leva a um site que pede para confirmar a transação de teste; ao clicar, a vítima assina, sem perceber, uma permissão que autoriza drenar a carteira.

É a mesma lógica do approval phishing: o QR não é um destino de pagamento, mas o gatilho de uma autorização maliciosa. Segundo a Bitrace, ao menos 27 vítimas perderam cerca de US$ 120 mil em USDT em poucos dias de julho de 2024 nesse esquema [3]. O número é um incidente específico relatado pela empresa — não uma medida do tamanho total do golpe —, mas ilustra a direção para onde a fraude caminhou: do simples "endereço no QR" para o roubo da permissão de gasto. As duas variantes convivem, e a única defesa comum é desconfiar de qualquer QR que peça para "confirmar", "validar" ou "testar" algo na sua carteira.

Não confunda com o golpe do QR code no PIX

Para muitos brasileiros, "pagar com QR code" é sinônimo de PIX — e isso gera confusão. Existe, sim, um golpe do QR code no PIX, mas ele é uma fraude bancária: o código malicioso carrega uma chave PIX, o dinheiro sai da conta bancária e o rastro fica no sistema financeiro. No golpe de que trata este artigo, o QR carrega um endereço de carteira de criptomoeda, ou uma autorização de gasto, e o rastro fica na blockchain. O truque visual é o mesmo; a investigação, não. Quando o dinheiro começa em PIX e só depois vira cripto, os dois rastros se somam — fronteira que detalho em PIX que virou cripto.

Dá para rastrear a cripto enviada por um QR code?

Sim. Diferentemente do que a vítima costuma imaginar, a cripto enviada por um QR code não some: ela apenas se move para a carteira do golpista, e cada passo fica gravado na blockchain pública. O ponto de partida da análise é o TXID — o código único da transação — ou o endereço de destino. A partir dele, a análise on-chain reconstrói o caminho dos valores até o ponto em que são convertidos em dinheiro, quase sempre uma corretora que identifica seus clientes (o chamado KYC).

O caso relatado pela Bitrace ilustra bem esse trajeto: os cerca de US$ 120 mil em USDT foram movidos por cinco endereços-ponte antes de chegarem a uma corretora [3]. É o que, no livro Bitcoin e Lavagem de Dinheiro, chamo de transações complexas, em oposição às simples, que se seguem de forma direta [5] — o rastro fica mais trabalhoso, mas raramente desaparece por completo, porque cedo ou tarde os valores precisam passar por um ponto de saque identificável.

Há, porém, dois limites honestos. O primeiro é a irreversibilidade: ao contrário de um PIX, uma transferência em blockchain não pode ser "cancelada" pela corretora ou pelo banco depois de confirmada. O segundo é a atribuição: o rastreamento aponta a corretora e o endereço, mas ligar isso a uma pessoa depende do pedido formal dos dados de cadastro, em regra por ordem judicial. Por isso é preciso repetir sempre: rastrear não é o mesmo que recuperar.

O que fazer se você caiu no golpe do QR code

Se você acabou de escanear um QR code e enviou a cripto, a prioridade é conter o dano e preservar as provas. Alguns passos ajudam:

• Preserve o TXID e o endereço de destino — junto com prints do QR, do site e das mensagens, com data e hora visíveis, antes que sumam do ar.
• Se o golpe foi por autorização — isto é, se você confirmou uma permissão —, revogue as aprovações (token approvals) da carteira e mova o saldo restante para uma carteira nova, criada do zero.
• Registre boletim de ocorrência e comunique a corretora de onde os valores saíram ou para onde possam ter seguido.
• Aja rápido — a transferência não se estorna e os fundos tendem a se dispersar; as primeiras horas são as mais valiosas.

Há orientação reunida na página para vítimas de golpe com criptoativos, com o passo a passo do que preservar e a quem recorrer.

Considerações finais

O golpe do QR code em pagamento cripto transforma uma comodidade em armadilha: o mesmo código que existe para você não errar um endereço serve, nas mãos do golpista, para direcionar o pagamento a ele — ou para arrancar uma autorização que esvazia a carteira. Entender que o QR carrega o destino, e não um comprovante, é o que muda o comportamento: antes de escanear qualquer código para pagar em cripto, vale checar de onde ele veio e o que exatamente a carteira vai assinar. E, depois de escanear, confira o endereço autopreenchido na tela contra o endereço legítimo — inteiro, caractere a caractere, e não apenas o começo e o fim. É precisamente nos primeiros e nos últimos dígitos que os endereços forjados costumam ser idênticos ao verdadeiro; a diferença mora no miolo, que quase ninguém lê.

E, quando o golpe já ocorreu, fica a transparência da blockchain a favor da vítima: o endereço que recebeu está gravado, e o rastro pode ser reconstruído até um ponto de saque. A Chainspect realiza esse tipo de rastreamento — do endereço que recebeu o pagamento até a corretora de conversão —, entregando um parecer técnico com validade jurídica, e não uma promessa de resultado. Vale a ressalva de sempre: desconfie de quem promete "recuperação garantida" mediante taxa antecipada; é justamente esse o discurso do golpe que costuma vir depois do golpe.

Perguntas frequentes

Paguei escaneando um QR code e a cripto caiu na conta do golpista?

Sim, é o que costuma acontecer nesse golpe. O QR code não é um comprovante: ele carrega o endereço da carteira do golpista. Ao escanear para pagar, o aplicativo autopreenche esse endereço como destino e a criptomoeda vai direto para ele — e, como toda transferência em blockchain, ela não se estorna.

Como o QR code do golpe rouba a minha cripto?

De duas formas. Na mais comum, o QR carrega o endereço da carteira do golpista, e você envia os valores achando que paga a outra pessoa. Na variante mais recente, escanear o QR conecta a sua carteira a um site que pede uma autorização — e, ao confirmar, você assina uma permissão que drena os fundos. Em ambas, o dano é imediato.

O golpe do QR code em cripto é o mesmo do golpe do PIX?

Não. No golpe do QR code no PIX, o código carrega uma chave PIX e o dinheiro sai da sua conta bancária — é uma fraude bancária, com rastro no sistema financeiro. No golpe em cripto, o QR carrega um endereço de carteira ou uma autorização, e o rastro fica na blockchain. São investigações diferentes, embora o truque visual seja parecido.

Dá para rastrear a cripto enviada por um QR code de golpe?

Sim. O endereço de destino e o valor ficam registrados na blockchain pública, e a análise on-chain segue o caminho dos fundos até o ponto em que são convertidos em dinheiro numa corretora. O limite é que a transferência não se desfaz sozinha e identificar o dono depende do cadastro (KYC) nesse ponto de saída. Rastrear não é o mesmo que recuperar.

O que fazer depois de cair no golpe do QR code?

Preserve na hora o TXID, o endereço de destino e prints do QR, do site e das mensagens, com data e hora. Registre boletim de ocorrência e comunique a corretora envolvida. Se o golpe foi por autorização, revogue as permissões da carteira e mova o saldo restante para uma carteira nova. Quanto antes você agir, maior a chance de o rastreamento ser útil.