Como investigar um golpe de cripto: roteiro para delegacias

Um golpe em USDT é investigável porque a stablecoin é rastreável: cada transação na rede Tron (TRC-20) é pública e permanente. O roteiro tem um ponto de virada — seguir o valor on-chain até a exchange onde ele foi convertido em reais e, ali, requisitar os dados cadastrais (KYC), nos termos do art. 17-B da Lei nº 9.613/98, sem ordem judicial prévia. É o que transforma o pseudônimo on-chain na identidade do investigado.

No Brasil, a maior parte das fraudes com criptoativos que chegam para análise segue o padrão PIX-to-crypto — a vítima envia um PIX e os valores são convertidos em USDT numa exchange [1]. Esse padrão é, do ponto de vista investigativo, favorável: o comprovante de PIX identifica o CPF ou CNPJ do primeiro recebedor, e a blockchain da Tron permite reconstruir o fluxo. Segundo o FBI Internet Crime Complaint Center (IC3), as perdas com golpes envolvendo criptoativos reportadas nos Estados Unidos somaram US$ 5,6 bilhões em 2023 — alta de 45% sobre o ano anterior [2]. Diante desse volume, ter um roteiro claro é o que separa o inquérito que avança daquele que emperra.

O roteiro abaixo tem sete passos, da notícia-crime à constrição dos ativos. Ele não é infalível — há pontos em que o rastro pode se perder —, mas dá à autoridade a sequência que aproveita a janela inicial, quando os valores ainda não se dissiparam. As grandes operações policiais com criptoativos no Brasil mostram esse mesmo roteiro aplicado em escala.

O roteiro em sete passos

A sequência é lógica e cada etapa depende da anterior: sem preservar a prova não há rastreamento útil; sem rastrear não há a quem requisitar dados; sem identificar o destino não há o que constringir. As duas primeiras etapas costumam ser as mais negligenciadas — e são as que mais comprometem o resultado em juízo.

Passo 1 — Registre a notícia-crime e instaure o inquérito

Tudo começa com o registro da notícia-crime — o boletim de ocorrência — e a instauração do inquérito policial, nos termos dos arts. 5º e 6º do Código de Processo Penal [3]. O art. 6º impõe providências imediatas: preservar o estado das coisas e colher as provas disponíveis. Em golpes de USDT, isso significa orientar a vítima a não apagar nada — conversas, e-mails, comprovantes —, porque cada registro é vestígio. Onde houver núcleo especializado em crimes cibernéticos ou em ativos virtuais, é o momento de acionar o apoio técnico; onde não houver, a delegacia comum conduz a apuração.

Passo 2 — Preserve as provas e a cadeia de custódia

A prova digital é frágil e contestável: exige cadeia de custódia. Os arts. 158-A e seguintes do CPP, incluídos pela Lei nº 13.964/2019 (Pacote Anticrime), e a norma ISO/IEC 27037:2012 orientam como coletar e preservar o vestígio [4]. Na prática, registre o hash de cada transação (o TXID), capturas de tela com data e hora, a versão da ferramenta usada e os dados brutos verificáveis. Duas peças são a matéria-prima do rastreamento: do comprovante de PIX sai o CPF ou CNPJ do primeiro recebedor; do extrato ou print da transferência sai o TXID e o endereço de destino do USDT. Uma análise on-chain tecnicamente correta perde utilidade processual se a preservação falhar.

Passo 3 — Rastreie o USDT on-chain até a exchange de conversão

Com o endereço de destino em mãos, siga o dinheiro. Exploradores públicos — o TronScan, para USDT em TRC-20 — revelam a existência e o encadeamento das transações; ferramentas forenses, como Chainalysis e Arkham, aplicam heurísticas e cruzam bases para atribuir endereços. O objetivo é chegar à exchange onde o USDT foi depositado, convertido ou sacado: é ali o elo investigativo, porque a exchange mantém cadastro do titular. O GRINPA, guia de rastreamento patrimonial da ENCCLA, é uma referência das autoridades brasileiras no rastreamento patrimonial de ativos digitais.

Passo 4 — Requisite os dados cadastrais (KYC) à exchange

Identificada a exchange, requisite os dados cadastrais do titular. Em investigações de lavagem de dinheiro, o art. 17-B da Lei nº 9.613/98 autoriza o delegado ou o membro do Ministério Público a requisitar dados cadastrais diretamente à exchange, independentemente de ordem judicial prévia. A quebra do sigilo das movimentações, essa sim, segue o art. 1º, §4º, da Lei Complementar nº 105/2001 e exige autorização judicial — com a ressalva de que o enquadramento das exchanges nesse regime ainda é controvertido [5]. É a etapa que converte o pseudônimo on-chain na identidade real do investigado. Se a exchange for nacional, a requisição é direta; se estrangeira, o caminho é o Passo 7.

Passo 5 — Represente pela constrição dos ativos

Localizar não basta: é preciso travar os valores antes que se dissipem. No inquérito, o delegado representa ao juízo pela medida assecuratória de sequestro (art. 132 do CPP), cabível sobre o produto ou o proveito do crime — caso do USDT desviado. O Superior Tribunal de Justiça já reconheceu, no REsp 2.127.038, relatado pelo Ministro Humberto Martins na Terceira Turma, que criptoativos “têm valor econômico e são suscetíveis de restrição” e que o juízo pode oficiar corretoras para localizá-los e penhorá-los [6]. Trata-se de decisão em execução civil, mas a lógica — cripto é alcançável via corretora — é a que o juízo criminal replica no sequestro. Deferida a medida, o Judiciário conta hoje com o CriptoJud, sistema do CNJ (Programa Justiça 4.0) lançado em 2025, que transmite a ordem de bloqueio diretamente às exchanges nacionais cadastradas, à semelhança do SisbaJud para contas bancárias [7]. Há, ainda, um diferencial do USDT: por ser stablecoin centralizada, pode ser congelado pela própria Tether. Segundo a empresa, ela já cooperou com mais de 340 agências de aplicação da lei em 65 países e congelou bilhões de dólares em USDT a pedido de autoridades [8].

Passo 6 — Defina a competência: Polícia Civil ou Federal

Um golpe de cripto pode ser de atribuição da Polícia Civil ou da Polícia Federal, e definir isso cedo evita meses perdidos. Regra prática: um golpe pontual, sem oferta pública de investimento, tende a configurar estelionato (art. 171 do Código Penal) — competência estadual, Polícia Civil. Já a captação pública de investimento em cripto que configure contrato de investimento coletivo (valor mobiliário) caracteriza crime contra o Sistema Financeiro Nacional (Lei nº 7.492/86) — competência federal, Polícia Federal. O STJ enfrentou essa fronteira no CC 208.808/PR, relatado pelo Ministro Sebastião Reis Júnior [9]. O tema está detalhado na análise sobre pirâmides financeiras de criptoativos perante a PF.

Passo 7 — Acione a cooperação internacional quando o ativo sai do país

Se a exchange de conversão ou os ativos estão no exterior, entra a cooperação internacional. O caminho formal é o MLAT — os tratados de assistência jurídica mútua —, encaminhado pelo DRCI (Departamento de Recuperação de Ativos e Cooperação Jurídica Internacional) do Ministério da Justiça; seu prazo, de 3 a 18 meses, é incompatível com a velocidade de dissipação da cripto. Por isso, no começo da investigação, costuma ser mais eficaz o contato direto com os canais de law enforcement das exchanges globais, que cooperam de forma voluntária diante de pedidos documentados, somado ao pedido de congelamento à Tether. A adesão do Brasil à Convenção de Budapeste, em 2023, reforçou os canais de preservação de dados digitais [10].

Onde o rastro pode se perder

Nenhum roteiro é infalível, e apresentá-lo como tal seria desonesto. A rastreabilidade do USDT tem limites: a conversão para Monero interrompe o rastro on-chain no ponto da conversão — a rede oculta, por design, remetente, valor e destinatário; o uso de mixers (como o CoinJoin) o torna muito mais difícil de seguir, ainda que não impossível, porque desmisturar é mais caro e incerto, não inviável; e, no caso das pontes entre redes (bridges), a trilha não se interrompe: ela apenas migra para outra blockchain. O CriptoJud, por sua vez, só alcança exchanges brasileiras cadastradas — cripto em carteira autocustodiada ou em plataforma estrangeira escapa do sistema. Nesses casos, a apreensão física ganha peso: um enunciado do Centro de Inteligência da Justiça Federal orienta que a busca e apreensão de criptoativos em carteira autocustodiada deve determinar a transferência imediata dos ativos para uma carteira controlada pelo Estado, no ato da diligência — apreender apenas o dispositivo, sem a transferência, é medida insuficiente [11]. E há o obstáculo prático: sem a chave privada ou a seed, o ativo fica visível, mas irrecuperável. A Polícia Civil de Santa Catarina já realizou apreensões de USDT autocustodiado com essa transferência imediata para endereço do Estado [12].

Considerações finais

Investigar um golpe em USDT é, antes de tudo, uma corrida contra a dissipação. O roteiro — instaurar o inquérito, preservar a prova, rastrear on-chain, requisitar o KYC, constringir, definir a competência e cooperar no exterior — aproveita a janela inicial, quando os valores ainda estão ao alcance. Entende-se que a força de cada passo está na qualidade da prova que o sustenta: quanto mais íntegra a cadeia de custódia, mais útil o rastreamento em juízo.

É nesse ponto que a forense blockchain privada complementa a autoridade. O assistente técnico atua nos termos do art. 159, §3º, do CPP — produz parecer que instrui, mas não substitui, o trabalho do delegado e do perito oficial. A Chainspect realiza esse tipo de rastreamento e disponibiliza assistência técnica especializada e um diagnóstico preliminar de viabilidade — evidência com validade jurídica, não promessa de resultado. É o mesmo arranjo que se observa nas grandes operações: rastrear, documentar e travar é o que transforma a suspeita em prova — tema que analisei no livro Bitcoin e Lavagem de Dinheiro [13].

Perguntas frequentes

Sou delegado: como investigo um golpe em USDT?

Registre a notícia-crime e instaure o inquérito; preserve as provas (comprovante de PIX, TXID, endereço e prints) com cadeia de custódia; rastreie o USDT on-chain até a exchange de conversão; requisite os dados cadastrais (KYC) à exchange, com base no art. 17-B da Lei 9.613/98; represente pela constrição dos ativos; e defina se a competência é da Polícia Civil ou da Polícia Federal. Se os valores saírem do país, acione a cooperação internacional.

É possível bloquear o USDT de um golpe durante a investigação?

Sim. O delegado representa ao juízo pela medida assecuratória de sequestro (art. 132 do CPP). Deferida, o Judiciário conta com o CriptoJud, do CNJ, que transmite a ordem de bloqueio às exchanges nacionais cadastradas. O STJ, no REsp 2.127.038, já reconheceu que criptoativos são suscetíveis de restrição. Como o USDT é stablecoin centralizada, a própria Tether também pode congelar endereços a pedido de autoridade.

Golpe com cripto é investigado pela Polícia Civil ou pela Polícia Federal?

Depende do enquadramento. Um golpe pontual, sem oferta pública de investimento, tende a configurar estelionato (art. 171 do Código Penal) — competência da Polícia Civil. Já a captação pública de investimento em cripto que configure contrato de investimento coletivo caracteriza crime contra o Sistema Financeiro Nacional (Lei nº 7.492/86) — competência da Polícia Federal.

O que fazer quando o golpista guardou a cripto em carteira própria?

Em carteira autocustodiada, o CriptoJud não alcança os ativos. A saída é a busca e apreensão que determine a transferência imediata dos criptoativos para uma carteira controlada pelo Estado, no ato da diligência — apreender apenas o dispositivo é insuficiente. Sem a chave privada ou a seed, porém, o ativo fica visível, mas irrecuperável.

A rastreabilidade da blockchain garante identificar o autor?

Não. O USDT é rastreável, mas a conversão para Monero interrompe o rastro on-chain, e um mixer o torna muito mais difícil de seguir. Exchanges estrangeiras e negociações P2P sem KYC também dificultam a identificação. Rastrear é uma condição importante da investigação, não uma garantia de resultado.