KYC de exchange e ordem judicial: que dados a corretora fornece

Uma exchange que opera no Brasil é obrigada por lei a guardar, sobre cada cliente, a identificação cadastral (documento, CPF, endereço e, em regra, uma selfie), o histórico de transações, os endereços de depósito e de saque, os IPs de acesso e as contas bancárias vinculadas. Ela fornece esses dados à investigação por ordem judicial — com uma exceção que faz diferença na prática: os dados apenas cadastrais podem ser requisitados diretamente pela autoridade policial e pelo Ministério Público, sem passar pelo juiz.

A pergunta tem, na verdade, duas metades: o que a corretora guarda e o que ela entrega — e a quem. Ela guarda porque a lei a obriga: é na exchange que o endereço pseudônimo da blockchain encontra uma pessoa de carne e osso, com nome e CPF. Uma transação de bitcoin ou de USDT é pública e rastreável, mas não traz identidade; o cadastro da corretora é o elo que a revela. Segundo o FBI Internet Crime Complaint Center (IC3), as perdas com fraudes envolvendo criptoativos reportadas nos Estados Unidos chegaram a US$ 9,3 bilhões em 2024 — alta de 66% sobre o ano anterior [1]. No padrão brasileiro, em que a vítima envia um PIX e os valores viram cripto numa exchange, é esse cadastro que a Justiça alcança.

O que a exchange guarda — e por que a lei a obriga

O ponto de partida é entender que essa guarda não é uma cortesia da plataforma, e sim uma imposição legal. A exchange que atua regularmente no país está sujeita às regras de prevenção à lavagem de dinheiro da Lei nº 9.613/98 e ao marco regulatório do Banco Central. Na abertura da conta, ela faz o KYC (do inglês Know Your Customer, "Conheça seu Cliente"): coleta e retém documento oficial, CPF, comprovante de endereço e, em muitos casos, uma selfie para conferência facial. Depois, registra cada operação — os valores, as datas, os endereços de depósito e de saque, os IPs de acesso e as contas bancárias usadas para a entrada e a saída de reais. É esse conjunto que, mais tarde, transforma um endereço on-chain em um titular identificável.

A base da obrigação está no art. 10 da Lei nº 9.613/98 [2], que manda as pessoas obrigadas identificar seus clientes e manter cadastro atualizado. A Resolução BCB nº 520, de 10 de novembro de 2025, reforçou o dever ao impor às corretoras procedimentos formais de KYC e um programa de prevenção à lavagem equivalente ao de uma instituição financeira. A mesma resolução introduziu, no art. 44, a chamada Travel Rule: em implementação escalonada, ela obriga a plataforma a coletar e transmitir informações sobre a origem e o destino das transferências de ativos virtuais. Em outras palavras, a exchange não só sabe quem é o cliente, como registra de onde vieram e para onde foram os valores. A ligação entre esse dever de identificar e guardar registros e a repressão à lavagem é tema do livro Bitcoin e Lavagem de Dinheiro [8].

Há ainda um prazo que interessa diretamente a quem investiga: a corretora deve conservar esses cadastros e registros por, no mínimo, cinco anos, contados do encerramento da conta ou da conclusão da transação — prazo que a autoridade competente pode ampliar. Some-se a isso o reporte ao Fisco: a exchange informa mensalmente à Receita Federal as operações de seus clientes, obrigação hoje regida pela chamada DeCripto (Instrução Normativa RFB nº 2.291/2025), que desde 1º de julho de 2026 substituiu a antiga IN 1.888/2019 [5]. Na prática, isso significa que mesmo um golpe de anos atrás costuma ter cadastro, histórico e declarações ainda disponíveis: a corretora é uma fonte de prova que não se apaga com o tempo.

O que a exchange fornece — e a quem

Guardar não é o mesmo que entregar a qualquer um. Aqui vale uma distinção que decide tudo: a diferença entre dado cadastral e dado de movimentação. O dado cadastral diz quem é o titular — qualificação, filiação, endereço, o KYC e a própria existência da conta. O dado de movimentação diz o que a conta fez — saldos, extrato, histórico de transações, endereços de depósito e de saque, IPs de acesso. Os dois não têm o mesmo regime. A movimentação equivale ao sigilo das operações financeiras e está sob reserva de jurisdição: só sai com ordem judicial. O dado cadastral, que apenas identifica o titular, recebe proteção menos intensa.

Essa diferença define também quem pode pedir cada coisa. O art. 17-B da Lei nº 9.613/98 autoriza o delegado de polícia e o Ministério Público a requisitar diretamente, sem ordem judicial, os dados cadastrais do investigado — qualificação, filiação e endereço. Esse é o atalho da autoridade. O advogado que patrocina a vítima não o tem: ele requer ao juízo que determine a quebra, tanto para o cadastral quanto, sobretudo, para a movimentação, que exige ordem judicial de qualquer requerente. E a ordem, quando expedida, chega à corretora nacional por uma via própria — o CriptoJud, sistema do Conselho Nacional de Justiça que transmite às exchanges as determinações de bloqueio, custódia e liquidação de criptoativos.

A corretora nacional é alcançável — e obrigada a cumprir

Uma corretora com CNPJ e autorização do Banco Central não é um destinatário simbólico de ofícios: é uma pessoa jurídica regulada, obrigada a responder. O Superior Tribunal de Justiça já reconheceu o alcance dessas ordens. Como assentou a Terceira Turma no REsp 2.127.038/SP, relatado pelo Ministro Humberto Martins e julgado em fevereiro de 2025, as criptomoedas, "apesar de não serem moedas de curso legal, têm valor econômico e são suscetíveis de restrição" — e, por isso, "o juízo pode enviar ofício às corretoras de criptoativos com o objetivo de localizar e penhorar" os valores do devedor [6]. Vale a precisão: trata-se de decisão de Turma, não de tese firmada em recurso repetitivo ou súmula — o entendimento é forte, mas ainda não é consolidação plena. O descumprimento de uma ordem judicial expõe a plataforma a responsabilização — assunto tratado na análise sobre a responsabilidade das exchanges perante o STJ.

Onde ancorar o pedido: ordem judicial, não "sigilo bancário"

Um cuidado técnico evita um erro comum. É tentador enquadrar a exchange como "instituição financeira" da Lei Complementar nº 105/2001 — a lei do sigilo bancário — e pedir a quebra com base nela. O problema é que esse enquadramento é juridicamente controvertido: o rol de instituições financeiras do art. 1º, §1º, da LC 105 não inclui as prestadoras de serviços de ativos virtuais [7]. Apoiar o pedido apenas nessa lei é construir sobre terreno instável. O alicerce mais firme é outro: a ordem judicial fundada no art. 5º, XII, da Constituição, combinada com a Lei nº 14.478/2022 — cujo art. 5º define a corretora como prestadora de serviços de ativos virtuais [3] — e com a condição de entidade regulada pelo Banco Central. É esse tripé que sustenta a exigência, sem depender de uma equiparação que a lei ainda não fez de forma expressa.

Exchange estrangeira: até onde a ordem brasileira alcança

O quadro muda quando a corretora fica fora do país. Contra uma exchange estrangeira sem sede no Brasil, o ofício direto pode simplesmente não ser cumprido: a ordem brasileira não se autoexecuta em outra jurisdição, e o caminho formal passa por cooperação internacional — os tratados de assistência mútua (MLAT) ou o pedido via DRCI —, que costuma levar meses. Duas ressalvas, porém, equilibram o cenário. A primeira: a janela está se fechando. Pelas Resoluções BCB de novembro de 2025, plataformas estrangeiras têm até 30 de outubro de 2026 para transferir operações e clientes a uma entidade brasileira, regulada e obrigada a cooperar [4]. A segunda: mesmo para a autoridade, o atalho do art. 17-B alcança apenas o dado cadastral — a movimentação sempre depende do juiz, aqui ou lá fora.

Considerações finais

A resposta à pergunta inicial, portanto, tem duas camadas. A exchange guarda muito — identidade, transações, endereços, IPs, contas bancárias — porque a lei de prevenção à lavagem e o Banco Central a obrigam a isso, por no mínimo cinco anos. E fornece esses dados de forma escalonada: o cadastral pode ir à autoridade sem ordem judicial; a movimentação, a ninguém sem o juiz. Entre saber que o dado existe e obtê-lo, há um passo técnico decisivo: descobrir para qual corretora os valores foram e quais endereços estão envolvidos. Sem isso, o pedido de quebra fica genérico e a corretora alega não ter como cumprir. É esse elo que o rastreamento on-chain fornece — a Chainspect produz o parecer que dá ao ofício um alvo concreto, instruindo o trabalho do advogado que conduz o caso. Para avaliar antes se o rastreamento é viável, o diagnóstico preliminar é o primeiro passo.

Uma ressalva honesta encerra o tema. Identificar o titular por trás de um endereço é prova, não devolução de valores. Os dados que a exchange fornece por ordem judicial permitem nomear, bloquear e processar — mas a recuperação depende de medidas posteriores e de patrimônio que exista ao final. Desconfie de quem promete recuperação garantida a partir de uma quebra de sigilo: é promessa que a técnica não autoriza e costuma ser a assinatura de um segundo golpe, aplicado sobre quem já foi vítima.

Perguntas frequentes

Que dados uma exchange guarda sobre seus clientes?

A identificação cadastral (documento, CPF, endereço e, em regra, uma selfie), o histórico de transações, os endereços de depósito e de saque, os IPs de acesso e as contas bancárias vinculadas. A guarda decorre das regras de KYC e de prevenção à lavagem de dinheiro (art. 10 da Lei nº 9.613/98 e Resolução BCB nº 520/2025).

A exchange fornece dados sem ordem judicial?

Só os dados cadastrais, e só à autoridade. O art. 17-B da Lei nº 9.613/98 permite ao delegado e ao Ministério Público requisitar qualificação, filiação e endereço sem ordem judicial. Os dados de movimentação (saldos, extrato, transações) estão sob reserva de jurisdição e sempre exigem ordem judicial; o advogado privado, mesmo para o cadastral, requer ao juízo.

Por quanto tempo a exchange é obrigada a guardar os dados?

No mínimo cinco anos, contados do encerramento da conta ou da conclusão da transação, conforme o art. 10 da Lei nº 9.613/98 — prazo que a autoridade competente pode ampliar. Por isso, mesmo um golpe antigo costuma ter cadastro e histórico ainda disponíveis na corretora.

A exchange estrangeira cumpre ordem judicial brasileira?

Nem sempre de forma direta. Contra uma plataforma sem sede no Brasil, o ofício pode depender de cooperação internacional (MLAT/DRCI), que é lenta. A janela, porém, está se fechando: pelas Resoluções BCB de 2025, plataformas estrangeiras têm até 30 de outubro de 2026 para transferir operações e clientes a uma entidade brasileira, regulada e obrigada a cooperar.