Ataque ao Mercado Bitcoin: o que o cliente pode e não pode exigir, e quem congelou o USDT

O Mercado Bitcoin foi vítima de um ataque identificado em 2 de novembro de 2026. Segundo nota da empresa reproduzida pela CNN Brasil, o valor dos ativos envolvidos era, naquele momento, de cerca de US$ 38 milhões, e cerca de US$ 11 milhões foram bloqueados com apoio de emissores e parceiros. A corretora suspendeu temporariamente o acesso aos serviços e afirma que o cliente não terá perda de ativos.

Quem congelou parte do valor desviado foram os emissores dos tokens, com a Tether à frente no USDT, e não a Chainalysis, apontada em manchetes como autora do bloqueio. Para o consumidor, o direito ao saldo não nasce da promessa da empresa: decorre do Código de Defesa do Consumidor, que independe de culpa.

As contagens de terceiros divergem: pelo menos US$ 46 milhões desviados, segundo a Arkham, e cerca de US$ 49 milhões, segundo a Chainalysis. A nota não diz se os US$ 38 milhões já descontam o valor bloqueado, e os números não devem ser somados nem subtraídos. Nenhum grupo foi associado ao ataque, segundo a Arkham. Até a noite de 2 de novembro, não havia data de reabertura.

Quem congelou: o emissor, não a empresa de análise

Segundo o blog da Chainalysis, um diretor do Mercado Bitcoin telefonou para a empresa, que levou às autoridades os endereços passíveis de bloqueio e falou diretamente com emissores como Paxos, Circle e Tether. O texto descreve o próprio papel como o de permitir que a Tether agisse e congelasse mais de US$ 9 milhões; no total, a Chainalysis diz ter ajudado a bloquear quase US$ 10 milhões. Antes, segundo o The Block, a Tether anunciara o bloqueio de mais de 4,5 milhões de USDT. É o mesmo bloqueio, contado em outro momento, e as cifras não se somam. Empresa de análise aponta endereços; quem trava o token é quem o emite, como explica o artigo sobre o freeze de USDT pela Tether.

O bitcoin e o ether não têm emissor. Segundo a Arkham, 104,43 BTC e 2.852 ETH saíram de carteiras quentes da corretora, isto é, conectadas à internet. Sem quem os trave na própria rede, só podem ser barrados quando chegarem a uma corretora, a uma mesa de balcão ou a um serviço de troca. Nenhuma fonte informou como, nem em que prazo, o valor bloqueado chega à corretora. E, diante da promessa de cobertura, o bloqueio reduz a perda da empresa, não a do cliente.

Daí uma consequência prática: o cliente não persegue a moeda, e sim o saldo. Os ativos saíram de carteiras da corretora, e tudo indica que quem tem a informação para buscá-los, com as autoridades, é ela, a vítima. Ao cliente cabe exigir o saldo, e o fundamento dessa exigência está na lei.

O que o cliente pode exigir

A Lei 14.478/2022 manda aplicar às operações do mercado de ativos virtuais, "no que couber", o Código de Defesa do Consumidor (art. 13). O CDC faz o fornecedor de serviços responder, "independentemente da existência de culpa", pelos danos causados por defeito do serviço, e o serviço é defeituoso quando "não fornece a segurança que o consumidor dele pode esperar" (art. 14, caput e § 1º). Cabe ao fornecedor provar que o defeito inexiste ou que a culpa é exclusiva do consumidor ou de terceiro (§ 3º).

O ataque de um terceiro afasta essa responsabilidade? A Súmula 479 do STJ trata fraudes e delitos praticados por terceiros como fortuito interno das instituições financeiras, e a Quarta Turma já a aplicou a uma plataforma de criptoativos no REsp 2.104.122/MG, em 2025, como registra o artigo sobre o que o STJ decidiu sobre exchanges. Não foi localizada decisão brasileira sobre ataque às carteiras da própria corretora: o debate está aberto.

O que a Resolução BCB 520 prevê, e a dúvida da transição

A Resolução BCB 520, norma do Banco Central para o setor, prevê mais: suporte com atendimento humano e "assistência e orientações" em caso de incidentes de segurança (art. 60, §§ 1º e 2º); contrato de custódia com os prazos de cada tipo de ordem do cliente, como saque e transferência, e os eventos que podem levar ao seu descumprimento (art. 73, XIV e XVII); e responsabilidade do custodiante pelas perdas, inclusive por "dificuldade ou impedimento de acesso" aos ativos, quando houver negligência, imperícia, imprudência ou dolo (art. 81).

Para a corretora que já operava e pediu autorização no prazo, porém, há uma fase de adequação, cujo calendário está no artigo sobre o prazo do Banco Central para as exchanges. Nela, a prestadora observa o art. 88 e as regras que a regulamentação "expressamente dirigir às instituições em fase de adequação" (§ 2º); só depois da manifestação do BC sobre a fase 1 do pedido "deve passar a observar plenamente" as normas (§ 3º). Não foi localizada regra que dirija os arts. 60, 73 e 81 a quem está em adequação: se já valem na transição é questão aberta, sem manifestação do BC.

A dúvida não é ausência de regra. O art. 88 já manda a corretora em transição comprovar, ao pedir a autorização, o atendimento das normas relativas à política de segurança cibernética e ao plano de resposta a incidentes (II, "b"), e enviar ao BC a posição de custódia de cada cliente (III, "c"). E o CDC vale de qualquer forma. Segundo a CoinDesk, o Mercado Bitcoin disse buscar autorização para operar como corretora de ativos virtuais; pedido não é autorização, e não há manifestação pública do BC sobre ele. Por isso, a régua vai aqui em abstrato.

O que o cliente não tem base para exigir

Não se encontra, na lei nem na Resolução BCB 520, direito a saque imediato durante suspensão preventiva: o prazo de cada tipo de ordem fica no contrato. Também não há base para indenização automática pela suspensão em si, porque o art. 81 exige culpa, e o CDC, defeito e dano. Nem para cobertura do Fundo Garantidor de Créditos, cuja ausência a resolução manda a prestadora indicar de forma explícita (art. 68).

Em tese, suspender depósitos e saques depois de um ataque é o dever de segurança funcionando, e não defeito: faz parte da segurança que, pelo § 1º do art. 14 do CDC, o consumidor pode esperar. O dano só entra em discussão se a suspensão se prolongar sem justificativa ou sem informação, e então a régua passa a ser o contrato e, com a dúvida da transição, o art. 81.

A promessa e o direito

A formulação da empresa mudou ao longo de 2 de novembro. No primeiro comunicado no X, no passado: "Não houve nenhum prejuízo aos clientes". Na publicação da noite, no futuro: "o Mercado Bitcoin assegura que você não terá nenhuma perda de ativos em razão do incidente de segurança". Segundo a Bloomberg, citada pela PYMNTS, a empresa disse que absorverá a perda.

Para o consumidor, a promessa reforça um direito que já decorre da lei. Ela não trata do que o cliente deixou de fazer enquanto o acesso esteve suspenso, como vender ou transferir, e pesa mais para quem não é consumidor, como a pessoa jurídica sem vulnerabilidade ou o investidor profissional, para quem contrato e culpa podem ser a régua efetiva. Se a declaração dirigida a "você", sem distinção, alcança também esse cliente, o texto da empresa não diz.

Considerações finais

A promessa de absorver a perda é compromisso público do Mercado Bitcoin, vítima do ataque. O direito do cliente, porém, não depende dela: vale em qualquer corretora e em qualquer incidente. Entende-se que, enquanto o Banco Central não se manifestar sobre os pedidos em curso, a régua segura do consumidor é o Código de Defesa do Consumidor, e não a Resolução BCB 520. E, num ataque desse tipo, quem congela é o emissor: a análise on-chain aponta os endereços, mas não trava o token.

Perguntas frequentes

Quem congelou os valores desviados do Mercado Bitcoin?

Os emissores dos tokens, com a Tether à frente no USDT. A Chainalysis diz ter levado os endereços às autoridades e aos emissores e ajudado a bloquear quase US$ 10 milhões; a corretora informou cerca de US$ 11 milhões bloqueados. O bitcoin e o ether não têm emissor que possa congelá-los.

O cliente pode exigir saque imediato depois de um ataque à corretora?

Não há base para isso na lei nem na Resolução BCB 520, que prevê que o contrato de custódia fixe o prazo de cada tipo de ordem. O que a lei assegura ao consumidor é a reparação do dano causado por defeito do serviço, independentemente de culpa.

A promessa da corretora de cobrir as perdas é a base do direito do cliente?

Para o consumidor, não. O direito ao saldo decorre do Código de Defesa do Consumidor, aplicável ao setor pela Lei 14.478/2022. A promessa reforça esse direito, mas fala em perda de ativos e não trata do período em que o acesso esteve suspenso.