Monitoramento de carteiras: acompanhar fundos de golpe ao vivo

Sim, dá para monitorar em tempo real a carteira para onde foram os valores de um golpe e ser alertado no instante em que o dinheiro se move. A blockchain é pública e liquida transações em segundos: as ferramentas de monitoramento emitem o alerta assim que o endereço vigiado se movimenta — quase sempre quando o golpista tenta sacar numa corretora.

Há, porém, uma distinção que este artigo trata como central: monitorar gera o alerta e a evidência, não a devolução do dinheiro. O alerta habilita um ato — identificar quem sacou ou congelar o ativo —, mas cada ato depende de outros atores. De que esse "agir quando ele se move" funciona em escala há prova concreta: a T3 Financial Crime Unit — parceria entre a Tether, a rede Tron e a empresa de análise TRM Labs — já congelou mais de US$ 450 milhões em criptoativos ilícitos desde 2024, com 43,9% mais recursos interceptados em 2025 do que no ano anterior, e afirma executar bloqueios em até 24 horas a partir do pedido de uma autoridade [1][2].

O que é monitorar uma carteira ao vivo

Monitorar uma carteira é manter uma vigília contínua sobre um ou mais endereços, de modo que qualquer movimentação dispare um aviso imediato. É diferente de rastrear. O rastreamento reconstrói o caminho que os valores já percorreram — um retrato do passado, tirado a partir de um dado que a vítima tem em mãos. O monitoramento olha para a frente: coloca o endereço sob observação e espera o próximo passo do golpista.

A viabilidade técnica vem da própria natureza da blockchain. Como descreve a Chainalysis, referência de mercado em análise on-chain, as transações liquidam "em segundos a minutos", o que torna insuficiente qualquer revisão feita apenas depois do fato; por isso o monitoramento em tempo real "avalia as transações à medida que elas ocorrem" [3]. Na prática, é o mesmo princípio da forense blockchain — ler um registro público e permanente —, só que aplicado de forma prospectiva, com um alarme armado.

A tese da "carteira parada"

O monitoramento ao vivo faz mais sentido diante de um padrão comum: os valores de um golpe frequentemente ficam estagnados. Depois de receber o cripto, o golpista costuma deixá-lo parado por dias ou semanas numa carteira própria — seja para "esfriar" o rastro, seja porque ainda não encontrou como converter o montante sem chamar atenção. Enquanto os fundos ficam ali, há pouco o que fazer: uma carteira de autocustódia não tem cadastro, não responde a ofício e não pertence a nenhuma empresa a quem pedir dados. No Brasil, esses valores em geral chegaram à carteira depois de um PIX convertido em cripto, e agora aguardam o próximo movimento.

É por isso que o momento decisivo não é quando o dinheiro chega, e sim quando ele torna a sair. Golpista nenhum quer ficar com cripto parado indefinidamente: cedo ou tarde, precisa transformar o valor em algo utilizável, e para sacar quase sempre passa por uma corretora. O monitoramento existe para cronometrar esse instante — não apenas "ver" a carteira, mas estar pronto quando ela se mexer. No Brasil, o ativo vigiado é quase sempre o USDT na rede Tron — combinação que também aparece como meio preferencial de fraude e lavagem no relatório de 2024 do Escritório das Nações Unidas sobre Drogas e Crime (UNODC), ainda que o recorte de lá seja o Leste e o Sudeste Asiático [6]. Em escala global, as stablecoins responderam por 63% de todo o volume ilícito on-chain em 2024, segundo a Chainalysis [7]. O mesmo raciocínio de seguir o fluxo do USDT até a corretora se aplica.

Como o alerta funciona na prática

Tecnicamente, o monitoramento parametriza gatilhos. Um sistema de KYT (a sigla em inglês para "conheça sua transação") dispara alerta por critérios como o valor movimentado, a velocidade das transferências, a jurisdição envolvida e, sobretudo, a exposição do endereço a carteiras já sinalizadas — as de fraude, os serviços de mistura (mixers) e os endereços sancionados [3]. Ferramentas de análise como a Elliptic e a TRM Labs descrevem notificações que chegam "em segundos" — por webhook ou até por um bot de Telegram — quando a carteira vigiada executa uma troca ou envia fundos para uma corretora [4].

O objetivo do alerta não é a curiosidade, e sim a ação. Ele destaca dois sinais especialmente úteis: o depósito dos valores numa corretora — o ponto de saque — e os padrões de fracionamento (o chamado layering), em que o montante é quebrado e distribuído por vários endereços para embaralhar o caminho. Essa técnica de ocultação, que analiso no livro Bitcoin e Lavagem de Dinheiro, não apaga o rastro: cada salto continua registrado, e o monitoramento acompanha a dispersão em tempo real [8].

Monitorar habilita dois atos — e nenhum é automático

Vigiar só tem valor se existir um ato possível quando o alvo se mexe. São basicamente dois. O primeiro é a identificação: quando os fundos entram numa corretora sujeita a KYC, abre-se a janela para ligar o endereço a uma pessoa real. A corretora guarda nome e CPF de quem sacou, dados acessíveis por ordem judicial — foi nesse sentido que o STJ tratou o dever de cooperação das corretoras. Como esse pedido formal se estrutura é assunto de como as autoridades rastreiam e requisitam os dados.

O segundo ato é o congelamento. No caso do USDT, a Tether — empresa emissora do token — tem poder técnico para congelar valores em endereços específicos. Em 23 de abril de 2026, congelou US$ 344 milhões em USDT na rede Tron, em coordenação com o OFAC e autoridades dos Estados Unidos [5]. É o mesmo mecanismo que a T3 Financial Crime Unit usa para bloquear em até 24 horas a partir de um pedido de autoridade [2]. O funcionamento desse congelamento operacional do USDT — quem aciona, como e com que limites — é tema à parte.

Um alerta bem cronometrado é o que separa esses atos do "tarde demais". Ainda assim, nenhum é automático. A T3 coopera com autoridades no mundo todo, mas, no Brasil, o caminho não parte de um pedido direto da vítima: o bloqueio depende sempre de uma corretora — com ordem judicial, hoje transmitida às exchanges nacionais pelo CriptoJud, sistema do Conselho Nacional de Justiça — ou da emissora do token, acionadas por uma autoridade ou pela Justiça, com cooperação internacional quando o alvo está no exterior. O monitoramento entrega o aviso e a evidência; ver o dinheiro sair cria a chance de agir a tempo, não a garantia de travá-lo.

Os limites: monitorar não é congelar nem recuperar

Aqui está a fronteira que nenhum trabalho sério ultrapassa. Rastrear, bloquear e recuperar são etapas diferentes, com atores diferentes — e monitorar fica na primeira delas, a da prova. Há três limites que precisam ser ditos com todas as letras.

Primeiro, os fundos parados podem nunca se mover, ou mover-se para onde a ação não alcança: uma carteira de autocustódia mantida inerte, um mixer — que embaralha o fluxo sem apagá-lo, mas a ponto de tornar o próximo passo incerto — ou uma moeda de privacidade como o Monero, que encerra a trilha. O alerta dispara, mas o ato pode não ser viável. Uma ponte entre redes (bridge) é caso distinto: não apaga o rastro, apenas o desloca para outra blockchain, onde a vigília precisa prosseguir. Segundo, ver o valor se mexer em tempo real não revela, por si, quem é o dono — a atribuição continua dependendo do ponto de identificação, quase sempre a corretora. Terceiro, e mais importante: congelar não é recuperar. Um congelamento imobiliza o ativo; não o transfere para a vítima. A destinação final depende de decisão judicial e pode ser longamente disputada — o próprio congelamento de US$ 344 milhões passou a ser objeto de disputa judicial noticiada, com diferentes interessados reivindicando os valores.

Essa honestidade é também uma defesa. É justamente a promessa de "recuperação garantida" — agora repaginada como "monitoramento que devolve o dinheiro" — que caracteriza o golpe de recuperação, o segundo golpe aplicado sobre quem já foi vítima. Desconfie de quem cobra taxa antecipada com garantia de resultado. O que o monitoramento entrega é oportunidade e prova, não a devolução — que, quando ocorre, passa pela apreensão e recuperação pela via judicial.

Quando o monitoramento faz sentido

Nem todo caso justifica uma vigília contínua. Ela costuma fazer sentido em duas situações. Para a vítima de um prejuízo relevante, quando o rastreamento inicial mostrou que os valores estão parados numa carteira identificável e ainda ao alcance de um ato — aí o monitoramento transforma a espera em prontidão. Para o advogado, ele alimenta a assistência técnica com o dado do momento certo: a evidência de que os fundos se moveram, e para onde, é o que sustenta o pedido de bloqueio ou de quebra de sigilo na hora em que ele tem mais chance de surtir efeito. Esse encadeamento, do ponto de vista de quem atua no processo, está reunido no guia sobre fraudes com criptoativos.

Em ambos os casos, o tempo joga contra. Como as primeiras 72 horas após o golpe concentram as melhores oportunidades, o ideal é preservar cedo o identificador da transação (o TXID), os endereços e os comprovantes — e, se o caso reunir valor e complexidade que o justifiquem, colocar a carteira sob observação. A Chainspect realiza esse tipo de rastreamento e monitoramento e produz o parecer técnico correspondente; quem quer avaliar as condições técnicas do próprio caso pode começar pelo diagnóstico preliminar.

Considerações finais

Monitorar a carteira de um golpista é, antes de tudo, transformar a transparência da blockchain numa vantagem de tempo: em vez de olhar só para o passado, arma-se um alarme para o futuro e ganha-se a chance de agir no exato momento em que os fundos parados voltam a se mover. É uma ferramenta poderosa quando existe um ato possível do outro lado — a identificação numa corretora ou o congelamento do token — e quando a vigília é convertida em evidência preservada.

Entende-se, porém, que o valor do monitoramento está em criar oportunidade e prova, não em prometer resultado. Ele não congela por conta própria, não devolve o dinheiro e não dispensa a decisão judicial que, ao final, define o destino dos valores. Para a vítima e para o advogado, o passo mais produtivo continua sendo o de sempre: preservar cedo a prova, entender que rastrear, bloquear e recuperar são coisas distintas e agir com método — porque, no monitoramento, quem chega preparado ao instante certo é quem tem a chance de aproveitá-lo.

Perguntas frequentes

Dá para monitorar ao vivo a carteira de um golpista?

Sim. Como a blockchain é pública e liquida transações em segundos, ferramentas de monitoramento acompanham um endereço em tempo real e disparam alerta no instante em que ele se movimenta. O limite não é ver o movimento: é que o alerta, sozinho, não bloqueia nem devolve os valores — ele apenas habilita um ato, como a identificação numa corretora ou o congelamento, que depende de outros atores.

Qual a diferença entre monitorar e rastrear uma carteira?

Rastrear é reconstruir o caminho que os valores já percorreram — um retrato do passado. Monitorar é manter uma vigília sobre o endereço para o futuro, sendo avisado assim que ele voltar a se mexer. O rastreamento costuma vir primeiro e aponta a carteira a vigiar; o monitoramento entra quando os fundos ficam parados e se quer agir no momento em que eles finalmente se movem.

O que acontece quando os fundos parados finalmente se movem?

Em geral o golpista tenta converter ou sacar os valores, e isso costuma passar por uma corretora. É o momento mais útil: ao chegar a uma corretora sujeita a KYC, abre-se a janela para identificar quem sacou, por ordem judicial, e para pedir o bloqueio. Enquanto os fundos ficam numa carteira própria de autocustódia, não há a quem pedir dados.

Monitorar a carteira garante que eu recupere o dinheiro?

Não. Monitorar produz o alerta e a evidência, não a devolução. Mesmo o congelamento de um ativo apenas o imobiliza — a restituição depende de decisão judicial e nem sempre acontece. Desconfie de quem promete monitoramento que devolve o dinheiro ou cobra taxa antecipada com garantia de resultado: é o padrão do golpe de recuperação.

A vítima consegue congelar o USDT sozinha?

Não. A Tether, emissora do USDT, congela endereços mediante pedido de autoridades, ordem judicial ou sanções — não a pedido isolado da vítima. O caminho realista passa por registrar o caso na autoridade, documentar o fluxo com um parecer técnico e obter a medida judicial. O congelamento operacional do USDT é detalhado no artigo sobre o freeze da Tether.