Operação Cripto-Quimera: isca de cripto, acesso remoto e a fronteira entre estelionato e furto

Segundo a Polícia Civil de Goiás (PCGO), a Operação Cripto-Quimera, deflagrada em 28 de outubro de 2026, nasceu de um golpe de março de 2023 contra uma vítima de Goiânia. O falso investimento em criptomoedas foi a isca, e, pelo controle remoto do celular da vítima, o grupo investigado fez transferências bancárias que movimentaram R$ 477.083,79 em 24 horas.

A operação foi coordenada pelo Grupo de Repressão a Estelionato e Outras Fraudes (GREF), da Deic, com apoio do Ministério da Justiça e Segurança Pública e das polícias civis de São Paulo e do Piauí. Os 14 mandados de prisão temporária e os 19 de busca e apreensão tinham como alvo Parnaíba (PI) e quatro cidades paulistas: São Paulo, Guarulhos, Osasco e Guarujá. Segundo a Secretaria da Segurança Pública do Piauí (SSP-PI), seis pessoas foram presas no estado. Do valor movimentado, R$ 226.978,46 foram estornados, e o prejuízo efetivo ficou em R$ 250.105,33. A operação visa ainda o sequestro de cerca de R$ 250 mil em bens e valores, teto da medida, e não quantia bloqueada.

Para a polícia, os investigados responderão, na medida de suas responsabilidades, por fraude eletrônica (art. 171, §2º-A, do Código Penal), associação criminosa (art. 288) e lavagem de dinheiro (art. 1º da Lei nº 9.613/1998). É leitura provisória: o caso está em inquérito, a imputação cabe ao Ministério Público, se houver denúncia, e a prisão temporária é medida de investigação, não juízo de culpa.

Como o golpe funcionou, segundo a polícia

A sequência descrita pela PCGO serve de alerta. O perfil de rede social de alguém do círculo de confiança da vítima foi invadido e usado para oferecer investimento em criptomoedas com "rentabilidade extraordinária e imediata". O contato seguiu com "supostos atendentes e supervisores de uma plataforma de investimentos", até o pedido decisivo: "instalar um aplicativo de suporte e acesso remoto em seu telefone celular", a pretexto de configurar uma carteira digital.

Depois, segundo a polícia, os valores passaram por contas de empresas "recém-constituídas ou de fachada" e foram fragmentados para uma segunda rede, em outros estados, com "dezenas de microtransações", transferências circulares e saques em espécie. Em todas as etapas o dinheiro corre por bancos: a cripto aparece só na promessa, e a carteira digital, só no pretexto. Nem o art. 171-A do Código Penal, criado pelo Marco Legal dos Criptoativos para fraudes com ativos virtuais, alcançaria o caso: a Lei nº 14.478/2022 só entrou em vigor em 20 de junho de 2023, depois do fato.

Quem fez as transferências: estelionato ou furto?

O ponto jurídico central está numa frase da nota: "A partir do controle remoto do aparelho, o grupo realizou diversas transferências bancárias em um intervalo de 24 horas". Segundo a polícia, a vítima foi enganada para instalar o aplicativo, e quem transferiu foi o grupo. O critério usual, exposto no artigo sobre estelionato por fraude eletrônica, separa duas situações: no estelionato, a vítima é induzida a erro e transfere ela mesma os valores; no furto mediante fraude eletrônica (art. 155, §4º-B), o agente os subtrai sem a colaboração consciente dela.

As duas leituras se sustentam. A favor da capitulação policial, o §2º-A, na redação de 2021 aplicável ao fato, cobre a fraude cometida com informações fornecidas pela vítima ou por terceiro induzido a erro por meio de redes sociais ou meio análogo, e houve engano por rede social. Do outro lado, a vítima entregou o acesso, e não os valores: cada transferência partiu do agente, e o §4º-B trata do furto mediante fraude cometido "por meio de dispositivo eletrônico ou informático, conectado ou não à rede de computadores, com ou sem a violação de mecanismo de segurança". Nenhuma fonte do caso resolve a questão.

Por que a fronteira importa num fato de 2023

Desde 4 de maio de 2026, a Lei nº 15.397/2026 elevou a pena do furto mediante fraude eletrônica para 4 a 10 anos e revogou a exigência de representação no estelionato. Lei penal mais grave não retroage: para o fato de março de 2023, os dois tipos têm a mesma pena, de 4 a 8 anos de reclusão, e a fronteira muda duas outras coisas.

A primeira é a representação criminal. Para fatos até 3 de maio de 2026, o estelionato seguia o §5º do art. 171, incluído pela Lei nº 13.964/2019: "Somente se procede mediante representação", salvo exceções como a da vítima maior de 70 anos. O furto, fora as hipóteses familiares do art. 182 do Código Penal, não depende de representação. As notas não dizem se a vítima representou; num golpe antigo, porém, é a escolha do tipo que decide se isso era necessário.

A segunda é o foro. O art. 70, §4º, do Código de Processo Penal fixa a competência pelo domicílio da vítima nos "crimes previstos no art. 171" do Código Penal, quando praticados, entre outros meios, "mediante transferência de valores". A letra da regra fala só do estelionato: se o caso for tratado como furto, ela deixa de ser o fundamento do foro.

O que a vítima de um golpe assim pode fazer

Quem percebe ter instalado um aplicativo de acesso remoto a pedido de um suposto atendente deve, primeiro, desconectar o aparelho da internet, o que corta o controle sem apagar provas. Depois, avisar o banco pelo canal oficial, pedir o bloqueio e a contestação das transações e guardar o protocolo; se houve Pix, pedir também o Mecanismo Especial de Devolução (MED). Em seguida, capturar as conversas, o perfil usado no contato e os comprovantes, remover o aplicativo, trocar as senhas por outro dispositivo e registrar o boletim de ocorrência. O guia de primeiros socorros após um Pix para falso investimento em cripto detalha cada passo.

A relação com o banco é outra questão, cível, e o resultado depende da prova de cada caso. Em outubro de 2025, a Terceira Turma do Superior Tribunal de Justiça (STJ) mandou um banco ressarcir integralmente uma cliente que, induzida por falso funcionário, instalou um aplicativo no celular, porque a culpa concorrente só cabe quando a vítima "assume e potencializa, de forma consciente, o risco de sofrer dano" (REsp 2.220.333). Em maio de 2026, a mesma Turma afirmou que a responsabilidade objetiva pressupõe que o evento seja "inerente ao serviço bancário prestado, configurando fortuito interno", e manteve afastada a do banco num golpe da falsa central em que as transferências não destoavam do histórico da cliente e a maior foi feita por ela, na agência (REsp 2.209.868).

Considerações finais

A Operação Cripto-Quimera descreve um golpe em que a criptomoeda foi só a isca: o dinheiro correu por bancos, e as transferências, segundo a polícia, partiram do grupo, por acesso remoto. Num fato de 2023, isso põe o caso na fronteira entre estelionato e furto mediante fraude eletrônica, com efeito sobre a representação e o foro. Entende-se que a pergunta segue aberta, e cabe ao Ministério Público e ao Judiciário respondê-la. Para quem lê, a lição é mais simples: nenhum investimento legítimo exige entregar o controle do próprio celular.

Perguntas frequentes

O que foi a Operação Cripto-Quimera?

Segundo a Polícia Civil de Goiás, é uma operação deflagrada em 28 de outubro de 2026, com 14 mandados de prisão temporária e 19 de busca e apreensão no Piauí e em São Paulo. Ela nasceu de um golpe de março de 2023 contra uma vítima de Goiânia, com R$ 477.083,79 movimentados em 24 horas e prejuízo efetivo de R$ 250.105,33. Segundo a SSP-PI, seis pessoas foram presas no Piauí.

Quando as transferências são feitas por acesso remoto ao celular da vítima, é estelionato ou furto?

Há duas leituras. A capitulação policial do caso é estelionato por fraude eletrônica (art. 171, §2º-A, do Código Penal), e há base para ela: a vítima foi enganada e entregou o acesso ao aparelho. A outra leitura vê furto mediante fraude eletrônica (art. 155, §4º-B), porque ela entregou o acesso, e não os valores. A imputação cabe ao Ministério Público, se houver denúncia.

O que fazer depois de instalar um aplicativo de acesso remoto a pedido de um suposto atendente?

Desconectar o aparelho da internet, avisar o banco pelo canal oficial, pedir o bloqueio e a contestação das transações, preservar conversas e comprovantes, remover o aplicativo, trocar as senhas por outro dispositivo e registrar boletim de ocorrência. Em golpes anteriores a 4 de maio de 2026 enquadrados como estelionato, a representação da vítima ainda é condição para a ação penal.