Responsabilidade de exchanges por golpes com criptoativos: o que diz o STJ

Sim, a exchange pode responder pelo golpe sofrido pelo cliente — e o Superior Tribunal de Justiça já decidiu nesse sentido. No REsp 2.104.122, a Quarta Turma aplicou responsabilidade objetiva a uma plataforma de criptoativos por uma transferência fraudulenta, colocando sobre a própria empresa o ônus de demonstrar que seus controles de segurança funcionaram.

Segundo o FBI Internet Crime Complaint Center (IC3), as perdas com golpes envolvendo criptoativos reportadas nos Estados Unidos chegaram a US$ 11,4 bilhões em 2025 — alta de 22% sobre o ano anterior [1]. No Brasil, a maior parte dos casos que chegam para análise segue o mesmo desenho: a vítima envia um PIX e os valores são convertidos em criptoativos numa corretora. É por isso que a plataforma ocupa posição central na discussão — ela é o ponto de passagem entre o sistema financeiro tradicional e a blockchain, e é onde existe um cadastro com nome e CPF.

O precedente central: REsp 2.104.122 e a Súmula 479

Em 2025, a Quarta Turma do STJ, sob relatoria da Ministra Isabel Gallotti, julgou o caso de um cliente que perdeu 3,8 bitcoins — cerca de R$ 200 mil à época dos fatos — em uma transferência que alegou não ter autorizado. A plataforma sustentou que a operação fora concluída com login, senha e dupla autenticação, e que eventual fraude seria obra de terceiro [2].

O tribunal não acolheu a tese. O ponto decisivo foi outro: a plataforma não comprovou que seu próprio protocolo de segurança havia funcionado — em particular, não apresentou o e-mail de confirmação que a operação deveria ter gerado. Aplicou-se a Súmula 479 do STJ, segundo a qual “as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias” [3].

A lição prática para o advogado é a inversão do eixo da discussão. Não se trata de a vítima provar que a plataforma foi negligente, e sim de a plataforma provar que não foi. Fraude praticada por terceiro contra a estrutura do serviço é fortuito interno — risco da atividade, não do consumidor.

Por que a plataforma é tratada como instituição financeira

Para chegar à Súmula 479, o STJ precisou equiparar a plataforma de criptoativos a instituição financeira. Fez isso pelo artigo 17 da Lei nº 4.595/1964 — dispositivo de natureza regulatória e civil, que considera instituições financeiras as pessoas jurídicas que tenham como atividade principal ou acessória “a coleta, intermediação ou aplicação de recursos financeiros próprios ou de terceiros” e a custódia de valor de propriedade de terceiros.

Convém não confundir esse enquadramento com o do Marco Legal dos Criptoativos. A Lei nº 14.478/2022 também equiparou as prestadoras de serviços de ativos virtuais a instituições financeiras, mas para fins penais, ao acrescentar o inciso I-A ao parágrafo único do artigo 1º da Lei nº 7.492/86 [4]. São duas portas distintas para a mesma conclusão prática: quem intermedeia criptoativos não está num vácuo regulatório.

Desse enquadramento decorre a incidência do Código de Defesa do Consumidor, pela lógica da Súmula 297 do STJ (“o Código de Defesa do Consumidor é aplicável às instituições financeiras”) [5]. É importante registrar, contudo, que o REsp 2.104.122 é decisão de Turma — sinaliza uma direção consistente, mas não equivale a tese firmada em recurso repetitivo. Trata-se de orientação em consolidação, não de matéria pacificada.

As obrigações de compliance que sustentam a tese da falha

A responsabilização ganha densidade quando confrontada com o que a lei já exige das plataformas. As prestadoras de serviços de ativos virtuais integram o rol de pessoas obrigadas do artigo 9º da Lei nº 9.613/98, no qual foram incluídas pelo artigo 12 da Lei nº 14.478/2022 [4]. Disso decorrem deveres concretos: identificação de clientes (KYC), manutenção de cadastro e registro de operações, monitoramento de transações atípicas e comunicação de operações suspeitas ao COAF.

A Resolução BCB nº 520/2025, em vigor desde fevereiro de 2026, adensou esse arcabouço: exige autorização do Banco Central para operar, impõe sede no Brasil a quem oferta serviços ao público brasileiro e estende às plataformas regras de prevenção à lavagem de dinheiro e governança, incluindo a chamada travel rule [6].

Para a prática forense, esse conjunto é o que transforma uma alegação genérica de falha em imputação concreta. A exchange que abre conta com documentação frágil, que não monitora movimentação evidentemente atípica ou que não consegue exibir a trilha de autenticação de uma operação contestada está descumprindo obrigação legal — e é exatamente aí que se ancora o defeito na prestação do serviço.

Bloqueio e penhora: o que se pode requerer

Responsabilizar a plataforma é uma frente. Alcançar os valores é outra. No REsp 2.127.038, julgado em fevereiro de 2025, a Terceira Turma do STJ, sob relatoria do Ministro Humberto Martins, assentou que, “apesar de não serem moedas de curso legal, as criptomoedas têm valor econômico e são passíveis de constrição”, e que “o juízo pode enviar ofício às corretoras de criptoativos com o objetivo de localizar e penhorar eventuais valores” [7].

O enquadramento do criptoativo na ordem de preferência do artigo 835 do Código de Processo Civil ainda divide a doutrina — há quem o situe no inciso I e quem prefira o inciso XIII, como “outros direitos”. A divergência não impede a constrição, mas convém não apresentá-la como questão resolvida.

No plano operacional, o CriptoJud, lançado pelo Conselho Nacional de Justiça em agosto de 2025 em conjunto com Receita Federal, Banco Central e CVM, permite ao juízo transmitir eletronicamente ordens às corretoras cadastradas [8]. Seu limite precisa ser dito com clareza: alcança as corretoras sob jurisdição brasileira e não atinge corretoras no exterior nem carteiras em autocustódia.

Sem prova técnica, o pedido não sai do lugar

Nada disso opera no vazio. Para requerer bloqueio ou fundamentar ação contra a plataforma, é preciso demonstrar que os valores efetivamente transitaram por ela. O rastreamento forense on-chain identifica para qual corretora os valores foram enviados, qual endereço os recebeu, se permanecem ali e qual o padrão de transações que evidencia a fraude.

Sem essas informações, o pedido fica genérico: o juízo não sabe a quem oficiar nem o que constringir. Vale a distinção que organiza o tema em rastrear, bloquear e recuperar — o rastreamento produz a prova; o bloqueio é ato do juiz; a devolução depende do desfecho do processo. Na ação contra a exchange, o parecer cumpre função adicional: sustenta o argumento de que a operação era detectável pelos controles que a lei exige da plataforma. O assistente técnico em forense blockchain atua nos termos do artigo 159, §3º, do CPP, ou dos artigos 465 a 477 do CPC, e pode produzir parecer já na fase pré-processual.

Quando o esquema se estrutura como oferta pública de investimento, a discussão muda de eixo e passa pela competência para investigar — tema tratado em pirâmides financeiras de criptoativos e a competência da Polícia Federal.

Considerações finais

O quadro atual oferece ao advogado três frentes articuladas: a responsabilização civil da plataforma por falha nos controles, com o ônus probatório invertido pela Súmula 479; a constrição dos valores, com fundamento no REsp 2.127.038 e operacionalização pelo CriptoJud; e a instrução de ambas por prova técnica que reconstrua o fluxo on-chain.

Entende-se que a efetividade dessas medidas depende, em todos os casos, da qualidade e da tempestividade da evidência. Criptoativos se movem em velocidade incompatível com os prazos ordinários do processo, e a produção antecipada da prova costuma separar a estratégia que funciona da que chega tarde. Para avaliar a viabilidade técnica do rastreamento antes de judicializar, o diagnóstico preliminar é o primeiro passo. Vale a ressalva de sempre: rastrear e bloquear não são o mesmo que recuperar, e nenhuma dessas frentes garante a devolução dos valores.

Perguntas frequentes

A exchange responde pelo golpe sofrido pelo cliente?

Pode responder. No REsp 2.104.122, a Quarta Turma do STJ aplicou responsabilidade objetiva a uma plataforma de criptoativos por transferência fraudulenta na conta de um cliente, com base na Súmula 479. O ponto decisivo foi a plataforma não ter comprovado que seus controles de segurança funcionaram.

O que a exchange precisa provar para afastar a responsabilidade?

Que não houve defeito no serviço ou que a culpa foi exclusiva do cliente ou de terceiro, nos termos do art. 14, parágrafo 3º, do CDC. Na prática, isso exige registro auditável por transação: logs de autenticação, confirmações efetivamente enviadas e trilha do monitoramento antifraude.

É possível penhorar ou bloquear criptoativos custodiados em corretora?

Sim. No REsp 2.127.038, julgado em fevereiro de 2025, o STJ afirmou que criptoativos têm valor econômico e são passíveis de constrição, e que o juízo pode oficiar corretoras para localizar e penhorar valores. Desde agosto de 2025 o CNJ mantém o CriptoJud para transmitir essas ordens.

E se a exchange for estrangeira, sem representação no Brasil?

A via formal é a cooperação internacional, encaminhada pelo DRCI do Ministério da Justiça. Vale lembrar que o CriptoJud alcança apenas corretoras sob jurisdição brasileira, e que a Resolução BCB 520/2025 passou a exigir sede no país para prestar serviços de ativos virtuais ao público brasileiro.

Que prova técnica instrui o pedido contra a exchange?

Identificadores de transação e endereços de carteira, um parecer forense que demonstre o fluxo dos valores até a plataforma de destino e a indicação da corretora envolvida. Sem isso, o pedido de bloqueio fica genérico e o juízo não tem a quem oficiar.