Extorsão paga em bitcoin: STF nega seguimento a habeas corpus sem examinar o mérito

Em decisão individual de 3 de novembro de 2026, a ministra Cármen Lúcia, do Supremo Tribunal Federal, negou seguimento ao habeas corpus de um condenado por extorsão em concurso de pessoas. Segundo a denúncia, um provedor de internet de Palmas (TO) pagou em bitcoin para que cessassem ataques de negação de serviço. O STF não examinou o mérito.

Não se trata de recurso, e sim de habeas corpus (HC 278.771/TO), cujo assunto cadastrado no tribunal é nulidade por cerceamento de defesa. Bitcoin e DDoS só aparecem na denúncia, transcrita no relatório. A pena de 6 anos e 4 meses de reclusão, em regime inicial semiaberto, por fatos de novembro de 2019, foi fixada pela sentença de primeiro grau, em outubro de 2022. O caso foi noticiado pelo Livecoins em 5 de novembro.

O que diz a decisão

Em julho de 2023, o Tribunal de Justiça do Tocantins não conheceu da apelação do condenado "por ausência de capacidade postulatória do subscritor da peça recursal": o advogado que a assinou tivera o mandato revogado pelo próprio réu em 2020. Só a apelação do corréu foi julgada, e provida em parte, "apenas para aplicar a atenuante da confissão espontânea". No STF, a defesa pediu a cassação do acórdão do TJTO e a intimação do condenado e dos advogados atuais para "ratificar o recurso ou regularizar a representação".

A relatora apontou óbices processuais. O habeas corpus não cabe contra decisão monocrática do STJ não levada ao colegiado por agravo, como a do ministro Ribeiro Dantas que, em fevereiro de 2026, não conheceu do habeas corpus impetrado naquela corte. Também não substitui a revisão criminal: a condenação transitou em julgado em 23 de abril de 2024, mais de dois anos antes da impetração, data que a defesa contesta por ser, segundo ela, "do corréu". Por fim, para a relatora, a intimação por publicação ao defensor constituído é válida (art. 370, § 1º, do CPP), e o prejuízo não foi demonstrado.

O que a decisão não diz

A condenação transitada em julgado segue como estava porque nenhuma via chegou ao mérito, e não porque o STF a tenha examinado. A fundamentação traz a ressalva "sem adentrar o mérito da causa" e não trata de tipificação, consumação ou criptoativos.

Também não descreve a prova da autoria. Segundo a denúncia, quem enviou as mensagens ao provedor e exigiu 0,15 BTC foi o corréu, que "confessou a prática dos fatos" na delegacia. O papel de "articulador técnico e intelectual dos ataques praticados" é atribuído ao condenado no relato do corréu, conforme a narrativa da denúncia. A peça menciona uma carteira de destino e "diversas diligências", sem detalhá-las, e nada na decisão indica que os bitcoins tenham sido rastreados até o condenado. Um endereço de carteira, sozinho, mostra o caminho dos valores, mas não revela quem o controla.

Extorsão paga em cripto: quando o crime se consuma

Fora da decisão, e em tese, a resposta está na lei e na jurisprudência do STJ, não no STF. O art. 158 do Código Penal pune o constrangimento "mediante violência ou grave ameaça" com o intuito de obter "indevida vantagem econômica". A ameaça não precisa ser física: no REsp 1.299.021/SP, de 2017, a Sexta Turma do STJ reconheceu extorsão em ameaça de mal espiritual "idônea a atemorizá-la e compeli-la a realizar o pagamento". O precedente não trata de DDoS, mas fixa o critério da idoneidade da ameaça. Segundo a denúncia, o provedor resolveu pagar "com receios de perder clientes".

Sobre a consumação, cada fonte diz uma coisa. A Súmula 96 do STJ estabelece: "O crime de extorsão consuma-se independentemente da obtenção da vantagem indevida." Um de seus precedentes, o REsp 3.591/RJ, de 1990, afirma que a obtenção da vantagem "configura o exaurimento da ação delituosa". Em junho de 2026, no EAREsp 2.819.893/SP, a Terceira Seção acrescentou um limite: "A consumação independe da obtenção da vantagem, mas não dispensa a submissão da vítima." Se a vítima não pratica conduta alguma em razão da ameaça, há tentativa.

Entende-se que, lidas em conjunto, essas fontes tiram da blockchain o papel de marcar a consumação. Quando a vítima paga, a submissão já ocorreu, e a chegada dos bitcoins à carteira de destino é exaurimento. O rastreamento responde a outra pergunta, a da autoria, e ligar uma carteira a uma pessoa em regra depende de dados cadastrais de corretora, obtidos por quebra de sigilo.

O enquadramento também afasta dois rótulos comuns. Não se trata de golpe no sentido técnico: no estelionato por fraude eletrônica, a vítima é enganada; na extorsão, ela sabe o que ocorre e paga sob constrangimento. E DDoS não é invasão. O ataque satura o serviço com tráfego, sem acessar o sistema, e não se confunde com a invasão de dispositivo informático do art. 154-A do CP. Segundo a denúncia, "a velocidade da internet, contratada por seus clientes, estava sendo drasticamente reduzida". Se o fato também caberia no art. 266, § 1º, que pune quem "interrompe serviço telemático ou de informação de utilidade pública", é questão discutível para um provedor privado, que a decisão não enfrenta; o trecho da denúncia transcrito pelo STF não indica capitulação.

Ratificação da apelação: o argumento e a distinção do STJ

No plano processual, o art. 568 do Código de Processo Penal dispõe: "A nulidade por ilegitimidade do representante da parte poderá ser a todo tempo sanada, mediante ratificação dos atos processuais." Com base nele, seria possível sustentar que bastava intimar o réu para ratificar a apelação. A decisão do STF não cita o dispositivo, e não foi esse o fundamento da defesa no habeas corpus, que invocou as Súmulas 523 e 708 do STF e os arts. 261, 263 e 265 do CPP.

A tese de sanar o vício, porém, foi afastada pelo STJ, na decisão contra a qual o habeas corpus foi impetrado, transcrita pela relatora. Para o ministro Ribeiro Dantas, "não se trata de simples ausência de juntada de procuração por patrono que permanecia regularmente vinculado à causa", hipótese em que se poderia cogitar de regra de saneamento, mas de "atuação recursal por advogado destituído, paralelamente à existência de defensores constituídos e intimados, sem providência recursal eficaz no momento próprio". A distinção entre advogado sem procuração juntada e advogado destituído pelo próprio réu é o centro da controvérsia.

Considerações finais

A decisão é um juízo individual sobre os limites do habeas corpus e não firma entendimento sobre criptoativos. Cabe agravo regimental em cinco dias (art. 317 do Regimento Interno do STF), a contar da publicação no DJe de 4 de novembro; até 6 de novembro, o portal do tribunal não registrava agravo. Como no habeas corpus do investigado que teria movimentado R$ 1,1 bilhão em cripto, o criptoativo está nos fatos, não na fundamentação. Tudo indica que, na extorsão paga em cripto, a transação na blockchain importa menos para a consumação do que para a prova de quem controla a carteira de destino.

Perguntas frequentes

O STF examinou a pena no caso da extorsão paga em bitcoin?

Não. A ministra Cármen Lúcia negou seguimento ao habeas corpus em decisão individual, por razões processuais. A pena de 6 anos e 4 meses foi fixada na sentença de primeiro grau, e a apelação do condenado não foi conhecida pelo TJTO por vício de representação.

Quando se consuma a extorsão paga em criptomoeda?

Pela Súmula 96 do STJ, independentemente da obtenção da vantagem. Para a Terceira Seção, no EAREsp 2.819.893/SP, a consumação não dispensa a submissão da vítima. Em tese, a chegada dos bitcoins à carteira de destino é exaurimento. O STF não tratou do tema nesse caso.

Ataque DDoS é invasão de sistema?

Não. O ataque de negação de serviço distribuído satura o serviço com tráfego, sem acessar o sistema, e não se confunde com a invasão de dispositivo informático do art. 154-A do Código Penal.