STJ não livrou as exchanges: o que a Terceira Turma decidiu no golpe da carteira falsa

O Superior Tribunal de Justiça não livrou as exchanges da responsabilidade por golpes com criptoativos. No REsp 2.250.674/MG, julgado em 7 de abril de 2026, a Terceira Turma manteve, por unanimidade, a improcedência da ação de um investidor contra a plataforma que executou sua transferência de USDT para uma carteira falsa, porque a fraude ocorreu no serviço prestado por outra empresa.

O julgado voltou ao noticiário em 26 de outubro, quando a BitNotícias o apresentou sob o título "STJ muda entendimento e livra exchanges", em contraste com um caso de 2025 em que a plataforma foi condenada. A decisão, porém, tem mais de seis meses, foi divulgada no Informativo de Jurisprudência n. 884, de 14 de abril, e reafirma a aplicação do Código de Defesa do Consumidor às plataformas.

O caso: transferência pedida pelo cliente, fraude na custódia de terceiro

Segundo o Informativo, o investidor comprou USDT em uma plataforma de intermediação e pediu que os tokens fossem enviados a uma carteira externa, mantida por outra empresa, que se revelou falsa. A Migalhas, que noticiou o caso no dia do julgamento, informa que foram transferidos 11.749,15 USDT, cerca de R$ 59 mil.

O investidor sustentou que a transferência ocorreu dentro da plataforma e que faltou segurança para detectar a fraude. A plataforma respondeu que não houve invasão nem falha de sistema. A ação foi julgada improcedente em primeiro grau, e o Tribunal de Justiça de Minas Gerais manteve a sentença.

O que a Terceira Turma decidiu

A Turma, sob relatoria do ministro Ricardo Villas Bôas Cueva, partiu da premissa oposta à que a manchete sugere. Segundo o destaque do Informativo 884, as prestadoras de serviços de ativos virtuais autorizadas pelo Banco Central "estão submetidas às normas do Código de Defesa do Consumidor, sendo que sua responsabilidade somente poderá ser afastada se comprovada a inexistência de defeito na prestação do serviço ou a culpa exclusiva do consumidor ou de terceiro". A porta de entrada do CDC foi o art. 13 da Lei 14.478/2022, somada à Súmula 297. A ré, registra o julgado, era autorizada pelo Banco Central como instituição de pagamento.

O desfecho decorreu dos fatos. Para a Turma, "o serviço de custódia de ativos virtuais, no qual se verificou a suposta fraude, não foi prestado pela ré". Por isso, "de nada adiantaria determinar a inversão do ônus da prova", já que ficou comprovado que não houve vício no serviço da plataforma. Quando mais de uma empresa atua na operação, cada uma responde pelos vícios dos serviços que prestou, responsabilidade "a ser aferida a partir das incumbências legalmente atribuídas a cada uma delas".

O acórdão também enfrentou a solidariedade entre fornecedores. Afirmou que "não se trata de exceção à regra da responsabilidade solidária de todos os integrantes da cadeia de consumo", porque, no mais das vezes, há "absoluta independência entre os serviços prestados". No caso, a custodiante não mantinha relação com a ré.

Por que não houve mudança de entendimento

No REsp 2.104.122/MG, julgado em 20 de maio de 2025, a Quarta Turma, sob relatoria da ministra Maria Isabel Gallotti, responsabilizou objetivamente uma plataforma pela subtração de 3,8 bitcoins, cerca de R$ 200 mil à época, segundo a notícia oficial do STJ. A operação havia passado por login, senha e autenticação de dois fatores, mas a corretora não apresentou o e-mail de confirmação da transação. O fundamento foi a equiparação a instituição financeira, com a Súmula 479, como detalha o artigo sobre a responsabilidade das exchanges no STJ.

São Turmas diferentes e fatos opostos. Em 2025, a falha estava no serviço da própria plataforma demandada, que não provou seu protocolo de segurança; em 2026, a fraude estava no serviço de outra empresa, depois de uma ordem do cliente. Os dois julgados aplicam o CDC e a responsabilidade objetiva, por fundamentos distintos. O acórdão de 2026 não cita o de 2025, de modo que a distinção é leitura dos fatos, e não ressalva expressa do tribunal. Ambos são decisões de Turma, sem tese vinculante.

A análise de Paulo Portuguez, publicada na ConJur e reproduzida pela BitNotícias, fala em mudança do "modo de aferição da responsabilidade". A expressão é mais fiel ao julgado do que o título: o critério é identificar qual serviço cada empresa prestou, e não apenas se a plataforma participou da operação.

O que ficou em aberto

A empresa que mantinha a carteira falsa não foi julgada, porque não era parte. O STJ registrou que "restaria ao autor a opção de voltar a sua pretensão contra a instituição mantenedora" da carteira, com remissão ao REsp 2.222.137/SP. É indicação de caminho, não condenação. O julgado mencionado pelo relator trata da responsabilidade do banco que abre e mantém a conta usada no golpe, condicionada à prova de falta de diligência; naquele processo, o consumidor também perdeu.

Também não se decidiu se a plataforma de saída tem o dever de filtrar o endereço de destino. O voto do relator indica que a verificação do cliente e da transação (KYC e KYT) pode pesar na responsabilização das prestadoras de serviços de ativos virtuais, sem aplicar esse parâmetro ao caso. Concluir que a exchange nunca responde por transferência ordenada pelo cliente extrapola o julgado. Os deveres de monitoramento que alimentam essa discussão estão no artigo sobre compliance da exchange diante de fraude contra o cliente.

Onde entra a prova técnica

O achado mais prático do caso é processual: a ação se dirigiu apenas à plataforma de saída, e o serviço em que a fraude ocorreu era de outra empresa. Antes de definir contra quem litigar, é preciso saber qual empresa prestou cada serviço da cadeia, inclusive quem custodia o endereço que recebeu os valores. Em tese, essa é uma pergunta de atribuição on-chain: a análise da blockchain pode indicar se um endereço integra a infraestrutura de uma plataforma custodiante, o que orienta pedidos de informação e a escolha de quem figurará no processo. O método está descrito no artigo sobre como rastrear criptoativos após um golpe. Identificar a custodiante, porém, não equivale a responsabilizá-la: isso continua dependendo de prova sobre o serviço que ela prestou.

Considerações finais

O REsp 2.250.674 não inaugura uma fase de imunidade das exchanges. Reafirma o CDC e a responsabilidade objetiva, preserva a solidariedade como regra e aplica a excludente do art. 14, § 3º, a um caso em que o defeito não estava no serviço da ré. Tudo indica que, nesses casos, o maior risco não está na tese jurídica, mas na escolha de quem processar, e essa escolha depende de fatos demonstrados, não de manchetes.

Perguntas frequentes

O STJ decidiu que a exchange não responde por golpe com criptomoedas?

Não. No REsp 2.250.674, a Terceira Turma reafirmou que as plataformas se submetem ao CDC e à responsabilidade objetiva. A responsabilidade da plataforma foi afastada porque a fraude ocorreu no serviço de custódia de outra empresa e não se demonstrou defeito no serviço que ela própria prestou.

Quem responde quando o golpe acontece na carteira de outra empresa?

O STJ indicou que o investidor poderia se voltar contra a empresa que mantinha a carteira falsa, mas não julgou essa responsabilidade, porque ela não era parte. Pelo julgado mencionado pelo relator, esse caminho depende de prova de falta de diligência na abertura ou na manutenção da conta.

O REsp 2.250.674 superou o precedente de 2025 contra a exchange?

Não. O REsp 2.104.122 é da Quarta Turma e trata de fraude no ambiente da própria plataforma, que não provou seu protocolo de segurança. O acórdão de 2026 não o cita, e os dois são decisões de Turma, sem tese vinculante.