O que fazer se o seu exchange de criptomoedas for hackeado: medidas imediatas, controlo de danos e opções de recuperação

O que realmente acontece quando um exchange de criptomoedas é hackeado

Existem dois cenários fundamentalmente diferentes. O primeiro é uma violação da própria infraestrutura do exchange: as suas carteiras quentes, sistemas de assinatura de carteiras frias ou dependências de terceiros. O segundo é um atacante que obtém acesso à conta de um cliente específico, tipicamente através de phishing, SIM-swapping ou credential stuffing.

Num hack de nível de infraestrutura, como o ataque à Bybit em fevereiro de 2025, os próprios sistemas de assinatura do exchange são comprometidos e a carteira quente coletiva ou o contrato de múltiplas assinaturas é esvaziado. Todos os clientes com ativos nesse exchange tornam-se vítimas. O 1,5 mil milhões de dólares roubado da Bybit numa única transação representou 44% de todos os criptoativos roubados em todo o setor em 2025, segundo a investigação da Chainalysis.

Numa comprometimento ao nível da conta, o atacante visa-o especificamente. As suas credenciais de login, códigos 2FA ou tokens de sessão são roubados, e os levantamentos são efetuados a partir da sua conta.

O ataque à Bybit em 21 de fevereiro de 2025 ilustra a sofisticação que os hackers modernos de exchanges empregam. O Grupo Lazarus, que opera para a Coreia do Norte sob o nome de campanha designado pelo FBI como TraderTraitor, comprometeu a Safe{Wallet}, a popular interface de carteira de múltiplas assinaturas utilizada pela Bybit para gerir o seu armazenamento a frio. Os atacantes induziram os signatários da Bybit a aprovar transações que transferiram o controlo de aproximadamente 1,5 mil milhões de dólares em ETH para endereços controlados pelos atacantes. O FBI atribuiu formalmente o ataque à Coreia do Norte em março de 2025.

A análise forense da TRM Labs revelou que os fundos foram imediatamente distribuídos por centenas de carteiras e movidos através de bridges, mixers e exchanges descentralizados. A operação de lavagem utilizou tranches abaixo de 500.000 dólares para evitar acionar alertas automáticos.

Os exchanges centralizados mantêm os ativos dos clientes num modelo de custódia: o exchange controla as chaves privadas e o utilizador detém um direito sobre esses ativos. A parcela mantida em carteiras quentes para liquidez é a principal superfície de ataque. Mesmo o armazenamento a frio não é imune quando o software ou hardware de assinatura é comprometido.

A lavagem pós-hack segue padrões previsíveis. Em poucas horas, os fundos roubados são divididos por dezenas a centenas de carteiras. Nas 24-72 horas seguintes, os fundos movem-se através de mixers, bridges entre cadeias e corretores OTC. Entre o 3.º e o 7.º dia, começa a conversão para fiat ou ativos estáveis. Esta cronologia define a sua janela de resposta.

Medidas imediatas a tomar nas primeiras 24 horas

Passo 1: Pare toda a atividade e avalie a situação. Feche todos os separadores do exchange, cancele ordens pendentes e faça um balanço dos ativos que possui e do que está em falta.

Passo 2: Levante os ativos acessíveis imediatamente para uma carteira hardware (Ledger, Trezor) sob o seu controlo. Se os levantamentos estiverem suspensos, registe o carimbo de data/hora exato da sua tentativa de levantamento falhada.

Passo 3: Proteja a sua conta a partir de um dispositivo limpo. Altere a sua palavra-passe. Ative 2FA baseado em hardware (YubiKey). Ative a lista branca de endereços de levantamento. Verifique se o seu email foi comprometido.

Passo 4: Revogue as aprovações de tokens de carteiras ligadas utilizando Revoke.cash, o separador Token Approvals do Etherscan ou o equivalente na blockchain correspondente.

Passo 5: Tire capturas de ecrã abrangentes antes que qualquer coisa desapareça: saldo da conta, histórico completo de transações (TXIDs), notificações de incidentes, alertas de transações não autorizadas.

Passo 6: Contacte o suporte do exchange e crie um ticket formal com todos os detalhes das transações não autorizadas. Solicite confirmação escrita.

Passo 7: Apresente uma queixa ao FBI IC3 (ic3.gov) nas primeiras 24 horas. O FBI IC3 reportou mais de 11 mil milhões de dólares em perdas totais relacionadas com criptomoedas em 2025, em mais de 180.000 queixas individuais. Se tiver mais de 60 anos, contacte também a National Elder Fraud Hotline através do 1-833-372-8311.

Como preservar evidências forenses para recuperação e ação legal

A preservação de evidências é o passo que a maioria das vítimas ignora. A Orientação sobre Recuperação de Ativos do GAFI de novembro de 2025 sublinha que a rapidez e a integração da análise blockchain com a recolha de evidências são os fatores críticos de sucesso.

Evidências de transações on-chain: Para cada transação não autorizada, recolha: ID de transação (TXID), endereço da carteira de origem, endereço(s) da carteira de destino, montantes e tipos de ativos exatos, carimbos de data/hora e números de bloco, e saltos intermediários de carteiras a partir de exploradores de blocos (Etherscan, Blockchain.com, BscScan). Guarde as páginas em PDF com capturas de ecrã com data/hora a mostrar a barra de URL.

Histórico de conta e registos off-chain: Descarregue: histórico de transações (CSV ou PDF), registos de depósito e levantamento, extratos de conta, documentação KYC e mensagens internas do exchange. Recolha também: emails de phishing recebidos antes do incidente, alertas de segurança e notificações 2FA que não iniciou.

Comunicações do exchange: Guarde todas as comunicações do exchange relacionadas com o hack: respostas de suporte, anúncios por email, posts no blog e publicações em redes sociais. Archive páginas web utilizando web.archive.org/save/ ou uma impressora PDF.

Organize o seu pacote de evidências: Crie uma pasta única com cópia de segurança em pelo menos dois locais (nuvem e local) contendo: uma cronologia com data/hora, todos os registos de transações, todas as capturas de ecrã, todos os ficheiros de conta descarregados e um resumo narrativo escrito.

Como denunciar o hack: FBI IC3, Europol, SEC e autoridades locais

Apresentar queixas junto de várias autoridades é estrategicamente necessário. Cada agência tem alcance jurisdicional e ferramentas de aplicação da lei diferentes.

FBI IC3 (ic3.gov): O principal portal de denúncia nos EUA. O Relatório Anual do IC3 de 2025 documentou mais de 11 mil milhões de dólares em perdas totais relacionadas com cripto e mais de 180.000 queixas individuais. O IC3 alimenta as queixas para a Operação Level Up, que terá evitado mais de 500 milhões de dólares em perdas adicionais. Inclua: nome do exchange, data do incidente, email da conta, todos os TXIDs e endereços de carteiras não autorizados, montante total perdido e uma narrativa clara.

Europol e unidades nacionais de cibercrime: O portal da Europol em europol.europa.eu encaminha as queixas para a unidade nacional de cibercrime adequada. As operações da Europol em 2025 incluíram o desmantelamento de uma rede de fraude de criptomoedas que lavou mais de 700 milhões de euros. Reino Unido: Action Fraud. Canadá: Canadian Anti-Fraud Centre. Austrália: ReportCyber.

SEC (sec.gov/tcr): Se o seu exchange for uma entidade registada nos EUA ou oferecer produtos que a SEC considere valores mobiliários. O Grupo de Trabalho de Cripto da SEC devolveu 262 milhões de dólares a investidores lesados no ano fiscal de 2025.

Autoridades policiais locais: Uma queixa à polícia local cria um registo oficial necessário para seguros, advogados de direito civil e tribunais civis.

Quais as obrigações legais e contratuais do seu exchange

A maioria das vítimas assume que o exchange está legalmente obrigado a compensá-las. A realidade é consideravelmente menos favorável.

Cláusulas dos Termos de Serviço: Virtualmente todos os Termos de Serviço de exchanges centralizados: (1) isentam de responsabilidade por perdas decorrentes de violações de segurança; (2) invocam força maior; (3) exigem arbitragem obrigatória e renunciam ao direito de ação coletiva; (4) limitam a responsabilidade máxima do exchange. Estes termos são amplamente execúvéis.

As criptomoedas não estão cobertas pelo FDIC nem pelo SIPC: O FDIC assegura depósitos bancários até 250.000 dólares. O SIPC protege valores mobiliários até 500.000 dólares. Nenhum deles abrange criptomoedas em exchanges de criptomoedas. A FTC emitiu um alerta específico ao consumidor após vários exchanges afirmarem enganosamente ter proteção FDIC.

Seguro privado contra crimes: Alguns exchanges como a Coinbase e a Kraken mantêm apólices de seguro privado contra crimes que cobrem uma porção das perdas em carteiras quentes. Estas têm tipicamente um limite que representa uma fração do total de ativos sob gestão. A decisão da Bybit de cobrir voluntariamente todas as perdas dos clientes após o seu ataque de 2025 foi excecional.

Obrigações regulatórias ao abrigo do MiCA e do GAFI: O MiCA da UE impõe requisitos reforçados de proteção do consumidor aos prestadores de serviços de criptoativos. A análise da Elliptic de 2026 nota uma expansão significativa da supervisão regulatória nos EUA. Os exchanges abrangidos por estes regimes estão sujeitos a uma norma legal mais elevada.

O que exigir do seu exchange por escrito: Um relatório completo do incidente; confirmação dos ativos perdidos da sua conta; uma cronologia de deteção e resposta; uma declaração de cobertura de seguro; e informações de contacto do interlocutor do exchange com as autoridades.

Análise forense blockchain: como os investigadores rastreiam fundos roubados

A blockchain pública é um registo permanente e imutável. Cada transação fica registada e o fluxo de fundos é rastreavel.

O que fazem as empresas de análise blockchain: A Chainalysis, a TRM Labs e a Elliptic constroem bases de dados de atribuição que mapeiam endereços de carteiras para entidades conhecidas: exchanges, mixers, mercados darknet, endereços sancionados e atores de ameaça identificados. O TRM Labs Forensics abrange mais de 40 blockchains, utiliza agrupamento comportamental e aplica reconhecimento de padrões para detetar técnicas de peeling chain. O rastreamento entre cadeias da Chainalysis seguiu 1,5 mil milhões de dólares em ETH através de bridges, DEXes e serviços de mistura.

TRM Beacon Network: A TRM Labs opera a Beacon Network, uma rede em tempo real que alerta os exchanges membros quando fundos ilícitos se movem para os seus endereços de depósito. Os exchanges membros podem congelar fundos antes de o atacante iniciar um levantamento.

Pedidos de congelamento junto de exchanges: O processo envolve: (1) a empresa de forense gerar um relatório identificando o exchange e o endereço de depósito; (2) as autoridades enviarem uma exigência legal formal; (3) o exchange colocar um bloqueio; (4) uma ordem judicial garantir os fundos.

Capacidades de apreensão do DOJ e do FBI: O DOJ e o FBI apreenderam ativos criptográficos substanciais em vários casos. No hack da Bitfinex, os investigadores recuperaram 3,6 mil milhões de dólares em Bitcoin anos após o roubo. As apreensões revertem para o governo dos EUA e são distribuídas através do processo de remissão do DOJ. O caso OneCoin de abril de 2026 disponibilizou 40 milhões de dólares às vítimas.

Coordenação transfronteiriça da Europol: A J-CAT da Europol coordena investigações blockchain entre os estados-membros da UE. O desmantelamento de uma rede que lavou mais de 700 milhões de euros em 2025 envolveu prisões em nove países.

Opções de recuperação realistas: o que funciona e o que é uma fraude

A recuperação é possível em cerca de 25-40% dos casos que chegam a ação legal com um relatório forense profissional. Para a maioria das vítimas a retalho, as taxas de recuperação direta são inferiores a 5%.

Via 1 — Compensação voluntária pelo exchange: O resultado mais favorável é um exchange compensar voluntariamente as perdas, como a Bybit fez após o seu ataque de 2025, cobrindo todos os 1,5 mil milhões de dólares. A Bybit ofereceu também um premió de 10% pela devolução dos fundos roubados. Este modelo é excecional.

Via 2 — Forense blockchain e congelamento junto de exchanges: Contratar uma empresa de forense blockchain nas primeiras 24-48 horas, produzir um relatório forense profissional e usá-lo para apoiar pedidos de congelamento junto das autoridades. A TRM Labs, a Chainalysis e a Elliptic oferecem todos serviços de resposta a incidentes.

Via 3 — Litigação civil: Disponível quando é possível estabelecer que a negligência do exchange causou a sua perda. A litigação coletiva altera significativamente a economia do processo. Várias ações coletivas por hacks de cripto chegaram a acordos.

Via 4 — Confisco governamental e remissão: Quando o DOJ, o FBI ou o IRS apreende ativos criptográficos, as vítimas podem registar pedidos de indenização através do Programa de Confisco de Ativos do DOJ. O processo OneCoin de abril de 2026 disponibilizou 40 milhões de dólares; a SEC devolveu 262 milhões através do seu mecanismo Fair Funds.

Sinais de alerta de uma fraude de recuperação:

• Pagamento antecipado exigido em criptomoeda
• Garantias de sucesso
• Solicitação de chaves privadas ou frases-semente
• Impersonificação do FBI, Europol ou SEC (estas agências não oferecem serviços de recuperação mediante pagamento)
• Sem credenciais verificáveis, website público ou pessoal identificado
• Táticas de pressão concebidas para impedir a verificação de credenciais

O relatório do FBI IC3 de 2025 destaca especificamente a fraude de recuperação como uma categoria secundária significativa e crescente de crimes de cripto.

Como proteger os seus ativos em exchanges no futuro

Mantenha apenas o necessário no exchange: Não mantenha mais criptomoedas num exchange do que o necessário para negociação ativa. Os ativos de longo prazo pertencem a armazenamento frio sob o seu controlo (Ledger, Trezor, Coldcard).

Use 2FA baseado em hardware: O 2FA por SMS é vulnerável a ataques de SIM-swap. O YubiKey e chaves de segurança hardware semelhantes geram autenticação criptográfica que não pode ser intercetada. Todos os exchanges que suportam 2FA por hardware devem tê-lo ativado.

Ative listas brancas de endereços de levantamento: Pré-aprove endereços de levantamento. Se um atacante comprometer a sua conta, não poderá levantar para um endereço não aprovado. Alterar a lista branca requer tipicamente 24-48 horas e confirmação por email.

Use credenciais únicas e um gestor de palavras-passe: Utilize uma palavra-passe única gerada aleatoriamente para cada exchange, guardada num gestor de palavras-passe de confiança (1Password, Bitwarden).

Monitorize o exchange que utiliza: Reveja: (1) atestações de prova de reservas; (2) auditorias de segurança de terceiros; (3) cobertura de seguro; (4) histórico de incidentes.

Diversifique entre exchanges: Não concentre todos os ativos num único exchange. Trate cada exchange como uma contraparte com um limite de crédito.

Principais conclusões:

• Os hackers roubaram 3,4 mil milhões de dólares de serviços de cripto em 2025; os hacks ao nível do exchange muitas vezes não podem ser evitados pelas vítimas individuais
• A sua resposta nas primeiras 24 horas é o principal determinante das perspetivas de recuperação
• As criptomoedas não estão cobertas pelo FDIC nem pelo SIPC; as promessas de cobertura de seguro dos exchanges são voluntárias
• A forense blockchain pode rastrear fundos mesmo através de mixers e bridges, mas a rapidez é crítica
• A recuperação significativa requer forense profissional mais coordenação com as autoridades; as ofertas de recuperação garantida são fraudes
• A proteção mais eficaz é estrutural: carteiras hardware, 2FA por hardware, listas brancas de levantamento

Guias relacionados:

Referências

1. 1Chainalysis. Relatório de Crimes Cripto 2026: hacking. Chainalysis, janeiro de 2026.
2. 2Gabinete Federal de Investigação. A Coreia do Norte é responsável pelo hack de 1,5 mil milhões de dólares da Bybit. Alerta da Divisão Cibernética do FBI, março de 2025.
3. 3Centro de Denúncias de Crimes na Internet do FBI. Relatório Anual de Crimes na Internet 2025. IC3, 2026.
4. 4Grupo de Ação Financeira Internacional. Orientação sobre recuperação de ativos e melhores práticas. GAFI, novembro de 2025.
5. 5TRM Labs. O hack da Bybit: acompanhando o maior exploit da Coreia do Norte. Blog da TRM Labs, março de 2025.
6. 6TRM Labs. Resposta a incidentes cripto. TRM Labs, 2025.
7. 7Europol. Denunciar um cibercrime online. Europol, 2024.
8. 8Europol. Desmantelamento internacional de uma rede de fraude de criptomoedas que lavou mais de 700 milhões de euros. Comunicado de imprensa da Europol, 2025.
9. 9Comissão de Valores Mobiliários dos EUA. Grupo de Trabalho de Criptoativos. SEC, 2025.
10. 10Chainalysis. Hack da Bybit fevereiro de 2025: análise de segurança cripto da RPDC. Chainalysis, fevereiro de 2025.
11. 11Elliptic. Como a regulação cripto dos EUA está a ser reescrita em 2026. Elliptic Insights, 2026.
12. 12Departamento de Justiça dos EUA. O Departamento de Justiça anuncia o processo de compensação para as vítimas da fraude OneCoin. Comunicado de imprensa do DOJ, abril de 2026.
13. 13Grupo de Ação Financeira Internacional. Atualização dirigida sobre a implementação dos padrões do GAFI para ativos virtuais. GAFI, 2026.
14. 14Comissão Federal do Comércio. Empresas de cripto que alegam seguro FDIC? Nem tanto. Alerta ao consumidor da FTC, outubro de 2023.
15. 15TRM Labs. Beacon Network: resposta a crimes cripto em tempo real. TRM Labs, 2025.

Perguntas frequentes