# Golpes de cripto no Brasil: como proteger sua carteira

> Entenda como golpes de cripto drenam carteiras, por que a passkey não basta sozinha, o que conferir antes de assinar e como reagir após uma fraude real.

Fonte: https://usepicnic.com/br/blog/golpes-de-cripto-no-brasil · Publicado em 2026-09-22

**Uma carteira cripto pode ser drenada de duas formas principais: alguém rouba a credencial que autoriza as transações ou convence o próprio usuário a aprovar uma operação maliciosa.** Senha forte, biometria, passkey e autenticação em dois fatores ajudam muito contra a primeira. Nenhuma delas decide, sozinha, se a transação que aparece na tela é legítima.

Essa diferença muda tudo. Proteger a entrada da carteira não basta se um site falso pede uma assinatura que transfere os ativos ou concede permissão para gastá-los depois. A defesa real combina proteção da credencial, verificação do site e leitura do que será autorizado.

Também é importante separar uma carteira drenada de outros golpes de cripto no Brasil. Em 24 de julho de 2026, por exemplo, o Ministério da Justiça anunciou a [Operação Dark Wallet](https://www.gov.br/mj/pt-br/assuntos/noticias-1/operacao-dark-wallet-desmonta-esquema-de-fraudes-eletronicas-com-movimentacao-superior-a-r-188-milhoes), que investigou falsas plataformas de investimentos em um esquema com movimentação superior a R$ 188 milhões. Nesse tipo de fraude, a vítima envia os recursos para uma operação falsa. Na drenagem, o criminoso obtém ou recebe autorização para movimentar a carteira.

## O que significa ter uma carteira cripto drenada?

É perder ativos porque uma transação não desejada saiu da carteira ou porque um contrato passou a ter permissão para mover determinados tokens. A saída fica registrada na blockchain, mas isso não significa que o dono compreendeu ou quis o efeito econômico da operação.

Existem três mecanismos comuns:

1. **Roubo da chave privada ou seed phrase:** o criminoso passa a assinar como se fosse o dono.
2. **Transferência maliciosa assinada pela vítima:** a tela ou o contexto induz o usuário a confirmar um envio para o golpista.
3. **Aprovação maliciosa de token:** a vítima autoriza um contrato ou endereço a gastar seus tokens. O saque pode ocorrer imediatamente ou dias depois.

Nos dois últimos casos, a carteira pode ter funcionado exatamente como foi projetada. A falha está na operação apresentada, na interface que a ocultou ou no contexto criado pelo golpista. É por isso que “eu não passei minha senha para ninguém” não elimina a possibilidade de fraude.

## Como o roubo da credencial acontece?

A seed phrase e a chave privada são segredos com poder direto sobre uma carteira tradicional. Quem obtém uma delas pode importar a conta em outro aplicativo e assinar transações sem o celular da vítima.

O roubo costuma acontecer por:

- página falsa que pede as 12 ou 24 palavras para “sincronizar” ou “validar” a carteira;
- falso suporte que solicita a seed phrase, uma chave privada ou acesso remoto ao aparelho;
- foto, arquivo ou anotação da seed armazenada em e-mail, nuvem ou aplicativo comprometido;
- extensão ou aplicativo falso de carteira;
- malware que lê a área de transferência ou troca o endereço copiado.

Nenhum suporte legítimo precisa da sua seed phrase. Ela não serve para confirmar identidade, liberar saque, receber airdrop nem corrigir saldo. Se uma página pedir essas palavras, pare.

Uma [carteira sem seed phrase com passkey](https://usepicnic.com/blog/carteira-sem-seed-phrase-como-funciona-a-autocustodia-com-passkey) reduz essa superfície porque não existe uma frase reutilizável para digitar no fluxo normal. Isso não torna toda operação segura. A passkey protege o uso da credencial; ela não interpreta se o contrato ou o destino é confiável.

## Como uma assinatura maliciosa drena a carteira?

O golpista primeiro cria uma história plausível: um airdrop, uma atualização urgente, um problema na conta, um benefício a resgatar ou uma verificação de segurança. Depois leva a vítima a um site que pede para conectar a carteira e assinar.

A [cartilha de 2024 da ENCCLA sobre golpes com ativos virtuais](https://www.gov.br/mj/pt-br/assuntos/sua-protecao/lavagem-de-dinheiro/enccla/acoes-enccla/arquivos-enccla-2024/e2024a01-conteudo-para-cartilha-informativa-golpes-ativos-virtuais.pdf) chama esse padrão de **phishing de assinatura**: a vítima recebe um pedido urgente para corrigir um erro ou evitar um bloqueio, mas a assinatura autoriza uma transferência não desejada.

Uma assinatura pode ter efeitos diferentes:

- **Enviar um ativo nativo**, como ETH, diretamente para outro endereço.
- **Transferir um token** por meio de um contrato.
- **Conceder uma aprovação**, chamada de allowance, para que um contrato gaste um token até certo limite.
- **Executar várias chamadas** em uma única operação, algo comum em smart wallets e protocolos DeFi.

A aprovação merece atenção especial. O saldo pode continuar visível logo depois da assinatura e sair apenas quando o criminoso usa a permissão. Desconectar a carteira do site não revoga essa autorização na blockchain.

A prática conhecida como **clear signing**, defendida pela Ethereum Foundation, procura mostrar o efeito da operação em linguagem compreensível. Ao anunciar uma iniciativa sobre o tema em maio de 2026, a fundação observou que, em muitos grandes ataques, a etapa final foi a aprovação de uma transação que o usuário [não conseguia compreender de forma significativa](https://blog.ethereum.org/2026/05/12/clear-signing-announcement).

Mesmo uma tela clara não é garantia. Ainda assim, ela melhora a decisão ao permitir a conferência de ativo, valor, destino e permissão antes da confirmação.

## Quais golpes de cripto aparecem com mais frequência no Brasil?

Os nomes mudam, mas a engenharia social se repete. O golpista explora urgência, autoridade, medo de perder dinheiro ou promessa de ganho fácil.

### Falso suporte e falso alerta de segurança

Uma pessoa se apresenta como funcionária de carteira, corretora ou banco. Ela diz que houve invasão, bloqueio ou saque suspeito e oferece ajuda imediata. O objetivo pode ser obter a seed, instalar acesso remoto ou induzir uma assinatura.

Não use o telefone ou link enviado na própria mensagem. Abra o aplicativo conhecido ou digite o endereço oficial por conta própria. Se a conversa começou por direct, WhatsApp ou ligação não solicitada, trate a urgência como sinal de risco.

### Site, anúncio ou aplicativo clonado

O visual imita um serviço conhecido, mas o domínio, o desenvolvedor ou a extensão são diferentes. O site pode pedir a seed phrase ou preparar uma operação maliciosa. Anúncio patrocinado não é prova de autenticidade.

Favoritar os sites usados com frequência e instalar aplicativos apenas pelos canais oficiais reduz o risco. Ainda assim, confira o domínio completo e o conteúdo da operação.

### Airdrop, mint ou benefício falso

A mensagem promete tokens gratuitos, NFT, restituição ou acesso antecipado. Para “resgatar”, a vítima conecta a carteira e concede uma aprovação ampla. O custo real não é a taxa de rede; é a permissão dada ao contrato.

### Falsa plataforma de investimento

O painel mostra lucro, mas os números podem ser fictícios. Alguns esquemas liberam saques pequenos no início para criar confiança e depois exigem depósitos, impostos ou taxas adicionais. A Operação Dark Wallet descreveu esse padrão de rendimentos simulados e retiradas iniciais.

Aqui, a carteira original pode não ter sido comprometida. A vítima enviou os recursos voluntariamente para endereços controlados pelo esquema. Isso muda a investigação e a resposta, mas não torna a perda menos real.

### Golpe de recuperação

Depois da perda, outra pessoa promete “hackear de volta”, cancelar a blockchain ou recuperar os ativos mediante pagamento antecipado. A orientação do [Ethereum.org sobre golpes, atualizada em 6 de junho de 2026](https://ethereum.org/pt-br/community/support/scams/) alerta que transações confirmadas são finais e que fraudadores de recuperação exploram vítimas pela segunda vez.

Uma empresa séria pode ajudar a organizar evidências, rastrear o fluxo ou contatar uma plataforma centralizada. Ela não pode prometer reverter unilateralmente uma transação pública.

## O que realmente protege uma carteira cripto?

Não existe um controle único. Cada camada responde a um risco diferente.

| Risco | Proteção mais útil | Limite da proteção |
| --- | --- | --- |
| Roubo de seed ou chave | Seed offline, hardware wallet ou carteira sem seed com passkey | Não impede uma operação maliciosa aprovada pelo usuário |
| Invasão de conta em corretora | Senha exclusiva, 2FA e proteção do e-mail | Não protege uma carteira externa nem corrige endereço errado |
| Site clonado | Favorito, domínio conferido e canal oficial | Um site legítimo comprometido ainda pode apresentar risco |
| Assinatura maliciosa | Clear signing e revisão de destino, ativo, valor e contrato | A interface pode não traduzir perfeitamente todos os efeitos |
| Aprovação persistente | Limite de allowance e revisão periódica de permissões | Revogar depois pode ser tarde se o saldo já saiu |
| Chave já comprometida | Nova carteira criada em aparelho limpo | Mover fundos depende de ainda haver saldo e tempo |
| Erro operacional | Teste com valor pequeno e conferência de rede | O teste não garante que uma operação futura será segura |

Para valores relevantes, separar a carteira de uso diário da reserva também limita o impacto. Uma carteira que interage com protocolos e sites novos não precisa concentrar todo o patrimônio. A reserva pode usar hardware wallet ou outra configuração com menos interações.

Autocustódia significa manter o controle dos ativos, mas também exige entender o que autoriza esse controle. O guia sobre [o que é autocustódia](https://usepicnic.com/blog/o-que-e-autocustodia) ajuda a comparar esse modelo com a custódia de uma corretora.

## O que conferir antes de assinar uma transação?

Use uma pausa deliberada. Quanto maior a pressão para agir rápido, maior deve ser a cautela.

- [ ] Eu iniciei esta operação dentro de um aplicativo ou site conhecido?
- [ ] O domínio e o aplicativo são realmente oficiais?
- [ ] O ativo e a rede estão corretos?
- [ ] O valor corresponde ao que pretendo movimentar?
- [ ] Reconheço o endereço de destino ou o contrato?
- [ ] A tela está pedindo uma transferência, uma aprovação ou uma assinatura de login?
- [ ] Se for aprovação, qual token, qual spender e qual limite serão autorizados?
- [ ] A permissão é ilimitada? Ela precisa ser?
- [ ] Existe uma explicação clara para cada chamada da operação?
- [ ] Eu faria o mesmo se não houvesse contador, ameaça de bloqueio ou promessa de prêmio?

Se a tela mostra dados que você não entende, cancele. Não assine para “ver o que acontece”. Procure a documentação pelo canal oficial e, se necessário, teste depois com uma carteira separada e pouco valor.

Endereço e rede merecem conferência independente. Uma autenticação perfeita não desfaz um envio confirmado para o destino errado. Veja também o guia sobre [o que acontece ao errar a rede em uma transferência](https://usepicnic.com/blog/errar-a-rede-ao-enviar-cripto).

## O que fazer se a carteira já foi drenada?

O objetivo é limitar a perda, preservar evidências e evitar um segundo golpe. Não existe garantia de recuperação.

### 1. Pare de interagir com o site ou suposto suporte

Não assine uma segunda operação para “desfazer” a primeira. Feche a página e não instale ferramentas enviadas pelo contato. Se houver suspeita de malware ou acesso remoto, use outro aparelho confiável para os próximos passos.

### 2. Descubra se houve roubo da chave ou apenas uma aprovação

Se a seed phrase, chave privada ou aparelho desbloqueado foram expostos, considere a carteira inteira comprometida. Revogar uma permissão não resolve alguém capaz de assinar novas transações.

Se o incidente foi uma aprovação de token e a chave continua segura, revogar as permissões restantes pode evitar novas saídas. Faça isso por uma ferramenta conhecida e na rede correta. O Ethereum.org recomenda [revogar aprovações maliciosas](https://ethereum.org/pt-br/community/support/scams/), mas a medida não recupera o que já saiu.

### 3. Mova o saldo restante para uma carteira nova e segura

Crie a nova carteira em um dispositivo limpo e confirme o endereço por outro canal. Priorize o que ainda está exposto, mas não improvise sob pressão. Uma taxa ou rede escolhida de forma errada pode aumentar o prejuízo.

Se o incidente foi apenas em uma conta de corretora, altere a senha, proteja o e-mail, encerre sessões e ative 2FA. Siga o canal oficial da plataforma.

### 4. Preserve as evidências

Guarde:

- hashes das transações;
- endereços de origem e destino;
- rede, token, valor e horário;
- URL do site e perfil que fez contato;
- capturas de tela e conversas;
- recibos, e-mails e dados da plataforma usada.

Não edite as imagens nem apague a conversa. Esses registros ajudam uma plataforma, investigação ou análise técnica a reconstruir o fluxo.

### 5. Avise rapidamente as instituições envolvidas

Se os ativos chegaram a uma corretora centralizada identificável, contate o canal oficial com hashes e endereços. A plataforma pode analisar ou restringir a conta destinatária conforme suas regras e obrigações, mas isso não é automático nem garantido.

Se houve Pix, cartão ou conta bancária no caminho, avise também a instituição financeira. Em orientação [atualizada em 10 de agosto de 2026](https://www.bcb.gov.br/meubc/faqs/s/golpes), o Banco Central recomenda contatar imediatamente o banco ou a instituição envolvida e registrar boletim de ocorrência com os documentos disponíveis.

### 6. Registre boletim de ocorrência

Procure a Polícia Civil ou a unidade especializada em crimes cibernéticos do seu estado. Em orientação publicada em 26 de maio de 2026, o [CERT.br informa](https://nic.br/noticia/releases/caiu-em-um-golpe-novo-fasciculo-do-cert-br-da-orientacoes-sobre-como-agir/) que, na maioria dos estados, o BO também pode ser registrado online. Anexe as evidências e descreva a sequência sem omitir que a transação foi assinada, quando esse for o caso.

### 7. Desconfie de quem promete recuperar tudo

Rastreamento não é reversão. Cobrar adiantado para “liberar” ou “desbloquear” cripto perdida é um sinal clássico de nova fraude. Não compartilhe a nova seed, passkey, tela do aparelho nem controle remoto com supostos investigadores.

## Como a passkey do Picnic ajuda, e qual é o limite?

A Conta Picnic é uma smart wallet de autocustódia. No uso normal, a passkey do aparelho autoriza as operações com biometria ou PIN, sem exigir que você anote e digite uma seed phrase. Você mantém o controle dos ativos por meio dos autorizadores definidos na conta.

Esse desenho remove um alvo comum de phishing: não há uma lista de 12 palavras para um falso suporte pedir. Também torna a autorização uma etapa explícita no aparelho. Mas a regra central continua: **biometria confirma que você autorizou; não confirma que a operação é boa para você**.

Antes de usar Face ID, digital ou PIN, leia o que está sendo confirmado. Confira ativo, rede, valor e destino. Se a operação veio de um link inesperado ou a descrição não combina com sua intenção, cancele.

Para entender o desenho completo, leia como funciona a [autocustódia com passkey sem seed phrase](https://usepicnic.com/blog/carteira-sem-seed-phrase-como-funciona-a-autocustodia-com-passkey) e como [recuperar o acesso depois de perder o celular](https://usepicnic.com/blog/perdi-o-celular-como-recuperar-o-acesso-a-carteira-de-autocustodia). Recuperação de acesso não desfaz uma transação já confirmada.

O Picnic também combina a conta com serviços de parceiros para Pix, cartão e outras funções. Isso não transforma a carteira em uma conta custodial, mas também não elimina os riscos de contratos e redes. O artigo sobre [se o Cartão Picnic é confiável](https://usepicnic.com/blog/cartao-picnic-e-confiavel) explica as responsabilidades em cada camada.

## Segurança de carteira é proteção mais compreensão

Os golpes de cripto no Brasil não dependem de uma única falha. Alguns roubam a credencial. Outros manipulam o usuário para assinar. Outros nem tocam na carteira: criam uma plataforma falsa e convencem a vítima a enviar o dinheiro.

Por isso, a resposta também precisa de camadas. Use credenciais resistentes a phishing, proteja o e-mail e o aparelho, confirme o canal oficial e leia o efeito da operação. Para valores maiores, reduza a exposição separando a carteira de uso da reserva.

Se algo já aconteceu, aja rápido sem prometer a si mesmo uma reversão: pare as interações, proteja o saldo restante, revogue permissões quando isso fizer sentido, preserve evidências e procure os canais oficiais. A pressa criada pelo criminoso não deve comandar a resposta.

> Quer usar cripto em uma smart wallet de autocustódia sem administrar uma seed phrase? [Conheça o Picnic](https://usepicnic.com/) e comece com um valor pequeno para entender cada etapa de autorização.

---

_A Picnic é uma plataforma de tecnologia que permite ao usuário interagir de forma autônoma com USDC, stablecoin emitida pela Circle, pareada ao dólar americano, em redes blockchain públicas. O USDC não é moeda de curso legal no Brasil._

_A cotação exibida varia conforme condições de mercado e o valor final válido é o apresentado na tela de confirmação da transação. Criptoativos envolvem riscos, incluindo volatilidade e perda de paridade._

_A Picnic não custodia ativos do usuário e não é instituição financeira ou PSAV. O envio e recebimento de valores em dólares para conta americana é realizado por meio de parceria com a Noah Savings Inc. Termos e condições se aplicam._

_Dados verificados em setembro de 2026._