Golpes com Criptomoedas no Brasil: Como Reconhecer e Se Proteger

O golpe mais comum contra cripto no Brasil não começa com um hacker invadindo uma carteira — começa com uma mensagem no WhatsApp, um perfil de suporte falso no X ou um anúncio de rendimento garantido em grupo de Telegram. A tecnologia por trás da fraude é quase sempre trivial; o que funciona é a pressão para agir rápido, antes que a vítima pare para verificar.

Este guia cobre os golpes mais frequentes direcionados a brasileiros que compram, guardam ou trocam criptoativos, os sinais que aparecem antes de qualquer prejuízo acontecer, e as práticas concretas de proteção de carteira que fecham a maior parte das brechas exploradas. Termina com o passo a passo de onde denunciar, caso você já tenha caído em um.

Os golpes mais comuns contra cripto no Brasil

Suporte falso. Um golpista se passa por atendimento de uma corretora, carteira ou plataforma de troca — por telefone, e-mail ou chat — e pede acesso remoto ao celular ou computador "para resolver um problema na conta". O acesso remoto é o golpe: nenhuma equipe de suporte legítima precisa controlar seu dispositivo para verificar um saldo ou reverter uma transação.

Pirâmides disfarçadas de investimento. Grupos prometem retorno fixo mensal — 5%, 10%, às vezes mais — pagando os primeiros participantes com o dinheiro de quem entra depois. O esquema colapsa quando as entradas novas não cobrem mais as saídas prometidas, e a maioria dos participantes tardios perde o valor investido.

Phishing de site clonado. Uma página idêntica à de uma corretora ou plataforma de troca real, hospedada em um domínio parecido (trocando uma letra, um hífen a mais), captura login, senha ou seed phrase digitada por engano. O link costuma chegar por anúncio patrocinado, mensagem direta ou e-mail com urgência artificial — "sua conta será bloqueada em 2 horas".

Rug pull em token novo. Um projeto lança um token com marketing agressivo, gera liquidez artificial e desaparece com os fundos assim que o volume de compra atinge um patamar suficiente. Tokens sem código auditável, com equipe anônima e liquidez concentrada em poucas carteiras são o padrão mais comum.

Os sinais de alerta antes do prejuízo

Poucos golpes são sofisticados o bastante para não deixar sinal nenhum. Os sinais quase sempre aparecem antes da transação, não depois — o problema é que a maioria das vítimas só reconhece o padrão em retrospecto:

• Promessa de rendimento fixo e "garantido" acima do que qualquer investimento de baixo risco oferece.
• Pressão de tempo artificial: "oferta expira em horas", "conta será bloqueada", "contrato migrou, mova seus tokens agora".
• Pedido de seed phrase, chave privada ou acesso remoto ao dispositivo — nenhuma plataforma legítima precisa de nenhum dos dois.
• Contato iniciado por mensagem direta não solicitada, oferecendo suporte, consultoria de investimento ou recuperação de fundos perdidos.
• Equipe do projeto anônima, sem CNPJ, endereço ou responsáveis identificáveis quando se trata de uma corretora ou plataforma que movimenta reais.

Como proteger sua carteira e sua seed phrase

A seed phrase (12 ou 24 palavras) é a única credencial que realmente importa — quem a tem controla os fundos, independentemente de senha, 2FA ou qualquer outra camada. Nunca digite a seed phrase em um site, aplicativo ou formulário, mesmo que a interface pareça idêntica à da sua carteira. Nenhuma carteira legítima pede a seed phrase para "verificar", "sincronizar" ou "recuperar" uma conta — ela só é usada para restaurar a carteira em um novo dispositivo, por iniciativa sua.

Algumas práticas reduzem a maior parte do risco prático:

• Guardar a seed phrase em papel ou metal, offline, nunca em foto, e-mail ou anotador de celular.
• Usar uma hardware wallet como Ledger ou Trezor para valores relevantes — a chave privada nunca sai do dispositivo físico, mesmo se o computador estiver comprometido.
• Ativar autenticação em duas etapas por aplicativo (não por SMS, vulnerável a troca de chip) em qualquer corretora usada.
• Instalar aplicativos de carteira apenas pelas lojas oficiais, conferindo o nome do desenvolvedor antes de instalar.
• Nunca compartilhar tela ou conceder acesso remoto sob orientação de alguém que se apresenta como suporte técnico.

O guia de Bitcoin do Zest detalha formatos de endereço e boas práticas de autocustódia específicas para quem já saiu da corretora e mantém os fundos em carteira própria.

Trocas sem custódia reduzem alguns riscos, mas criam outros

Uma plataforma de troca sem custódia como o Zest nunca guarda seus fundos nem pede senha de conta — você envia o ativo de origem direto da sua carteira e recebe o ativo de destino direto de volta, sem terceiro custodiando saldo no meio do caminho. Isso elimina o risco de uma corretora suspender saques ou vazar dados de KYC, mas não elimina o risco de phishing: golpistas clonam páginas de plataformas de troca com a mesma frequência com que clonam corretoras.

Antes de confirmar qualquer troca, verifique o endereço da página no navegador, não apenas o layout. Golpistas replicam a interface visual com facilidade; o domínio errado é o detalhe que a maioria ignora sob pressão. Confira também se o endereço de depósito gerado pela troca corresponde exatamente ao par escolhido — copiar e colar de uma fonte não confiável (um comentário, um anúncio, um print enviado por terceiro) é a forma mais comum de redirecionar fundos para a carteira errada.

O que fazer se você já foi vítima

Registrar um boletim de ocorrência na Polícia Civil é o primeiro passo formal, mesmo quando a recuperação do valor é improvável — o registro cria histórico útil para investigações futuras e para eventuais ações judiciais contra a plataforma envolvida. Ofertas de investimento irregulares podem ser denunciadas à CVM, e casos envolvendo instituição de pagamento cabem também ao Banco Central. Sites e e-mails de phishing são reportados ao CERT.br.

Desconfie de qualquer contato oferecendo "recuperação garantida" mediante pagamento antecipado. Golpistas compram listas de vítimas recentes e se apresentam como especialistas em recuperação de fundos, cobrando uma taxa adiantada por um serviço que nunca entrega — a segunda fraude em cima da primeira. Nenhum serviço legítimo de recuperação cobra antes de recuperar nada.