Suposto roubo de US$ 6,3 bilhões na Binance reacende preocupações com a segurança das carteiras de criptomoedas, enquanto especialistas alertam para novos ataques

Um grande incidente de segurança que teria afetado aproximadamente US$ 6,3 bilhões em ativos vinculados à Binance reacendeu o debate sobre a forma como as corretoras protegem os fundos dos clientes. No mesmo dia, a plataforma internacional da Polymarket suspendeu temporariamente as negociações após o comprometimento de um fornecedor terceirizado de dados, com pelo menos US$ 2,7 milhões em fundos de usuários supostamente roubados.

Esses incidentes evidenciam uma questão difícil para os usuários de criptomoedas: os ativos devem permanecer em plataformas centralizadas de negociação ou os investidores devem assumir o controle total por meio de carteiras sob sua própria custódia?

Não existe uma resposta universal. Cada modelo envolve diferentes riscos, responsabilidades e mecanismos de recuperação.

A custódia em corretoras oferece conveniência, mas não proteção equivalente à bancária

As corretoras centralizadas continuam sendo a principal porta de entrada para muitos usuários de criptomoedas. Elas oferecem liquidez, ferramentas de negociação, suporte ao cliente e, pelo menos em alguns casos, recursos financeiros para reembolsar os usuários após um incidente de segurança.

No entanto, manter ativos em uma corretora significa que os usuários não controlam diretamente as chaves privadas. Seus fundos dependem da arquitetura das carteiras da plataforma, de seus controles internos, políticas de saque, funcionários, fornecedores e procedimentos de resposta a incidentes cibernéticos.

Tyler Moore, professor de cibersegurança da Universidade de Tulsa, alertou que a concentração de grandes saldos em plataformas de negociação pode expor os usuários a um risco significativo de contraparte. Ao contrário de certos depósitos bancários em algumas jurisdições, os saldos mantidos em corretoras de criptomoedas geralmente não contam com um sistema amplo e aplicável de seguro de depósitos.

As orientações ao consumidor da Federal Trade Commission sobre criptomoedas também destacam que as transações com criptoativos normalmente não oferecem os mesmos mecanismos de estorno e recuperação disponíveis nas instituições financeiras tradicionais.

Isso cria uma distinção importante:

• Uma plataforma pode prometer reembolsar os clientes afetados.
• Uma plataforma pode ter capital suficiente para absorver as perdas.
• Nenhuma dessas garantias equivale automaticamente a um seguro de depósitos protegido por lei.

Por isso, antes de tratar uma corretora como um cofre de longo prazo, os usuários devem analisar suas divulgações de segurança, controles de saque, metodologia de prova de reservas, acordos de seguro e histórico de resposta a incidentes.

A autocustódia elimina o risco da corretora, mas acrescenta responsabilidades ao usuário

A autocustódia resolve um problema diferente. Quando os usuários mantêm suas próprias chaves privadas, ficam menos dependentes da solvência da corretora, da gestão interna de carteiras ou da disponibilidade de saques.

Essa independência é uma das principais vantagens da blockchain. No entanto, ela também significa que os erros podem se tornar irreversíveis. Frases de recuperação perdidas, aprovações maliciosas, ataques de phishing, aplicativos de carteira falsos e dispositivos comprometidos podem resultar em perdas permanentes.

Brett Falk, professor da Universidade da Pensilvânia, argumenta que alguns usuários podem preferir manter seus fundos com uma empresa financeiramente sólida em vez de depender integralmente da autocustódia. Sua visão reflete uma realidade prática: muitos usuários não estão preparados para gerenciar frases-semente, assinar transações, verificar endereços e proteger seus dispositivos sem assistência.

O desafio é que a autocustódia não constitui uma única categoria de segurança. Existe uma diferença significativa entre:

• Deixar os ativos em uma conta de corretora protegida principalmente por credenciais de acesso.
• Manter as chaves em uma carteira de navegador exposta a phishing e sites maliciosos.
• Usar uma carteira de hardware que mantém as chaves privadas isoladas das atividades comuns na internet.
• Gerenciar fundos por meio de um sistema de custódia com múltiplas assinaturas, cuidadosamente projetado, ou de uma solução institucional de custódia.

A escolha ideal depende da capacidade técnica do usuário, do volume de ativos, da frequência das transações e da tolerância ao risco operacional.

Fornecedores terceirizados estão se tornando um ponto crítico de ataque

O incidente envolvendo a Polymarket ilustra outra preocupação crescente: uma empresa pode sofrer uma interrupção de segurança mesmo quando o alvo direto é um prestador de serviços, e não sua infraestrutura central de carteiras.

As plataformas de criptomoedas dependem cada vez mais de fornecedores externos para feeds de dados, análises, serviços de nuvem, verificação de identidade, comunicações e monitoramento de transações. Cada conexão pode ampliar a superfície de ataque.

Uma violação em um fornecedor terceirizado talvez não exponha imediatamente as chaves privadas, mas ainda assim pode gerar consequências graves, incluindo:

• Manipulação de dados de mercado ou de preços
• Acesso não autorizado a sistemas administrativos
• Campanhas de phishing que utilizam marcas confiáveis
• Interrupções em depósitos, saques ou negociações
• Vazamento de informações de usuários que facilite ataques direcionados

Para os usuários, isso significa que a segurança de uma plataforma não deve ser avaliada apenas com base na solidez de seu sistema de carteiras. A gestão de fornecedores, a segregação de acessos, o monitoramento de incidentes e a integridade dos dados são igualmente importantes.

O NIST Cybersecurity Framework oferece uma estrutura amplamente utilizada para identificar, proteger, detectar, responder e se recuperar de riscos cibernéticos. Embora não seja específico para ativos digitais, seus princípios são altamente relevantes para corretoras de criptomoedas e plataformas Web3.

A IA pode aumentar a velocidade e a escala dos ataques contra criptomoedas

Especialistas também esperam que a inteligência artificial transforme o cenário de ameaças. Os criminosos podem usar IA para criar mensagens de phishing mais convincentes, imitar agentes de atendimento ao cliente, automatizar técnicas de engenharia social e identificar possíveis alvos em grande escala.

Para os usuários de criptomoedas, os ataques mais perigosos viabilizados pela IA talvez não envolvam a quebra da criptografia da blockchain. Em vez disso, eles podem explorar a confiança humana.

Entre os exemplos estão:

• Mensagens personalizadas que imitam a equipe de suporte de uma corretora
• Falsos alertas de segurança solicitando que o usuário “verifique” uma carteira
• Imitações, por voz ou vídeo, de executivos e influenciadores
• Sites maliciosos gerados automaticamente que se parecem com plataformas legítimas
• Oportunidades fraudulentas de investimento promovidas por contas coordenadas

As transações em blockchain geralmente são difíceis ou impossíveis de reverter depois de confirmadas. Por isso, os usuários devem tratar solicitações inesperadas na carteira, pedidos urgentes de saque e solicitações de frases de recuperação como eventos de alto risco.

Um serviço legítimo jamais deve exigir que os usuários divulguem sua frase-semente ou chave privada. Qualquer pessoa que obtenha essas informações poderá conseguir movimentar os ativos sem nenhuma autorização adicional.

A regulamentação pode elevar os padrões, mas não eliminar os riscos

A supervisão regulatória é outro ponto de divergência.

Michael Selig, presidente da CFTC, argumentou que as plataformas offshore talvez não ofereçam aos usuários salvaguardas comparáveis às existentes nos mercados financeiros regulados dos Estados Unidos. Ele demonstrou apoio a uma via de registro federal que permitiria a determinadas plataformas de negociação operar sob requisitos mais claros de cibersegurança e conformidade.

Uma estrutura regulatória poderia ajudar a estabelecer padrões mínimos para:

• Segregação dos ativos dos clientes
• Governança de cibersegurança
• Comunicação de incidentes
• Divulgação de riscos
• Supervisão de fornecedores
• Monitoramento do mercado
• Planejamento de continuidade dos negócios e recuperação

No entanto, a regulamentação não pode garantir que todos os ataques serão evitados. Brett Falk observou que até mesmo as plataformas sujeitas à supervisão dos Estados Unidos podem continuar vulneráveis a ameaças cibernéticas sofisticadas.

As orientações da CFTC sobre ativos digitais para clientes também alertam que os mercados de ativos digitais envolvem riscos substanciais, incluindo fraude, roubo, falhas de plataformas e proteções legais limitadas.

A regulamentação pode melhorar a responsabilização e a transparência. Ela não substitui um bom projeto de carteira, uma autenticação forte, o monitoramento de transações nem a cautela dos usuários.

Não existe uma definição universal de “segurança”

Ryan Kirkley, CEO da Global Settlement Network, recomendou que os usuários tenham cautela ao manter ativos em carteiras ou plataformas que não ofereçam um respaldo significativo de seguros. Seu argumento mais amplo é que o setor ainda não dispõe de uma solução única capaz de garantir segurança para todos os usuários e todos os tipos de ativos.

Essa avaliação é importante porque a segurança das criptomoedas envolve várias camadas. Uma plataforma pode adotar procedimentos sólidos de armazenamento a frio, mas ter controles fracos no atendimento ao cliente. Um usuário pode possuir uma carteira de hardware segura, mas aprovar um contrato inteligente malicioso. Uma corretora pode reembolsar os clientes após um incidente, mas as políticas de reembolso podem variar conforme a jurisdição e as circunstâncias.

Em vez de buscar um método de custódia perfeito, os usuários devem adaptar sua estratégia de segurança à finalidade de seus fundos:

Para negociações frequentes

Mantenha em uma plataforma de negociação apenas o valor necessário para as atividades de curto prazo. Evite tratar uma conta em corretora como uma conta de poupança permanente.

Para investimentos de longo prazo

Considere uma solução dedicada de autocustódia, com um dispositivo seguro para assinatura, backups de recuperação mantidos offline e um processo de recuperação cuidadosamente testado.

Para carteiras de alto valor

Utilize controles em várias camadas, como múltiplas carteiras, limites de transação, dispositivos separados e, quando apropriado, governança com múltiplas assinaturas.

Para todos os usuários

Ative uma autenticação forte, verifique os endereços dos sites, confira os detalhes das transações em uma tela confiável e mantenha um registro claro dos endereços das carteiras e dos procedimentos de recuperação.

Um checklist prático de segurança para usuários de criptomoedas

Os incidentes recentes oferecem várias lições práticas:

1. Separe os saldos destinados à negociação dos investimentos de longo prazo.
   Manter todos os ativos em um único local cria um ponto único de falha.

2. Use proteção de chaves baseada em hardware para saldos significativos.
   Uma carteira de hardware pode manter as chaves privadas isoladas de muitas ameaças online, embora não proteja os usuários contra todas as formas de phishing ou engenharia social.

3. Nunca compartilhe uma frase-semente ou chave privada.
   Nenhum representante legítimo de suporte, corretora ou provedor de carteiras deve solicitar essas informações.

4. Verifique as transações no próprio dispositivo.
   Não dependa apenas das informações exibidas por um computador ou navegador potencialmente comprometido.

5. Revise as aprovações de tokens e as permissões de contratos inteligentes.
   Aprovações não utilizadas podem criar uma exposição adicional em ambientes de finanças descentralizadas.

6. Mantenha backups independentes.
   Armazene as informações de recuperação com segurança e evite fotografá-las ou enviá-las para serviços de nuvem.

7. Acompanhe os comunicados da plataforma e as condições de saque.
   Congelamentos temporários, manutenções incomuns ou alterações nas políticas de saque podem indicar estresse operacional.

8. Avalie o risco de contraparte antes de depositar fundos.
   Considere onde a empresa está registrada, como os ativos dos clientes são mantidos, quais proteções existem e como os incidentes foram tratados no passado.

O que os incidentes da Binance e da Polymarket significam para o setor

Os incidentes relatados envolvendo a Binance e a Polymarket não provam que a custódia centralizada ou a autocustódia sejam universalmente superiores. Em vez disso, demonstram que a segurança das criptomoedas precisa ser avaliada ao longo de toda a cadeia de custódia.

As plataformas centralizadas podem oferecer reservas de capital, equipes profissionais de segurança e capacidade para compensar os usuários. A autocustódia pode reduzir a dependência de intermediários e proporcionar a propriedade direta das chaves privadas. Ambos os modelos podem falhar quando usuários, plataformas ou prestadores de serviços negligenciam controles básicos de segurança.

À medida que os ataques assistidos por IA se tornam mais acessíveis e a infraestrutura cripto fica cada vez mais interconectada, os usuários devem esperar novas tentativas de explorar sistemas de identidade, fornecedores terceirizados, interfaces de carteiras e o comportamento humano.

Para quem busca reduzir a dependência da custódia em corretoras, uma carteira de hardware como a OneKey pode oferecer um ambiente offline para assinar transações e gerenciar chaves privadas. Seu valor é maior quando combinado a práticas operacionais disciplinadas: backups seguros, verificação dos detalhes das transações, firmware atualizado e análise cuidadosa de cada solicitação.

A principal lição é simples: ter criptomoedas não diz respeito apenas ao local onde os ativos são armazenados. Também envolve saber quem controla as chaves, quais sistemas podem influenciar as transações, como os incidentes são tratados e se o usuário tem um plano de recuperação realista.