Minha exchange foi hackeada: quem paga o prejuízo e o que a regulamentação do Banco Central garante?
Os ataques hackers que atingiram a Binance e o Mercado Bitcoin nos últimos dias reacenderam uma preocupação entre investidores brasileiros: se a exchange onde guardo minhas criptomoedas for invadida, quem deve devolver meu dinheiro?
A resposta envolve as novas regras do Banco Central, o Código de Defesa do Consumidor e as responsabilidades de quem oferece serviços de custódia.
Desde fevereiro de 2026, o Brasil conta com uma regulamentação específica para as prestadoras de serviços de ativos virtuais (PSAVs). As Resoluções BCB nº 519, 520 e 521 formam esse marco: a 519 trata da autorização, a 520 do funcionamento e a 521 do câmbio. É a 520 que traz as exigências de segurança, governança e proteção patrimonial para as empresas que desejam operar no mercado brasileiro.
Uma das mudanças mais importantes é a segregação patrimonial, que determina a separação entre os recursos pertencentes à exchange e aqueles de seus clientes. Mas será que isso significa que tuas criptomoedas estarão protegidas de qualquer ataque? E se os próprios ativos segregados forem roubados?
O que é segregação patrimonial e como ela protege tuas criptomoedas?
A Resolução BCB nº 520, especialmente em seus artigos 28, 29 e 30, estabelece que as prestadoras de serviços de ativos virtuais devem separar seus recursos financeiros e criptoativos daqueles pertencentes aos clientes.
Isso significa que a exchange não deve tratar as criptomoedas que tu depositaste como se fossem patrimônio próprio. Os ativos dos clientes devem ser mantidos em estruturas de custódia distintas das carteiras utilizadas pela empresa para suas operações.
A regulamentação também proíbe, como regra geral, que a prestadora utilize os ativos dos clientes em operações próprias. Existem exceções específicas, como determinadas atividades de staking e operações expressamente autorizadas por investidores qualificados ou profissionais.
Além disso, o Banco Central exige mecanismos de prova de reservas, registros que permitam identificar os ativos pertencentes a cada cliente e auditorias independentes periódicas. O artigo 30 prevê auditorias bienais, com divulgação pública do relatório.
A segregação é importante porque permite distinguir o patrimônio da empresa daquele que pertence aos investidores. Essa identificação também é relevante em situações de insolvência ou encerramento das operações.
Mas existe um detalhe fundamental: segregação patrimonial não é a mesma coisa que proteção absoluta contra hackers.
Mesmo que os ativos estejam corretamente separados dos recursos da exchange, uma falha na infraestrutura de custódia pode comprometer as carteiras dos clientes. É justamente nesse cenário que entram as regras de responsabilidade.
Se os fundos segregados forem roubados, quem deve pagar?
O ponto mais importante da regulamentação está no artigo 81 da Resolução BCB nº 520. A norma estabelece que o custodiante responde perante seus clientes por perdas e danos decorrentes de negligência, imprudência, imperícia ou dolo.
Isso inclui situações em que o cliente perde o acesso aos ativos custodiados. Portanto, se uma falha de segurança atribuível ao custodiante permitir o roubo das criptomoedas, existe fundamento regulatório para responsabilizar a instituição pelos prejuízos.
E se a exchange utilizar outra empresa para guardar os ativos? Nesse caso, ela também não pode simplesmente transferir toda a responsabilidade ao prestador contratado.
O parágrafo único do artigo 81 determina que, quando uma prestadora contrata um custodiante para atender seus clientes, ela assume perante os titulares afetados a mesma responsabilidade prevista para os danos tratados no artigo.
A proteção também encontra respaldo na Justiça. Em maio de 2025, o Superior Tribunal de Justiça (STJ) reconheceu a responsabilidade objetiva de uma plataforma de criptomoedas por uma transferência fraudulenta de Bitcoin, em um caso no qual a empresa não demonstrou que seus controles de segurança haviam funcionado adequadamente.
A decisão, no REsp 2.104.122, considerou a aplicação das regras de proteção ao consumidor e destacou que a ocorrência de um ataque hacker não afasta, por si só, a responsabilidade da instituição.
Isso não significa, entretanto, que qualquer ataque gere indenização automática. A responsabilidade depende das circunstâncias, do serviço prestado, da existência de falha e de eventuais causas legais que afastem o dever de reparar.
Em 2026, por exemplo, no REsp 2.250.674, o STJ afastou a responsabilidade de uma intermediadora em um caso de golpe envolvendo uma carteira externa, justamente porque não foi demonstrada falha no serviço prestado por aquela empresa.
Outra questão importante: criptomoedas não possuem cobertura do Fundo Garantidor de Créditos (FGC). A própria Resolução 520 exige que as prestadoras informem expressamente essa ausência de garantia.
Portanto, caso exista obrigação de ressarcimento, a reparação deverá ser buscada perante os responsáveis, conforme os contratos e a legislação. Não existe um fundo público ou uma garantia automática do Banco Central que devolva os Bitcoins roubados.
Minha exchange foi hackeada: o que posso exigir e como reclamar?
O primeiro passo é identificar se houve efetivamente perda dos teus ativos ou apenas uma suspensão preventiva de serviços. Uma exchange pode bloquear temporariamente depósitos e saques durante uma investigação sem que isso signifique que o saldo de cada cliente tenha sido roubado.
Pelas regras de custódia, a instituição deve manter registros individualizados, disponibilizar informações atualizadas sobre saldos e movimentações e comunicar tempestivamente os eventos que afetem significativamente os direitos dos clientes.
Se tua exchange sofreu um ataque, é importante guardar extratos, comprovantes de depósitos, histórico de movimentações, capturas de tela e todos os comunicados enviados pela plataforma.
Também é recomendável solicitar formalmente informações sobre a situação do teu saldo, a custódia utilizada, a existência de movimentações não autorizadas e as medidas adotadas para preservar os recursos.
Caso exista prejuízo ou a instituição não apresente uma solução, tu podes registrar reclamação no atendimento e na ouvidoria da empresa, recorrer ao Procon ou ao Consumidor.gov.br e buscar orientação jurídica para avaliar uma eventual ação de ressarcimento.
Nas situações abrangidas pela supervisão do Banco Central, também é possível registrar uma reclamação no BC. Entretanto, o regulador não resolve individualmente pedidos de indenização nem determina automaticamente a devolução dos ativos.
Existe ainda uma questão importante para novembro de 2026: as exchanges que protocolaram pedidos dentro do prazo de transição não receberam necessariamente uma licença definitiva.
A Resolução 520 estabelece um período de adequação para empresas que já estavam em funcionamento. Esse período termina quando o BC se manifesta sobre a primeira fase do processo de autorização, momento a partir do qual passam a ser exigidas integralmente as disposições regulatórias aplicáveis, mesmo antes da decisão definitiva sobre a licença.
Por isso, é necessário verificar a situação regulatória de cada empresa e quais obrigações já são exigíveis. Os direitos previstos no Código de Defesa do Consumidor, por outro lado, não dependem simplesmente da conclusão do processo de licenciamento.
A nova regulamentação representa um avanço porque estabelece responsabilidades mais claras para quem guarda criptomoedas de terceiros. Mas ter uma exchange regulada não significa ter um investimento sem riscos, nem uma garantia automática de ressarcimento.
Para quem investe, a principal proteção continua sendo compreender quem controla os ativos, como funciona a custódia e quais mecanismos existem para recuperar o patrimônio caso alguma coisa dê errado.
Do Declarando Bitcoin
Tens cripto em exchange? Mantém tua declaração em ordem.
O Acompanhamento Peixinho do Declarando Bitcoin organiza teus extratos e mantém tua situação em dia com a Receita, com o mesmo atendimento que damos às baleias. → Vem nadar comigo
CriptoCalc: tecnologia que cruza, contabilidade que comprova. Em breve, versão para contadores. Entra na lista de espera → contato@declarandobitcoin.com.br
Quer diversificar a custódia com a declaração em ordem? A OKX tem empresa constituída no Brasil e extratos acessíveis para o IR. → Abre tua conta pelo nosso link
Este conteúdo contém links de indicação. Se tu abrires conta por eles, o Declarando Bitcoin pode receber comissão, sem custo extra para ti.
Sobre o autor
Cassio Schiavi é jornalista com mais de 20 anos de carreira, sendo a última década dedicada ao mercado de criptoativos. Formado em Jornalismo pela FACCAMP e pós-graduado em Globalização e Cultura, já entrevistou nomes como Adam Back, Bill Clinton e Henrique Meirelles e cobriu fóruns como G20 e FMI. No blog do Declarando Bitcoin, escreve sobre regulação cripto.
