Uma decisão recente do Superior Tribunal de Justiça (STJ), do final de maio de 2025, traz novas regras para corretoras de criptomoedas no Brasil. O STJ definiu que essas plataformas são responsáveis por perdas de clientes em ataques hacker. Isso vale mesmo quando o invasor usa login, senha e autenticação de dois fatores.
O caso envolveu um cliente do Mercado Bitcoin. Ele perdeu R$ 200 mil após um ataque em sua conta. A justiça de primeira instância, a princípio, culpou o próprio investidor. No entanto, a Ministra Relatora Maria Isabel Gallotti, e os outros ministros, mudaram essa visão. Eles compararam as plataformas de criptomoedas às instituições financeiras. Afinal, o Mercado Bitcoin tem autorização para operar do Banco Central do Brasil.
A decisão lembrou a Súmula 479 do STJ. Ela diz que bancos respondem por fraudes internas feitas por terceiros. A Ministra Gallotti argumentou que, se a plataforma não tem segurança boa contra ataques, a culpa é dela. Não é do cliente.
Além disso, a Ministra criticou a corretora por não apresentar um e-mail de confirmação da transação fraudulenta. Essa prova era essencial para a defesa da empresa. Por fim, a decisão atribuiu toda a culpa pela perda dos bitcoins à plataforma. Isso reforça a importância de sistemas de segurança robustos para as corretoras brasileiras.
O que o STJ decidiu, ponto a ponto
O julgamento é o REsp 2.104.122-MG, da Quarta Turma, decidido por unanimidade em 20 de maio de 2025 e publicado em 28 de maio. Pelo resumo oficial no Informativo de Jurisprudência nº 853 do STJ (link no início do texto), a tese foi esta: plataformas de transações com criptomoedas respondem objetivamente, ou seja, sem necessidade de provar culpa, por transferência fraudulenta de bitcoins feita com login, senha e autenticação de dois fatores.
O raciocínio do tribunal seguiu três passos:
- Corretora é instituição financeira: por constar da lista de instituições autorizadas e supervisionadas pelo Banco Central, a plataforma se submete à Súmula 479 do STJ, segundo a qual instituições financeiras respondem pelos danos de fortuito interno ligados a fraudes e delitos praticados por terceiros em suas operações.
- O ônus da prova é da empresa: como a plataforma exigia login, senha, PIN e confirmação por link enviado por e-mail, cabia a ela provar que o próprio cliente completou toda essa cadeia. Sem o e-mail de confirmação da operação, não havia como afastar a responsabilidade.
- Ataque hacker não é desculpa: mesmo admitindo invasão por terceiros, o STJ entendeu que isso é risco da atividade (fortuito interno), e não um evento externo capaz de excluir a responsabilidade.
O tribunal também afastou a ideia de culpa exclusiva da vítima, prevista no artigo 14, parágrafo 3º, do Código de Defesa do Consumidor, porque a corretora não demonstrou que o cliente tinha concluído a transação.
Por que a decisão ganhou peso com a regulação do Banco Central
Na época do julgamento, o enquadramento das corretoras de cripto como instituições financeiras ainda dependia da situação de cada empresa. Isso mudou com as Resoluções BCB 519, 520 e 521, de novembro de 2025, que criaram as sociedades prestadoras de serviços de ativos virtuais (SPSAV) e exigem autorização do Banco Central para funcionar no país, com sede e administração no Brasil. Quanto mais o setor se aproxima do modelo bancário, mais natural fica aplicar a mesma lógica de proteção ao consumidor usada para bancos.
Há um limite importante, porém: a decisão trata de cripto mantida dentro da corretora. Quem guarda as moedas em carteira própria (autocustódia) tem controle total das chaves, mas também assume sozinho o risco de perda ou invasão. O guia de autocustódia de bitcoin explica como reduzir esse risco.
O que fazer se sua conta na corretora for invadida
- avise a corretora imediatamente pelos canais oficiais e peça o bloqueio da conta e dos saques;
- registre boletim de ocorrência e guarde prints, e-mails, horários e os identificadores das transações (hash);
- peça formalmente à corretora os registros de acesso e as confirmações da operação contestada, que foram a prova decisiva no caso julgado;
- se não houver solução, registre reclamação no consumidor.gov.br ou no Procon e avalie ação judicial com base no CDC.
- no caso de corretora estrangeira sem operação no Brasil, a cobrança na Justiça é bem mais difícil, o que pesa na escolha da plataforma.
Perguntas frequentes
Qual é o número do processo do STJ sobre ataque hacker em corretora de cripto?
É o REsp 2.104.122-MG, relatado pela ministra Maria Isabel Gallotti na Quarta Turma, julgado em 20 de maio de 2025 e divulgado no Informativo de Jurisprudência nº 853.
A corretora sempre vai ter que devolver a cripto roubada?
Não automaticamente. A responsabilidade é objetiva, mas a empresa pode se livrar se provar culpa exclusiva do cliente ou de terceiro externo à operação. No caso julgado, ela perdeu porque não apresentou a confirmação por e-mail que comprovaria que o próprio cliente autorizou a transferência.
A decisão vale para quem guarda bitcoin em carteira própria?
Não. O entendimento se aplica a plataformas que custodiam e intermedeiam as operações. Em autocustódia, não há instituição responsável: a segurança das chaves é do próprio dono.
Antes de você sair
Quanto você paga pra comprar bitcoin? A taxa que a corretora anuncia não é o custo real: falta o spread do livro e o ágio sobre o preço de fora. A gente mede isso todo dia em seis corretoras e publica o ranking — veja quanto custa hoje.
Vai abrir conta em alguma? Juntamos os bônus de cadastro que valem a pena em uma página só, com o que cada um exige pra liberar — veja os bônus.
Uma vez por semana, no seu e-mail. O que aconteceu no bitcoin e o que muda pra quem tem cripto no Brasil, sem hype — assine a newsletter.
