Os maiores roubos de criptomoedas dos últimos anos têm um traço em comum que deveria interessar mais ao jurista do que ao técnico: em quase todos, a criptografia funcionou. A chave privada não foi quebrada. O que falhou foi a cadeia de confiança em torno dela, as pessoas, os fornecedores, os processos de aprovação e saque. E é exatamente aí que mora a responsabilidade jurídica.
Para o Direito, a lição é que o dever de segurança de quem guarda ativos e dados de terceiros não se esgota em ter uma boa cifra. Ele é um dever de diligência contínuo, que acompanha o estado da arte das ameaças e cujo descumprimento gera responsabilidade civil, administrativa e, conforme o caso, regulatória. Este artigo extrai quatro lições desses incidentes, todas voltadas a quem pode ser responsabilizado.
O alvo deixou de ser a criptografia
Quem olha a história recente vê o vetor de ataque migrar da cifra para tudo que a cerca. Em 2019, a Binance perdeu cerca de 7.000 bitcoins porque atacantes capturaram chaves de API e códigos de duplo fator de usuários por phishing e malware, e montaram um saque que passou pelos controles da exchange. Em 2025, o caso Bybit, o maior roubo da história, cerca de US$ 1,5 bilhão, começou com a engenharia social de um desenvolvedor de um fornecedor terceirizado; um código malicioso na interface de assinatura alterou o destino de uma transação que signatários legítimos aprovaram sem perceber.
O mesmo padrão se repete. No caso BigONE, em 2025, a lógica de negócio do backend foi adulterada para autorizar saques, com a chave privada intacta. No ataque à Bitget, em setembro de 2026, a infraestrutura de backend foi usada para forjar transações que o próprio fluxo de aprovação autorizou, e as carteiras conectadas foram drenadas sem que as chaves privadas tivessem sido o alvo. Em nenhum deles a segurança criptográfica foi o ponto fraco. O ponto fraco foi humano, contratual e operacional, e esses são terrenos que o Direito conhece bem.
Primeira lição: o dever de segurança acompanha o estado da arte
Quando um incidente se repete em todo o setor, ele deixa de ser imprevisível. Essa é a consequência jurídica mais direta dos últimos anos. O padrão de diligência exigível de uma plataforma sobe a cada caso público, porque o que ontem era risco teórico hoje é risco notório. Depois de Bybit, nenhuma exchange pode alegar que não sabia que a interface de assinatura e o desenvolvedor terceirizado eram alvos.
No Direito brasileiro, isso se traduz em dever de segurança reforçado. O Marco Civil da Internet e o Código de Defesa do Consumidor impõem a quem oferece serviço na rede um dever de proteção inerente à atividade, e a jurisprudência tende a tratar fraudes e invasões como fortuito interno, ou seja, risco do próprio negócio, que não afasta a responsabilidade. Alegar “ataque sofisticado de terceiro” raramente exclui o dever de indenizar quando o vetor usado já era conhecido e evitável.
A consequência prática: a defesa de um incidente não se faz depois dele, e sim antes, comprovando que a plataforma adotou as medidas que o estado da arte exigia na data do fato.
Segunda lição: responde-se pelo terceiro que se contrata
O caso Bybit entrou para a história como roubo de exchange, mas a porta de entrada foi um fornecedor. Quem escolhe terceirizar assinatura, custódia, monitoramento ou qualquer elo sensível não terceiriza a responsabilidade. Perante o cliente e o regulador, quem responde é a plataforma que escolheu o fornecedor, integrou a ferramenta dele e confiou no acesso que lhe deu.
O fenômeno não é exclusivo da cripto. Em outubro de 2026, atacantes assumiram remotamente os sistemas de refrigeração de centenas de supermercados na França, em controladores de fornecedores acessíveis pela internet, em uma campanha ainda sob investigação que alcançou outros países europeus. A lógica jurídica é a mesma: o acesso remoto a sistemas de terceiro é superfície de risco de quem o adota, e a culpa in eligendo e in vigilando, a má escolha e a falta de fiscalização do contratado, são fundamentos clássicos de responsabilização.
Na prática, isso cobra contrato à altura: cláusulas de segurança e auditoria, limites de acesso do fornecedor, dever de notificar incidentes, responsabilidade solidária e direito de regresso. Um contrato de fornecedor sem essas cláusulas transfere o risco para quem contrata, não para quem causou a falha.
Terceira lição: o incidente quase nunca é só financeiro
Um roubo em exchange costuma vir acompanhado de um segundo dano, muitas vezes mais caro em termos jurídicos: o vazamento de dados pessoais. No próprio caso Binance de 2019, junto com os bitcoins saíram chaves de API e códigos de duplo fator de usuários. Para o Direito brasileiro, isso aciona a LGPD, que corre em paralelo à perda patrimonial e tem régua própria.
A LGPD impõe ao controlador o dever de adotar medidas de segurança técnicas e administrativas, de comunicar o incidente à ANPD e aos titulares quando houver risco relevante, e de responder pelos danos. Operador e controlador respondem, e o contrato entre eles não é oponível ao titular lesado. A seleção e a fiscalização de operadores, de novo, são dever do controlador.
A lição para quem guarda dados: o plano de resposta a incidente não é só técnico. Ele tem prazos, destinatários e deveres de informação que, descumpridos, geram sanção administrativa autônoma, independentemente do prejuízo financeiro do roubo em si.
Quarta lição: o que não foi documentado não foi feito
Todo incidente relevante termina em litígio, em processo administrativo ou em ambos. E nessa fase o que decide não é o que a plataforma fez, e sim o que ela consegue provar que fez. Sem registros de acesso, trilha de auditoria íntegra e evidência de testes de segurança periódicos, a empresa chega à disputa desarmada, e na prática o ônus de demonstrar diligência recai sobre ela.
O próprio relato da Binance em 2019 ilustra o ponto: a transação foi estruturada para passar pelos controles e os alarmes só dispararam depois do saque. A pergunta que um juízo ou a ANPD farão é anterior: os controles eram adequados ao risco conhecido, e isso está documentado. Logs preserváveis, política de resposta datada e relatórios de teste são, antes de tudo, prova.
A lição: governança de segurança é também governança probatória. Documentar a diligência é o que transforma uma boa prática técnica em defesa jurídica utilizável.
Segurança é obrigação contínua, não um ato
As quatro lições convergem para uma ideia só: a segurança de quem guarda ativos e dados alheios é uma obrigação jurídica continuada, que se mede pelo estado da arte das ameaças, alcança os terceiros contratados, corre em paralelo à LGPD e só vale, em juízo, o que se pode provar.
Daí o valor de testar a própria casa antes que o atacante o faça. Um teste de intrusão periódico, autorizado e documentado, que vá além da cripto e cubra pessoas, fornecedores e fluxos de aprovação, é ao mesmo tempo medida de segurança e evidência de diligência. É o registro que, no dia do incidente, mostra que a plataforma agiu à altura do risco que o próprio mercado já havia tornado notório.
