Os riscos de segurança em criptomoedas passaram a fazer parte da estratégia de bancos, fintechs e outras instituições financeiras. O mesmo ambiente que permite movimentações rápidas, transfronteiriças e disponíveis praticamente a qualquer momento também pode facilitar a ação de fraudadores.
O problema é que uma fraude em cripto não termina necessariamente quando uma operação é identificada. A depender do caminho percorrido pelos recursos, recuperar o valor pode ser muito mais difícil do que impedir a transferência inicialmente.
Mas existe também o risco de tentar proteger o negócio criando tantas barreiras que o cliente legítimo desiste da operação. Afinal, segurança excessivamente rígida pode gerar fricção, abandono e perda de competitividade.
Nesse ponto, entra a gestão de riscos de criptoativos. Além de bloquear operações suspeitas, esse gerenciamento ajuda a instituição a entender quem está movimentando os recursos, qual é o comportamento esperado, o que mudou e quando uma situação realmente exige intervenção.
Leia também: Falsa corretora de criptomoedas: fraudes crescem
O mercado de criptomoedas está mudando e os fraudadores também
Segundo dados do State of the Crypto Industry Report 2026, da Sumsub, as fraudes envolvendo criptomoedas no Brasil caíram 7% na comparação anual e chegaram a 1,4% das verificações realizadas. À primeira vista, parece uma notícia positiva. Mas a própria análise alerta para uma mudança importante no comportamento dos criminosos.
Em vez de necessariamente trabalhar apenas com ataques de grande escala, os fraudadores passaram a migrar para abordagens mais precisas, apoiadas por inteligência artificial, deepfakes e identidades sintéticas.
Essa visão é importante, porque uma redução nas tentativas detectadas não significa automaticamente que o risco ficou menor, mas que o fraudador também está aprendendo a escolher melhor seus alvos, adaptar suas abordagens e explorar pontos mais específicos da jornada do cliente.
É uma lógica que já aparece em outros mercados, como o segmento bancário e financeiro. Quanto melhores ficam os controles, mais o criminoso busca encontrar uma brecha menos protegida, além de adotar ferramentas mais sofisticadas e profissionais para cometer as fraudes.
Saiba mais: Fraud as a Service: como blindar seu negócio
Por que os riscos de segurança em criptomoedas exigem nova abordagem?
Uma transferência bancária tradicional e uma movimentação de criptoativos podem parecer semelhantes para o usuário. Em ambos os casos, existe alguém enviando valor para outra pessoa ou empresa.
A diferença está no que acontece por trás dessa operação, já que os criptoativos podem circular rapidamente entre diferentes carteiras, plataformas e jurisdições.
Em determinados casos, os recursos podem chegar a uma carteira autocustodiada, cujo controle está diretamente nas mãos do titular das chaves. Isso não torna uma carteira autocustodiada suspeita por definição. A autocustódia é uma característica legítima do mercado.
O desafio para as instituições é entender o contexto dessas transferências. É como conhecer o endereço para onde uma encomenda foi enviada sem necessariamente saber quem estará esperando para receber. O endereço existe, a operação aconteceu, mas ainda pode faltar uma informação importante para avaliar o risco.
Por isso, o monitoramento precisa ir além de “para onde foi o dinheiro?”. A pergunta passa a ser: por que esse cliente está fazendo essa operação, neste momento, nesse valor e para esse destino?
Nova regra do Banco Central sobre criptomoedas
Essa discussão sobre os riscos de segurança em criptomoedas ficou ainda mais relevante nos últimos tempos. O Banco Central publicou a Resolução BCB nº 584, que ampliou o alcance dos procedimentos e controles de prevenção a fraudes para os serviços relacionados a ativos virtuais.
A norma criou, entre outras medidas, uma retenção cautelar de até 24 horas para determinadas transferências destinadas a prestadores de serviços de ativos virtuais no exterior ou a carteiras autocustodiadas.
A regra considera operações superiores ao equivalente a US$ 10 mil, individualmente ou no total movimentado pelo cliente no mesmo dia. Também existem hipóteses em que operações abaixo desse valor podem demandar retenção para análise, conforme os critérios de gerenciamento de riscos da instituição. A medida passa a valer em 1º de janeiro de 2027.
E há um ponto importante: a retenção cautelar não significa que todos esses recursos ficarão necessariamente parados durante 24 horas. A instituição pode liberar a operação antes, desde que tenha uma decisão fundamentada e baseada na análise de risco.
Então, não se trata simplesmente de criar uma barreira. Trata-se de criar uma janela para tomar uma decisão mais segura.
Leia também: Fraudes com criptomoedas: GIF faz parceria contra os crimes
Quais são os principais riscos de segurança em criptomoedas?
Fraudes no onboarding
Um dos primeiros pontos de atenção está na entrada do cliente. Identidades roubadas, documentos adulterados, identidades sintéticas e deepfakes podem ser utilizados para criar contas que parecem legítimas.
O problema é que um onboarding bem-sucedido não significa necessariamente que o cliente continuará apresentando o mesmo perfil. Por isso, uma pergunta importante para qualquer instituição financeira é: “Estamos conhecendo apenas quem o cliente diz ser ou também estamos acompanhando o que ele faz?”
Leia: Fraudes de identidade: 7 ações para proteger sua empresa
Sequestro de contas
Existe ainda uma situação mais difícil: a conta pode ser legítima desde o início, só que o problema acontece depois. Imagine um cliente que utiliza a plataforma normalmente durante seis meses. Seu comportamento é previsível, os valores movimentados são relativamente estáveis e seus acessos seguem um padrão.
De repente, ele troca o dispositivo, altera informações cadastrais, aumenta o volume movimentado e passa a transferir recursos para novos destinos. Nenhum desses eventos, isoladamente, prova uma fraude. Mas a combinação pode justificar uma análise.
Aqui o monitoramento comportamental se torna importante. A instituição deixa de procurar apenas eventos conhecidos e passa a observar mudanças relevantes no comportamento.
Identidades sintéticas e deepfakes
A inteligência artificial também está alterando a forma como os fraudadores constroem identidades falsas. Um documento pode parecer legítimo, uma fotografia pode parecer real e uma pessoa pode conseguir reproduzir determinados movimentos em uma prova de vida.
Então, a questão passa a ser: a identidade, a pessoa e o comportamento fazem sentido juntos? A Mastercard identificou uma preocupação crescente dos consumidores latino-americanos com fraudes impulsionadas por tecnologias como deepfakes e clonagem de voz.
No Brasil, a pesquisa apontou que esquemas de investimento e criptomoedas correspondem a 30% das fraudes mais comuns relatadas, atrás de fraudes em compras e varejo, com 37%, e próximos do roubo de identidade, com 31%.
Lavagem de dinheiro e movimentações incompatíveis
Entre os riscos de segurança em criptomoedas está a utilização de criptoativos para movimentar recursos de origem ilícita para lavagem de dinheiro.
Aqui, o desafio não é simplesmente encontrar uma transação “suspeita”. É compreender o contexto. Um volume elevado pode ser perfeitamente compatível com um determinado cliente e completamente incompatível com outro.
Por isso, o monitoramento precisa considerar perfil, histórico, relacionamento, contraparte, destino, frequência e outros elementos relevantes.
Riscos cibernéticos
Também é importante separar duas situações quando falamos de riscos cibernéticos em criptomoedas: a segurança da própria blockchain e a segurança de todo o ecossistema que utiliza essa tecnologia.
A blockchain pode ter mecanismos robustos de criptografia, consenso e validação. Isso, porém, não significa que uma exchange, banco, fintech, aplicativo, carteira digital ou usuário esteja automaticamente protegido contra os ataques.
É uma diferença parecida com a de um cofre e o ambiente ao redor dele. O cofre pode ser extremamente resistente, mas, se alguém conseguir roubar a chave, descobrir a senha ou convencer um funcionário a abrir a porta, a robustez do equipamento deixa de ser suficiente.
No universo dos criptoativos, esse “entorno” é enorme. Envolve sistemas de autenticação, aplicativos, APIs, dispositivos, carteiras, plataformas de negociação, provedores de tecnologia, prestadores de serviços, funcionários e, principalmente, as pessoas que interagem com esses ambientes.
Falsos positivos
Existe uma tendência natural de pensar que, em combate a fraudes, é melhor bloquear demais do que liberar demais. Nem sempre. Se uma instituição bloqueia toda operação diferente, pode até reduzir alguns riscos, mas também pode prejudicar clientes legítimos.
A análise da Sumsub aponta justamente os falsos positivos (quando uma fraude passa) e negativos (quando uma operação legítima é tratada como suspeita) como uma preocupação relevante para operadores de criptomoedas. O impacto pode aparecer em vários lugares:
- Abandono de operações;
- Aumento de chamados;
- Frustração do cliente;
- Perda de receita;
- Redução de conversão;
- Desgaste da confiança.
Logo, a segurança que impede o negócio de funcionar também precisa ser considerada um risco.
Veja também: Segurança excessiva x segurança inteligente
Como estruturar uma gestão eficaz dos riscos de segurança em criptomoedas?
Primeiro: mapear os riscos
A empresa precisa entender onde pode ocorrer fraude.
- Onboarding;
- Recuperação de conta;
- Movimentação;
- Transferência para carteiras;
- Relacionamento com terceiros;
- Própria infraestrutura.
Sem esse mapa, não se sabe quais os problemas prioritários.
Segundo: classificar os riscos
Nem todos os clientes e operações apresentam o mesmo nível de exposição. Uma abordagem baseada em risco permite concentrar recursos onde a combinação de probabilidade e impacto é maior. A Financial Crime Academy recomenda justamente identificar, analisar e avaliar os riscos antes de definir o tratamento adequado.
Terceiro: monitorar continuamente
A instituição precisa observar mudanças. Não significa acompanhar cada movimento como se fosse suspeito, porém estabelecer critérios para identificar comportamentos relevantes.
Quarto: integrar diferentes sinais
Uma alteração cadastral, uma mudança de dispositivo e uma transferência elevada podem ser situações comuns. Mas os três eventos acontecendo juntos, imediatamente antes de uma transferência para uma carteira nova, podem formar outro cenário. É importante olhar para a combinação desses fatores.
Quinto: investigar quando necessário
Nem todo alerta precisa gerar bloqueio. Alguns devem motivar perguntas, que precisam ser respondidas por profissionais capazes de analisar contexto, relacionamento, histórico e evidências.
O que as empresas devem considerar na prática?
Uma estratégia para combater os riscos de segurança em criptomoedas pode ser organizada em oito perguntas:
- Quem é o cliente? A identidade foi validada?
- O perfil faz sentido? As informações cadastrais e econômicas são coerentes?
- Como ele normalmente opera? Existe um comportamento conhecido?
- O que mudou? Há alterações relevantes no padrão?
- Para onde os recursos estão indo? A contraparte e o destino apresentam fatores de risco?
- O que dizem os dados? Existem relações com outros eventos ou contas?
- É necessário investigar? O conjunto de sinais justifica aprofundamento?
- O que aprendemos? O caso deve provocar alguma mudança nos controles?
Esse modelo é simples de entender, mas exige maturidade operacional para funcionar.
Sua empresa consegue diferenciar os riscos em criptomoedas?
A GIF International combina inteligência, análise de riscos e investigação para ajudar empresas a compreenderem ameaças, identificarem padrões e tomarem decisões mais seguras.
Fale com nossos especialistas e fortaleça a segurança das suas operações com ativos virtuais.
FAQ — Riscos de segurança em criptomoedas
O que são riscos de segurança em criptomoedas?
São riscos relacionados a fraudes, ataques cibernéticos, roubo de credenciais, sequestro de contas, identidades sintéticas, lavagem de dinheiro, riscos operacionais, regulatórios e outros fatores que podem comprometer operações com ativos virtuais.
Quais são os principais riscos em criptomoedas?
Entre os principais estão fraude de identidade, sequestro de contas, uso de identidades sintéticas, deepfakes, lavagem de dinheiro, ataques cibernéticos, riscos de terceiros, operações incompatíveis com o perfil e transferências para carteiras ou contrapartes que demandam análise adicional.
Por que criptomoedas apresentam desafios diferentes dos sistemas financeiros tradicionais?
A velocidade das transações, o caráter transfronteiriço, a possibilidade de utilização de carteiras autocustodiadas e a dificuldade de reversão de determinadas operações criam desafios adicionais para prevenção, detecção e recuperação de valores.
O que é gestão de criptoativos?
É o conjunto de processos utilizados para identificar, analisar, avaliar e tratar os riscos associados aos ativos virtuais, considerando aspectos financeiros, operacionais, regulatórios, cibernéticos e de prevenção a fraudes.
