Cripto levada em golpe, carteira esvaziada por invasor ou chave privada perdida para sempre não geram imposto a pagar, e também não viram prejuízo para abater de ganhos futuros no regime brasileiro. O motivo cabe numa linha do art. 21 da Lei nº 8.981/1995: o ganho de capital da pessoa física nasce da alienação de bens e direitos, e quem foi roubado não alienou coisa alguma. Restam duas obrigações, que são coisas diferentes e costumam ser confundidas. A primeira é dar baixa do ativo na ficha de Bens e Direitos da declaração anual, zerando o valor em 31/12 e contando o ocorrido no campo Discriminação. A segunda nasceu em 1º de julho de 2026: informar o evento na DeCripto, que passou a ter uma categoria batizada de perda involuntária de criptoativo declarável.
A diferença entre reportar um sumiço e deduzir um prejuízo é onde mora a maior parte das dúvidas, e é onde a conta de imposto de quem foi vítima costuma ficar bem pior do que a pessoa imagina. Vamos por partes, com a base legal de cada afirmação.
O fato gerador é a alienação, e roubo não é alienação
O texto do art. 21 da Lei nº 8.981/1995 é curto: "o ganho de capital percebido por pessoa física em decorrência da alienação de bens e direitos de qualquer natureza sujeita-se à incidência do imposto sobre a renda". As alíquotas, dadas pela Lei nº 13.259/2016, começam em 15% sobre a parcela do ganho até R$ 5 milhões.
Alienar é vender, permutar, doar, dar em pagamento. É um ato de vontade do dono, ou pelo menos um negócio jurídico do qual ele participa. Um phishing que drena a carteira, um seed vazado, um BTC enviado por engano para um endereço inexistente: nenhum desses eventos é alienação. Sem alienação, não existe valor de alienação nem ganho a apurar, e sem ganho não há DARF.
Até aí, boa notícia. A parte ruim vem do mesmo raciocínio, virado do avesso: se o evento não é uma operação tributável, ele também não produz um resultado negativo que a lei mande considerar. No regime doméstico de ganho de capital, a apuração é feita operação a operação, e o imposto do mês (código de receita 4600, recolhido até o último dia útil do mês seguinte, conforme a pergunta 653 do Perguntas e Respostas do IRPF 2026) incide sobre o ganho apurado nas alienações daquele mês, quando o total alienado passa de R$ 35 mil.
Nossa posição sobre isso é direta, e ela contraria muito conselho de fórum: não tente transformar o roubo numa venda de R$ 0,00 para "realizar" o prejuízo. Já vimos gente cogitando registrar uma venda simbólica para o endereço do golpista, fingindo alienação. Nada disso gera direito de dedução. Gera inconsistência entre o que você declarou e o que a exchange reportou, e, a partir da DeCripto, entre o seu número e o que a blockchain mostra. O caminho certo é mais chato e menos criativo.
O que mudou em julho de 2026: a perda ganhou nome oficial
A IN RFB nº 2.291/2025 instituiu a DeCripto e, no art. 18, revogou a IN RFB nº 1.888/2019, com efeitos a partir de 1º de julho de 2026 (art. 19). Não é só troca de sigla. A antiga IN 1.888 listava operações de compra, venda, permuta, doação, dação em pagamento, emissão e "outras operações que impliquem transferência de criptoativos". Perda não estava lá, e por isso ninguém tinha onde encaixar um sumiço.
A DeCripto encaixou. O art. 6º, inciso VII, coloca a perda involuntária entre as operações declaráveis, e o Anexo I, item 30, define o termo com uma precisão que surpreende para uma norma tributária brasileira: "o extravio, furto, perda de acesso à chave privada de uma carteira digital, envio de valores para endereço equivocado, perdas resultantes de falhas, obsolescência ou banimento regulatório de criptoativo declarável".
Leia de novo essa lista. Ela cobre praticamente todo o cardápio de tragédias da autocustódia, incluindo o caso do investidor que simplesmente esqueceu a senha e o do token que virou pó porque o projeto foi banido.
Quem entrega essa informação, no caso da pessoa física, é quem opera fora de uma prestadora brasileira, ou seja, em exchange estrangeira, em plataforma descentralizada ou sem intermediário nenhum (art. 5º, inciso II). O § 3º do mesmo artigo fixa o piso: as informações são prestadas sempre que o valor mensal das operações passar de R$ 35 mil. O prazo é mensal, até o último dia útil do mês seguinte (art. 12).
E aqui está a distinção que mais gera confusão. Ter uma categoria própria para a perda significa que a Receita quer saber que aquele saldo evaporou. Não significa que ela concedeu um desconto por isso. Reportar e deduzir são atos de naturezas distintas, e a IN 2.291 trata só do primeiro. Se você quiser entender melhor quem cai na obrigação mensal, escrevemos um guia específico sobre quem precisa entregar a DeCripto desde julho de 2026.
Como dar baixa na ficha de Bens e Direitos, passo a passo
Criptoativos entram na declaração anual pelo valor de aquisição, na ficha Bens e Direitos, Grupo 08, quando o custo de cada tipo chega a R$ 5.000,00 ou mais (pergunta 473 do Perguntas e Respostas do IRPF 2026). Os códigos são 01 para Bitcoin, 02 para altcoins, 03 para stablecoins, 10 para NFTs e 99 para os demais.
A Receita nunca publicou uma pergunta específica sobre cripto roubada. Publicou, porém, a pergunta 477, que trata de veículo roubado ou com perda total, e o mecanismo descrito ali vale para qualquer bem que saiu do seu patrimônio sem venda: informar o fato no campo Discriminação e deixar "0,00" no campo Situação em 31/12. O bem continua na declaração, zerado, com a história registrada no campo de texto.
Na prática, o preenchimento fica assim:
- Mantenha o bem no Grupo 08 com o código que ele sempre teve.
- No campo Situação em 31/12 do ano anterior, repita exatamente o valor que constava na declaração passada.
- No campo Situação em 31/12 do ano do evento, informe o custo de aquisição apenas da quantidade que sobrou. Se sumiu tudo, "0,00".
- No campo Discriminação, descreva o que aconteceu, a data, a quantidade perdida e o número do boletim de ocorrência.
Sobre o boletim: nenhuma norma tributária o exige como condição para a baixa. O que a legislação cobra, sempre, é documentação hábil e idônea. O BO é o documento que transforma "sumiu" em "houve um crime registrado em tal data", e ele custa uma hora do seu dia. Guarde junto os hashes das transações que saíram da sua carteira, o print da plataforma, a conversa com o golpista se houver, e o extrato que prova a aquisição original. Cinco anos, no mínimo.