Se a exchange brasileira foi invadida e as criptomoedas saíram da custódia dela, quem paga o prejuízo, em regra, é a própria exchange. A Lei 14.478/2022 manda aplicar o Código de Defesa do Consumidor ao mercado de ativos virtuais, e o CDC faz o fornecedor responder pelo serviço que não entrega a segurança esperada, com ou sem culpa. Não existe FGC para cripto: o que protege o seu saldo é a segregação patrimonial exigida pelo Banco Central e a capacidade real da empresa de pagar. A conta muda de dono quando a invasão começou do seu lado (senha reaproveitada, código de verificação entregue a um golpista), porque aí a exchange pode alegar culpa exclusiva do cliente.
Essa é a resposta curta. Na hora do problema, porém, saber que "a exchange responde" adianta pouco se você não consegue provar quanto tinha nem sabe para quem reclamar.
Dois ataques diferentes, duas respostas diferentes
"Fui hackeado" junta situações que a lei trata de jeitos opostos. Antes de qualquer coisa, descubra em qual delas você está.
| Situação | O que aconteceu | Quem tende a responder |
|---|---|---|
| Invasão da exchange | Criminosos atacam a infraestrutura da corretora (carteira quente, servidores, chaves de assinatura) e levam ativos de muitos clientes de uma vez | A exchange, porque a falha está na segurança do serviço que ela vende |
| Invasão da sua conta com falha da plataforma | Saque liberado sem a verificação prometida, troca de e-mail aceita sem confirmação, aviso de login novo que nunca chegou | Em regra a exchange, mas depende de prova caso a caso |
| Invasão da sua conta por descuido seu | Senha repetida de outro site vazado, código de SMS repassado num golpe, programa espião instalado no seu computador | Em regra você, porque a exchange pode alegar culpa exclusiva do consumidor |
A linha do meio é onde mora a briga. Uma plataforma que deixa trocar o e-mail do cadastro e sacar o saldo inteiro no mesmo minuto, sem período de espera, entregou menos segurança do que se espera de quem guarda dinheiro alheio, mesmo que a senha tenha vazado em outro lugar. Argumento forte, sem garantia de vitória.
O que a lei garante: o CDC também vale para cripto
O ponto de partida está no art. 13 da Lei 14.478/2022, que diz, com estas palavras: "Aplicam-se às operações conduzidas no mercado de ativos virtuais, no que couber, as disposições da Lei nº 8.078, de 11 de setembro de 1990 (Código de Defesa do Consumidor)". A mesma lei coloca, entre as diretrizes do setor no art. 4º, a "segurança da informação e proteção de dados pessoais" e a "proteção e defesa de consumidores e usuários".
Daí se chega ao art. 14 do CDC. O fornecedor de serviços "responde, independentemente da existência de culpa", pelos danos causados por defeitos na prestação. E o § 1º define o serviço defeituoso como aquele que "não fornece a segurança que o consumidor dele pode esperar". Para uma empresa cujo produto é guardar ativos de terceiros, segurança é o próprio serviço.
Na prática isso rende quatro consequências:
- Você não precisa provar que a exchange foi relaxada. Basta mostrar o defeito, o dano e a ligação entre eles. Quem precisa provar algo para escapar é ela (§ 3º do art. 14).
- O juiz pode inverter o ônus da prova a seu favor quando a alegação for verossímil ou você for hipossuficiente (art. 6º, VIII). Num ataque técnico, os registros dos servidores estão com a corretora.
- Cláusula que tira a responsabilidade da empresa é nula. O art. 51, I, derruba cláusulas que "impossibilitem, exonerem ou atenuem a responsabilidade do fornecedor". Aquele parágrafo dos termos de uso dizendo que a plataforma não responde por ataques de terceiros tem bem menos força do que parece.
- O prazo para cobrar na Justiça é de cinco anos, contados de quando você soube do dano e de quem o causou (art. 27).
O detalhe chato fica no "no que couber" da Lei 14.478, que não diz quem, no mercado cripto, é consumidor. A pessoa física que compra e guarda bitcoin pelo aplicativo se encaixa bem. Um operador profissional com volume alto pode ouvir o contrário.
Negligência ou ataque inevitável: o argumento do "terceiro"
A primeira defesa de qualquer exchange invadida é previsível: quem roubou foi um hacker, um terceiro, e o CDC exclui a responsabilidade por "culpa exclusiva do consumidor ou de terceiro" (art. 14, § 3º, II).
A resposta a esse argumento vem da distinção entre fortuito interno e fortuito externo. Fortuito interno é o evento ligado ao risco da própria atividade, aquele que faz parte do negócio. Fortuito externo é o evento estranho à atividade, que nenhuma empresa daquele ramo teria como prever ou evitar. Só o segundo afasta o dever de indenizar.
Para os bancos, o Superior Tribunal de Justiça já resolveu isso na Súmula 479, aprovada pela Segunda Seção em 27/06/2012 e publicada em 01/08/2012: "As instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias."
Aqui vai a ressalva honesta. A súmula fala de instituições financeiras e de operações bancárias. Desde a Resolução BCB 520, as sociedades prestadoras de serviços de ativos virtuais são "instituições autorizadas a funcionar pelo Banco Central do Brasil" (art. 4º) e devem seguir a regulamentação das instituições financeiras "conforme aplicáveis" (art. 87). Isso aproxima as exchanges do raciocínio da súmula, mas a aplicação dela a corretoras de cripto não é pacífica, e não encontramos posição consolidada do STJ especificamente sobre ataque a exchange. Quem disser que o caso está ganho por causa da Súmula 479 está prometendo mais do que a jurisprudência entrega hoje.
Ainda assim, nossa posição é clara. Guardar chaves privadas é o produto que a exchange vende, e um ataque à carteira quente dela é o risco central do negócio, o equivalente cripto de um assalto ao cofre do banco. A Resolução 520 exige política de segurança cibernética, plano de ação e de resposta a incidentes e procedimentos documentados para a geração, a custódia e o gerenciamento dos instrumentos de controle dos ativos (as chaves). Se a empresa não tinha nada disso funcionando, o argumento do "terceiro" fica ainda mais fraco.
A defesa da exchange ganha corpo na terceira linha da tabela: se você passou o código de autenticação a quem ligou dizendo ser do suporte, a cadeia do prejuízo começou em você.