Como as criptomoedas roubadas vão parar na sua carteira

No dia 22 de julho, alguém com as chaves de validador certas tirou 24,15 milhões de dólares em USDC da ponte da AFX Trade na Arbitrum. Nada quebrou. O saque levava assinaturas válidas suficientes para bater o quórum da ponte, então o sistema liberou os fundos exatamente como foi construído para fazer. Em poucas horas o dinheiro estava na Ethereum na forma de cerca de 12.467 ETH, numa carteira que qualquer pessoa abre num explorador de blocos.

No dia seguinte, a ponte Verus-Ethereum perdeu cerca de 7,54 milhões de dólares pelo mesmo caminho de importação que um atacante já tinha explorado em maio. Esse foi mais rápido e mais sujo: 3.916 ETH direto para o Tornado Cash. A Wanchain entregou uns 10 milhões de dólares por causa de uma falha de codificação num script de validador. A Allbridge Core parou depois de um ataque de empréstimo relâmpago de 1,65 milhão no seu pool de stablecoins na Solana. Nos dias 24 e 25 de julho, a empresa de pagamentos singapurense Triple-A teve mais de 9,7 milhões de dólares retirados das suas carteiras quentes em seis redes, com cerca de 5.227 ETH concentrados num único endereço.

Uma semana, mais de 47 milhões de dólares, e isso é só o que foi confirmado.

O relatório Hack3D da CertiK sobre o primeiro semestre de 2026 contabiliza 1,31 bilhão de dólares perdidos em 344 incidentes. Só as carteiras comprometidas responderam por mais de 444 milhões desse total, em apenas 33 casos.

Agora a parte que nunca vira manchete. Todo esse dinheiro tem de ir para algum lugar, e uma fatia surpreendente vai atrás de gente comum.

Moedas roubadas são vendidas a desconhecidos

Um atacante sentado sobre 12.467 ETH tem um problema. O saldo é público, fica etiquetado em horas por meia dúzia de empresas de análise, e não serve de nada enquanto não virar algo gastável. Os misturadores dão conta de uma parte. O resto é picado e empurrado por canais que encostam em usuários reais: mesas OTC com onboarding frouxo, anúncios P2P, pequenos serviços de swap, freelancers contratados e pagos em cripto, compradores dispostos a pagar acima do preço por uma mercadoria.

É nesse último grupo que a maioria das pessoas se queima. Você vende um carro, um equipamento, um domínio, um projeto de design. O comprador paga em USDT ou ETH. O dinheiro cai, a transação confirma, e você não faz ideia de que ele saiu de um ataque a uma ponte nove dias antes.

A sua corretora congela primeiro e pergunta depois

No momento em que você move essas moedas para uma plataforma regulada, elas são escaneadas. Hoje toda corretora grande faz monitoramento de transações nos depósitos, e depois de anos de multas por conformidade a resposta padrão a um alerta é travar o saldo e abrir uma análise. Você não roubou nada. Não é essa a pergunta que a checagem automática está fazendo.

Os emissores podem ir além. Em 1º de julho, a OFAC incluiu na lista SDN 134 identificadores de cripto ligados ao ISIS-K, 131 endereços TRON e três de Monero, e a Tether congelou o saldo em USDT dos 131. Duas semanas depois, em 14 de julho, mais quatro carteiras TRON foram acrescentadas sob a entrada do Banco Central do Irã, e cerca de 131 milhões de dólares em USDT ficaram imobilizados. O bloqueio acontece no contrato do token. Depois disso, nenhuma corretora, nenhuma carteira e nenhuma ponte consegue mover aquilo.

O que é pontuado é a distância até o roubo

As ferramentas de screening não devolvem "roubado" ou "limpo". Elas devolvem exposição: quanto do que chegou a um endereço remonta a uma fonte sinalizada, e por quantos saltos.

Receber direto da carteira de um hacker é o pior caso e o mais fácil de enxergar. Três saltos adiante, passando por uma DEX e alguns intermediários, a pontuação cai, mas a trilha continua lá. E continua, porque o registro não esquece. Um endereço que parece limpo hoje pode ficar vermelho no mês que vem, quando os investigadores terminarem de agrupar o roubo e empurrarem novas atribuições para os dados contra os quais todo mundo consulta.

Por isso o momento pesa mais do que as pessoas imaginam. A janela mais arriscada são os primeiros dias depois de um roubo grande, antes que os endereços de lavagem carreguem qualquer rótulo, quando um vendedor com bom preço parece apenas um bom preço.

Verifique antes de o dinheiro andar, não depois

Quatro hábitos que custam quase nada:

• Peça o endereço de envio antes. Quem paga você de forma legítima consegue dizer de onde sai a transferência. Quem se recusa já disse alguma coisa.
• Analise o endereço antes de fechar. Uma checagem de sanções e PLD num único endereço leva segundos. Você pode verificar aqui qualquer endereço de carteira e ver exposição, alertas e atribuição antes de entregar mercadoria ou trabalho.
• Trate desconto como aviso. Um vendedor OTC oferecendo 4% abaixo do mercado não está sendo generoso. Ele está precificando o risco que está passando para você.
• Guarde a papelada. A nota, o histórico de conversa, o endereço, o horário. Se um banco ou uma corretora perguntar depois sobre a origem dos recursos, essa pasta é a diferença entre uma análise de dois dias e uma de dois meses.

Se já caiu na sua carteira

Não repasse, não divida, não passe por um swap para melhorar a aparência. É esse passo que transforma um recebimento azarado em algo que um promotor consegue descrever como ocultação. Deixe os fundos onde estão.

Anote tudo: o hash da transação recebida, quem pagou, por qual motivo e quando. Se você já depositou numa corretora e bateu num bloqueio, responda à análise com essa documentação em vez de discutir. A maioria dos bloqueios sobre depósitos genuinamente inocentes é liberada, devagar. Se o valor for relevante, procure um advogado da sua própria jurisdição que já tenha cuidado de um caso assim.

Pagamentos em cripto liquidam em um minuto, e isso faz esquecer que o histórico por trás deles é permanente e público. Você não controla de quem um desconhecido conseguiu as moedas dele. Você consegue gastar trinta segundos descobrindo antes de dizer sim.