Para onde realmente vão as criptomoedas roubadas: por dentro da máquina de lavagem de dinheiro de 45 dias

Seis anos, mais de US$ 16 bilhões perdidos

O roubo de criptomoedas não é mais uma fase da qual o setor de ativos digitais está lentamente saindo, mas sim um setor à parte. Até o momento, somente na última meia década, investigadores da cadeia de blocos contabilizaram totais de valores roubados em ascensão vertiginosa (US$ 3,7 bilhões em 2022, US$ 1,7 bilhão em 2023, US$ 2,2 bilhões em 2024 e US$ 3,4 bilhões em 2025), números que não mostram sinais de desaceleração.

Na verdade, vale mencionar que quase metade do total do ano passado veio de um único evento, ou seja, o ataque à Bybit em fevereiro de 2025, no qual os invasores comprometeram o processo de assinatura da carteira fria da corretora e fugiram com US$ 1,5 bilhão (tornando-se o maior roubo de criptomoedas da história).

O primeiro semestre deste ano foi assustadoramente semelhante, somando cerca de US$ 1,1 bilhão em um número recorde de 212 incidentes, segundo a empresa de segurança Blockaid. O maior ataque isolado foi a exploração, em 19 de abril, do protocolo de restaking KelpDAO (no valor de US$ 293 milhões), e a TRM Labs contabilizou 207 incidentes nesses seis meses, mais do que o dobro do mesmo período do ano anterior.

O roteiro de 45 dias

O que normalmente acontece após os roubos mencionados já se tornou quase um roteiro a esta altura, com pesquisadores descrevendo um ciclo de lavagem característico que dura cerca de 45 dias em três ondas.

Durante os dias zero a cinco, a velocidade é o fator mais importante, e os tokens roubados são normalmente trocados por meio de protocolos de finanças descentralizadas (DeFi) — com picos de atividade de até 370% — e encaminhados para serviços de mistura, que agrupam e embaralham as moedas para quebrar o vínculo entre a origem e o destino. Entre o sexto e o décimo dia, os fundos saltam de uma cadeia para outra por meio de pontes entre cadeias e fluem por exchanges com verificações limitadas de “conheça seu cliente” (KYC).

Em seguida, aproximadamente do dia 20 ao dia 45, as moedas são convertidas em dinheiro em pequenas parcelas (normalmente abaixo de US$ 500.000 para permanecer abaixo dos limites de notificação) por meio de plataformas sem KYC, trocadores instantâneos, e redes de mercado de balcão (OTC) em língua chinesa, além de serviços de garantia, como o mercado Huione, que está sob sanções.

Consequentemente, ao final do ciclo, o dinheiro já passou por tantas cadeias, misturadores e jurisdições que, embora a atribuição ainda seja possível (já que as blockchains nunca esquecem), a recuperação raramente o é. Para se ter uma ideia, menos de 5% dos fundos roubados da Bybit foram recuperados, mesmo que a corretora contasse com alguns dos profissionais de segurança cibernética mais experientes do mercado.

2026: Mais ataques, saques menores

Este ano, os invasores ampliaram seus alvos porque, além de explorações de protocolos como a do KelpDAO, somente o mês de abril bateu um recorde mensal com US$ 641,67 milhões roubados. Grupos norte-coreanos ligados ao Lazarus estiveram por trás de cerca de 55% das perdas do primeiro semestre, e a contagem da CertiK, que inclui phishing e esvaziamento de carteiras pessoais, estima os danos do período em US$ 1,32 bilhão em 344 incidentes.

Mais recentemente, a exploração da carteira de hardware Coldcard mostrou como o manual de táticas também está se adaptando ao bitcoin. Depois de drenar cerca de US$ 116 milhões de carteiras com sementes fracas, o invasor começou a consolidar as moedas enquanto os espectadores acompanhavam cada movimento. À luz do incidente, os principais diferenciais do bitcoin — como transparência e irreversibilidade — tornaram-se facas de dois gumes quase da noite para o dia, pois, embora todos pudessem ver o movimento das moedas roubadas, ninguém conseguia recuperá-las.

Por que a recuperação quase nunca ocorre

Quando todos esses ataques estão ocorrendo, a única medida que tem funcionado de forma confiável repetidas vezes é o congelamento centralizado de stablecoins. A Tether e a Circle podem colocar endereços na lista negra no nível do contrato, bloqueando instantaneamente qualquer USDT ou USDC que os ladrões ainda estejam detendo — e é exatamente por isso que invasores sofisticados trocam as stablecoins roubadas por ether ou bitcoin poucos minutos após uma violação, aceitando o risco de preço para escapar do raio de congelamento.

É uma assimetria reveladora: ou seja, os ativos mais resistentes à censura são os mais fáceis de lavar, e os mais suscetíveis ao congelamento são os mais fáceis de recuperar. Todo manual de lavagem de dinheiro é, em última análise, uma corrida para converter o que pode ser capturado em algo inalcansável antes que alguém com um “botão de pausa” perceba.

A matemática incômoda do roubo de criptomoedas é que a prevenção é praticamente tudo. Bolsas e empresas de análise podem congelar fundos que passam por plataformas em conformidade, e é exatamente por isso que os lavadores de dinheiro se concentram antecipadamente em DeFi e mixers, onde ninguém pode congelar nada.

Sanções contra mixers e serviços como o Huione aumentam os custos, mas apenas desviam os fluxos para serviços sucessores, em vez de detê-los. E o prazo de 45 dias significa que, quando o processo jurídico transfronteiriço finalmente estiver em andamento, as moedas geralmente já terão concluído sua jornada.

Para usuários e plataformas, a lição é que, uma vez roubados, a esmagadora maioria de seus fundos nunca mais volta. Além disso, o ciclo dos atacantes é mais rápido do que a conformidade, e a cada ano em que uma manchete anuncia que “os roubos de criptomoedas estão diminuindo”, o próximo contra-exemplo de bilhões de dólares já está em andamento. A blockchain registra tudo e não devolve nada.