O crime que dispensa o hacker

Há uma hierarquia silenciosa no crime digital. No topo da dificuldade estão os ataques que quebram criptografia, exploram contratos inteligentes ou invadem servidores. São raros, caros e exigem talento técnico incomum. Na base, barata e abundante, está a engenharia social: não se ataca a máquina, ataca-se o operador da máquina. O golpe do falso suporte vive nessa base — e é justamente por ser simples que se tornou devastador.

A lógica é cruel em sua elegância. As carteiras de autocustódia modernas são, para efeitos práticos, invioláveis quando bem usadas. Uma seed phrase de 12 palavras tem mais combinações do que átomos em boa parte do universo observável; ninguém vai adivinhá-la. Então o criminoso não tenta adivinhar. Ele liga, se apresenta como ‘analista de segurança da corretora’, informa que detectou um ‘acesso suspeito’ na sua conta e se oferece, com toda a cortesia, para ajudar você a proteger seu patrimônio. A fechadura é perfeita. A fraude mira a mão que segura a chave.

O que torna esse golpe a fronteira mais lucrativa do momento é um detalhe perverso: a transação final é assinada pela vítima. Do ponto de vista da blockchain, nada de anômalo aconteceu — o dono legítimo moveu seus próprios fundos. Não há estorno, não há seguro, não há botão de desfazer. A irreversibilidade que torna o cripto resistente à censura é a mesma que torna o arrependimento impossível.

Anatomia de uma ligação

O roteiro é quase sempre o mesmo, refinado por repetição. Primeiro vem o gancho de autoridade: o número que aparece no seu celular pode estar spoofado para exibir o nome real da corretora, e o atendente conhece dados verdadeiros sobre você — nome completo, e-mail, às vezes os últimos dígitos de um documento. Esses dados saem de vazamentos como o da Coinbase. Saber coisas sobre você é o truque mais barato para parecer legítimo.

Depois vem a urgência fabricada. ‘Detectamos uma tentativa de saque de outro país há três minutos.’ O relógio começa a correr na cabeça da vítima, e a pressa é o solvente universal do bom senso. Sob estresse, o cérebro terceiriza decisões para quem parece no controle — e quem parece no controle é, convenientemente, o golpista.

Por fim, a saída falsa. O atendente propõe ‘migrar seus fundos para uma carteira de custódia segura enquanto investigamos’, ou pede que você instale um app de ‘suporte remoto’, ou dita uma sequência de palavras que, diz ele, é um ‘código de verificação’ — e que é, na verdade, a seed phrase de uma carteira controlada por ele. Em todas as variações, a vítima executa a ação com as próprias mãos, convencida de que está se defendendo.

O caso Coinbase: quando o vazamento vira munição

Em maio de 2025, a Coinbase revelou que um pequeno grupo de agentes de atendimento terceirizados havia sido subornado para vazar dados de clientes. Não foi um hack: foi corrupção humana. Com nomes, e-mails, endereços e histórico de conta em mãos, os criminosos montaram operações de falso suporte sob medida. O prejuízo direto aos clientes passou de US$ 45 milhões, e os atacantes ainda exigiram um resgate de US$ 20 milhões da própria corretora, que se recusou a pagar.

O episódio é um retrato do deslocamento do risco. À medida que as defesas técnicas das plataformas amadurecem, o elo mais frágil deixa de ser o código e passa a ser a cadeia de pessoas ao redor dele — funcionários, terceirizados, bancos de dados de clientes. A segurança de um sistema é a do seu componente mais corruptível, e componentes humanos têm preço.

Em dezembro de 2025, o investigador on-chain ZachXBT documentou um único operador — descrito por ele como um ‘ator de ameaça canadense’ — que, posando de atendente da Coinbase, teria subtraído mais de US$ 2 milhões de usuários ao longo de um ano. Rastreando conversas de Telegram, movimentações de carteira e postagens em redes sociais, ZachXBT reconstituiu o esquema e mostrou o destino do dinheiro: nomes de usuário raros comprados a peso de ouro, serviço de bar e apostas. Um lembrete de que, por trás da sofisticação do roteiro, há quase sempre uma pessoa comum convertendo a confiança alheia em consumo conspícuo.

Por que a autoridade nos desarma

O golpe do falso suporte não explora uma falha do cripto; explora uma falha mais antiga, inscrita na forma como cooperamos. Experimentos clássicos de psicologia social — de Milgram em diante — mostraram, de maneira desconfortável, o quanto estamos dispostos a obedecer a uma voz que soa competente e institucional. Décadas de atendimento ao cliente nos treinaram a fazer o que o atendente pede: digite o código, clique no link, confirme a operação. O criminoso não precisa inventar esse condicionamento. Ele apenas o aluga.

Há aqui uma lição que transcende o cripto, e que vale enunciar sem rodeios: a responsabilidade pela guarda de um patrimônio digital é, em última instância, individual e intransferível. Autocustódia é liberdade — a promessa de um dinheiro que ninguém pode congelar, confiscar ou inflacionar à sua revelia. Mas liberdade e responsabilidade são a mesma moeda vista de dois lados. Quem detém as próprias chaves detém também o próprio risco. Nenhuma regulação, por mais bem-intencionada, consegue vigiar a decisão que você toma às onze da noite, no susto de uma ligação. O que a regulação pode fazer — e deve — é punir a fraude e exigir das plataformas que protejam os dados que, vazados, viram munição. O contraponto é honesto: cobrar responsabilidade individual não isenta as instituições do dever de não deixar a porta dos dados aberta.

O protocolo que te salva

A boa notícia é que a defesa contra engenharia social é barata, não exige conhecimento técnico e cabe em três reflexos. O primeiro é desligar. Nenhuma emergência real desaparece porque você encerrou uma ligação e retornou pelo canal oficial que você mesmo digitou — nunca o número que ligou para você, nunca o link do e-mail. A corretora séria não se ofende com a sua desconfiança; ela a aplaude.

O segundo reflexo é tratar pressa como sinal de alarme, não de gravidade. O golpe vive do relógio. Toda vez que alguém tenta encurtar o seu tempo de pensar, essa é exatamente a razão para ir mais devagar. O terceiro é a higiene estrutural da conta: 2FA por aplicativo autenticador (jamais por SMS, vulnerável a troca de chip), uma carteira de hardware para valores relevantes, e a disciplina de nunca digitar a seed phrase em lugar algum conectado à internet.

A soberania que o cripto oferece tem um preço embutido, e ele não se paga em dinheiro: paga-se em atenção. Num mundo onde a fechadura ficou perfeita, o criminoso parou de arrombar portas e passou a bater nelas com um crachá falso. A última linha de defesa não é um algoritmo — é a sua disposição de dizer ‘eu ligo de volta’ e desligar o telefone.