Plataformas Verificadas
Quick Links
Onde Permanecer Protegido
Thank you! Your submission has been received!
Oops! Something went wrong while submitting the form.
Pesquisar o nome de uma plataforma é a única verificação que nunca volta limpa.
Alguém joga um nome no grupo de WhatsApp. Bitcoin Treasure, digamos. Ou Bitcoin Fortress, ou Bitcoin Omnix. Você faz o que qualquer pessoa sensata faria e digita o nome no Google com as duas palavras que todo brasileiro acrescenta a um nome em que ainda não confia: é confiável. Os resultados carregam. No topo aparece uma resenha de afiliado hospedada num subdomínio sequestrado do portal de CRM de alguma empresa. Logo abaixo, três listas sobre golpes com cripto que nunca citam essa plataforma. Uma página de alerta de fraude do bitcoin.org. E no meio de tudo, muito bem posicionado, o site da própria plataforma se descrevendo como uma opção confiável.
A resposta mais clara da página foi escrita pela parte sobre a qual você estava perguntando.
Lilith passou vinte anos em cibersegurança antes de sair para fazer arte NFT em tempo integral e defender a descentralização. Quatro verificações sobrevivem a essa busca, e a lente dela nunca muda: quem guarda as chaves, o que pode ser forjado, e quanto custaria manter a farsa de pé.
Ela não começa pelos sinais de alerta. Ela começa colocando preço em cada verificação.
As verificações conhecidas são reais, e vale fazer todas. Você confirma que o domínio é aquele que você queria acessar e que o certificado corresponde a ele. Você ativa a autenticação em dois fatores por aplicativo em vez de SMS. Você procura uma política declarada de cold storage, lê as avaliações no Reclame Aqui e no Trustpilot, e faz um saque pequeno para ver o dinheiro chegar.
Cada uma delas responde a uma pergunta legítima. Nenhuma delas é cara de derrotar.
Um domínio parecido custa doze dólares. Um certificado válido é gratuito e sai automaticamente. Uma política de cold storage é um parágrafo, e um parágrafo leva uma tarde. Avaliações são um mercado com preço de tabela. E o saque pequeno, a verificação que mais parece prova porque você viu o dinheiro se mover, é a mais barata da lista de honrar. Pagar cinquenta dólares é a despesa de marketing que compra os cinco mil que vêm atrás. O padrão está documentado na própria literatura de segurança, numa frase que ninguém conseguiu suavizar: transações pequenas funcionam, as grandes travam.
A objeção de Lilith não é que essas verificações estejam erradas. É que todas examinam o mesmo objeto.
O domínio, a tela de login, a política publicada, o pagamento de um valor que a própria plataforma escolheu liberar: tudo isso é a interface, e a interface é a parte que o outro lado constrói de propósito. A Kodex já mostrou como o front-end de um dApp vira a superfície de ataque enquanto o contrato por baixo continua intacto. A mesma geometria se aplica aqui, um andar acima. Aquilo para onde você está prestes a mandar dinheiro não é um site. É uma contraparte, e uma contraparte é uma empresa, num país, com um nome que pode ser consultado.
Existe uma versão mais afiada desse instinto, e vale seguir. Pare de confiar em telas. Faça uma transferência pequena, pegue o ID da transação e confirme num block explorer, não no painel da própria plataforma. O princípio por trás disso é sólido: um serviço que você não consegue checar por fora é um serviço que você está aceitando por fé. Mas a verificação tem um limite, e o limite fica exatamente onde o dinheiro está. Confirmar que uma transação liquidou on-chain prova que a plataforma moveu aquela transação. Não prova nada sobre o saldo que continua parado na conta dela, sobre a entidade que guarda esse saldo, nem sobre a existência de alguém obrigado a contá-lo. Execução dá para verificar de fora. Solvência não.
É para isso que servem as quatro verificações a seguir, e a ordem delas é deliberada.
Comece por aqui porque é de graça, leva uns quatro minutos, e o resto da sequência significa muito pouco sem ela.
Ache o CNPJ. Uma plataforma que vende para brasileiros ou publica um CNPJ no rodapé, nos termos de uso ou na tabela de taxas, ou não publica, e as duas saídas já dizem alguma coisa antes de você consultar qualquer coisa. Depois leve esse número à consulta pública de CNPJ da Receita Federal e leia quatro campos: a razão social, a situação cadastral, a data de abertura e a atividade econômica declarada.
Você não está atrás de um veredito. Está atrás de incoerências, e empresas de fachada produzem incoerências com regularidade. Uma empresa aberta há onze semanas operando uma plataforma que anuncia "anos de experiência". Uma situação cadastral baixada ou inapta enquanto o site recebe depósitos. Uma atividade declarada que não tem nada a ver com serviços financeiros. Um endereço que, em mais uma busca, se revela um escritório virtual dividido com outras quatrocentas empresas. Ou a mais silenciosa de todas: o nome fantasia do aplicativo é uma pessoa jurídica diferente da que aparece no comprovante do PIX.
Lilith abre a página da Receita Federal antes de abrir o site da plataforma, e lê a situação cadastral primeiro. "Um CNPJ não é licença e não é selo de segurança", ela diz. "É um nome com um endereço legal grudado nele, e endereço legal é onde a intimação chega."
Quando não há CNPJ nenhum no site, a verificação não falhou. Ela devolveu outra resposta. Plataformas offshore atendem brasileiros o tempo todo sem entidade brasileira, o que é lícito por si só e muda a que você está exposto, em vez de provar qualquer coisa sobre intenção. Faça as mesmas perguntas à entidade que aparecer: qual empresa, registrada onde, sob que número, e em que país uma ação teria de ser aberta. Se nenhuma jurisdição sobreviver a essa sequência, a decisão à sua frente mudou de formato sem avisar. Você não está mais escolhendo entre plataformas. Está decidindo se manda dinheiro para um site.
É exatamente por isso que uma fraude bem montada evita essa verificação. Registrar uma empresa brasileira de verdade significa nomear sócios de verdade, aceitar registro público permanente e deixar um rastro documental que sobrevive ao site. Não é impossível. É apenas a primeira coisa da lista que custa ao outro lado algo que ele não consegue apagar depois.
O Brasil parou de tratar isso como zona cinzenta. A Lei 14.478/2022 colocou as prestadoras de serviços de ativos virtuais sob supervisão do Banco Central, e em novembro de 2025 o regulador publicou a Resolução BCB nº 520, em vigor desde 2 de fevereiro de 2026, definindo como uma empresa dessas passa a ser autorizada a funcionar.
A regra de transição pesa mais que a regra principal. Uma plataforma que comprovadamente operava em 2 de fevereiro de 2026 pode continuar operando enquanto se candidata, e tem até 30 de outubro de 2026 apenas para protocolar o pedido. Ou seja, durante todo o ano de 2026, "operamos legalmente no Brasil" e "somos autorizados pelo Banco Central" são frases diferentes, e a plataforma que prefere a primeira não está necessariamente mentindo. Está escolhendo a frase que ainda é verdadeira.
Aí vem a parte que ninguém gosta. Não existe registro público de pedidos em análise. Você não tem como consultar se determinada plataforma protocolou, o que significa que essa verificação não é uma consulta a banco de dados, e sim uma pergunta, feita por escrito e lida pelo nível de detalhe da resposta.
Quem está dentro do processo responde com objetos: a pessoa jurídica que protocolou, a data aproximada, a resolução sob a qual protocolou, as atividades pleiteadas. Quem está fora responde com adjetivos. Regulada. Em conformidade. Licenciada, sem dizer por quem. Supervisionada, sem dizer por qual órgão. Preste atenção também no truque geográfico, em que a plataforma exibe um registro obtido em algum lugar permissivo e deixa você supor que ele vale no país onde você está sentado. O walkthrough da Kodex sobre o prazo de autorização das prestadoras no Brasil mostra o que o processo realmente exige de quem entra nele.
Uma cláusula merece ser levada junto para qualquer resposta que você receber. A norma diz que contratar um custodiante, nacional ou estrangeiro, não transfere nem afasta a responsabilidade regulatória da própria prestadora. Então "nosso parceiro de custódia é uma instituição regulada" não responde a "e vocês, são?". Lilith lê essa cláusula como a questão inteira da custódia em uma linha: a responsabilidade não se move só porque as moedas se moveram.
A prova de reservas chegou ao mercado cripto como gesto de relações públicas. A exchange publicava uma árvore de Merkle depois que uma concorrente quebrava, a imprensa noticiava, e a prática sumia até o próximo colapso. Voluntária, no momento escolhido pela plataforma, no escopo escolhido pela plataforma.
No Brasil isso mudou em 27 de fevereiro de 2026, quando o Banco Central publicou a Instrução Normativa BCB nº 713 e deu um número de documento ao gesto. O documento 5710, Provas de Reservas e Operações de Staking, exige prova verificável de reservas segregada por ativo virtual, a quantidade mantida em custódia em nome dos clientes e o valor financeiro dessas posições. Os saldos de clientes comprometidos em staking são reportados dentro do mesmo documento, o que fecha a brecha mais antiga das atestações voluntárias: as moedas que estavam tecnicamente lá e tecnicamente emprestadas ao mesmo tempo. O cálculo é mensal, no último dia do mês às 23h59 de Brasília, com envio em até cinco dias úteis da data-base.
A segregação por ativo é a parte que merece calma, porque é justamente o que um total agregado esconde. Um único número em reais deixa a falta de um token desaparecer atrás da sobra de outro, e deixa moedas emprestadas parecerem idênticas a moedas paradas. Reportar quantidades ativo por ativo, com a custódia de clientes separada e o staking declarado no mesmo arquivo, fecha os dois esconderijos de uma vez.
Cuidado com o calendário, porque ele está se mexendo. O início da obrigação de reporte foi empurrado para novembro de 2026, e em 4 de agosto de 2026 ABToken, Zetta e ABFintechs escreveram juntas ao Banco Central pedindo mais 120 dias em quatro marcos da transição. Você não consegue chegar hoje numa plataforma brasileira e exigir ver o 5710 dela. O que dá para estabelecer é se ela algum dia vai dever um.
Esse é o discriminador, e é a razão de essa verificação vir em terceiro e não em primeiro. O dever nasce de estar dentro do processo de autorização. Uma plataforma que nunca protocola o pedido nunca deve relatório, nunca tem número de reserva examinado por ninguém e nunca aparece numa base que um supervisor possa cruzar. O silêncio dela não é uma falha da regra, e sim a regra funcionando exatamente como escrita, sobre uma empresa que ficou de fora.
E o teto, porque essa verificação costuma ser vendida além do que ela entrega. Um relatório de reservas registra um nível numa data. Não registra o que aconteceu entre as datas, nem o que o operador sabe e não contou. A Kodex olhou essa lacuna de perto quando os livros de uma exchange pareciam saudáveis enquanto US$ 47 milhões sumiam, e o número não era a fraude daquela história. Os cinco anos de silêncio em volta dele eram.
Um arquivo entregue diz que alguém agora é obrigado a ser contado. Não diz que a contagem estava completa.
Estes vêm por último de propósito. Não porque importem menos, mas porque qualquer operação minimamente competente evita acioná-los, então não encontrar nenhum prova quase nada, enquanto encontrar um encerra a avaliação na hora.
Retorno garantido, percentual diário fixo, ou qualquer número apresentado sem um cenário de perda ao lado. Uma instrução de depósito que manda PIX para CPF de pessoa física em vez do CNPJ da empresa. Qualquer pedido da sua frase-semente ou das palavras de recuperação, sob qualquer justificativa, incluindo "verificação", "migração" e "o suporte precisa restaurar sua carteira". SMS como único segundo fator disponível. Cronômetro de contagem regressiva na página de depósito. E o padrão de recrutamento que o brasileiro conhece melhor: um "gerente" prestativo que puxa a conversa para o WhatsApp e mantém tudo lá, onde nada fica registrado e tudo vira pessoal.
Lilith trata a instrução de pagamento como o mais alto de todos. A conta que recebe o seu dinheiro é uma declaração de identidade, feita por quem está recebendo. Uma empresa que não consegue receber pagamento como ela mesma já disse o que é antes de você terminar de ler a página inicial.
Esses padrões são o funil de recrutamento na prática, e a Kodex já mapeou como o golpe com cripto funciona no Brasil do primeiro contato até o saque que nunca processa. Reconhecê-los é rápido, barato e vale a pena. Também é a verificação que uma operação profissional passa sem esforço, e é por isso que ela não pode ser a sua primeira.
Por que essa ordem, e não a mais rápida? Porque cada verificação custa uma coisa diferente ao outro lado, e a diferença é o método inteiro.
| Verificação | O que prova | O que não prova | O que uma falsa precisa fazer para passar |
|---|---|---|---|
| A entidade | Que existe pessoa jurídica, com nome, endereço e data de abertura | Que ela é solvente, ou honesta | Abrir empresa de verdade e aceitar registro público permanente |
| O protocolo de autorização | Que a plataforma colocou entidade, sócios e livros diante de um supervisor | Que o pedido será deferido | Submeter-se ao Banco Central e esperar |
| O reporte de reservas | Que as posições por ativo foram declaradas para uma data | O que aconteceu entre as datas | Enviar números mensais que uma auditoria posterior pode contradizer |
| Os sinais | Que a operação é caprichada no óbvio | Absolutamente nada sobre o balanço | Contratar alguém que tenha lido uma lista como esta |
Leia a última coluna de cima para baixo e a ordem se explica sozinha. O custo de passar cai a cada linha, até a última, que custa uma tarde de redação. Rodar a sequência de trás para frente, que é o que uma lista de sinais de alerta incentiva sem dizer, faz a evidência mais barata chegar primeiro e moldar tudo o que você olha depois. Você forma a impressão no que é de graça e sai procurando confirmação.
Nada disso produz certeza, e Lilith não ofereceria. Uma plataforma pode passar nas quatro verificações e ainda assim quebrar com o seu dinheiro dentro, porque supervisão não é solvência e protocolo não é garantia. O que a sequência compra é proporção: você descobre quanto o outro lado teria de ter gastado antes de decidir quanto está disposto a mandar. Essa é uma pergunta diferente da que você digitou no Google, e é a que tem resposta.
Então rode na ordem e pare na primeira falha. As verificações restantes não são segunda opinião. São o jeito de você se convencer.
Pegue a plataforma onde o seu dinheiro está agora e rode as quatro verificações contra ela hoje à noite, nessa ordem, parando na primeira que você não souber responder. A Kodex não custodia nada e não avalia exchanges: os US$ 5.000 do simulador são simulados, e cripto, ações tokenizadas e metais operam contra esse saldo, então dá para continuar treinando a operação enquanto você termina de investigar a contraparte.
