Exchange é Responsável por Golpe? Por Que uma Turma do STJ Diz Que Sim

O risco jurídico no mercado cripto brasileiro não está só no golpe. Está na passagem de bastão.

Lucia é a operadora da Kodex que lê o limite do sistema antes de ler o headline, e este walkthrough é sobre onde termina o dever de uma exchange quando começa a perda por phishing.

Ela abre o processo, traça o caminho da plataforma até a wallet externa e ignora a palavra “golpe” até o mapa do serviço ficar nítido.

Muita cobertura tratou as decisões recentes do STJ como uma pergunta moral: a exchange deve ressarcir o usuário depois de uma fraude? Esse enquadramento enfraquece a análise. O tribunal está fazendo uma pergunta mais estreita e bem mais importante: o que exatamente a exchange foi contratada pra fazer no momento discutido, e a falha aconteceu dentro desse perímetro ou fora dele?

Agora o Superior Tribunal de Justiça puxou o tema pra duas trilhas diferentes, então essa distinção pesa mais. Numa decisão de 2025 da 4ª Turma, a corte tratou a plataforma cripto de forma mais próxima a uma instituição financeira e aplicou a lógica da Súmula 479, que impõe responsabilidade objetiva por fraude ligada ao risco operacional do próprio prestador. Em abril de 2026, a 3ª Turma seguiu outro caminho no REsp 2.250.674 e entendeu que a exchange não era responsável quando a fraude discutida se materializou depois que o cliente transferiu USDT para uma wallet vinculada a outra plataforma.

Lucia não olha para esses resultados como contradição pela contradição. Ela olha como mapa. Se a pilha de segurança da plataforma falha durante o próprio fluxo transacional, a pressão por responsabilidade sobe. Se a exchange executou a instrução corretamente e a perda apareceu no ambiente de custódia de outra empresa, fica bem mais difícil jogar a conta de volta na plataforma de origem.

Parece técnico. É. Também é isso que define se um pedido de ressarcimento tem estrutura ou só indignação.

Onde o serviço da exchange realmente termina?

O caso de abril de 2026 é o melhor ponto de partida porque obriga a pergunta sobre limite a aparecer sem maquiagem. O investidor usou uma exchange para comprar cripto e depois ordenou a transferência de 11.749,15 USDT para uma wallet externa associada a outra plataforma. Para a 3ª Turma, a fraude discutida aconteceu na etapa de custódia dessa segunda plataforma, não dentro da própria cadeia de serviço da exchange de origem.

Isso importa porque a 3ª Turma não disse que exchanges de cripto ficam fora do direito do consumidor. Pelo contrário. O ministro Ricardo Villas Bôas Cueva aceitou que a relação se submete ao CDC e apontou a Lei 14.478/2022 e a Resolução BCB 520 como parte do enquadramento jurídico das prestadoras de serviços de ativos virtuais. O ponto não era saber se existe proteção ao consumidor. O ponto era saber se houve defeito no serviço que a exchange efetivamente prestou.

A leitura da Lucia é seca: incidência do CDC não é a mesma coisa que ressarcimento automático. Se a plataforma recebeu o dinheiro, converteu, enviou os ativos para o endereço indicado pelo cliente e a perda apareceu depois em outro lugar, o tribunal ainda pode dizer que o serviço foi prestado corretamente.

Por isso a cisão pesa tanto. Muita gente ouve “o CDC se aplica” e acha que a causa já está ganha. O STJ está dizendo o inverso. Primeiro você define o serviço. Depois define o defeito. Só então pergunta onde a fraude aconteceu.

Lucia gosta de fronteira porque fronteira mata certeza falsa. Quando você tira fundos da plataforma, não está mudando só o endereço. Talvez esteja mudando o réu.

Por que a 4ª Turma chegou ao resultado oposto?

O caso de 2025 foi na direção contrária porque os fatos apontavam para uma falha dentro do próprio fluxo de segurança da transação. O usuário queria transferir 0,0014 BTC, mas viu 3,8 BTC sumirem. A 4ª Turma entendeu que plataformas cripto podem ser equiparadas a instituições financeiras para esse fim e aplicou a lógica da responsabilidade objetiva sob a Súmula 479.

O detalhe decisivo não era “hackers existem”. Era prova. A plataforma não conseguiu demonstrar que o e-mail de confirmação ligado à operação discutida tinha sido enviado. Isso pesou porque a empresa tentava sustentar que a perda veio de uma invasão ao dispositivo do usuário, e não de falha dela mesma. A posição da ministra Maria Isabel Gallotti, como resumiu a Agência Brasil, foi que nem uma narrativa de ataque hacker apagaria automaticamente a responsabilidade da plataforma se o sistema não fosse seguro o bastante para impedir a fraude.

Lucia para aqui porque é nesse ponto que os resumos ruins achatam a doutrina. A 4ª Turma não criou uma regra dizendo que exchange sempre paga depois de phishing. Fez algo mais específico, e por isso mais relevante: tratou certas fraudes como parte do risco operacional de quem mantém uma plataforma custodial de transações. Se os controles falham exatamente onde deveriam capturar o evento, “terceiro” deixa de ser escudo completo.

A lógica vem do direito bancário. A força da decisão de 2025 nasceu de aproximar as plataformas cripto desse modelo de risco. A força da decisão de 2026 nasceu de estreitar o perímetro fático e dizer que a falha crítica aconteceu em outro lugar.

Mesma indústria. Mesmo tribunal. Limite de serviço diferente.

O que acontece quando o golpe começa com você, mas termina em outro lugar?

Essa é a parte que usuários de varejo costumam subestimar. Um fluxo de phishing pode começar no seu e-mail, passar por uma interface legítima de exchange e terminar numa wallet externa ou numa segunda plataforma. A história emocional parece contínua. A cadeia jurídica pode não ser.

Lucia desenha isso como um revezamento, não como um evento único:

1. O usuário recebe a isca.
2. O usuário faz login ou autoriza a transferência.
3. A exchange executa uma instrução dentro da plataforma.
4. Os ativos chegam a um ambiente externo.
5. O controle ou a possibilidade de recuperação quebra ali.

A pergunta da responsabilidade não é onde o pânico começou. É onde estava o serviço defeituoso.

Então a decisão de abril de 2026 importa pra qualquer pessoa que queira saber se exchange é responsável por golpe no Brasil. Se os logs da exchange mostram que a transferência foi iniciada com a instrução do próprio cliente, enviada para o destino informado e que a falha de custódia apareceu só depois, a tese contra a exchange perde força rápido.

Se, por outro lado, houver indício de que a exchange não gerou confirmação, não bloqueou uma transação anômala, não autenticou a movimentação específica ou não consegue documentar o que a própria camada de controle fez, o caso começa a se parecer mais com o da turma de 2025.

Lucia trata isso como diagnóstico prático. Antes da indignação, mapeie o ponto da falha.

Um hábito simples ajuda. Antes de mover fundos para um destino novo, simule a decisão primeiro no Market Simulator se a urgência estiver falando mais alto que a clareza. A ferramenta não replica uma ação judicial contra exchange, mas expõe uma verdade comportamental: depois do clique, a cadeia de consequência fica mais difícil de reverter do que a sua confiança sugeria dois minutos antes.

Por que essa cisão muda o risco das exchanges no Brasil

O headline fala de usuário pedindo ressarcimento. A consequência mais funda cai sobre as próprias exchanges.

Uma cisão assim pressiona as plataformas a fazer duas coisas ao mesmo tempo:

• apertar retenção de evidência sobre autenticação, e-mails de confirmação, sinais de dispositivo e logs de transferência
• refinar a forma como definem o próprio perímetro de serviço em contrato, fluxo de produto e tratamento de incidente

Lucia lê essa disputa como sinal de preço. Se algumas turmas tratam exchanges autorizadas ou quase financeiras como instituições que carregam risco operacional de fraude, o custo de segurança sobe. A suposição de seguro muda. Script de suporte deixa de bastar. Desenho de produto vira prova.

É aí que a regulação brasileira recente entra. O mercado cripto já não vive mais num vácuo jurídico. Quando prestadoras de serviços de ativos virtuais ficam mais próximas de uma infraestrutura financeira regulada, fica mais difícil sustentar que elas são só tubos neutros em casos que envolvem os próprios controles. Mas a decisão de abril de 2026 mostra o contrapeso: regulação não elimina a necessidade de identificar com precisão qual serviço foi entregue no momento discutido.

Esse é um dos motivos pelos quais SPAV Authorization Brazil: 2026 Exchange Deadline importa além do barulho sobre licença. Supervisão formal não garante ressarcimento. Garante, sim, que pesa mais o que a plataforma é obrigada a monitorar, documentar e defender quando algo dá errado.

Por que a passagem para uma wallet externa vira a dobradiça jurídica

A etapa da wallet externa aparece o tempo inteiro porque altera os fatos mais do que o usuário imagina.

Quando Lucia orienta alguém sobre transferência segura, ela começa sempre pela mesma verdade desagradável: a tela da plataforma pode parecer um ambiente contínuo mesmo quando a responsabilidade jurídica não é. Um endereço colado dentro da janela da exchange ainda pode apontar para um regime de custódia que a exchange não controla.

Por isso a turma de abril de 2026 insistiu tanto na etapa da operação. Compra, conversão, transferência, custódia. Não são só verbos de produto. São compartimentos diferentes de responsabilidade.

Se você quiser a versão em linguagem direta, fica assim:

Por isso um guia como Como Enviar Cripto com Segurança vale mais do que comparação de taxa quando você vai mover ativos pela primeira vez. O erro caro quase nunca é a taxa de rede. É presumir que o perímetro de segurança foi junto com você quando não foi.

Lucia não tem paciência pra narrativa limpa que esconde atrito operacional. É na passagem que a narrativa limpa morre.

A exchange ainda pode ser responsabilizada se você clicou em aprovar?

Pode, mas não porque o clique deixa de importar. Pode porque a ação do usuário, sozinha, não prova culpa exclusiva.

O ponto atravessa as duas linhas do STJ. Pelo CDC, o prestador ainda pode tentar excluir responsabilidade provando ausência de defeito ou culpa exclusiva do consumidor ou de terceiro. Na prática, porém, essa defesa enfraquece quando a plataforma não consegue demonstrar que os próprios controles funcionaram como deveriam.

É aqui que casos de phishing costumam embolar. O usuário pode ter clicado num link malicioso, copiado um endereço envenenado ou aprovado a transferência sob falso pretexto. Nada disso resolve o caso por completo se a plataforma também falhou no ponto em que deveria detectar algo fora do padrão.

Lucia observa a mesma estrutura no comportamento de segurança. O pânico encurta a janela de decisão. O destino errado começa a parecer familiar. Uma etapa de confirmação é pulada mentalmente antes de ser pulada tecnicamente. Se isso parece abstrato, Armadilha da Confirmação por PIX: Malware Sequestra Transferências em Tempo Real mostra a mesma estrutura comportamental numa infraestrutura de pagamento que você já conhece: urgência, confiança na interface e uma passagem tarde demais pra desfazer.

Aqui aparece a ponte entre doutrina jurídica e comportamento. O tribunal está tentando decidir se a arquitetura de segurança da plataforma carregou, de verdade, a parte dela no risco. Você está tentando nem entrar nessa disputa.

O que você deve documentar antes de perguntar se a exchange te deve ressarcimento?

Lucia odeia linha do tempo vaga porque tribunal odeia mais. Se a perda acontecer, a pergunta útil não é “fui vítima de golpe?” A pergunta útil é “que evidência mostra onde a falha aconteceu?”

Comece com um registro fechado:

• o ativo exato e o valor movimentado
• o destino pretendido e o destino efetivo
• capturas da tela da transferência antes da confirmação
• se houve geração de e-mail, código ou segundo fator de autenticação
• alertas de dispositivo, navegador e login no momento discutido
• o intervalo entre autorização e descoberta da perda
• se os fundos sumiram dentro da plataforma ou só depois de chegarem a outro ambiente

A lista soa processual porque é. Mas é justamente isso que separa um caso de falha de segurança da plataforma de um caso de custódia pós-transferência.

Lucia prefere montar a cadeia antes que a memória seja reescrita pelo pânico. Na Kodex, esse mesmo rigor é o que a Pattern Intelligence tenta devolver à sua frente: o que você fez de fato, em que sequência, sob qual carga emocional. Na plataforma, isso é leitura comportamental, não análise jurídica. A lição, porém, é a mesma. Reconstrução vale mais que impressão.

A pergunta real não é se exchange paga ou não

A pergunta real é qual falha o tribunal consegue ligar de volta à exchange.

Essa é a lição da cisão no STJ. Uma turma viu uma falha de segurança grave o bastante pra sustentar responsabilidade objetiva. A outra viu um serviço concluído seguido por uma perda na camada de custódia de outra empresa. As duas posições conseguem conviver porque estão respondendo a perguntas factuais diferentes.

Lucia fecha o processo do mesmo jeito que abriu: rastreando o perímetro, não a indignação. Se você quer saber se exchange é responsável por golpe no Brasil, pare de fazer a pergunta na versão de headline. Pergunte onde o papel da plataforma terminou, que prova existe sobre os próprios controles e se o dinheiro desapareceu dentro desse limite ou depois dele.

Mais fria que o headline, sim. Também é essa resposta que decide o caso.