Ninguém lê sobre recuperação de conta com antecedência. Lê em pé na frente de um celular novo com o aplicativo de autenticação vazio, se perguntando se o saldo sumiu. Não sumiu, e o motivo de não ter sumido explica todo o resto do processo: o seu direito sobre a conta se apoia na identidade, e o segundo fator é uma checagem montada em cima desse direito, não o direito em si. Abaixo está o que fica bloqueado e o que não fica, por que a redefinição passa por uma análise e uma espera, o que fazer com essas horas, e a única situação em que pedir a redefinição é o movimento errado.

1. Como os seis dígitos são calculados dentro do aparelho

Vale começar pelo mecanismo, porque quase tudo neste assunto sai dele. Os seis dígitos que você digita não chegam de lugar nenhum. Eles são calculados no seu próprio aparelho.

Quando você ativa o aplicativo, a corretora mostra um QR que carrega dentro uma chave de configuração, uma sequência longa e aleatória. Coloque essa mesma chave em outro aplicativo e saem os mesmos códigos, e é exatamente isso que permite restaurar o acesso ao trocar de celular. Dali em diante os dois lados fazem a mesma conta: o código é calculado a partir de um segredo compartilhado e do relógio dividido em passos de trinta segundos. Isso é TOTP, e o relógio é metade da receita.

Três consequências que saem daí

A primeira: o aplicativo funciona no modo avião. Nada é enviado, então não há mensagem para interceptar nem rede da qual depender. É a diferença de fundo em relação a um código por SMS.

A segunda: a credencial não é o aplicativo, é a chave de configuração. O aplicativo é uma calculadora que guarda essa chave. Daí que exportar as entradas ou sincronizá-las transforme uma troca de aparelho num procedimento entediante em vez de um incidente.

A terceira: um celular com o relógio fora de hora produz códigos errados enquanto se comporta com total normalidade. Os servidores costumam aceitar o passo vizinho em cada direção, então um código que acabou de virar ainda passa, mas fora dessa margem tudo é recusado.

Guarde essa terceira, porque ela manda muita gente para um processo de recuperação de que não precisava.

E a consequência que vale por todas

Perder o aplicativo não é perder a conta. A titularidade de uma conta é provada por identidade, e o segundo fator fica montado em cima dessa prova. Tirar o segundo fator dificulta autorizar certas ações e não transforma o saldo no de outra pessoa. É essa prova que sustenta a via de recuperação, e o preço dela é tempo.

Quem vem de uma conta que sempre foi acessada pelo mesmo celular costuma inverter isso e achar que o aplicativo é a conta. Não é. O aplicativo é uma calculadora, e a conta continua sendo sua enquanto a sua identidade e a sua caixa de e-mail continuarem sendo suas.

2. Código recusado costuma ser relógio, não conta travada

Antes de abrir qualquer solicitação, confira a hora do aparelho onde o aplicativo está. Um celular com o relógio atrasado um minuto produz códigos do passo errado, e o servidor recusa todos. A tela diz que o código está incorreto, e essa frase é indistinguível de estar trancado para fora.

A correção é sem graça. Ative data e hora automáticas para o aparelho seguir o relógio da rede, ou use a correção de tempo que os aplicativos de autenticação oferecem justamente para isso. Depois tente com um código recém-gerado, não com um que já está há vinte segundos na tela.

Por exemplo, um celular que ficou uma semana desligado, ou que voltou da assistência com o relógio zerado, vai produzir uma sequência de recusas até isso ser ajustado. A conta não tem problema nenhum, e uma redefinição pedida nesse estado custa um bloqueio de saques que não havia motivo para pagar.

O que muda conforme o que você perdeu

Só duas dessas seis linhas são realmente perigosas, e nenhuma é a que causa pânico. Perder um celular é um transtorno com fila. Perder a caixa de e-mail, ou ficar atrás de alguém que se passa por você, é o problema de verdade.

3. Chave de configuração, aplicativo e códigos de backup são três coisas

Três coisas recebem o mesmo nome nas conversas, e separá-las organiza metade do assunto.

A chave de configuração é a matéria-prima, a sequência atrás do QR, e é o que regenera os mesmos códigos em qualquer app compatível. O aplicativo é a calculadora que guarda essa chave; troca-se sem drama. Os códigos de backup são outra coisa: uma lista de uso único, emitida com antecedência, usada no lugar de um código gerado quando você não consegue produzir um.

A tabela não ordena do melhor para o pior, ela descreve naturezas. O SMS está preso a um número. O aplicativo está preso a um aparelho. Então o que precisa ser previsto em cada caso é diferente: no primeiro, um ataque contra o número; no segundo, perder o celular.

4. Uma senha se recupera sozinha. Isto aqui uma pessoa analisa

Agora a redefinição em si. Uma senha é recuperada de forma automática porque a caixa de e-mail já serve de prova. Um segundo fator não, porque o que está sendo substituído é justamente a checagem que segura um invasor que já tem a senha.

Daí o processo girar em torno da identidade. Começa na tela de acesso, você escolhe a opção que diz que não consegue concluir a verificação, marca qual fator perdeu e registra um contato novo. Dali a solicitação vai para uma equipe de análise, e a documentação das corretoras diz com todas as letras que essa análise pode levar tempo. Não existe botão que encurte nem escalada que pule a fila.

Duas coisas que ajudam nesta etapa

Uma: abra a solicitação pelo aplicativo oficial ou pelo site oficial e deixe quieto. Abrir vários chamados com o mesmo assunto reinicia filas em vez de encurtá-las.

Duas: esse processo pergunta pela sua identidade, nunca pela sua senha nem pela frase de recuperação de uma carteira. Se alguma página ou pessoa pedir qualquer uma das duas, você já não está no processo de recuperação. Esse fio volta mais adiante.

5. Depois começa o bloqueio, e o bloqueio é o ponto

A redefinição termina e os saques continuam fechados. Isso surpreende mais do que a análise, e é a coisa mais útil de entender sobre o sistema inteiro.

A Binance informa que saques, venda P2P, serviços de pagamento e serviços de cartão ficam desativados por 48 horas depois que os dispositivos 2FA são redefinidos. A Bybit aplica uma restrição de saque de 24 horas após mudanças de segurança e conta dentro dela saques on-chain, transferências internas, saques em moeda local, transações de cartão e ordens P2P, com a mesma restrição disparada ao trocar o e-mail ou ao desligar as proteções do catálogo de endereços. A OKX bloqueia saques por 24 horas depois de redefinir ou trocar o aplicativo de autenticação, e o mesmo vale para trocar telefone ou e-mail. A KuCoin descreve uma suspensão de 24 horas que se levanta sozinha.

Por que o bloqueio existe

Leia o processo de novo pelo outro lado. Quem tomou sua conta também pode clicar na opção que diz que não consegue se verificar. Também pode registrar os próprios dados de contato. A análise de identidade existe para pegar isso, e a espera não é um castigo: é o que tira o prêmio se a análise for enganada.

Em outras palavras, o bloqueio transforma o minuto mais valioso de uma invasão em um ou dois dias de espera, durante os quais o dono real tem margem para perceber, avisar e pedir o congelamento. Suponha que o bloqueio não existisse: a redefinição seria o caminho mais rápido para esvaziar uma conta, e seria a primeira coisa que qualquer atacante tentaria.

Isso reenquadra a parte chata. A espera não significa que a corretora desconfia de você em particular. É o preço de existir um caminho de volta para você. Outros travamentos de saque, com causas e prazos diferentes, estão em por que uma corretora congela um saque.

6. A espera são as horas mais úteis que você tem

O bloqueio fecha os saques. Não costuma fechar o acesso, nem a consulta de saldo, nem a operação, nem a mudança de configurações. Essa distinção transforma a espera nas horas mais úteis que você tem, porque tudo o que vem a seguir fecha uma porta que talvez ainda esteja aberta.

A linha das chaves de API é a que mais gente pula e a que mais esvaziou contas. Uma chave criada há meses para um robô pode carregar permissão de saque, e ela não pede seis dígitos a ninguém. Se você não lembra de ter criado, isso é motivo para apagar e não para deixar.

7. Três portas, e controles diferentes em cada uma

Parte do pânico vem de não saber o que ainda funciona. Ajuda enxergar uma conta de corretora como três portas em vez de uma tranca só, porque são guardadas por coisas diferentes e quebram separadamente.

Controles diferentes, funções diferentes

A mesma lógica vale para os itens que ficam lado a lado no menu de segurança e são tratados como intercambiáveis. Não são. Um segundo fator decide se uma ação sensível é permitida. Uma lista branca decide para onde os fundos podem ir, limitando os saques a endereços aprovados que você adicionou antes. Um código antiphishing é uma sequência curta que a corretora insere nos e-mails legítimos para você distinguir falsificações. Uma passkey substitui o fator que pode ser pescado, autenticando com a biometria ou o bloqueio do aparelho.

Nenhum substitui o outro. Uma conta com segundo fator forte e sem lista branca está a um login bem-sucedido de ficar vazia, porque nada nesse arranjo limita o destino.

8. O SMS é fraco porque o ataque mira a sua operadora

Entre os segundos fatores, o SMS é o que vale a pena abandonar, e o motivo não é que celulares sejam inseguros.

O ataque não mira o seu aparelho. Mira a sua operadora. Alguém junta dados pessoais suficientes para soar convincente, entra em contato com a empresa e consegue mover o seu número para um chip que controla. A partir desse momento, toda mensagem de verificação e todo link de redefinição chegam no aparelho dele. Nada no seu foi comprometido, e nada que você tivesse feito no seu teria evitado.

Por que isso ficou mais rápido

Ativar um número em eSIM por QR eliminou a etapa física que antes segurava o processo. O que exigia ir a uma loja e esperar um chip agora pode ser feito remotamente, então a janela entre a transferência e a tomada da conta ficou bem mais estreita.

O sinal prático é abrupto e fácil de ignorar: seu celular perde sinal sem motivo aparente. Se isso acontece enquanto você tem fundos numa corretora, trate como incidente e não como falha de rede. Fale com a operadora e avise a corretora em paralelo, porque a sequência depois de uma transferência bem-sucedida é redefinir senha, redefinir segundo fator e sacar, nessa ordem. Como essa operação se parece por dentro está em como contas de corretora são realmente invadidas.

Um aplicativo de autenticação ou uma passkey não são mais fortes por serem mais novos. São diferentes porque não estão amarrados a um número de telefone, o que tira a operadora da lista de quem pode entregar a sua conta.

9. O ponto único de falha de verdade é o seu e-mail

Enquanto todo mundo olha para o aplicativo de autenticação, passa batido o que está ao lado. Se dá para recuperar a conta com identidade e uma caixa de e-mail, então essa caixa está fazendo bastante trabalho silencioso. Links de redefinição, avisos de aprovação e alertas de segurança chegam todos ali.

Então, na maioria dos arranjos, o e-mail é o ponto único de falha, não o segundo fator, e costuma estar protegido por pouco mais que uma senha que já apareceu em algum vazamento. Quem tem a caixa pode iniciar a redefinição, receber a confirmação e abafar o aviso que chegaria até você.

A ordem que sai daí

Proteja a caixa pelo menos tão bem quanto a corretora. Isso significa um segundo fator ali também, e de preferência um que não seja SMS. E significa checar as opções de recuperação da própria conta de e-mail, porque uma regra de encaminhamento antiga ou um número de recuperação desatualizado são porta dos fundos para tudo que vem depois.

Dois hábitos pequenos entram aqui. Leia os e-mails de aviso de segurança em vez de limpar, já que o aviso de que uma configuração mudou é o alerta mais cedo que você recebe. E tenha em mente o código antiphishing: um aviso legítimo carrega a sequência que você definiu, e uma falsificação não.

10. Quando outra pessoa abre a redefinição antes de você

Tudo até aqui assumiu que quem abre a redefinição é você. O caso pior é chegar e encontrar alguém na frente, e ele se apresenta de outro jeito.

Uma invasão de conta normalmente começa na porta do login. Já dentro, o próximo movimento do atacante é tornar a posição permanente trocando os dados de contato e o segundo fator pelos dele. Os sinais aparecem se você estiver olhando. Configurações que você não mudou. Alertas de acesso de lugares onde você não esteve. Um aparelho desconhecido na lista de sessões. E às vezes a ausência de e-mails, porque uma regra de encaminhamento agora desvia tudo.

O que fazer diferente

O reflexo é abrir uma redefinição. Nessa situação é o primeiro movimento errado, porque você entra na mesma fila do atacante e passa a torcer para a análise escolher a pessoa certa. Peça primeiro que congelem a conta e bloqueiem os saques. Toda corretora grande tem uma via para reportar conta comprometida, e ela é separada do fluxo comum de redefinição.

Depois percorra a mesma lista de antes, de trás para frente: sessões, chaves de API, caixa de e-mail. Se os fundos já saíram, o quadro realista está em se dá para recuperar cripto de golpe, e vale ler antes de gastar dinheiro atrás disso. Se a perda foi numa carteira de autocustódia e não numa conta de corretora, o relógio e os passos são outros, e isso está em o que fazer quando a frase de recuperação vaza. A contramedida equivalente do lado da autocustódia, revogar permissões, está em como revogar aprovações de tokens.

11. O segundo ataque espera nos resultados de busca

Existe um segundo ataque esperando especificamente por quem está nessa situação, e ele não mira a conta. Mira a busca que você faz enquanto tenta resolver.

Procure ajuda para recuperar conta e nos resultados vão aparecer pessoas se oferecendo para fazer isso por você. Elas aparecem como respostas embaixo de posts que descrevem o problema, como contas usando o nome e o logo da corretora, e como links patrocinados acima da página de suporte real. A oferta soa plausível justamente porque o processo legítimo é lento e opaco.

A regra que sobrevive a tudo isso é simples. Conversas de suporte começam dentro do aplicativo oficial ou do site oficial, e começam com você. O que nasce num comentário ou numa mensagem direta nasce no lugar errado. O padrão maior por trás dessas abordagens está em como os golpes de cripto são montados.

12. O que se repete e o que a documentação diz

Seis afirmações circulam sobre essa situação. Cada uma é falsa ou verdadeira num sentido bem mais estreito do que soa.

A última linha, aberta

Um segundo fator protege o acesso a uma conta de corretora. Ele não tem papel numa carteira onde você guarda a chave, porque ali não existe login para vigiar. E o inverso também vale: uma carteira hardware protege uma chave e não uma conta, e não faz nada por uma senha vazada nem por um número portado. Decidir qual dos dois reforçar começa por saber onde os ativos realmente estão, e se essa divisão é nova para você, o que é uma carteira de criptomoedas é o passo anterior, com como começar com cripto antes ainda.

Termos, num lugar só

TOTP. O esquema por trás dos códigos dos aplicativos de autenticação. Um segredo compartilhado mais a hora atual em passos de trinta segundos, combinados para gerar seis dígitos que os dois lados calculam separadamente.

Chave de configuração. A sequência atrás do QR que você escaneou. Ela regenera os mesmos códigos em qualquer app compatível, e é justamente por isso que vale guardá-la.

Códigos de backup. Uma lista emitida com antecedência, de uso único, usada no lugar de um código gerado quando você não consegue produzir um.

Passkey. Um método de acesso que autentica com a biometria ou o bloqueio do seu aparelho em vez de um código que pode ser interceptado ou pescado.

Lista branca de saques. Uma configuração que limita os saques a endereços aprovados que você adicionou antes, para que um acesso indevido não escolha sozinho o destino.

Código antiphishing. Uma sequência curta que você define e que a corretora insere nos e-mails legítimos, para distinguir de uma falsificação num relance.

SIM swap. Um ataque que move o seu número para um chip controlado pelo atacante, de modo que mensagens e links de redefinição chegam no aparelho dele.

13. O que esse controle não toca de jeito nenhum

Vale dizer também o que fica de fora. Um segundo fator não responde por uma corretora que quebra, nem por uma negociação entre pessoas em que o outro lado não paga, nem por uma posição que perdeu valor. E o bloqueio de saque que aparece depois de uma mudança de segurança não é a mesma coisa que um travamento por análise, embora na tela se pareçam.

Essa diferença importa quando o dinheiro da semana passa por ali. Quem vende por P2P para cobrir despesas sente o bloqueio de outro jeito do que quem tem fundos parados a longo prazo, porque o calendário não espera. E para quem se acostumou com transferência instantânea no banco, a espera incomoda mais do que o custo. Vale saber de antemão que trocar o e-mail, desligar proteções do catálogo de endereços ou redefinir o 2FA disparam a mesma restrição, e portanto não é boa ideia mexer nisso no dia em que é preciso vender. Um travamento do lado bancário, com causas diferentes, está em conta bloqueada depois de vender cripto.

E se a conclusão que você tira disso tudo é que convém deixar menos saldo parado numa corretora, o que acontece se a corretora quebrar e como avaliar uma corretora são as duas leituras seguintes. A comparação de corretoras cobre taxas e regras de conta.

Aviso de afiliados: alguns links são de parceiros. Podemos receber uma comissão sem custo extra para você. Isto não é recomendação de investimento.

14. Minha leitura depois de ler quatro centrais de ajuda lado a lado

Ler as páginas de ajuda das quatro corretoras lado a lado me deixa com quatro coisas.

O desenho é coerente, e é coerente de um jeito fácil de detestar. A identidade devolve a conta, uma análise confere a identidade, e um bloqueio cobre o caso em que a análise errou. Cada parte existe porque a via de recuperação também está disponível para quem se passa por você. Tire qualquer uma das três e a via vira um ataque.

Para o que serve é estreito. Esse sistema lida bem com um aparelho perdido. Lida mal com uma caixa de e-mail perdida, e lida com um impostor determinado comprando tempo em vez de tendo certeza. É uma troca razoável, e não é a mesma coisa que estar seguro.

A suposição mais frágil não está no processo. Está em o aviso chegar até você. O bloqueio só ajuda se você perceber dentro dele, e perceber depende de uma notificação que chega num endereço que o atacante talvez já controle, ou que cai numa pasta que você não lê. O controle é sólido e a entrega é a parte mole, e por isso a caixa de e-mail merece mais atenção do que o aplicativo que motivou a busca.

Onde a visão contrária se sustenta. Dá para argumentar que esses bloqueios punem usuários comuns por um risco que a maioria nunca vai enfrentar, e há algo nisso: a maior parte das redefinições é gente honesta com celular novo, esperando porque uma minoria não é. O contrapeso é que a alternativa já foi testada. Redefinições instantâneas foram o caminho pelo qual contas eram esvaziadas, e o setor não colocou atrito aqui por diversão. O que eu não aceito é o enquadramento de que a espera significa que a corretora desconfia de você. Significa que ela ainda não consegue distinguir, o que é outra afirmação e mais honesta.

Perguntas frequentes

Leia em seguida: como contas de corretora são realmente invadidas