“Invadiram minha conta na corretora” raramente significa que a senha foi quebrada. Na maior parte dos casos a senha continuou exatamente a mesma, e o acesso veio por um caminho paralelo: um número de telefone que mudou de dono, uma página que repassou o código de verificação em tempo real, um cookie de navegador copiado por um programa baixado meses antes, ou uma chave de API esquecida em um bot. A conta tem três portas independentes, cada uma com uma tranca diferente, e fechar uma delas deixa as outras duas do jeito que estavam. E tem a parte que quase ninguém explica direito: o que ainda dá para recuperar e o que já era.

1. O golpe do chip quando ele acaba na corretora

Quase todo mundo aqui já ouviu a história de alguém que ficou sem sinal no meio da tarde, achou que era instabilidade da operadora, foi dormir, e no dia seguinte descobriu que o número tinha ido parar na mão de outra pessoa. No Brasil isso já tem apelido, tem reportagem em telejornal e tem grupo de família avisando: golpe do chip, clonagem de WhatsApp, portabilidade que ninguém pediu. A parte que raramente é contada com clareza é onde essa história costuma terminar quando a vítima tem cripto.

O golpe do chip não acontece dentro do seu celular. Ele acontece no balcão de atendimento da operadora. Alguém liga se passando por você, ou aparece numa loja com documento falsificado dizendo que perdeu o aparelho, e pede que o número seja transferido para um chip novo. Em outros casos é uma portabilidade fraudulenta para outra operadora. Também existem casos com participação de funcionário. Repare no que isso quer dizer na prática: a sua senha de vinte caracteres, o aparelho comprado no mês passado e o sistema atualizado não participam dessa conversa em nenhum momento. O criminoso convence uma pessoa, não um sistema.

A clonagem de WhatsApp ficou conhecida pelo desfecho: com o aplicativo na mão do criminoso, começam os pedidos de Pix para os contatos. Só que o número de telefone não serve apenas para o WhatsApp. Ele costuma ser o caminho de recuperação da sua conta de e-mail, o destino do código por SMS da corretora e, em muita conta antiga, o segundo fator que você configurou anos atrás e nunca mais revisou. Quando o alvo tem saldo em corretora, a etapa final muda de endereço: quem está com o número redefine a senha do e-mail pelo SMS, entra no e-mail, pede redefinição de senha na corretora, recebe o link ali mesmo e chega na sua tela de saldo. Nenhuma dessas etapas exige descobrir a sua senha original.

O golpe do chip é apenas uma das entradas possíveis. Existem invasões de conta em que o número da vítima nunca foi tocado, o celular nunca ficou sem sinal, e mesmo assim alguém entrou. Tem gente que perde a conta por causa de um programa “ativado” baixado três meses antes. A porta do chip ficou famosa aqui porque a vítima vê ela acontecendo, com o celular mudo na mão. Nas outras rotas o aparelho continua funcionando normalmente e a conta troca de mãos sem que nada apareça na tela.

2. O que ainda dá para contestar no Pix e o que a blockchain nunca devolve

O Pix acostumou o brasileiro com dinheiro que chega em segundos. E acostumou também com uma segunda coisa, que é mais importante para este assunto: existe alguém para reclamar depois. O Banco Central criou o Mecanismo Especial de Devolução, o MED, para casos de golpe e de falha operacional. Você aciona o seu banco, o banco comunica a instituição que recebeu, e o valor pode ser bloqueado e devolvido se a fraude for confirmada. Não funciona sempre e depende de o dinheiro ainda estar parado na conta de destino, mas existe um canal formal, com prazo e com uma instituição obrigada a responder.

Um saque de cripto confirmado na rede não tem nada disso. Depois que a transação entra em um bloco e recebe confirmações, ela é definitiva. Não há estorno nem autoridade que desfaça o registro. Você consegue ver o destino no explorador de blocos, consegue copiar o identificador da transação, e é só isso que consegue. Quem estiver com as chaves do endereço de destino manda no dinheiro.

Com a conta invadida, o que decide o resto é onde o dinheiro está neste exato momento. Enquanto o saldo estiver dentro da corretora, existe uma empresa com poder de congelar aquilo, e existe um pedido que pode chegar a tempo. Se o saque já foi solicitado mas ainda está em análise, em fila ou em espera de segurança, ainda há uma janela. Depois que sai e confirma, a conversa muda de natureza e passa a ser registro, rastreamento e paciência.

Essa janela costuma durar poucos minutos. Quem invade uma conta sabe que a corretora pode travar tudo, então a pressa está do lado de lá. Se você já passou pela situação inversa, de ter um saque preso em pendente ou uma conta bloqueada pela própria corretora, já viu que o sistema de segurança segura valores com facilidade. Nesse caso específico, isso joga a favor da vítima.

3. Sua conta na corretora tem três portas, e cada uma abre de um jeito diferente

A maioria dos textos sobre conta invadida trata o assunto como se houvesse um único ponto de entrada: alguém descobre sua senha e entra. Isso descreve mal o que acontece de verdade. Uma conta de corretora tem três portas independentes, com fechaduras diferentes, e travar uma delas não tranca as outras duas.

A porta de login é a que todo mundo imagina: senha, segundo fator e, escondido atrás dela, o processo de recuperação de conta. A porta de saque é o pedido de retirada em si, com lista branca de endereços, tempo de espera e bloqueios por prazo. A porta de negociação é a que quase ninguém conta: uma chave de API com permissão de operar consegue comprar e vender no seu saldo sem nunca pedir um saque.

Repare que as fechaduras não se sobrepõem. Passkey não impede um bot com chave de API de operar o saldo que está na sua conta. Lista branca não impede alguém que entrou por cookie de sessão de vender tudo em um par sem liquidez. E chave de API restrita não faz nada se o invasor entrou pela recuperação por SMS e mudou tudo de dentro.

4. A porta de login: entram sem a sua senha, e ficou barato fazer isso

A rota que todo mundo imagina é a única que passa pela sua senha, e mesmo ali ninguém senta para adivinhá-la. Vazamentos de outros sites entregam combinações prontas de e-mail e senha, e programas testam essas combinações em massa nas corretoras. O nome disso é credential stuffing. Funciona porque cerca de 80% a 85% das pessoas repetem senha entre serviços, e porque há algo em torno de 2 bilhões de endereços de e-mail circulando nessas listas. Em 2025, 22% das invasões analisadas começaram exatamente assim, e credenciais roubadas apareceram em 31% dos incidentes. A senha da corretora nem precisa ter vazado: basta que ela seja igual à do fórum que você usou em 2019.

A segunda rota é o phishing em tempo real, o chamado AiTM. Aqui a página falsa não fica guardando o que você digita para usar depois. Ela repassa tudo, na hora, para o site verdadeiro. Você digita e-mail e senha, a página manda para a corretora de verdade, a corretora pede o código, a página falsa te pede o código, você digita, e o login verdadeiro se completa do lado do criminoso. O detalhe que assusta é que tanto faz de onde vem o código: SMS ou app autenticador passam do mesmo jeito, porque quem está entregando o código é você, em tempo real, dentro do prazo de validade dele.

Isso deixou de ser artesanal. Existe phishing vendido como serviço, com painel e suporte. A CloudSEK analisou um desses kits, o BlueKit, que trazia modelos prontos das telas de login de Binance, Coinbase, Bybit, KuCoin, OKX e Gate, com sequestro de conta automatizado. O que corta essa rota pela raiz é autenticação amarrada ao domínio, ou seja, passkey e chave de segurança física, porque elas simplesmente não respondem para um endereço que não é o verdadeiro.

A terceira rota é a mais silenciosa e a que passa despercebida com mais frequência: roubo de cookie de sessão. Quando você entra na corretora e marca para continuar conectado, o navegador guarda um cookie que representa aquele login já validado. Um programa malicioso instalado na máquina copia esse cookie, junto com senhas salvas e o que estiver no navegador. Com o cookie na mão, o criminoso não digita senha, não pede código, não dispara nenhum alerta: ele cola o cookie no navegador dele e aparece do lado de dentro, já logado.

Esses programas, os infostealers, têm nomes que circulam há anos, como LummaC2, RedLine, Raccoon e Vidar. Em 2025, cerca de 5,8 milhões de dispositivos infectados renderam algo perto de 1,8 bilhão de credenciais, e senhas roubadas ou cookies de sessão apareceram em 86% dos incidentes analisados. A coleta acontece minutos depois da infecção. E essa família tem preferência declarada por cripto: além do cookie, ela varre arquivos de carteira instalada no computador e arquivos de texto com frase de recuperação. Se você já guardou a sua seed em um bloco de notas, veja o que fazer quando a frase de recuperação vaza.

No Brasil essa rota tem um caminho de entrada muito conhecido e pouco associado a cripto: o hábito de instalar programa “ativado”, crackeado ou baixado de link de fórum. É o mesmo computador onde você acessa a corretora.

A quarta rota é o número de telefone, que abriu este texto e que ocupa aqui um lugar entre as quatro. Existe ainda uma variação em que nem o seu número precisa ser transferido: quem tem acesso à sinalização das redes de telefonia consegue interceptar mensagens em trânsito, algo demonstrado por pesquisadores. Um código enviado por SMS pode ser lido sem que sua operadora, sua conta ou seu aparelho tenham sido tocados.

O custo dessas quatro rotas caiu bastante do lado de quem ataca, por três mudanças. A primeira é a ativação remota de eSIM, que derrubou a troca de número para menos de cinco minutos, sem loja e sem chip plástico. A segunda são os kits prontos de phishing, que já vêm com painel e suporte e dispensam conhecimento técnico de quem compra. A terceira é a clonagem de voz por inteligência artificial: poucos segundos de áudio bastam para gerar uma voz convincente, e análises de 2026 indicam que as ferramentas dessa geração passam pela verificação de voz feita por atendentes humanos em algo entre 70% e 80% das tentativas. Há contagens apontando alta de 1.300% nas tentativas de fraude com deepfake.

Os números desta seção têm o ano do levantamento, porque envelhecem mais rápido que o resto. O centro de queixas de crimes cibernéticos do FBI, o IC3, passou a contar troca de chip como categoria própria. Em 2024 foram 982 registros, com prejuízo declarado de 25.983.946 dólares. Em 2022 tinham sido 2.026 registros e 72.652.571 dólares. No relatório referente a 2025, a troca de chip aparece entre as cinco principais ameaças, respondendo por 10% delas. Fora dos Estados Unidos os números vão na direção oposta: no Reino Unido, o Cifas registrou 289 casos de troca de chip não autorizada em 2023 e cerca de 2.900 em 2024, alta de aproximadamente 1.055%. Na Austrália, o IDCARE relatou aumento de cerca de 240% nos atendimentos sobre portabilidade e troca de chip em 2024 na comparação com 2023.

5. Você ligou o 2FA e entraram assim mesmo: as três brechas

Ativar segundo fator continua sendo a melhor decisão isolada que existe para uma conta de corretora. O problema é o que se conclui depois de ativar. Existem três formas conhecidas de a conta cair com o 2FA ligado, e cada uma explora um ponto diferente.

A primeira é o caminho de recuperação. Toda corretora precisa lidar com quem perdeu o celular, trocou de número ou zerou o app autenticador. Esse processo alternativo é uma porta, e se ele aceita SMS ou e-mail como prova de identidade, o segundo fator forte que você configurou vira contornável. O caso mais citado do setor é justamente esse, e quase sempre é contado errado. Em 2021, pelo menos 6.000 clientes da Coinbase tiveram cripto retirada da conta entre março e 20 de maio. Circula até hoje que foi golpe do chip. Não foi. A falha estava no procedimento de recuperação de conta baseado em SMS, e o atacante já chegava sabendo e-mail, senha e telefone da vítima, com acesso ao e-mail dela, provavelmente obtidos por phishing. A Coinbase ressarciu os clientes e corrigiu o processo. Vale abrir o formulário de recuperação da sua própria conta e ver o que ele aceita como prova de identidade.

A segunda é o phishing em tempo real. O código do app autenticador é válido por poucos segundos, e poucos segundos são suficientes quando a página falsa está repassando tudo ao vivo.

A terceira é a mais difícil de engolir: no roubo de cookie de sessão não existe evento de autenticação. Ninguém faz login. Ninguém digita senha. Ninguém pede código. O 2FA só age na hora em que alguém abre a porta, e aqui ela já estava aberta desde o seu último acesso legítimo. Contra essa rota a defesa passa por manter a máquina limpa e revisar a lista de dispositivos e sessões ativas da conta, encerrando o que você não reconhece.

A diretriz de identidade digital do NIST, na quarta revisão, colocou os códigos enviados por SMS e por telefone na categoria de autenticador restrito. É o único método que caiu nessa categoria, e os motivos citados são exatamente estes: transferência fraudulenta de número, ataques à sinalização das redes e phishing que repassa o código ao vivo. Mesmo com essa classificação, em levantamento de 2024, cerca de 61% das corretoras de cripto ainda usavam SMS como segundo fator padrão.

Traduzindo para decisão: passkey ou chave física na porta de login quando a corretora oferecer, app autenticador quando não oferecer, e o SMS, se for inevitável, pelo menos fora do caminho de recuperação, que é onde ele causa mais estrago.

6. Quem entra no seu e-mail já está dentro da corretora

Quem entra no seu e-mail já está dentro da corretora, mesmo sem saber a senha de lá. É para o e-mail que vai o link de redefinição de senha, o alerta de novo dispositivo, o código de confirmação de saque e o aviso de mudança de lista branca.

Quem entra no seu e-mail antes não precisa atacar a corretora de frente. Pede redefinição de senha, recebe o link, entra, e ainda apaga os avisos que a corretora mandou, para você demorar mais a perceber. Existe uma variação pior e comum: em vez de apagar, o invasor cria uma regra de encaminhamento ou de arquivamento automático. Toda mensagem com a palavra “saque”, “withdrawal”, “security” ou o nome da corretora vai direto para o lixo ou para uma pasta que você nunca abre. O alerta da corretora continua sendo entregue certinho, arquivado longe da caixa de entrada que você olha todo dia.

Isso muda a ordem das coisas. Blindar a corretora e deixar o e-mail com senha repetida de 2018 e recuperação por SMS é apenas adiar. Trate o e-mail com o mesmo cuidado que a conta com dinheiro dentro:

• Senha exclusiva, usada só ali, de preferência guardada em um gerenciador de senhas.
• Segundo fator por app ou por passkey, não por SMS.
• Remover o telefone das opções de recuperação, ou pelo menos deixar de tratá-lo como prova suficiente.
• Revisar as regras de encaminhamento e de filtro da caixa de entrada, porque é onde o invasor se esconde depois de sair.
• Considerar um endereço separado, que você não usa em cadastro de loja, newsletter nem rede social, apenas para as contas com dinheiro.

7. A porta de saque: o que a lista branca trava de verdade

Passada a porta de login, a segunda porta é o pedido de saque. E aqui as corretoras têm ferramentas que funcionam bem, com a ressalva de que cada marca dá um nome diferente para a mesma coisa, então confira o nome exato no painel de segurança da sua.

Lista branca de endereços de saque. Com ela ativa, a conta só consegue enviar para endereços que você cadastrou antes. Um invasor que entrou não consegue simplesmente colar o endereço dele e mandar. Ele precisa cadastrar um endereço novo, e é aí que entram as esperas: na Binance, por exemplo, desligar a função aciona uma restrição de saque de 24 horas, e a inclusão de endereço pode ficar sujeita a espera de 24, 48 ou 72 horas. Esse tempo existe para você receber o aviso e ainda ter como reagir.

Bloqueio de saque por prazo. Algumas corretoras já oferecem travar a saída on-chain por um número de dias definido por você, sem possibilidade de destravar antes do fim do prazo, nem por pedido ao suporte. Para quem deixa saldo parado por meses, é a trava mais forte da porta de saque, justamente porque ela não aceita conversa.

Código antiphishing. Você define uma palavra ou frase, e a corretora passa a exibi-la em todo e-mail e mensagem oficial. Chegou um aviso de saque sem a sua palavra, é falso. Binance, Bybit e OKX oferecem esse recurso, e leva um minuto para configurar.

Gestão de dispositivos e sessões. A lista de aparelhos e navegadores conectados, com a opção de encerrar remotamente. É onde a rota do cookie de sessão aparece, e é o item que quase ninguém revisa.

Camadas extras de confirmação. A Bybit, por exemplo, tem senha de fundos e aprovação de operação como etapas adicionais.

Agora a parte incômoda. A lista branca tranca a porta de saque, e só ela. Não impede login indevido, mudança de configuração por quem entrou nem negociação. Muita gente ativa a lista branca e sai com a sensação de que o problema acabou. As portas de login e de negociação continuam como estavam antes.

8. A porta de negociação: o saldo encolhe sem nenhum saque

Ninguém sacou nada, o extrato não tem nenhuma retirada, e mesmo assim o saldo em reais encolheu. Essa é a cara da terceira porta, e ela abre por uma credencial que muita gente criou uma vez e esqueceu.

Chave de API é um par de credenciais que você gera dentro da corretora para que um programa externo opere na sua conta. Bot de trading, painel de acompanhamento, planilha de portfólio, serviço de copy trading. Cada chave tem permissões separadas: só leitura, negociação, saque. A recomendação universal do setor é nunca conceder permissão de saque a um serviço de terceiro, e ela é boa. O problema é que muita gente entende essa recomendação como “sem permissão de saque, o dinheiro está seguro”.

Em dezembro de 2022, um vazamento na 3Commas, serviço de bots de negociação, expôs cerca de 100 mil chaves de API de corretoras. O prejuízo das vítimas saiu do livro de ordens, em negociação não autorizada. Quem estava com as chaves escolhia pares de baixa liquidez, colocava ordens de compra na conta da vítima empurrando o preço para cima, e vendia do outro lado com posição montada antes. O saldo da vítima continuou dentro da corretora o tempo todo, só que convertido em uma moeda sem liquidez, comprada por um preço que ninguém pagaria. Houve ainda phishing paralelo, com sites falsos imitando a 3Commas para coletar chaves diretamente.

Não é caso isolado. Já houve episódio parecido com chaves vazadas por outro serviço de bots, o Skyrex, em que ordens não autorizadas compraram cerca de 1 milhão de dólares em um token dentro de uma conta Binance. Mesma mecânica, nenhum saque envolvido.

O que fechar nessa porta:

• Permissão de saque desmarcada em qualquer chave entregue a um serviço externo, sem exceção.
• Restrição por IP quando a corretora oferecer (OKX, entre outras, permite). Chave que só funciona a partir de um endereço conhecido perde muito do valor para quem a rouba.
• Apagar chave que você não usa mais: painel testado uma vez, bot abandonado, planilha que parou de atualizar. Chave que ainda existe ainda opera na sua conta.
• Uma chave por serviço, para revogar uma sem derrubar tudo.
• Passar o olho no histórico de ordens de vez em quando. Negociação estranha aparece lá antes de aparecer em qualquer outro lugar.

9. Invadiram agora: a ordem certa dos primeiros minutos

Se você chegou neste texto porque acabou de acontecer, comece por aqui. A ordem importa mais do que a lista, porque cada minuto conta e porque mexer na coisa errada primeiro desperdiça a janela.

Primeiro, o e-mail. Enquanto ele estiver comprometido, qualquer senha nova da corretora é redefinida de novo em seguida. Troque a senha do e-mail por uma inédita, encerre todas as sessões ativas, ative segundo fator por app ou passkey se ainda não tiver, e confira as regras de encaminhamento e os filtros. Se você não conseguir entrar no próprio e-mail, esse é o incêndio a apagar antes de qualquer outro.

Segundo, a conta na corretora. Use outro aparelho, de preferência um que não estava envolvido. Troque a senha, o que na maioria das plataformas encerra as sessões abertas e derruba quem estiver lá dentro. Em seguida, e ainda no mesmo fôlego: apague ou desative todas as chaves de API, confira a lista branca procurando endereço estranho, olhe o histórico de ordens além do saldo, e abra um chamado no suporte oficial pedindo congelamento da conta, informando que houve acesso não autorizado. Confira também no painel de segurança se a sua corretora oferece desativar saque e negociação na hora. Se o seu saldo ainda está lá, esse pedido é a coisa mais valiosa que você vai fazer hoje.

Terceiro, o número. Se o celular perdeu sinal ou você suspeita de portabilidade, ligue para a operadora de outra linha, relate fraude, peça bloqueio do chip ativo e reemissão para você. Peça também registro formal da ocorrência no setor antifraude, porque esse protocolo vai ser útil depois.

Quarto, o resto do dominó e o aparelho. Qualquer serviço que usa aquele e-mail ou aquele número como recuperação entra na fila, começando por onde tem dinheiro. E se houver suspeita de programa malicioso, principalmente se você instalou software pirata, pare de usar aquela máquina para contas com dinheiro até limpá-la ou formatá-la, porque trocar senha em computador infectado entrega a senha nova junto.

O que não fazer nessa hora: não clique em nenhum link que chegar por e-mail ou WhatsApp oferecendo ajuda, não instale nenhum programa de acesso remoto a pedido de “suporte”, e não pague ninguém para resolver. Quem oferece ajuda primeiro está no segundo golpe.

10. Onde o dinheiro está neste momento decide o que dá para recuperar

Passada a correria, o que dá para recuperar depende de onde o dinheiro está agora.

Duas observações que costumam faltar. A primeira: existem casos de ressarcimento pela corretora, e o episódio da Coinbase é um deles. Ressarcimento é exceção. Na maior parte dos termos de uso, a responsabilidade pela guarda das credenciais e dos fatores de autenticação é do usuário, e a corretora se compromete com a segurança da própria infraestrutura. Invasão que começou no seu e-mail, no seu número ou no seu computador dificilmente entra como falha dela.

A segunda: rastrear não é recuperar. Fundos roubados aparecem no explorador de blocos, e você consegue seguir o caminho por horas. Isso tem valor quando o destino é uma corretora com identificação de clientes e existe processo judicial ou policial em curso, porque aí há um pedido formal a fazer. Sozinho, o rastreamento rende prova para um processo, e só. Se quiser dimensionar o que é realista antes de gastar energia, veja o que muda em cada cenário de recuperação de cripto perdida em golpe.

Dois sustos chegam parecidos com invasão e costumam ter causa banal: valor que some depois de um depósito e saque que trava sem explicação. Antes de concluir o pior, confira depósito não creditado e saque parado em pendente, porque rede errada e revisão de segurança respondem por boa parte desses sustos.

11. Onde registrar no Brasil e por que o “recuperador” é o segundo golpe

Sem estorno na rede, sobra o registro. Ele não devolve o dinheiro na maioria dos casos, e mesmo assim cumpre três funções concretas: a corretora costuma pedir número de boletim de ocorrência para tratar o chamado como incidente de segurança, o registro é o que permite qualquer medida judicial de bloqueio se o valor chegar a uma corretora identificável, e a operadora só trata portabilidade fraudulenta como fraude se houver reclamação formal.

Boletim de ocorrência. A maioria dos estados tem delegacia eletrônica da Polícia Civil, com registro pela internet. Descreva os fatos com data e hora, o valor, a corretora, o identificador das transações e como você percebeu. Alguns estados têm delegacia especializada em crimes cibernéticos.

Operadora. Abra reclamação no setor antifraude sobre a troca de chip ou a portabilidade não solicitada, e guarde o protocolo. Se não houver solução, o caminho seguinte é o canal de atendimento da Anatel, que é quem regula o serviço. O tipo de trava que cada operadora consegue aplicar na linha muda de empresa para empresa, quando existe, e o nome dado a ela também, então pergunte pela função no atendimento.

O que juntar antes de abrir qualquer um deles: identificadores das transações de saque, endereços de destino, capturas dos e-mails de aviso (inclusive os que estavam na lixeira), horário em que o celular perdeu sinal, e a lista de dispositivos que apareceu na conta.

Agora a parte que dói mais do que a invasão. Assim que o caso vira público, em grupo, comentário ou pedido de ajuda em rede social, aparece a segunda leva. Perfis de “recuperação de criptomoedas”, gente com foto de terno e printscreen de painel, suporte falso no WhatsApp com o nome e a logo da corretora. Todos seguem o mesmo roteiro: dizem que localizaram os fundos, que precisam de uma taxa antecipada para liberar, ou de uma taxa de rede, ou de um depósito para “desbloquear” a carteira. A vítima que já perdeu tende a pagar, porque agora existe uma esperança concreta.

12. Fechando as três portas: a configuração que você deixa pronta e esquece

Esta é a parte que você faz uma vez, com calma, e não precisa pensar de novo. Tudo está no painel de segurança da própria corretora, e leva menos tempo do que parece.

Na porta de login: senha exclusiva guardada em gerenciador, passkey ou chave física quando existir e app autenticador quando não existir, SMS fora do caminho de recuperação, e-mail dedicado com o mesmo padrão de proteção, e código antiphishing configurado.

Na porta de saque: lista branca ativa com os endereços que você realmente usa cadastrados antes de precisar, bloqueio por prazo se o saldo fica parado, e alertas de saque e de login ligados.

Na porta de negociação: inventário das chaves de API, permissão de saque desmarcada em todas, restrição por IP onde houver, uma chave por serviço, e as antigas apagadas.

Em todas elas, uma vez por mês: abrir a lista de dispositivos e sessões, encerrar o que não reconhece, e conferir o histórico de ordens. Cinco minutos.

Onde você deixa o saldo também muda o que dá para fazer no dia ruim. Corretora com sede aqui tem CNPJ para citar no boletim de ocorrência e suporte que responde no mesmo fuso, o que encurta o caminho até o pedido de congelamento. Plataforma internacional costuma trazer o conjunto de travas mais completo, e o chamado passa por um fluxo de atendimento maior. Quem divide o saldo entre uma e outra abre o painel de segurança das duas e confere quais dessas funções existem em cada uma, porque elas não vêm iguais. Isso é um critério de escolha tão legítimo quanto taxa, e entra junto com os outros sinais de como saber se uma corretora é confiável. Se quiser ver onde cada função fica no painel de uma plataforma grande, o mapa de recursos da Binance cobre esse caminho, e a comparação de corretoras ajuda a decidir onde deixar saldo parado.

Aviso de afiliados: alguns links são de parceiros. Podemos receber uma comissão sem custo extra para você. Isto não é recomendação de investimento.

13. Glossário e as frases que só parecem segurança

Algumas frases circulam tanto que soam como conclusão de especialista. Confronte cada uma com a estrutura das três portas.

Glossário

• Credential stuffing: teste automatizado de combinações de e-mail e senha vazadas de outros sites, aproveitando que a maioria das pessoas repete senha.
• Phishing em tempo real (AiTM): página falsa que repassa ao vivo o que você digita para o site verdadeiro, o que faz o código de verificação passar junto, venha ele de SMS ou de app.
• Cookie de sessão: arquivo que o navegador guarda representando um login já validado. Quem copia esse arquivo entra sem senha e sem código, porque para o sistema a sessão já estava aberta.
• Infostealer: família de programas maliciosos que varre navegador, senhas salvas, cookies, arquivos de carteira e blocos de notas com frase de recuperação, minutos após a infecção.
• TOTP: código de seis dígitos gerado por app autenticador, válido por poucos segundos, sem depender da rede de telefonia.
• Passkey e chave de segurança física: autenticação amarrada ao endereço verdadeiro do site, que por isso não responde a página falsa.
• Código antiphishing: palavra escolhida por você que a corretora exibe em toda comunicação oficial, servindo de assinatura para separar mensagem real de imitação.
• Lista branca de saque: cadastro prévio de endereços de destino, com a conta impedida de enviar para qualquer outro.
• Permissão de chave de API: escopo dado a um programa externo dentro da sua conta, dividido em leitura, negociação e saque.
• Portabilidade fraudulenta e troca de chip: transferência do seu número para um chip controlado por outra pessoa, obtida convencendo o atendimento da operadora.

Perguntas que sempre voltam

Comparar corretoras e ver o que checar antes de deixar saldo parado