Direito Cripto/Nível VI · Conduta de mercado/6.2 Insiders e rug pulls/Lição 6

Hacks e exploits como roubo

Por que “o código permitiu” não impediu os promotores dos EUA de acusar exploits de contratos inteligentes como fraude informática, fraude eletrônica e lavagem de dinheiro, e onde os tribunais impuseram limites.

É educação, não aconselhamento jurídico, tributário ou de investimento. O direito cripto varia entre países e estados e muda com frequência. Antes de agir, confirme as regras vigentes onde você mora com um advogado ou consultor tributário habilitado.

O caminho enxuto

A rota mais barata, com menos impostos, mais simples e mais privada que a lei permite, da melhor para a pior. Cada passo indica a regra em que se apoia e a condição que o mantém dentro da lei.

Desenvolvedores: a proteção jurídica mais barata é um plano de incidentes escrito antes do lançamento, que indique quem preserva os logs e hashes, registra os endereços do atacante e contata o IC3, os emissores de stablecoins e as corretoras (exchanges). Reportar não custa nada; o atraso custa oportunidades de congelamento.
Um protocolo vítima pode propor uma ação civil nos termos de 18 U.S.C. §1030(g) por perdas e danos compensatórios e uma medida liminar (injunction), além de qualquer caso criminal. O porém: ela deve ser proposta em até 2 anos do ato ou da descoberta do dano.
Não existe caminho lícito barato para ficar com fundos explorados: 'o código permitiu' não impediu a condenação de Ahmed em 2024 a três anos de prisão e a perdimento de cerca de US$ 12,3 milhões. A alternativa lícita é reportar a falha por meio de um bug bounty publicado.
Nunca receba nem mova fundos rastreados até um exploit ou a agentes sancionados, como os que o FBI associou ao furto da Bybit em fevereiro de 2025. A triagem contra a lista de sanções gratuita da OFAC não custa nada; as penalidades civis por sanções costumam ser de responsabilidade objetiva (strict liability).

Materiais18 U.S.C. §1030, o Computer Fraud and Abuse Act (em law.cornell.edu)O comunicado da Procuradoria Federal dos EUA de abril de 2024 sobre a sentença de Shakeeb Ahmed e o comunicado de fevereiro de 2025 sobre o indiciamento de MedjedovicO anúncio de utilidade pública do FBI de 26 de fevereiro de 2025 sobre o roubo na BybitLições 6.1.4 (front-running e MEV) e 6.1.5 (o caso da Mango Markets)

Curiosidade

Se um contrato inteligente me deixou sacar os fundos, como retirá-los pode ser roubo?
Quais leis federais os promotores usam contra exploradores de DeFi?
O que um protocolo ou seus usuários podem fazer após uma exploração, além de chamar a polícia?

Explorar

Alguns exploiters argumentam que o contrato inteligente é o acordo inteiro, de modo que tudo o que seu código permite é permitido. Os promotores dos EUA rejeitaram essa visão. Eles acusam exploits com base no Computer Fraud and Abuse Act, 18 U.S.C. §1030, que, entre outras coisas, pune o acesso consciente a um computador protegido sem autorização, ou excedendo o acesso autorizado, com intenção de fraudar; com base na lei de fraude eletrônica, 18 U.S.C. §1343, quando o exploit depende de engano, como preços falsos ou dados manipulados; e com base nas leis de lavagem de dinheiro, quando o produto é passado por bridges, misturado ou trocado para ocultá-lo. Os tribunais ainda estão testando onde ficam essas linhas.
A primeira condenação por hackear um contrato inteligente veio do Distrito Sul de Nova York. Shakeeb Ahmed, engenheiro de segurança sênior cujo currículo mencionava engenharia reversa de contratos inteligentes e auditorias de blockchain, usou dados de preços falsos em julho de 2022 para gerar cerca de 9 milhões de dólares em taxas infladas em uma corretora descentralizada. Semanas depois, explorou a Nirvana Finance, levando cerca de 3,6 milhões de dólares, praticamente todos os seus fundos; a Nirvana encerrou as atividades pouco depois. Ele lavou o produto por meio de bridges, Monero e mixers. Declarou-se culpado de uma acusação de fraude informática em dezembro de 2023.
Em 12 de abril de 2024, o juiz Victor Marrero condenou Ahmed a três anos de prisão e três anos de liberdade supervisionada, determinou o perdimento de cerca de 12,3 milhões de dólares e de uma quantidade significativa de criptomoedas e ordenou a restituição de mais de 5 milhões de dólares às duas vítimas. Em fevereiro de 2025, promotores do Distrito Leste de Nova York tornaram público o indiciamento de Andean Medjedovic, um canadense, por fraude eletrônica, invasão de computadores, tentativa de extorsão e lavagem de dinheiro. Eles alegam que ele usou recursos emprestados para criar preços artificiais e drenou cerca de 65 milhões de dólares de pools da KyberSwap e da Indexed Finance. Ele estava foragido quando foi acusado.
Nem toda acusação se sustentou. As condenações de Avraham Eisenberg por fraude e manipulação no caso Mango Markets foram anuladas pelo juiz do julgamento em maio de 2025, em parte porque as provas não mostravam uma declaração falsa; o recurso do governo é tratado na lição 6.1.5. O caso de Anton e James Peraire-Bueno, acusados de levar cerca de 25 milhões de dólares em 12 segundos por meio do processo de construção de blocos do Ethereum, terminou com a anulação do julgamento (mistrial) em novembro de 2025 (lição 6.1.4). Para quem desenvolve, a mensagem é mista: exploits são rotineiramente denunciados, mas até onde a lei de fraude alcança negociações “manipulativas” contra o código ainda está sendo decidido.
O direito penal é apenas uma via. O Computer Fraud and Abuse Act permite que quem sofre dano ou perda qualificados proponha uma ação cível por indenização e medida inibitória, 18 U.S.C. §1030(g). Emissores de stablecoins e corretoras podem congelar ativos que controlam. Atores estatais levantam questões de sanções: em 26 de fevereiro de 2025, o FBI atribuiu o roubo de cerca de 1,5 bilhão de dólares da corretora Bybit, ocorrido por volta de 21 de fevereiro de 2025, à Coreia do Norte, que chama de “TraderTraitor”, e pediu aos serviços que bloqueassem os endereços relacionados. Quem lida com esses fundos fica exposto a sanções (lição 5.2.5).
Vale a pena que quem desenvolve escreva um plano prático de resposta antes do lançamento. Ele deve dizer quem preserva logs e hashes de transações, quem registra os endereços do atacante e quem contata o IC3 do FBI, os emissores das stablecoins afetadas e as principais corretoras. Deve também definir quem pode falar com o atacante e o que pode ser oferecido (lição 6.2.7). Não prometa a ninguém imunidade contra acusação penal; um protocolo privado não pode concedê-la. Os usuários devem saber que receber ou movimentar conscientemente fundos roubados pode, por si só, ser acusado como lavagem de dinheiro, diga o que disser o exploiter sobre o código.

Fatos-chave

O 18 U.S.C. §1030(a)(4) pune o acesso consciente a um computador protegido sem autorização, ou o excesso do acesso autorizado, com intenção de fraudar e, assim, obter algo de valor.
Shakeeb Ahmed se declarou culpado por um crime de fraude computacional em dezembro de 2023, no que os promotores consideraram a primeira condenação por invasão de contrato inteligente.
Em 12 de abril de 2024, Ahmed foi condenado a três anos de prisão, ao perdimento de cerca de 12,3 milhões de dólares e ao pagamento de mais de 5 milhões de dólares em restituição.
Em fevereiro de 2025, promotores do Distrito Leste de Nova York acusaram Andean Medjedovic de fraude eletrônica, invasão de computadores, tentativa de extorsão e lavagem de dinheiro relacionados a cerca de 65 milhões de dólares roubados da KyberSwap e da Indexed Finance.
O 18 U.S.C. §1030(g) permite que uma pessoa que sofra danos ou perdas qualificadas em decorrência de uma violação processe para obter indenização por danos e medida cautelar.
Em 26 de fevereiro de 2025, o FBI atribuiu o roubo de cerca de 1,5 bilhão de dólares da corretora Bybit a atores norte-coreanos que chama de “TraderTraitor”.

Exercício nove, seis, três, um

9ReunirListe até 9 coisas que alguém poderia dizer para justificar ter retirado fundos por meio de um bug em contrato inteligente (algumas listas são mais curtas), como “o código permitiu”, “foi arbitragem” ou “eu pretendia devolver”.

6AgruparClassifique-os em 6 categorias: argumentos sobre autorização, sobre engano, sobre intenção de devolução, sobre equidade no mercado, sobre quem era a vítima e argumentos que são apenas desculpas.

3DestilarReduza as 6 categorias para 3 grupos: argumentos que os tribunais levaram a sério, argumentos rejeitados pelos promotores e argumentos ainda em análise.

1CristalizarEscreva 1 frase explicando, com suas próprias palavras, por que o fato de um contrato inteligente permitir uma transação não resolve se ela foi lícita.

Verificação de fatos

Datas, números e afirmações verificados com as fontes publicadas listadas abaixo.

Abrir na academia interativa →

EN ES ZH JA KO RU DE FR MS