Ataques físicos: como se proteger se você tem cripto

Em fevereiro de 2009, o quadrinho online xkcd desenhou duas versões de um ataque a um notebook criptografado. Na que o dono imagina, os atacantes desistem diante da criptografia. Na que “aconteceria de verdade”, eles batem nele com uma chave inglesa de 5 dólares até ele dizer a senha. O nome pegou: um ataque de chave inglesa, ou wrench attack, obtém o segredo pela força em vez de quebrar o código.

Cripto serve bem a esse tipo de ladrão. Pode ser enviada para qualquer lugar a partir de um celular em minutos, uma transferência não pode ser desfeita, e na maioria das carteiras uma única chave movimenta tudo, então a pessoa que a tem é tudo de que um ladrão precisa.

Com que frequência acontece

Ninguém tem uma contagem completa: muitos ataques nunca são denunciados, e cada contagem é feita de um jeito. Todas apontam na mesma direção.

• Uma lista pública mantida no GitHub, montada a partir de relatos públicos de ataques físicos contra pessoas e empresas que têm cripto, registra 69 em 2023, 104 em 2024 e 167 em 2025, e 133 em 2026 até 22 de outubro. Ela continua crescendo depois dos fatos: em janeiro de 2026, mostrava cerca de 70 para 2025.
• A CertiK, uma empresa de segurança que conta só os ataques que conseguiu verificar, encontrou 72 em 2025, 75% a mais que em 2024, e mais de 40,9 milhões de dólares levados, um número que, segundo ela, subestima as perdas. Mais de 40% foram na Europa, e a França teve mais do que qualquer outro país, incluindo os Estados Unidos.
• A promotoria francesa contra o crime organizado contou cerca de 20 sequestros e cárceres privados ligados a cripto na França em 2024, 67 em 2025 e mais de 70 nos oito primeiros meses de 2026. Para a França em 2025, a lista pública, que depende do que chega à imprensa, tem 25.

O que aconteceu na França

• Janeiro de 2025. Um cofundador de uma empresa de carteiras de hardware e a companheira dele foram levados de casa, no centro da França. Os sequestradores cortaram um dos dedos dele e mandaram um vídeo disso a outro cofundador, com um pedido de resgate. Cerca de 230 policiais e gendarmes o libertaram no dia seguinte, e a companheira foi encontrada amarrada num carro. Parte do resgate tinha sido paga em cripto; a maior parte foi apreendida e congelada. Dez pessoas foram presas em poucos dias.
• Maio de 2025. Em Paris, em plena luz do dia, quatro homens mascarados empurraram para dentro de uma van de entregas o pai de um homem que tinha feito fortuna com cripto. Cortaram um dos dedos dele e exigiram milhões de euros do filho. A polícia o libertou dois dias depois, e seis pessoas foram acusadas.
• Menos de duas semanas depois, homens mascarados tentaram arrastar para dentro de uma van, numa rua de Paris, a filha do diretor de uma corretora de cripto francesa e o filho dela. Ela e o marido se agarraram um ao outro, e um comerciante armado com um extintor de incêndio ajudou a afastar os atacantes. Em junho, 25 pessoas tinham sido acusadas pelas tentativas daquela primavera europeia, seis delas menores de idade; os suspeitos da tentativa de Paris tinham de 16 a 23 anos.

O governo então ofereceu a empresários de cripto e às suas famílias orientações de segurança dadas por unidades de elite da polícia, acesso prioritário aos serviços de emergência e vistorias da segurança das suas casas. Os ataques continuaram: a contagem da promotoria para os oito primeiros meses de 2026 já tinha passado a de todo o ano de 2025, e mais de 90 pessoas tinham sido acusadas só nos casos dela.

Quem vira alvo

Não só os ricos ou os conhecidos. Os atacantes vão atrás de quem eles acreditam ter cripto, e de quem está perto dessa pessoa.

• Parentes. Dois dos três ataques acima foram contra o pai, a mãe ou um filho de quem tinha o dinheiro.
• Gente que não tem cripto nenhuma. Em junho e julho de 2026, três grupos foram, um depois do outro, atrás de um casal jovem no Somme, no norte da França. O primeiro desistiu por causa dos cachorros, o segundo amarrou um dos dois e espancou o outro, e o terceiro fugiu quando disparou o alarme que eles tinham instalado nesse meio-tempo. Eles não tinham cripto. Segundo o advogado do casal, a declaração de impostos dos antigos donos da casa, aposentados que tinham, tinha vazado na internet junto com o endereço. Em agosto, um tribunal de Amiens condenou dois homens do terceiro grupo, de 20 e 21 anos, a três anos e a 18 meses, com metade de cada pena suspensa. O casal quer vender a casa.
• Quem aparece numa dica. Em janeiro de 2026, em Scottsdale, no Arizona, dois estudantes do ensino médio de 16 e 17 anos, vestidos de entregadores, entraram à força numa casa, amarraram um casal com fita adesiva e o espancaram, exigindo cripto: 66 milhões de dólares, segundo um promotor. Pessoas que eles só conheciam por apelidos num app de mensagens tinham passado a eles o endereço e 1.000 dólares para comprar o material. Quando uma das vítimas disse que não tinha cripto, a agressão teria piorado; uma delas contou depois ao tribunal que sofreu uma concussão e uma costela quebrada. Um filho adulto, em outra parte da casa, chamou a polícia, e os dois estudantes foram acusados de sequestro e agressão, e serão julgados como adultos.

Quem aparece na porta muitas vezes é um jovem recrutado pela internet por alguém que não se expõe: um dos condenados no Somme tinha sido recrutado pelo Telegram para abrir a porta, e o outro recebeu 300 euros para dirigir.

Como os atacantes encontram os alvos

Um ataque precisa de duas informações: que você tem cripto, e onde encontrar você. As duas vazam de jeitos comuns.

• Registros de clientes. As empresas que vendem um dispositivo para você ou guardam a sua conta sabem o seu nome e geralmente o seu endereço, e os registros delas vazam. Fabricantes de carteiras de hardware e as empresas com quem eles trabalham vazaram nomes e endereços residenciais de compradores de novo e de novo, como mostra o guia sobre carteiras de hardware, multiassinatura e custódia compartilhada; depois de um desses vazamentos, em 2020, um cliente relatou um telefonema de alguém que tinha os seus dados e ameaçou ir até a casa dele e sequestrá-lo. Em maio de 2025, uma grande corretora dos Estados Unidos revelou que criminosos tinham pagado membros da sua equipe de atendimento fora dos Estados Unidos para copiar registros de clientes, com nomes, endereços, imagens de documentos e saldos. Em janeiro de 2026, hackers levaram os endereços de e-mail de clientes da Waltio, um serviço francês de declaração de impostos sobre cripto, com os ganhos e as perdas das suas declarações de 2024: 50.000 clientes, segundo o Le Parisien. Naquele mês, autoridades francesas alertaram que pessoas se passando por policiais, por equipes antifraude de bancos e por empresas de cripto estavam contatando quem teve os dados vazados, atrás das suas palavras de recuperação e dos seus dispositivos, e que sequestros continuavam sendo denunciados.
• O e-mail, e a rua. Antes do ataque em Durham descrito abaixo, o bando invadiu a conta de e-mail do casal e vigiou a casa por vários dias.
• O que as pessoas mostram. A polícia francesa resume o seu conselho numa frase: “a discrição é uma proteção”. A porta-voz dela desaconselhou publicar ganhos nas redes sociais, tirar prints de uma carteira e exibir um padrão de vida alto, que chama a atenção de criminosos. Um pesquisador de segurança entrevistado pelo The Block atribuiu muitos ataques à falta de privacidade, como a de pessoas “exibindo o patrimônio em grupos de conversa”, e aos vazamentos de dados das empresas.

Um ladrão na porta quer rapidez

Quem está na sua porta quer o dinheiro transferido antes que alguém perceba. Em abril de 2023, em Durham, na Carolina do Norte, dois homens armados amarraram um casal com abraçadeiras de plástico, agrediram os dois e obrigaram o marido a entrar na conta dele numa corretora dos Estados Unidos, e um cúmplice transferiu mais de 150.000 dólares a distância. Uma quarta transferência não passou: a corretora a recusou por ser suspeita. O líder do bando foi condenado em junho de 2024 a 47 anos de prisão. Segundo o Departamento de Justiça dos Estados Unidos, ele e os cúmplices tinham levado mais de 3,5 milhões de dólares de vítimas em vários estados, com invasões de casas e SIM swaps.

Essa transferência recusada é o ponto: a pergunta a fazer sobre cada lugar onde você guarda dinheiro é o que alguém poderia obrigar você a transferir de casa, em uma hora.

Onde está o dinheiro	O que alguém na sua porta pode obrigar você a transferir	O que pode atrasá-lo
Numa carteira no celular	Tudo o que está nela, em minutos	Nada, depois que o celular é desbloqueado
Numa conta numa corretora	O que a corretora deixa sair na hora	As verificações da corretora sobre saques fora do comum
Numa carteira de hardware, ou na frase-semente dela, em casa	Tudo	Nada
Numa carteira multiassinatura com todas as chaves em casa	Tudo: você pode ser obrigado a usar cada chave	Nada
Em chaves guardadas em lugares diferentes, ou com espera para valores altos	O que os seus limites deixam sair na hora	O tempo, e os outros detentores das chaves

O que ajuda

Fale menos

O conselho do Ministério do Interior da França a quem tem cripto começa por aí: guarde para si o que você tem e os endereços das suas carteiras, principalmente nas redes sociais; não fale das suas criptomoedas na vida pessoal; antes de compartilhar fotos e prints, confira se não aparecem um saldo, um nome de usuário ou um endereço de e-mail; e lembre que eventos de cripto e lugares públicos contam coisas sobre você a desconhecidos. Isso vale para as pessoas próximas, porque elas também são alvos.

Mantenha o seu endereço fora dos registros ligados a cripto

Você não consegue impedir que todas as empresas que conhecem você vazem dados, mas pode dar o seu endereço residencial a menos delas. Não receba em casa uma carteira de hardware, nem nada que indique cripto: use um ponto de retirada ou uma caixa postal, e um endereço de e-mail que você não use para mais nada. Trate qualquer ligação, mensagem ou visita sobre as suas criptomoedas de alguém que diz ser da polícia, da sua corretora ou de uma transportadora como golpe, até você conferir por um número que você mesmo encontrou. As autoridades francesas lembram que a polícia nunca liga para pedir informações confidenciais; o guia sobre golpes cripto mostra como essas abordagens funcionam.

Deixe no celular só o que você poderia entregar

Uma carteira no celular é para o dinheiro do dia a dia, o que você levaria em dinheiro vivo, porque é o que alguém pode obrigar você a transferir em minutos. Os conselhos suíços de prevenção contra roubo dizem o mesmo sobre dinheiro vivo: ande só com quantias pequenas. Especialistas em segurança entrevistados pelo The Block deram a versão cripto: mantenha as carteiras do dia a dia separadas das economias de longo prazo.

Ponha as economias atrás de mais de uma chave, ou de uma espera

O Ministério do Interior francês sugere dois caminhos: uma espera, para que os fundos só sejam liberados depois de um tempo definido, e uma carteira multiassinatura que várias pessoas de confiança desbloqueiam juntas. A polícia francesa também recomenda uma espera para valores altos. “Você não pode ter acesso direto aos fundos de longo prazo”, disse ao The Block um especialista em segurança, que propõe três chaves, das quais quaisquer duas assinam, e um bloqueio por tempo de 72 horas.

Em qualquer dos dois casos, só funciona se ninguém, nem você, conseguir movimentar o dinheiro na hora:

• Chaves guardadas juntas em casa não ajudam: quem chegar até você pode obrigar você a usar cada uma.
• Chaves nas mãos de outras pessoas também colocam essas pessoas na mira. As orientações francesas pedem à família de alguém sequestrado que diga à polícia quem mais tem uma chave, porque essas pessoas também podem virar alvo.
• A espera precisa cobrir todas as saídas. Um bloqueio por tempo num caminho não adianta nada se a sua própria chave ainda consegue movimentar tudo sozinha.

Para as economias, uma custódia compartilhada que passe no teste do guia sobre carteiras de hardware, multiassinatura e custódia compartilhada faz isso sem que você precise ter todas as chaves.

Combine um plano

O ministério francês também recomenda se preparar com antecedência para um roubo, uma extorsão ou um sequestro, incluindo como você chegaria ao seu dinheiro sob pressão. Combine com as pessoas próximas quem liga para quem, e garanta que alguém de confiança saiba quais carteiras e contas existem, sem os segredos, para poder dizer à polícia onde procurar.

Se acontecer

• A sua segurança vem primeiro. Não reaja. Valem os conselhos de prevenção para qualquer assalto: fique calmo, mantenha as mãos à vista, não faça movimentos bruscos e deixe claro que está fazendo o que mandam.
• Chame a polícia assim que for seguro, e imediatamente se alguém próximo estiver sendo mantido refém em troca de resgate. As orientações francesas pedem que você anote quais carteiras e contas estão envolvidas e, no caso de uma carteira multiassinatura, quem mais tem uma chave. Às vezes os pagamentos podem ser rastreados: no sequestro de janeiro de 2025, a maior parte do resgate pago em cripto foi apreendida e congelada.
• Depois, transfira o que sobrou para chaves novas: parta do princípio de que os atacantes conhecem as suas palavras e os seus endereços.

O que fazer

• Fale menos sobre o que você tem, na internet e fora dela, e peça às pessoas próximas que façam o mesmo.
• Mantenha o seu endereço residencial fora dos registros ligados a cripto: nada relacionado a cripto entregue em casa, e desconfiança de qualquer ligação sobre as suas criptomoedas que não tenha partido de você.
• Deixe no celular só o dinheiro do dia a dia, o que você poderia entregar.
• Guarde as economias onde ninguém consegue movimentá-las na hora, atrás de chaves em lugares diferentes, ou de uma espera que cubra todas as saídas.
• Combine um plano com a sua família antes de precisar.
• Se acontecer, entregue, e chame a polícia assim que puder fazer isso com segurança.