De onde vem a criptomoeda «suja» e como ela chega às pessoas comuns

Cripto suja é a criptomoeda cujo histórico tem ligação com endereços associados a atividade criminosa. Pode acabar com ela quem não fez nada de errado: basta vender USDT a um desconhecido em uma plataforma P2P ou aceitar um pagamento por trabalho. Segundo a Chainalysis, em 2025 os endereços ilícitos receberam pelo menos 154 bilhões de dólares, 162% a mais do que um ano antes, enquanto a parcela ilícita de todo o volume permanece abaixo de 1%. Esse dinheiro não fica parado: ele circula e mais cedo ou mais tarde chega ao mercado de varejo.

O que de fato torna uma moeda «suja»

Um blockchain não tem campo de origem. O que existe é um histórico público de transferências, bases de endereços ligados a crimes e serviços específicos, e algoritmos que unem as duas coisas.

A exposição pode ser direta ou indireta. Direta quando a transferência chegou diretamente de um endereço marcado. Indireta quando entre você e esse endereço existem várias transferências intermediárias. Uma analogia com dinheiro em espécie: uma nota manchada de tinta de um assalto chega ao caixa, que a mistura com o movimento do dia e a devolve como troco ao cliente seguinte. A diferença é que no dinheiro em espécie ninguém reconstrói a cadeia, e em um blockchain ela é visível para qualquer um que tenha a ferramenta.

Há ainda outro ponto: o histórico é escrito retroativamente. A Chainalysis publicou para 2024 uma estimativa de 40.9 bilhões de dólares e, um ano depois, recalculou para 57.2 bilhões, simplesmente porque nesse intervalo novos endereços ilícitos foram identificados e sua atividade passada entrou nas estatísticas. Para o dono de uma carteira isso significa que um endereço limpo no momento da negociação pode receber uma etiqueta depois, quando uma investigação chegar à contraparte.

Há ainda outro ponto: o histórico é escrito retroativamente. A Chainalysis publicou para 2024 uma estimativa de 40.9 bilhões de dólares e, um ano depois, recalculou para 57.2 bilhões, simplesmente porque nesse intervalo novos endereços ilícitos foram identificados e sua atividade passada entrou nas estatísticas. Para o dono de uma carteira isso significa que um endereço limpo no momento da negociação pode receber uma etiqueta depois, quando uma investigação chegar à contraparte.

Quem produz as moedas sujas

Abaixo estão as principais fontes, com números de 2025. Cada uma delas ganhará seu próprio artigo mais adiante.

Invasões de corretoras, pontes e carteiras. Hackers ligados à Coreia do Norte roubaram 2 bilhões de dólares no ano, o período mais produtivo deles em valor. O maior episódio foi o ataque de fevereiro à Bybit, de quase 1.5 bilhão de dólares, o maior roubo da história do setor.

Centrais de golpe e fraude de investimento. O FinCEN ligou quase 13 bilhões de dólares a golpes cripto operados por centrais de golpe no exterior. É uma indústria com pessoal contratado: a Elliptic descreveu o complexo #8 Park no Camboja, preparado para 20,000 trabalhadores, boa parte deles mantida ali à força.

Ransomware. Os resgates pagos somaram $820M, 8% menos do que em 2024, ainda que o número de vítimas declaradas tenha crescido cerca de 50%. Já o pagamento mediano subiu quase cinco vezes, para cerca de $60K: os atacantes agem menos vezes, mas miram alvos maiores.

Entidades sancionadas. Foram elas que puxaram a maior parte do aumento: o valor recebido por endereços sancionados cresceu 694% no ano. Um capítulo à parte é o token A7A5, lastreado no rublo, que movimentou mais de 93.3 bilhões de dólares em menos de um ano. Carteiras de redes proxy iranianas citadas em designações de sanções receberam mais de 2 bilhões de dólares.

Mercados da darknet. A fonte clássica: venda de bens e serviços proibidos por cripto, com a receita se dispersando em valores pequenos por casas de câmbio e P2P.

Redes profissionais de lavagem. O volume de lavagem on-chain passou de cerca de 10 bilhões de dólares em 2020 para mais de 82 bilhões em 2025. Um quinto desse mercado está com as redes de língua chinesa (CMLN): 16.1 bilhões de dólares no ano, cerca de $44M por dia, mais de 1,799 carteiras ativas. As entradas nessas redes cresceram 7,325 vezes mais rápido do que as das corretoras centralizadas, porque uma corretora consegue congelar recursos e um serviço ilícito não.

Mercados de garantia em mensageiros. Plataformas onde vendedores oferecem lavagem, dados de vítimas e infraestrutura para golpes, e onde a própria plataforma atua como garantidora da negociação. A maior foi a Huione Guarantee: segundo a Elliptic, mais de 31 bilhões de dólares em transações recebidas e cerca de 134 bilhões junto com o braço de pagamentos Huione Pay. Para comparar: a Silk Road processou cerca de $216M e a AlphaBay cerca de 1 bilhão de dólares.

Misturadores. Categoria à parte: não são fonte de dinheiro criminoso, e sim uma etapa de processamento. Depois de um misturador a cadeia para dentro do pool não pode ser rastreada, então a origem dos recursos é considerada não verificável e a pontuação vai ao máximo.

Misturadores de cripto: como são construídos e o que significa seu rastro no histórico de uma carteira9 de mar. de 2026Leia mais

Por que isso é principalmente uma história de USDT

As stablecoins concentram 84% de todo o volume ilícito de transações. Os criminosos têm as mesmas razões que os demais: transferência transfronteiriça rápida, ausência de saltos de preço, aceitação em toda parte. A conclusão prática para uma pessoa física é simples: o risco de encontrar moedas marcadas em uma negociação do dia a dia é antes de tudo um risco de USDT nas redes TRON e Ethereum, não de tokens exóticos.

Como essas moedas chegam a uma carteira comum

Entre o crime e o comprador de varejo há vários elos. Estes são os canais pelos quais as moedas saem para as pessoas.

• Uma negociação P2P. O vendedor recebe USDT de um comprador que as adquiriu algumas horas antes de um laranja. Formalmente a negociação passou por uma plataforma com avaliações e custódia, mas as moedas vieram de uma cadeia de lavagem.
• Casas de câmbio sem KYC e serviços duvidosos. Ali a liquidez é misturada: recursos de clientes e de lavadores ficam no mesmo pool e ninguém verifica a origem.
• Compra de mão em mão e OTC com desconto. O desconto em relação à cotação não é generosidade do vendedor, é o preço do histórico das moedas.
• Pagamento por um produto ou trabalho. Um freelancer, um vendedor de equipamentos ou um locador aceita uma transferência de um pagador que vê pela primeira vez.
• Pagamentos de uma «plataforma de investimento». Os primeiros pagamentos à vítima de um golpe saem do dinheiro de outras vítimas. A pessoa não recebe lucro, e sim recursos roubados de terceiros.
• Caixas eletrônicos de cripto e pequenas casas de troco. O dinheiro em espécie vira cripto com verificação mínima, o que torna esses pontos convenientes também para os laranjas.

Por que o histórico não é apagado ao mover os recursos para outra carteira

O equívoco mais comum é «passo por cinco carteiras e a ligação se perde». A análise não trabalha com endereços isolados, e sim com clusters: se vários endereços são controlados pelo mesmo dono, o padrão de gastos revela isso e todos são agrupados em uma única entidade. Uma transferência para si mesmo não rompe a cadeia, ela a alonga.

O risco de fato se atenua com a distância. Receber diretamente de um endereço marcado é a categoria máxima. Cinco transferências e uma parcela pequena do valor total dão uma categoria moderada. Mas isso nunca chega a zero, e a ligação continua aparecendo no relatório. Daí o segundo equívoco, espelhado: «a moeda está suja para sempre». Para sempre fica o histórico; o peso da ligação cai com o tempo e com o número de elos intermediários.

O percurso: de uma central de golpe a um comprador P2P

Vamos juntar os elos em uma única cadeia, reconstruída a partir de material público sobre como operam as centrais de golpe e os mercados de garantia.

1. 1. A vítima transfere USDT para a carteira de uma plataforma de investimento falsa. Segundo o FinCEN, só nessa tipologia foram registrados quase 13 bilhões de dólares.
2. 2. Os recursos vão para um lavador profissional. As CMLN lavam de forma consistente mais de 10% do dinheiro roubado em esquemas de pig butchering: os operadores as preferem às corretoras, porque uma corretora pode congelar a conta.
3. 3. O lavador fraciona o valor por uma rede de carteiras e contas de terceiros. A velocidade dessa infraestrutura é reveladora: um dos tipos de serviço dentro das redes de língua chinesa alcançou 1 bilhão de dólares de volume em 236 dias.
4. 4. Uma parte sai para dinheiro em espécie e aplicativos de pagamento locais, outra volta para cripto já com um histórico de aparência «neutra» a vários saltos de distância.
5. 5. Essas moedas chegam a uma plataforma P2P ou a uma casa de câmbio sem KYC, e são compradas por uma pessoa comum que está a quatro ou cinco transferências do crime original.

Um ponto essencial: fechar uma plataforma não interrompe a cadeia. A Huione Guarantee foi tirada do ar em 13 de maio de 2025 e a atividade migrou para a Tudou Guarantee, que encerrou em janeiro de 2026 depois de processar mais de 12 bilhões de dólares. A liderança passou à Xinbi Guarantee, com mais de 24 bilhões de dólares em transações recebidas, e a Elliptic acompanha mais de 30 mercados ativos no total. A infraestrutura não desaparece, ela migra.

O que acontece quando essas moedas chegam a uma corretora

O problema aparece no depósito. A corretora analisa a transferência recebida e, se a pontuação for alta, retém os recursos, pede comprovação da origem ou encerra a conta. A OKX, por exemplo, endureceu a verificação de depósitos vindos de endereços de alto risco: retenção de 15 dias ou mais e possível bloqueio da conta.

Há ainda um segundo nível, o emissor. A Tether congela endereços no nível do contrato inteligente: a unidade T3 Financial Crime Unit, criada junto com a TRON, já congelou mais de $450M. Um congelamento assim não é revertido nem pela plataforma nem por um serviço de verificação.

Como evitar aceitar essas moedas

Se as moedas já chegaram e a verificação apontou risco, não as envie imediatamente para uma corretora: o depósito vai registrar a ligação. Reúna as provas da negociação e procure o suporte da plataforma com a qual você operou.