"As plataformas destinadas às transações de criptomoedas respondem objetivamente por transação fraudulenta quando verificado que a transferência de bitcoins ocorreu mediante utilização de login, senha e autenticação de dois fatores" (REsp 2.104.122)

 

Processo

REsp 2.104.122-MG, Rel. Ministra Maria Isabel Gallotti, Quarta Turma, por unanimidade, julgado em 20/5/2025, DJEN 28/5/2025.

Ramo do Direito

DIREITO DO CONSUMIDOR, DIREITO PROCESSUAL CIVIL

Tema

Bitcoins. Transferência indevida. Indenização. Uso de autenticação em dois fatores. Responsabilidade civil da plataforma de investimento em criptomoedas. Configuração.

Destaque

As plataformas destinadas às transações de criptomoedas respondem objetivamente por transação fraudulenta quando verificado que a transferência de bitcoins ocorreu mediante utilização de login, senha e autenticação de dois fatores.

Informações do Inteiro Teor

A controvérsia tem origem na ação de indenização ajuizada contra plataforma de investimentos em criptomoedas visando ao ressarcimento de valores por conta de transferência indevida de bitcoins e ao pagamento de indenização por danos morais, alegando-se falha no sistema de segurança da ré.

Entendeu o Tribunal de origem que (i) o desaparecimento dos bitcoins decorreu de culpa exclusiva do recorrente e de terceiros (hackers) e (ii) que a plataforma não teria apresentado falhas no seu sistema de segurança, sendo que o autor, ao negligenciar a proteção de seus dados pessoais, é que teria contribuído involuntariamente para a ocorrência da fraude.

Nesse contexto, note-se que o Superior Tribunal de Justiça entende que "as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias" (Súmula 479 do STJ).

Portanto, a corretora de intermediação de compra e venda de criptomoedas é instituição financeira, constando, inclusive, da lista de instituições autorizadas, reguladas e supervisionadas pelo Banco Central do Brasil - BACEN (Lei n. 4.595/1964, art. 17).

Em se tratando de instituição financeira, em caso de fraude no âmbito de suas operações, a sua responsabilidade é objetiva, só podendo ser afastada se demonstrada causa excludente da referida responsabilidade, como culpa exclusiva da vítima ou de terceiro, nos termos do art. 14, § 3º, II, do Código de Defesa do Consumidor - CDC.

No caso, as operações na plataforma se dão por meio "de login, senha, número PIN e acesso a link de confirmação enviado por e-mail", sendo que as transações somente são concluídas "caso o cliente confirme, no e-mail recebido, que realmente está ciente e de acordo com a transação, acessando o link correspondente".

Note-se que, diante da forma como se dão as transações de bitcoins na plataforma, para afastar a responsabilidade da empresa pela transferência contestada, ela deveria demonstrar que o seu cliente atuou de maneira indevida em toda a cadeia necessária para conclusão da operação, ou seja, deveria demonstrar que ele fez login e inseriu senha e seu código PIN para transferir os bitcoins e, também, que confirmou esta específica operação por meio de link enviado pela recorrida por e-mail.

Na hipótese, a corretora não apresentou o e-mail de confirmação da transação, sendo que esta prova era indispensável para afastar a sua responsabilidade pelo desaparecimento das criptomoedas.

Ainda que se admitisse, contudo, que houve invasão por terceiros (hackers), não se trataria de fortuito externo apto a ensejar a exclusão de responsabilidade da instituição financeira.

Com efeito, se a plataforma não tem segurança adequada para combater ataques cibernéticos, a responsabilidade por isso é dela, e não dos seus clientes, usuários da plataforma.

Por fim, cabe destacar que, embora a jurisprudência do STJ afaste a responsabilização de instituições financeiras por saques indevidos, na hipótese de uso de cartão magnético e senha pessoal, no caso, diante da dinâmica da operação envolvendo bitcoins, que nem sequer envolve cartão, mas dupla autenticação, esse entendimento não se aplica.

Destarte, constatada a violação ao art. 14, § 3º, II, do Código de Defesa do Consumidor, além do art. 373, caput, II e § 1º, do Código de Processo Civil, deve ser reconhecida a responsabilidade da corretora/plataforma pela transferência indevida de bitcoins no presente caso.