Restrições no Nubank e no Mercado Pago mostram como falhas em fornecedores podem impedir a movimentação de ativos e reabrem discussão sobre autocustódia
A suspensão de saques e depósitos de criptomoedas no Nubank e as restrições às transferências no Mercado Pago nesta sexta-feira, 6 de novembro, colocaram em evidência um risco que vai além da escolha da instituição onde investir. As duas empresas atribuíram as interrupções a problemas em fornecedores externos. A compra e a venda em reais continuavam funcionando.
Para Cauê Oliveira, diretor de Research da Formadores de Mercado, onde integra o comitê de estratégia e lidera pesquisas em liquidez global, macroeconomia e análise de transações em blockchain, o episódio revela uma dependência pouco visível para o cliente. “Até o momento, não há evidência de que o Nubank tenha sido invadido. O que o episódio mostra é que quem mantém criptoativos dentro de uma instituição financeira depende de uma cadeia de fornecedores que, na maioria das vezes, o próprio cliente desconhece”, afirma.
No Nubank, o aviso aos usuários apontou uma falha em um provedor externo de verificação de transações. A instituição informou que a ocorrência não estava em sua infraestrutura e que os ativos e informações dos clientes permaneceram protegidos. No Mercado Pago, um incidente em um fornecedor de monitoramento de risco e prevenção à lavagem de dinheiro levou ao bloqueio preventivo de parte dos envios para carteiras externas e ao aviso de possíveis atrasos no crédito de depósitos.
Não há confirmação de que as duas instituições utilizem o mesmo fornecedor. Também não há confirmação de ataque ao Nubank, perda de ativos ou vazamento de dados de seus clientes. Até a elaboração da nota da Formadores de Mercado, não havia prazo divulgado para a retomada das operações.
A interrupção ajuda a distinguir duas situações que podem parecer iguais para quem acompanha o saldo pelo aplicativo. O investimento pode continuar disponível para negociação dentro da plataforma enquanto a transferência da criptomoeda para uma carteira externa permanece suspensa.
Por trás dessa movimentação, há serviços responsáveis por verificar se o endereço que envia ou recebe os recursos tem ligação com golpes, roubos ou sanções. A indisponibilidade dessa análise compromete uma etapa dos controles de prevenção à lavagem de dinheiro.
“Bancos digitais que oferecem cripto raramente operam sozinhos toda a cadeia: custódia, liquidez e verificação de endereços costumam envolver parceiros diferentes. Quando um elo falha, a resposta responsável é interromper as transferências até recuperar a capacidade de verificação”, explica Oliveira.
Para o especialista, avaliar a segurança de um investimento em criptoativos exige olhar também para essa estrutura. “Segurança em cripto vai muito além de proteger a chave privada. Envolve pessoas, processos, integrações e terceiros. A resiliência de um fornecedor crítico precisa ter a mesma prioridade que a guarda dos ativos”, afirma.
O episódio também abre espaço para discutir a distribuição da custódia conforme a finalidade dos recursos. A conveniência de manter valores disponíveis para negociação pode ser considerada junto à possibilidade de guardar parte dos ativos em uma carteira controlada pelo próprio investidor.
“A autocustódia está longe de ser um gesto de desconfiança contra bancos. É uma forma de distribuir risco: a parte que o investidor negocia pode ficar onde é mais conveniente, e a parte de longo prazo fica sob controle exclusivo dele”, diz Oliveira.
Essa escolha exige preparo. Entre os cuidados apresentados pelo especialista estão entender o funcionamento da frase de recuperação, mantê-la fora de dispositivos conectados à internet, aprender a restaurar a carteira e conferir o endereço antes de enviar recursos. A orientação é realizar uma primeira transferência com valor pequeno antes de movimentar o restante.
“Hoje, qualquer pessoa consegue guardar bitcoin por conta própria com uma carteira de hardware de custo acessível. O que separa quem faz isso com segurança de quem perde ativos é conhecimento: entender a frase de recuperação, fazer backup corretamente e conferir um endereço antes de enviar”, afirma.
Durante a suspensão, a recomendação é acompanhar os canais oficiais e evitar novos envios para endereços com recebimento indisponível. A frase de recuperação nunca deve ser compartilhada com quem se apresenta como suporte, nem digitada em sites recebidos por mensagem.
“Situações como essa costumam ser exploradas rapidamente por golpistas. Nenhuma instituição vai oferecer a liberação de saques por mensagem, ligação ou perfil de suporte em rede social. Qualquer abordagem desse tipo deve ser tratada como tentativa de fraude”, alerta Oliveira.