Segurança para On-Ramp e PSP Cripto: forense on-chain, contenção de drenagem de hot wallet e redesenho de custódia

O que torna um PSP cripto e um on/off-ramp um alvo de altíssimo valor

Um provedor de on/off-ramp é, por definição, uma máquina de conversão de valor: ele recebe reais via Pix, custodia esse valor por um instante e o transforma em cripto na blockchain — e faz o caminho inverso no off-ramp. Um PSP cripto generaliza isso, intermediando pagamentos de terceiros e liquidando entre fiat e tokens. Em ambos os casos, a plataforma concentra, num mesmo lugar, três coisas que normalmente vivem separadas no mercado financeiro tradicional: a identidade verificada dos usuários (KYC), o dinheiro em trânsito (custódia transitória) e o poder de movimentar valor de forma irreversível (chaves de assinatura on-chain).

Essa concentração é o que faz desses negócios um alvo desproporcional. No sistema bancário, um estorno é possível; uma transferência Pix tem mecanismos de devolução; um cartão tem chargeback. Na blockchain, uma transação confirmada é definitiva. O atacante que consegue assinar uma transação de saída de uma hot wallet não rouba um saldo contábil que pode ser revertido — ele move um ativo ao portador, de forma irreversível, em segundos, para um endereço sob seu controle. O custo do erro é assimétrico: a defesa precisa acertar todas as vezes, o atacante precisa acertar uma.

Além da irreversibilidade, há a transparência da blockchain. Endereços de hot wallet são, frequentemente, descobríveis: aparecem em conciliações, em integrações, em transações públicas. Um atacante paciente pode mapear a topologia de carteiras de um PSP — quente, morna, fria — apenas observando a cadeia, identificando padrões de varredura de depósitos e movimentos de tesouraria. Isso significa que o reconhecimento do alvo muitas vezes acontece on-chain, antes de qualquer pacote tocar a infraestrutura da empresa.

Anatomia das ameaças: fraude de conversão, drenagem de carteira, lavagem e account takeover

Fraude de conversão fiat-cripto e mule accounts

O on-ramp é o ponto onde dinheiro de origem questionável entra na economia cripto. O esquema clássico usa contas-laranja (mule accounts): identidades reais ou sintéticas que passam pelo KYC, recebem Pix de vítimas de golpe ou de operações fracionadas para ficar abaixo de limites de alerta, e imediatamente convertem para cripto, sacando para endereços externos. Para o PSP, o desafio não é apenas detectar a conta individual fraudulenta, mas reconhecer o padrão de rede: múltiplas contas com sinais de dispositivo, geolocalização, horário e comportamento de conversão correlacionados, alimentando os mesmos endereços de saída.

Drenagem de hot wallet de liquidez

A hot wallet é a carteira quente que mantém liquidez para liquidar conversões e saques em tempo real. Por necessidade operacional, ela precisa assinar transações automaticamente, sem intervenção humana a cada operação. É exatamente essa automação que a torna o alvo mais valioso e mais frágil. Se a chave privada — ou a capacidade de instruir o serviço de assinatura — for comprometida, o atacante drena toda a liquidez disponível. O comprometimento raramente é criptográfico; é operacional: chave em variável de ambiente, em arquivo de configuração versionado, em backup mal protegido, em memória de um processo invadido, ou no acesso de um operador legítimo cujas credenciais foram capturadas.

Lavagem e account takeover

O off-ramp é o ponto de saída — onde cripto vira fiat. Para um lavador, um PSP com controles fracos é uma lavanderia: fundos de origem ilícita entram via cripto, atravessam a plataforma e saem como Pix aparentemente limpo. A defesa exige triagem on-chain dos endereços de origem (exposição a misturadores, a endereços sancionados, a clusters de risco) integrada à análise de PLD/FT da saída fiat. Já o account takeover transforma um usuário legítimo, já verificado, em vetor: com a conta comprometida por phishing, credential stuffing, troca de SIM ou malware, o atacante herda o KYC aprovado e drena saldo ou usa a conta como ponte de lavagem. O bypass de KYC ataca a porta de entrada com documentos falsificados, deepfakes em liveness e reúso de identidades.

O ângulo central: drenagem de hot wallet por comprometimento de chave

O cenário mais temido por qualquer PSP cripto é o comprometimento da chave que controla a hot wallet de liquidez. Diferente de uma fraude pontual de usuário, que afeta um saldo, a drenagem da hot wallet ataca o coração do negócio: a tesouraria operacional. Quando ela acontece, três relógios disparam ao mesmo tempo — o relógio da blockchain (cada bloco confirmado é dinheiro perdido), o relógio regulatório (notificação à ANPD se houver dados pessoais, comunicação ao Banco Central) e o relógio reputacional (clientes percebendo saques travados).

A resposta da Decripte a esse cenário não é apenas técnica; é coreografada. Forense on-chain para entender o que foi assinado e para onde foi; isolamento imediato da chave comprometida e de tudo que ela podia tocar; rotação para uma nova topologia de custódia já com quórum; rastreio dos fundos drenados na cadeia para apoiar bloqueio em exchanges parceiras e ações legais; e, depois da poeira baixar, o redesenho da arquitetura de assinatura para que um único segredo nunca mais consiga, sozinho, esvaziar a tesouraria.

Como a Decripte enxerga a custódia de um PSP cripto

Custódia, para a Decripte, não é um produto que se compra — é uma arquitetura que se desenha em camadas, com pressupostos explícitos de falha. Partimos da premissa de que qualquer componente individual pode ser comprometido e perguntamos: o que acontece com a tesouraria se este servidor, esta chave, este operador ou esta dependência cair? A resposta correta para todas essas perguntas precisa ser 'a perda é limitada e contível', nunca 'a empresa quebra'.

Segregação fria, morna e quente

A maior parte da tesouraria deve viver em custódia fria — chaves geradas e guardadas offline, sem qualquer caminho de rede até elas, movimentadas apenas por processo deliberado e auditado. Uma camada morna mantém valor intermediário com quórum mais leve. A hot wallet quente carrega apenas o necessário para a operação corrente, com reabastecimento controlado a partir da camada morna. Assim, mesmo o pior caso — drenagem total da hot wallet — expõe um percentual pequeno e pré-definido do patrimônio.

Quórum: MPC e multisig

A movimentação de valor relevante nunca deveria depender de uma única assinatura. Com MPC (computação multipartidária), a própria chave privada nunca existe inteira em lugar nenhum: ela é fragmentada e a assinatura é produzida em conjunto por partes que não confiam umas nas outras. Com multisig on-chain, a transação só é válida com M de N assinaturas. Em ambos, comprometer um fragmento ou uma assinatura não basta para mover fundos.

Esses controles não nascem prontos no dia do incidente. Por isso o ponto de partida ideal é o diagnóstico gratuito em decripte.com.br/intelligence-center, que mapeia onde a sua custódia atual está exposta antes de qualquer atacante encontrar o mesmo gap.

A fronteira fiat: Pix, conciliação e antifraude de entrada

Para um on-ramp brasileiro, o Pix é a porta de entrada do dinheiro — e, portanto, a porta de entrada da fraude e da lavagem. A conta de liquidação que recebe os Pix dos usuários, a conciliação que casa cada pagamento com a ordem de conversão, e o motor antifraude que decide se aquela entrada é legítima formam um sistema crítico que precisa ser tratado com o mesmo rigor da custódia on-chain.

O Pentest da Decripte cobre justamente essa costura. Não basta testar a API pública: é preciso testar a lógica de negócio do fluxo de conversão. Existe uma condição de corrida entre a confirmação do Pix e a liberação da cripto? É possível forjar ou reusar um webhook de confirmação de pagamento? A conciliação aceita um valor parcial como total? Um atacante consegue manipular a taxa de câmbio no intervalo entre cotação e execução? São falhas de lógica que nenhum scanner automático encontra e que, num PSP, valem dinheiro real e imediato.

Do lado da lavagem, a fronteira fiat precisa estar integrada à inteligência on-chain. Um Pix de entrada acompanhado de um pedido imediato de saque para um endereço de alto risco é um sinal que só faz sentido quando os dois lados — fiat e cripto — são lidos juntos. O SOC 24x7 da Decripte é desenhado para correlacionar esses sinais em tempo real, em vez de deixá-los em silos que só se encontram no relatório do mês seguinte.

O SOC 24x7 com visão on-chain e antifraude

Um SOC tradicional vigia firewalls, endpoints e logs de aplicação. Um SOC para PSP cripto precisa de um sentido a mais: ele tem que enxergar a blockchain. Monitorar a hot wallet em tempo real, conhecer seus padrões normais de saída e disparar alerta no exato momento em que uma transação foge da política — endereço fora da allowlist, valor acima do limite, frequência anômala, destino exposto a clusters de risco.

Esse monitoramento on-chain se soma à telemetria clássica de segurança e ao motor antifraude de contas. A correlação entre as três visões é o que transforma alertas isolados em detecção real. Um servidor de assinatura com comportamento estranho, somado a uma saída on-chain anômala, somado a um login recente de um operador a partir de uma rede incomum, conta uma história que nenhum dos sinais conta sozinho.

A vantagem operacional do SOC é o tempo. Em drenagem de hot wallet, detectar a primeira transação anômala e disparar a contenção em minutos pode ser a diferença entre perder a liquidez quente e perder a empresa. Por isso o SOC está acoplado à equipe de Resposta a Incidentes, com SLA de contenção de até uma hora — e, no caso on-chain, com playbooks que agem em janelas ainda menores.

Identidade, KYC e a defesa contra account takeover

A fronteira de identidade é onde a confiança é estabelecida — e, portanto, onde ela é atacada. Do lado do cadastro, o bypass de KYC tenta criar identidades fraudulentas em escala: documentos adulterados, deepfakes contra a verificação de liveness, reúso de identidades reais vazadas. Do lado do uso, o account takeover sequestra contas já confiáveis.

A defesa que a Decripte recomenda e valida começa por MFA resistente a phishing — preferencialmente baseado em chaves criptográficas (padrão FIDO2/WebAuthn) em vez de códigos por SMS, que são vulneráveis a troca de SIM e a interceptação. Soma-se a isso a verificação de liveness robusta no KYC, a detecção de fingerprint de dispositivo, a análise comportamental e a janela de carência para ações sensíveis: trocar o endereço de saque e logo depois sacar o saldo máximo é um padrão que deveria, no mínimo, exigir reautenticação forte e impor atraso.

O bypass de KYC e as mule accounts exigem inteligência de rede: nenhuma verificação individual flagra um exército de contas-laranja, mas a correlação entre elas — dispositivos, redes, padrões de conversão, endereços de destino compartilhados — revela o cluster. É esse tipo de visão de grafo, ligando identidade a comportamento on-chain, que separa um antifraude de PSP cripto de um antifraude genérico.

Conformidade Bacen, PLD/FT e proteção de dados

Operar conversão entre fiat e cripto no Brasil insere o PSP num cenário regulatório em rápida consolidação. O Banco Central conduz a regulamentação das prestadoras de serviços de ativos virtuais sob o marco legal de ativos virtuais, e a prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FT) é exigência estrutural — conheça seu cliente, monitore operações, identifique e comunique o que for atípico. A segurança da informação não é um anexo dessa conformidade; é o que a torna verdadeira. Um controle de PLD que pode ser burlado por uma falha técnica não é um controle.

A Decripte trata conformidade como engenharia, não como papelada. O serviço de Conformidade alinha os controles técnicos às exigências aplicáveis — Bacen e PLD/FT para o fluxo financeiro, LGPD para os dados pessoais de KYC, e referências internacionais como ISO 27001 para a gestão de segurança da informação e PCI-DSS quando há dados de cartão envolvidos no funil de pagamento. O objetivo é que a empresa consiga demonstrar, com evidência técnica, que faz o que diz fazer.

Sob a LGPD, um vazamento dos dados de KYC — documentos, selfies, comprovantes — é um incidente de dados pessoais com potencial dever de comunicação à ANPD e aos titulares. Os mesmos arquivos que comprovam a identidade dos usuários são um dos ativos mais sensíveis do PSP. Protegê-los com cifragem, segregação de acesso e trilha de auditoria é, ao mesmo tempo, requisito de LGPD e de bom senso de segurança.

Pentest da plataforma: encontrar o gap antes do atacante

O Pentest da Decripte para um PSP cripto vai muito além do scan de superfície. Ele persegue a lógica do dinheiro. As perguntas que guiam o teste são: como eu, atacante, faço a plataforma assinar uma transação que ela não deveria? Como eu confirmo um Pix que não paguei? Como eu manipulo a cotação? Como eu escalo privilégios até o servidor de assinatura? Como eu transformo um usuário em vetor sem nunca ver a senha dele?

O resultado do Pentest não é um PDF de vulnerabilidades genéricas: é um conjunto de cenários de exploração demonstrados, priorizados pelo impacto financeiro real, com o caminho de correção. Para um PSP, é a forma mais barata de descobrir o que custaria a tesouraria inteira se fosse descoberto por outra pessoa.

Exemplo real descaracterizado: drenagem de hot wallet de um PSP cripto por comprometimento de chave

Como a Decripte responde a um incidente de drenagem ou fraude em um PSP cripto

A resposta a incidentes da Decripte para on/off-ramp e PSPs cripto é coreografada em torno da irreversibilidade on-chain: cada passo é desenhado para ganhar tempo contra a blockchain, conter a perda e preservar evidência. O SLA de contenção é de até uma hora, mas as ações on-chain operam em janelas de minutos.

1. Detecção e triagem: o SOC 24x7 identifica a anomalia — saída on-chain fora da política, comportamento atípico do servidor de assinatura, padrão de conversão suspeito ou sinal de account takeover — e classifica a severidade, acionando o time de Resposta a Incidentes imediatamente.
2. Contenção on-chain imediata: corte de conectividade do host comprometido, congelamento da liberação automática de saques, revogação do poder da chave suspeita de tocar a camada morna/fria e isolamento do serviço de assinatura, tudo dentro do SLA e, para a parte on-chain, em minutos.
3. Acionamento externo: sinalização dos endereços de destino a exchanges e parceiros para tentativa de bloqueio de cash-out, e abertura dos canais com autoridades e jurídico conforme a obrigação regulatória.
4. Forense on-chain: reconstrução exata do que foi assinado, de onde partiu e para onde foi; mapeamento do trajeto dos fundos pela cadeia até pontos de saída; e correlação com a evidência off-chain (logs, host, identidade do operador).
5. Erradicação da causa-raiz: identificação e remoção do vetor — segredo exposto, dependência maliciosa, host comprometido, operador sequestrado — e reconstrução do ambiente afetado a partir de base confiável, eliminando a chave única.
6. Recuperação controlada: retorno da operação já sob nova topologia de custódia (quórum, allowlist, limites, segregação) e reabastecimento da liquidez a partir da camada fria, com o SOC vigiando os novos endereços sob política reforçada.
7. Comunicação e conformidade: apoio à comunicação a ANPD e titulares quando há dados pessoais envolvidos, ao reporte regulatório aplicável (Bacen/PLD-FT) e à comunicação a clientes, com base na evidência forense.
8. Pós-incidente e endurecimento: relatório executivo e técnico com a causa-raiz, lições e o plano de estruturação que transforma o ponto único de falha em risco contível, alimentando o monitoramento contínuo.

Como a Decripte estrutura a segurança de um on/off-ramp ou PSP cripto

Responder bem a incidentes é necessário, mas o objetivo é não precisar. A Decripte estrutura a segurança do PSP em pilares que reduzem a probabilidade do incidente e limitam seu impacto quando ele ocorre. Tudo pode começar pelo diagnóstico gratuito em decripte.com.br/intelligence-center.

Planos recomendados para On/Off-ramp Cripto e PSPs Cripto

Perguntas frequentes

Termos do setor

On-ramp / Off-ramp

On-ramp é o caminho de entrada de fiat para cripto (ex.: Pix vira stablecoin); off-ramp é o inverso (cripto vira fiat). São os pontos onde dinheiro tradicional e blockchain se conectam — e onde fraude e lavagem concentram seus ataques.

Hot wallet

Carteira quente que mantém liquidez online para liquidar saques e conversões em tempo real, assinando transações de forma automatizada. Por isso é o alvo mais valioso e mais frágil de um PSP cripto, e deve carregar apenas o saldo mínimo necessário.

MPC (computação multipartidária)

Técnica em que a chave privada nunca existe inteira em um só lugar: é fragmentada entre partes que produzem a assinatura em conjunto. Comprometer um fragmento isolado não basta para mover fundos, eliminando o ponto único de falha da chave.

Multisig (M-de-N)

Esquema on-chain em que uma transação só é válida com um número mínimo de assinaturas (M) de um conjunto de chaves (N). Garante quórum para movimentação de valor, de modo que nenhuma assinatura isolada autorize a saída da tesouraria.

PLD/FT

Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo: conjunto de obrigações — conheça seu cliente, monitoramento de operações e comunicação de atipicidades — exigidas de instituições do sistema financeiro, incluindo prestadoras de serviços de ativos virtuais sob a regulação do Banco Central.

Account takeover (ATO)

Sequestro de uma conta legítima e já verificada — via phishing, credential stuffing, troca de SIM ou malware — herdando o KYC aprovado da vítima para drenar saldo ou usar a conta como ponte de lavagem. Mitigado por MFA resistente a phishing e janelas de carência em ações sensíveis.