Responsabilidade objetiva de plataformas de criptomoedas por fraudes sem autenticação em dois fatores

Plataformas de investimento em criptomoedas respondem por transações fraudulentas realizadas por terceiros, quando a transferência de valores ocorre mediante simples login, sem a devida autenticação em dois fatores.

A controvérsia tem origem na ação de indenização ajuizada contra plataforma de investimentos em criptomoedas visando ao ressarcimento de valores por conta de transferência indevida de bitcoins e ao pagamento de indenização por danos morais, alegando-se falha no sistema de segurança da ré. Entendeu o Tribunal de origem que (i) o desaparecimento dos bitcoins decorreu de culpa exclusiva do recorrente e de terceiros ( hackers ) e (ii) que a plataforma não teria apresentado falhas no seu sistema de segurança, sendo que o autor, ao negligenciar a proteção de seus dados pessoais, é que teria contribuído involuntariamente para a ocorrência da fraude. Nesse contexto, note-se que o Superior Tribunal de Justiça entende que "as instituições financeiras respondem objetivamente pelos danos gerados por fortuito interno relativo a fraudes e delitos praticados por terceiros no âmbito de operações bancárias" (Súmula 479 do STJ). Portanto, a corretora de intermediação de compra e venda de criptomoedas é instituição financeira, constando, inclusive, da lista de instituições autorizadas, reguladas e supervisionadas pelo Banco Central do Brasil - BACEN (Lei n. 4.595/1964, art. 17). Em se tratando de instituição financeira, em caso de fraude no âmbito de suas operações, a sua responsabilidade é objetiva, só podendo ser afastada se demonstrada causa excludente da referida responsabilidade, como culpa exclusiva da vítima ou de terceiro, nos termos do art. 14, § 3º, II, do Código de Defesa do Consumidor - CDC. No caso, as operações na plataforma se dão por meio "de login, senha, número PIN e acesso a link de confirmação enviado por e-mail", sendo que as transações somente são concluídas "caso o cliente confirme, no e-mail recebido, que realmente está ciente e de acordo com a transação, acessando o link correspondente". Note-se que, diante da forma como se dão as transações de bitcoins na plataforma, para afastar a responsabilidade da empresa pela transferência contestada, ela deveria demonstrar que o seu cliente atuou de maneira indevida em toda a cadeia necessária para conclusão da operação, ou seja, deveria demonstrar que ele fez login e inseriu senha e seu código PIN para transferir os bitcoins e, também, que confirmou esta específica operação por meio de link enviado pela recorrida por e-mail. Na hipótese, a corretora não apresentou o e-mail de confirmação da transação, sendo que esta prova era indispensável para afastar a sua responsabilidade pelo desaparecimento das criptomoedas. Ainda que se admitisse, contudo, que houve invasão por terceiros ( hackers ), não se trataria de fortuito externo apto a ensejar a exclusão de responsabilidade da instituição financeira. Com efeito, se a plataforma não tem segurança adequada para combater ataques cibernéticos, a responsabilidade por isso é dela, e não dos seus clientes, usuários da plataforma. Por fim, cabe destacar que, embora a jurisprudência do STJ afaste a responsabilização de instituições financeiras por saques indevidos, na hipótese de uso de cartão magnético e senha pessoal, no caso, diante da dinâmica da operação envolvendo bitcoins , que nem sequer envolve cartão, mas dupla autenticação, esse entendimento não se aplica. Destarte, constatada a violação ao art. 14, § 3º, II, do Código de Defesa do Consumidor, além do art. 373, caput , II e § 1º, do Código de Processo Civil, deve ser reconhecida a responsabilidade da corretora/plataforma pela transferência indevida de bitcoins no presente caso.