O que é um Ataque SIM Swap? Como Detentores de Cripto são Hackeados

Um ataque SIM swap ocorre quando um criminoso consegue transferir o seu número de telefone para um cartão SIM sob o controle dele. Em 2024, foram registradas 982 reclamações de golpes de troca de SIM no Centro de Denúncias de Crimes na Internet (IC3) do FBI. Uma vez que o número é movido, suas chamadas e mensagens vão para o atacante, junto com todos os códigos de login por SMS e links de redefinição de senha.

A FCC adotou regras em novembro de 2023 exigindo que as operadoras móveis dos EUA verificassem a identidade de um cliente antes de mover um número para um novo SIM ou operadora. Em meados de outubro de 2026, 1.065 dias depois, as operadoras ainda não eram obrigadas a cumprir essas normas. Nenhuma data de conformidade havia aparecido no Federal Register, e o texto do eCFR de ambas as regras ainda indicava que a conformidade aguardaria tal publicação.

Como Funciona um Ataque SIM Swap?

Um ataque SIM swap funciona enganando ou subornando alguém na sua operadora. O aviso público de fevereiro de 2022 do FBI detalha as rotas utilizadas. Criminosos se passam pela vítima para conseguir a troca do número, subornam funcionários da operadora para fazer isso, ou aplicam phishing contra a equipe da operadora para instalar malware que executa as trocas.

Uma vez que a troca é efetivada, as chamadas e mensagens da vítima chegam ao telefone do criminoso. O criminoso então solicita redefinições de senha usando "Esqueci minha Senha" em contas de e-mail e financeiras, e os códigos de uso único chegam por mensagem de texto em um número que a vítima não controla mais.

A fraude de port-out chega ao mesmo lugar por uma porta diferente. O atacante abre uma conta em outra operadora em nome da vítima e transfere o número para lá, de modo que nenhuma troca de SIM acontece na operadora original da vítima.

O golpe de SIM swap começa muito antes da ligação para a operadora, com os dados pessoais que um atacante precisa para se passar por você. O exemplo da FINRA é informação que você posta nas redes sociais, coletada para convencer sua provedora de que quem liga é você.

Traders recebem o mesmo phishing que os funcionários das operadoras, através de e-mails falsos e sites de login copiados. A Phemex Academy aborda o que é phishing em cripto e como preveni-lo.

Por Que Golpistas de SIM Swap Visam Detentores de Cripto?

O alerta do FBI enquadrou o SIM swapping como uma forma de roubar de "contas fiduciárias e de moedas virtuais". A FINRA explica por que o número de telefone é a porta de entrada, já que números de celular "se tornaram uma chave para estabelecer a identidade do cliente" em logins financeiros. Um código de texto pode abrir uma conta, e um link de redefinição por texto abre a caixa de entrada do e-mail onde todas as outras redefinições chegam.

Uma transferência blockchain também não possui estorno (chargeback), então as moedas sacadas por um atacante desaparecem assim que a transação é confirmada.

Um SIM swap não alcança a chave privada em uma carteira de autocustódia, porque a chave reside na carteira e nunca no SIM. As chaves públicas vs privadas do Bitcoin explicam por que essa chave é a única capaz de movimentar moedas. O perigo está em uma cópia de uma chave ou frase-semente guardada no e-mail ou notas na nuvem, às quais um número sequestrado pode acessar através de uma redefinição de senha.

Quão Comum é o SIM Swapping?

O IC3 começou a contar ataques de SIM-swap como seu próprio tipo de crime em 2022, e seus relatórios anuais fornecem esta série histórica.

Na tabela de três anos do relatório anual de 2024 do IC3, as reclamações caíram 51,53% desde a base de 2.026 em 2022, e as perdas reportadas caíram 64,24% em relação aos $72,65 milhões.

Estas são reclamações que as pessoas escolheram registrar, o que as torna um piso mínimo. Um ataque que nunca chega ao IC3 não entra na contagem.

O alerta do FBI de 2022 forneceu números anteriores à existência dessa categoria específica. Contabilizou 320 reclamações entre 2018 e 2020 com cerca de $12 milhões em perdas ajustadas, seguidas por 1.611 reclamações em 2021 com mais de $68 milhões. Esses dados vêm de uma contagem separada e não compõem a série anual oficial.

Pessoas com 60 anos ou mais registraram 205 das 982 reclamações em 2024 e relataram $6,342 milhões em perdas, representando 24,41% do total daquele ano de $25,98 milhões.

As Operadoras dos EUA São Obrigadas a Impedir Trocas de SIM?

Não, até meados de outubro de 2026, embora a FCC tenha adotado regras contra sim swap e port-out fraud para operadoras móveis dos EUA em 15 de novembro de 2023. No papel, a regra publicada no Federal Register exige que as operadoras usem métodos seguros para confirmar a identidade do cliente antes de uma troca de SIM ou port-out, e notifiquem imediatamente os clientes quando qualquer um desses procedimentos for solicitado.

A isenção explica a lacuna temporal. Em 5 de julho de 2024, o Bureau de Concorrência de Linhas Fixas da FCC dispensou a conformidade "com as regras em sua totalidade" até que o OMB concluísse sua revisão e "a Comissão publicasse um aviso no Federal Register anunciando a data de conformidade". O OMB aprovou a coleta de informações sobre troca de SIM e sua contraparte de port-out em 15 de janeiro de 2025, deixando o aviso como o elo faltante.

Em meados de outubro de 2026, haviam passado 638 dias desde aquela aprovação, cerca de 21 meses. O texto do eCFR da regra de troca de SIM ainda afirmava que a conformidade "não será necessária até que este parágrafo seja removido ou contenha uma data de conformidade", e a regra de port-out carrega a mesma linha. Seis proteções de troca de SIM e quatro proteções de port-out permanecem como espaços reservados marcados como "[Reserved]".

Nenhum documento da FCC publicado no Federal Register a partir de 2024 define essa data, e a ordem de isenção cita o Federal Register como o local onde ela deve aparecer. A entrada da FCC na Agenda Unificada do governo, publicada em agosto de 2026, lista sua próxima ação como indeterminada.

Até que uma data de conformidade apareça, a proteção eficaz é aquela que você configura por conta própria.

O SIM Swapping é Ilegal?

Sim, e um caso federal de 2025 mostra como os promotores processam esse crime. Em 9 de janeiro de 2024, alguém assumiu o controle da conta da SEC na plataforma X e postou que a agência havia aprovado ETFs spot de bitcoin, o que não era verdade.

A SEC declarou em 22 de janeiro de 2024 que a parte não autorizada "obteve controle do número de celular da SEC associado à conta em um aparente ataque de 'sim swap'". A autenticação multifator estava desativada "por solicitação da equipe, em julho de 2023", permitindo que o controle do número possibilitasse ao atacante redefinir a senha da conta.

O Departamento de Justiça informou em maio de 2025 que um homem do Alabama recebeu pena de 14 meses de prisão por sua participação. Ele se declarou culpado de conspiração para cometer roubo agravado de identidade e fraude de dispositivo de acesso.

Para obter o número, ele usou uma impressora de cartões de identificação para criar um documento falso em nome de uma vítima e se passou por essa pessoa. Segundo o departamento, o bitcoin subiu mais de $1.000 logo após a postagem falsa e caiu mais de $2.000 após a correção.

Como Saber se Você Foi Vítima de um SIM Swap?

A perda de serviço no seu telefone geralmente é a primeira pista. A ordem de 2023 da FCC afirma que o telefone ficar "sem sinal ou permitir apenas chamadas para emergências" é tipicamente o primeiro sinal de que ocorreu uma fraude de troca de SIM ou port-out.

A FINRA lista outros sinais de alerta, começando por uma notificação informando que um novo dispositivo ou número foi ativado na sua conta quando você não adicionou nenhum. Logins que falham repentinamente e uma rajada de chamadas ou mensagens inesperadas pertencem à mesma lista.

Uma mensagem pedindo que você leia em voz alta um código ou uma frase-semente é um sinal de aviso por si só. O resumo do Phemex Safety Hub sobre quatro verificações de conta diz que a equipe da Phemex jamais solicitará seu código 2FA ou sua frase-semente.

Como Prevenir um Ataque SIM Swap

Quatro etapas impedem que o SIM swapping transforme um número roubado em uma conta esvaziada.

1. Remova o SMS dos seus logins, alterando a autenticação de dois fatores para um aplicativo autenticador ou uma chave de segurança de hardware sempre que uma conta permitir. O alerta do FBI recomenda "biometria, tokens físicos de segurança ou aplicativos de autenticação independentes". As diretrizes de identidade digital da NIST de julho de 2025 listam códigos enviados pela rede telefônica como seu "único autenticador restrito", utilizável apenas quando uma organização aceita o risco adicional.

2. Bloqueie o número na sua operadora com um PIN ou senha na sua conta móvel, conforme aconselhado pela FINRA, e peça um bloqueio de troca de SIM ou port-out se sua operadora oferecer. As regras da FCC exigiriam que as operadoras oferecessem esse bloqueio, mas até que uma data de conformidade chegue, pedir é tudo o que você pode fazer.

3. Mantenha suas participações longe das redes sociais, a primeira dica do alerta do FBI, pois uma ostentação pública informa ao atacante qual número mirar.

4. Guarde a frase-semente offline em papel ou metal, longe do e-mail e das notas na nuvem que um número sequestrado pode redefinir. A página da academia sobre frases-sementes e como fazer backup de uma carteira cobre formas seguras de armazená-las.

A Phemex requer 2FA para ações críticas na conta, e o código vem de um aplicativo autenticador no seu dispositivo, conforme estabelecido em sua publicação sobre como a Phemex implementa proteção avançada de conta. Essa mesma verificação de login cobre os futuros da Phemex, onde o perpétuo BTCUSDT opera com alavancagem de até 150x. Futuros usam alavancagem, e uma posição alavancada é fechada automaticamente se as perdas atingirem sua margem.

O Que Fazer Após um SIM Swap?

aja rápido, pois o atacante está percorrendo suas redefinições de senha enquanto o número estiver sob o controle dele. O alerta do FBI e a orientação da FINRA apontam para os mesmos passos.

5. Ligue para sua operadora de outro telefone e recupere o número.

6. Altere suas senhas, começando pelo e-mail, depois pelas contas de corretora e banco vinculadas ao número.

7. Peça aos seus bancos e corretoras para sinalizar suas contas quanto a logins e saques suspeitos.

8. Denuncie o ataque ao IC3 e às autoridades locais, e registre uma ocorrência na FTC conforme sugerido pela FINRA.

Uma carteira cuja frase-semente estava salva no seu e-mail ou armazenamento em nuvem deve ser tratada como exposta, portanto mova suas moedas para uma nova carteira com uma frase inédita. Cada denúncia que você faz ao IC3 também entra na contagem anual que monitora o problema.

Perguntas Frequentes

O que é sim swapping?

SIM swapping é outro nome para um ataque de troca de SIM. Um criminoso convence ou paga uma operadora para mover seu número de telefone para um cartão SIM que eles possuem, e usa suas mensagens recebidas para redefinir senhas e passar nas verificações de login por SMS.

O sim swapping ainda existe?

Sim. O IC3 recebeu 982 reclamações de sim swap em 2024, com $25,98 milhões em perdas reportadas. Esses valores cobrem apenas vítimas que registraram queixa, sendo portanto um limite inferior do número real de ataques.

O sim swapping é ilegal?

Sim. O homem que executou o sim swap por trás da conta hackeada da SEC na plataforma X em janeiro de 2024 recebeu 14 meses de prisão federal em maio de 2025, após se declarar culpado de conspiração para cometer roubo agravado de identidade e fraude de dispositivo de acesso.

É possível sofrer sim swapping com eSIM?

Sim. As regras da FCC definem um SIM como "um cartão físico ou virtual", e a FINRA alerta que um atacante que convence seu provedor de que é você pode ter seu eSIM movido para o dispositivo deles.

Conclusão

Toda defesa contra um ataque SIM swap ou torna a troca mais difícil ou a torna inútil. Torná-la mais difícil é trabalho das operadoras, e o calendário acima mostra há quanto tempo esse trabalho espera. Torná-la inútil depende de você. Leva uma tarde inteira para migrar seus logins fora das mensagens de texto. Depois disso, um número roubado dá ao atacante uma linha telefônica e pouco mais.

Isenção de responsabilidade: Este artigo tem fins meramente informativos e não constitui conselho financeiro. Negociar criptomoedas envolve riscos substanciais. Sempre faça sua própria pesquisa antes de tomar decisões de investimento.