O "bot de arb triangular" que rodou 41 dias

Fevereiro 2025. Um titular em Manaus compra um "bot de arbitragem triangular USDT/USDC/BUSD" de um vendedor no Telegram por 0,4 ETH. O vendedor mostra um vídeo no YouTube do bot rodando, com logs mostrando trades lucrativos a cada poucos minutos. O bot pede uma chave API da conta dele na Binance, com permissão de trading habilitada. Ele configura. Por 41 dias o bot opera valores pequenos e acumula devagar um ganho de 2,4% — exatamente como anunciado. Aí, no dia 42, o bot despeja todo o saldo de 74 mil USDT num par de baixíssima liquidez na mesma corretora, executando a preços absurdos. As ordens do outro lado dessas execuções são do operador.

Como o golpe do bot de longo prazo funciona

O bot é software real. Ele realmente faz pequenos trades arbitrais lucrativos por semanas — essa é a fase de prova. Enquanto isso, o operador acompanha o crescimento do saldo (via chave API que a vítima forneceu). Quando o saldo cruza um limiar que o operador considera valer a pena, o bot executa um único trade de dreno contra ordens que o operador já deixou posicionadas num mercado raso. Não é preciso permissão de saque: o dinheiro sai pelo livro de ofertas. A vítima só vê a perda depois e acha que o bot "deu pau".

As quatro regras duras para chaves API

  • Nunca conceda permissões de saque numa chave API. Todas as exchanges grandes deixam você criar chaves só-leitura, ou chaves só-trading sem saque. O padrão para qualquer ferramenta de terceiro deveria ser "sem saque". Só isso não impede um dreno como este, por isso as três regras seguintes importam.
  • Allowlist de endereços IP na chave API. As corretoras grandes deixam você restringir uma chave API a IPs específicos. Aponte para um servidor que você controla — nunca deixe aberta. Se o vendedor insiste que a chave precisa rodar no servidor dele, quem tem a chave é ele, e a restrição de IP protege você de todo mundo, menos dele.
  • Audite o histórico de trading semanalmente. Abra a página de histórico da exchange e revise todo trade que o bot fez. Um bot que executa subitamente um trade grande num par de baixa liquidez é o aviso. Pegue no dia 30, não no dia 42.
  • Confie na fonte do bot, não no vendedor. O Hummingbot é open source e dá para ler linha por linha; 3Commas e Cryptohopper são serviços comerciais com anos de histórico público — e até serviços estabelecidos já tiveram vazamento de chaves API, então as regras de permissão acima continuam valendo. Bots de vendedores do Telegram são funis.

Como a arbitragem "real" se parece

Oportunidades de arb lucrativas em pares líquidos entre exchanges majores são medidas em pontos-base, duram segundos e exigem infraestrutura que usuários de varejo não conseguem igualar. Se um "bot" promete retorno mensal estável de uns dois por cento em arb de stablecoins, ele está mentindo sobre o yield ou escondendo o risco. Não há dinheiro grátis em arb CEX-CEX — os spreads sumiram.