PIX de R$ 18 milhões no meio da madrugada: os bastidores do maior ataque ao sistema financeiro brasileiro

Cibercriminosos exploram brecha em prestadora de tecnologia, desviando até R$ 1 bilhão em poucos minutos – contas reserva foram limpas via transferências e criptomoedas

Um dos maiores assaltos já registrados no sistema financeiro do Brasil começou ainda na madrugada de segunda‑feira (30/06), quando um executivo da BMP, fintech especializada em banking‑as‑a‑service, foi alertado sobre uma transferência não autorizada: R$ 18 milhões, sacados via Pix à 1h da madrugada. Em sequência, em questão de minutos, uma série de operações drásticas “evaporou” cerca de R$ 400 milhões da conta da BMP – apenas o início de um crime que expôs brechas críticas na infraestrutura interbancária.

Investigação liderada pelo Banco Central e Polícia Federal aponta a C&M Software — fornecedora de mensageria para operações como Pix e TED — como porta de entrada. Criminosos usaram credenciais legítimas para acessar contas reservas de ao menos seis instituições, movendo até R$ 1 bilhão, segundo estimativas mais amplas.

Como o ataque se desenrolou

1. Primeiro alerta — às 4h, BMP recebeu notificação do primeiro Pix de R$ 18 milhões e entrou em contato com a C&M para confirmar a anomalia.
2. Limpeza nas contas reserva — em minutos, hackers transferiram centenas de milhões, inclusive R$ 400 milhões da BMP; valor total pode alcançar R$ 800 milhões a R$ 1 bilhão.
3. Conversão em criptomoedas — a SmartPay identificou volumes atípicos de USDT e Bitcoin por volta das 0h18 de 30 de junho, bloqueou transações e conseguiu reverter parte dos valores.
4. Interrupção e isolamento — em resposta, o Banco Central determinou o desligamento imediato da C&M da infra‑estrutura do Pix e TED.

Quem está envolvido e suas posições

• BMP: calcula prejuízo de R$ 400 milhões, já recuperou R$ 130 milhões. Garantiu que nenhum cliente final foi impactado e que possui colateral para cobrir perdas.
• C&M Software: confirmou ter sido vítima do uso indevido de credenciais, não teve sistemas centrais comprometidos e segue colaborando com as autoridades.
• Banco Central: assegurou que sua infraestrutura segue intacta; avalia os mecanismos de contra‑ataque e aperfeiçoamento da segurança.
• SmartPay: bloqueou movimentações raras com criptoativos, reconduziu valores às instituições principais.

Impactos e reações

• Clientes de fintechs afetadas ficaram sem Pix temporariamente, enquanto o BC exigia outras formas de pagamento via TED ou serviços terceiros.
• Autoridades abriram inquérito criminal imediato, envolvendo Polícia Federal, Polícia Civil de São Paulo e equipes técnicas do BC.
• Especialistas defendem revisão urgente do modelo de segurança de prestadores de mensageria, implementação de IA para identificar fraudes e maior robustez nas contas reserva.

O que falta esclarecer

• Valor efetivamente perdido ou recuperado.
• Quem são as demais instituições afetadas além da BMP.
• Medidas regulatórias e tecnológicas que o Banco Central implementará para prevenir ataques semelhantes.

Gostou? Compartilhe com quem precisa saber: