Num fim de junho que parecia comum, um sinal discreto de comportamento fora do padrão antecipou o que viria a ser um dos episódios mais graves já registrados na engrenagem financeira brasileira. A C&M Software, empresa que faz a ponte entre bancos e o Banco Central por meio de sistemas como Pix e TED, foi atingida por criminosos que se apropriaram de credenciais de clientes e desviaram cerca de R$ 1 bilhão. Enquanto parte dos recursos foi retida a tempo, outra parte teria seguido para criptomoedas, num rastro que a Polícia Federal e o Banco Central tentam agora reconstituir. O caso lembra que
Ataque hacker à C&M Software, ligada ao Pix e ao SPB, desvia cerca de R$ 1 bilhão do sistema financeiro
Um elo vital entre o Banco Central e centenas de instituições financeiras
Mark
Por que esse ataque preocupa tanto, se a C&M nem administra contas bancárias?
Mimi
Porque ela carrega as mensagens entre os bancos e o Sistema de Pagamentos Brasileiro. Quem entra por ali chega perto de Pix, TED e DDA sem precisar invadir um banco.
Luke
Mas vale separar: o que está confirmado é que credenciais de clientes foram usadas indevidamente. Como exatamente isso aconteceu, a reportagem não diz.
Mark
E o valor de R$ 1 bilhão?
Mimi
Aparece como "cerca de" um bilhão, vindo das reportagens que revelaram o caso.
Luke
Exato, é um número aproximado e sem detalhamento oficial. E a classificação de maior ataque da história vem de fontes ligadas à PF, não de um comunicado formal.
Mark
O Banco Central diz que as contas de reserva não foram acessadas. Isso tranquiliza?
Mimi
Em parte. Mas a BMP diz que o dinheiro desviado estava na sua conta de reserva. Ela afirma ter colaterais para cobrir tudo e que nenhum cliente foi afetado.
Luke
Há uma tensão aí que a reportagem não resolve. Fica sem explicação como as duas afirmações se conciliam.
Mark
E as criptomoedas?
Mimi
Parte foi barrada, como relatou Rocelo Lopes, e devolvida. Mas uma fonte anônima fala em conversão efetiva.
Luke
Anônima e sem nomes de empresas. Não sabemos quanto foi convertido nem quanto foi recuperado.
O Pulso
- Um bilhão de reais escapou por uma brecha que não estava na linha de frente, e o susto se espalhou pelo sistema de pagamentos.
- Credenciais de clientes usadas indevidamente abriram caminho até a infraestrutura de uma empresa que conecta centenas de instituições ao Banco Central.
- Os valores foram empurrados para exchanges e mesas OTC em busca de conversão rápida em USDT e Bitcoin, enquanto plataformas recusavam operações suspeitas.
- Bancos como a BMP afirmam ter reservas para cobrir o rombo, a PF trata o caso como o maior ataque do tipo já visto, e o rastreamento do dinheiro segue em curso.
Num fim de junho que parecia comum, um sinal discreto de comportamento fora do padrão antecipou o que viria a ser um dos episódios mais graves já registrados na engrenagem financeira brasileira. A C&M Software, empresa que faz a ponte entre bancos e o Banco Central por meio de sistemas como Pix e TED, foi atingida por criminosos que se apropriaram de credenciais de clientes e desviaram cerca de R$ 1 bilhão. Enquanto parte dos recursos foi retida a tempo, outra parte teria seguido para criptomoedas, num rastro que a Polícia Federal e o Banco Central tentam agora reconstituir. O caso lembra que a confiança no sistema depende, cada vez mais, de elos terceirizados que quase ninguém vê.
Na madrugada de 30 de junho, Rocelo Lopes, CEO da SmartPay e criador da carteira Truther, percebeu transações estranhas passando por sua plataforma. Elevou os filtros de segurança de imediato. Aquele sinal inicial era parte de algo muito maior: um ataque que atingiu a C&M Software e desviou cerca de R$ 1 bilhão do sistema financeiro brasileiro.
A C&M é supervisionada pelo Banco Central e opera mensageria que liga instituições ao Sistema de Pagamentos Brasileiro, incluindo TEDs, Pix e DDA. Não guarda contas bancárias, mas é um elo essencial entre a autoridade monetária e centenas de bancos. Em nota, a empresa se disse vítima, afirmou que seus sistemas críticos seguem íntegros e colabora com o Banco Central e a Polícia Civil de São Paulo. O BC determinou o desligamento do acesso das instituições às infraestruturas da empresa e garantiu que as contas de reserva não foram tocadas.
O dinheiro, no entanto, foi rapidamente encaminhado a exchanges, gateways e mesas OTC integradas ao Pix, com o objetivo de convertê-lo em USDT e Bitcoin. Parte das operações foi barrada, e grandes somas foram devolvidas às instituições. Ainda assim, há indícios de que outra parte foi convertida, em uma articulação que sugere vários intermediários e contas simuladas.
Seis instituições teriam sido atingidas, entre elas a BMP, que afirmou não ter havido impacto em clientes e disse possuir colaterais suficientes para cobrir o valor integral. Fontes da Polícia Federal já tratam o episódio como o maior ataque hacker da história do sistema financeiro nacional. A investigação busca o destino final do dinheiro e os responsáveis, e o caso deixa uma lição clara: serviços terceirizados críticos são também pontos de vulnerabilidade que exigem atenção redobrada.
Às 00h18 do dia 30 de junho, Rocelo Lopes, CEO da SmartPay e criador da carteira Truther, notou um comportamento fora do padrão nas transações que passavam por sua plataforma. Ele elevou de imediato os filtros de segurança. Era um dos primeiros sinais, vistos por quem opera no mercado de criptomoedas, de um ataque hacker que atingiu a C&M Software e desviou cerca de R$ 1 bilhão do sistema financeiro brasileiro.
A C&M é uma empresa autorizada e supervisionada pelo Banco Central. Opera soluções de mensageria que ligam instituições financeiras ao Sistema de Pagamentos Brasileiro (SPB), o que inclui TEDs, Pix, DDA e outros arranjos eletrônicos. Não administra contas bancárias, mas funciona como elo entre o Banco Central e centenas de instituições que atuam no país.
O caso foi revelado primeiro pelo Brazil Journal e depois detalhado pelo Cointelegraph Brasil. Segundo a C&M, em nota enviada ao Valor Econômico, o ataque envolveu o uso indevido de credenciais de clientes para tentar acessar de forma fraudulenta seus sistemas e serviços. A empresa se declarou vítima direta da ação criminosa, disse que seus sistemas críticos seguem íntegros e operacionais e afirmou colaborar com o Banco Central e com a Polícia Civil de São Paulo.
O Banco Central afirmou que o ataque ocorreu na infraestrutura da C&M. Como medida de contenção, determinou o desligamento do acesso das instituições às infraestruturas operadas pela empresa. A autarquia declarou que as contas de reserva não foram acessadas, embora parte significativa dos recursos tenha sido desviada por meio de instituições que usavam os serviços da C&M.
Logo depois do roubo, os criminosos começaram a enviar o dinheiro a plataformas de criptomoedas integradas ao Pix, entre elas exchanges, gateways e mesas OTC. O objetivo era converter os valores em USDT e Bitcoin, criptos muito usadas em movimentações internacionais. Parte das operações foi detectada e barrada. Lopes contou que grandes somas foram retidas e devolvidas na mesma hora às instituições envolvidas, e se colocou à disposição das autoridades.
Há, porém, indícios de que uma parte foi de fato convertida. Uma fonte ouvida pelo Cointelegraph, sem citar nomes de empresas, disse que bastaria acompanhar os endereços e o volume movimentado na tarde anterior para saber para onde foi parte do dinheiro. Segundo a reportagem, várias mesas OTC se recusaram a processar transações ligadas ao ataque e impediram o cadastro dos hackers. Ainda assim, o volume movimentado sugere uma articulação complexa, provavelmente com vários intermediários e contas simuladas.
O Brazil Journal informou que seis instituições financeiras teriam sido atingidas, entre elas BMP e Credsystem. A BMP confirmou que os recursos desviados estavam em sua conta de reserva no Banco Central e disse que nenhum cliente foi impactado nem teve recursos acessados. Afirmou também ter colaterais suficientes para cobrir integralmente o valor e manter a operação normal.
Fontes ligadas à Polícia Federal já tratam o episódio como o maior ataque hacker da história do sistema financeiro brasileiro. A PF e o Banco Central investigam para rastrear o destino final do dinheiro e identificar os responsáveis. O caso expõe a fragilidade de serviços terceirizados críticos, e novas revelações sobre a abrangência do ataque e sobre as medidas de segurança a adotar são esperadas nos próximos dias.
Citações Notáveis
A empresa é vítima direta da ação criminosa, que incluiu o uso indevido de credenciais de clientes.— C&M Software, em nota ao Valor Econômico
As contas de reserva não foram acessadas.— Banco Central do Brasil
Quer a matéria completa?
Leia o original em Brasil 247 ↗
Technology