Ciberataque sofisticado drena R$ 800 milhões de contas-reserva de instituições financeiras
Na madrugada do domingo para segunda-feira (30 de junho para 1º de julho de 2025), um executivo da BMP — uma fintech de banking-as-a-service — foi surpreendido com uma ligação de seu banco informando que um PIX de R$ 18 milhões havia sido enviado irregularmente às 4h da manhã.
Ao chegar ao escritório, descobriu que, embora os sistemas da BMP permanecessem intactos, diversos PIX não autorizados haviam sido realizados — somando R$ 400 milhões apenas na conta da BMP. Estima-se que o ciberataque tenha drenado, no total, R$ 800 milhões de fundos de contas-reserva do Banco Central, envolvendo oito instituições financeiras.
O ponto vulnerável foi um prestador de serviços de mensagens (PSTI), a C&M Software, que controla APIs de conexão ao PIX, TED e sistemas de contas-reserva para fintechs e bancos menores. Hackers invadiram seus sistemas e, agindo como se fossem usuários legítimos, emitiram ordens válidas de transferência, todas aprovadas pelos mecanismos de segurança do BC.
Segundo o Banco Central, seus sistemas não foram comprometidos — apenas o canal de acesso por meio desse prestador foi explorado. “É como se tivéssemos recebido uma transação com o chip e senha do cartão”, comparou uma fonte do BC.
Em resposta, a C&M desativou o PIX para as instituições afetadas e o BC iniciou uma investigação para identificar a falha e desenvolver medidas de prevenção.
Carlos Eduardo Benitez, fundador da BMP, revelou ter recuperado R$ 130 milhões dos R$ 400 milhões perdidos. Ele garantiu que os clientes não foram afetados, mas admitiu que restam cerca de R$ 300 milhões a serem recuperados — o que reduziria a liquidez da empresa, que tinha R$ 600 milhões antes do ataque.
Rocelo Lopes, CEO da SmartPay e criador da carteira de criptomoedas Truther, comentou ao CoinTelegraph Brasil que percebeu movimentações suspeitas na madrugada do dia 30, reforçou controles em contas de USDT e Bitcoin, e conseguiu interromper e devolver valores a várias instituições. Ele alerta para a fragilidade dos sistemas de mensageria e sugere o uso de inteligência artificial para identificar transações atípica.
Esses PSTIs são nove hoje, conectando 293 empresas ao BC; grandes bancos, por sua vez, se conectam diretamente, evitando esse ponto de falha. O episódio expõe riscos no modelo em que o PIX e as contas-reserva se disseminam por prestadores externos, enquanto a resposta do BC e das empresas afetadas será fundamental para reforçar a infraestrutura de pagamentos no Brasil.
Da Redação do Mais55
