Startup rastreia golpe bilionário e evita rombo de R$ 1 bilhão em criptomoedas

A história começa com uma transação aparentemente comum: uma conta recém-aberta fez um depósito de R$ 100 mil via Pix para comprar USDT. Mas aquilo que parecia mais um investidor agressivo virou chave para o rastreamento de um ataque cibernético mais amplo.

A partir dessa movimentação, a equipe liderada pelo criptoveterano Rocelo Lopes, cofundador da SmartPay, desvendou uma fraude que envolvia oito instituições financeiras e estimava um prejuízo de meio bilhão para um único cliente da C&M, totalizando cerca de R$ 1 bilhão em valores desviados.

A seguir, entenda como tudo foi detectado, investigado e bloqueado em tempo recorde — sem que nenhuma criptomoeda fosse perdida.

Leia mais:

Bitcoin se aproxima de novo recorde com adiamento de tarifas dos EUA e anima mercados globais

Panorama do golpe: USDT, Pix e contas recém-criadas

Era 0h18 da madrugada quando Lopes recebeu um alerta vermelho: havia uma ordem de compra de USDT avaliada em R$ 100 mil, realizada por uma conta recém-criada. Embora fosse um valor alto para um perfil novo, a operação não era ilegal por si só — mas foi o primeiro de muitos sinais de atividade atípica.

• Geolocalização compatível com região de alta renda;
• KYC aprovado com documentos e reconhecimento facial;
• Um simples “botão vermelho” no dashboard da fintech indicando valor acima do limite.

A partir disso, a equipe da SmartPay iniciou uma investigação ativa, monitorando outros cadastros e transações feitas nas horas seguintes.

Padrão atípico em horário incomum

Foi então que um segundo alerta disparou: vários cadastros de madrugada — um padrão em total desalinho com a movimentação normal da fintech. Clientes suspeitamente confiáveis, perfilados, mas sem histórico anterior. Tudo indicava que o ataque tinha sido coberto de camouflage.

Relação com o ataque à C&M Software

A SMART alertou Roxelo Lopes tinha acesso ao histórico de clientes da fintech, inclusive sobre eventos anteriores de KYC e transações. Duas ações confirmaram o golpe:

1. Uma das contas vinha de registro problemático, com indícios de lavagem de dinheiro;
2. A SmartPay monitorava operadores que compravam apenas USDT — e de repente viram pedidos de compra de Bitcoin (BTC) em volume atípico.

Foi o estopim: algo grave estava em curso.

Rastreamento na blockchain: NICHO de atuação da SmartPay

Acompanhar carteira por carteira

A blockchain é um livro-chefe público. Cada transação pode ser vista por meio de scanners como Arkham Intel, Chainalysis, CipherTrace etc. A SmartPay cruzou dados:

• Origem do Pix — quais bancos enviavam;
• Padrão de compra de criptomoedas — USDT vs BTC;
• Carteiras conhecidas por transações vultosas pós-COVID 2020.

O resultado foi claro: aquilo não era uma compra de 100k, mas o embrião de um esquema que já estava se espalhando de forma brilhante.

Confirmação junto à BMP e C&M Software

Às 7h, a SmartPay entrou em contato com a banco parceira BMP e com a equipe da C&M Software, confirmando o padrão suspeito. O ataque estava vinculado à falha na infraestrutura da C&M — usada por várias instituições financeiras para serviços via Pix — e claramente envolvia credenciais comprometidas.

O nome “C&M” foi comentado, mas o BC, por meio do Sistema de Pagamentos Brasileiro (SPB), interviu bloqueando o acesso da C&M ao Pix já no dia 1º de julho, 48 horas após os primeiros alertas.

Como a SmartPay parou o golpe

Bloqueio automático e devolução aos destinatários

Desde o primeiro pedido de compra de 100 mil em USDT, a plataforma suspendeu todas as transações de clientes recém-criados e suspeitos. A SmartPay devolveu valores automaticamente para quem ainda não havia trocado o valor por criptomoeda.

Ao mesmo tempo, as movimentações on-chain mostraram que parte havia sido convertida em Bitcoin — mas a fintech conseguiu congelar as saídas para carteiras externas, evitando o pior.

Coordenação com autoridades

A SmartPay reportou o caso ao Banco Central, que confirmou haver risco sistêmico. Além disso, a Polícia Federal e Civil de São Paulo já iniciaram investigação sobre o ataque, com foco em:

• Identificação da vulnerabilidade na C&M;
• Perfis das contas envolvidas;
• Caminhos das transações que entraram na blockchain.

A fintech está colaborando efetivamente, compartilhando logs de IP, KYC e dados de movimentação.

O que motivou o ataque — e o que mudou no setor

Fraude via credenciais da C&M

Segundo Kamal Zogheib, diretor comercial da C&M, o ataque usou usuário e senha de clientes para invadir o sistema em modo automatizado — mas sem afetar sistemas internos ou alterar códigos, minimizando risco estrutural.

O problema está no fato de que a C&M se encontra fora das exigências que os bancos devem cumprir — como manter depósitos de garantia — o que significa que, em caso de falha judicial, os clientes permanecem expostos.

Um alerta para o SPB

O golpe evidenciou uma fragilidade: o Sistema de Pagamentos Brasileiro, incluindo Pix e conta PI, foi estruturado para conectar bancos e fintechs por meio de terceiros. Mas falhas na segurança podem permitir que um prestador serio vire ameaça sistêmica. O Banco Central já estuda reformulações.

Lições aprendidas — para fintechs e reguladores

SmartPay mostrou três pilares de defesa

1. Monitoramento 24/7 de cadastros e volumes — alertas automáticos foram decisivos;
2. Integração com dados on-chain e Pix — rastrear quem está operando com USDT ou BTC;
3. Ação rápida e coordenação com BC e autoridades — o que evitou maiores danos.

Regulamentação em debate

A C&M Software não é obrigada a possuir garantias financeiras em caso de falhas. Se responsabilizada, poderá ter de reembolsar os bancos afetados — dinheiro que sairia do caixa dos bancos e, potencialmente, dos clientes.

Para o Banco Central, o caso mostra a urgência de:

• Regulamentar prestadores de infraestrutura;
• Exigir seguros ou capital mínimo;
• Implantar protocolos de “deep KYC” e antifraude robustos.

Conclusão: como menos de R$ 100 mil evitou um colapso de R$ 1 bi

A movimentação anômala de uma conta por R$ 100 mil em USDT foi o trigger para que a SmartPay — fintech de médio porte — evitasse o que poderia ter sido o maior golpe cibernético do mercado brasileiro. O modelo de integração entre Pix e blockchain provou-se eficaz quando bem estruturado, com monitoramento em tempo real, inteligência em cripto e respostas imediatas.

Este caso reforça a urgência de se repensar a segurança e a responsabilidade na era dos pagamentos instantâneos — e mostra que, mesmo em momentos de madrugada, uma operação bem desenhada pode conter um desastre financeiro.