Em uma madrugada de segunda-feira, 30 de junho, a fintech brasileira SmartPay evitou o que poderia ser o maior golpe já registrado no mercado de criptomoedas do Brasil — o sumiço de R$ 1 bilhão de clientes da empresa de tecnologia C&M Software.
A história começa com uma transação aparentemente comum: uma conta recém-aberta fez um depósito de R$ 100 mil via Pix para comprar USDT. Mas aquilo que parecia mais um investidor agressivo virou chave para o rastreamento de um ataque cibernético mais amplo.
A partir dessa movimentação, a equipe liderada pelo criptoveterano Rocelo Lopes, cofundador da SmartPay, desvendou uma fraude que envolvia oito instituições financeiras e estimava um prejuízo de meio bilhão para um único cliente da C&M, totalizando cerca de R$ 1 bilhão em valores desviados.
A seguir, entenda como tudo foi detectado, investigado e bloqueado em tempo recorde — sem que nenhuma criptomoeda fosse perdida.
Leia mais:
Bitcoin se aproxima de novo recorde com adiamento de tarifas dos EUA e anima mercados globais
Panorama do golpe: USDT, Pix e contas recém-criadas
Era 0h18 da madrugada quando Lopes recebeu um alerta vermelho: havia uma ordem de compra de USDT avaliada em R$ 100 mil, realizada por uma conta recém-criada. Embora fosse um valor alto para um perfil novo, a operação não era ilegal por si só — mas foi o primeiro de muitos sinais de atividade atípica.
- Geolocalização compatível com região de alta renda;
- KYC aprovado com documentos e reconhecimento facial;
- Um simples “botão vermelho” no dashboard da fintech indicando valor acima do limite.
A partir disso, a equipe da SmartPay iniciou uma investigação ativa, monitorando outros cadastros e transações feitas nas horas seguintes.
Padrão atípico em horário incomum
Foi então que um segundo alerta disparou: vários cadastros de madrugada — um padrão em total desalinho com a movimentação normal da fintech. Clientes suspeitamente confiáveis, perfilados, mas sem histórico anterior. Tudo indicava que o ataque tinha sido coberto de camouflage.
Relação com o ataque à C&M Software
A SMART alertou Roxelo Lopes tinha acesso ao histórico de clientes da fintech, inclusive sobre eventos anteriores de KYC e transações. Duas ações confirmaram o golpe:
- Uma das contas vinha de registro problemático, com indícios de lavagem de dinheiro;
- A SmartPay monitorava operadores que compravam apenas USDT — e de repente viram pedidos de compra de Bitcoin (BTC) em volume atípico.
Foi o estopim: algo grave estava em curso.
Rastreamento na blockchain: NICHO de atuação da SmartPay
Acompanhar carteira por carteira
A blockchain é um livro-chefe público. Cada transação pode ser vista por meio de scanners como Arkham Intel, Chainalysis, CipherTrace etc. A SmartPay cruzou dados:
- Origem do Pix — quais bancos enviavam;
- Padrão de compra de criptomoedas — USDT vs BTC;
- Carteiras conhecidas por transações vultosas pós-COVID 2020.
O resultado foi claro: aquilo não era uma compra de 100k, mas o embrião de um esquema que já estava se espalhando de forma brilhante.
Confirmação junto à BMP e C&M Software
Às 7h, a SmartPay entrou em contato com a banco parceira BMP e com a equipe da C&M Software, confirmando o padrão suspeito. O ataque estava vinculado à falha na infraestrutura da C&M — usada por várias instituições financeiras para serviços via Pix — e claramente envolvia credenciais comprometidas.
O nome “C&M” foi comentado, mas o BC, por meio do Sistema de Pagamentos Brasileiro (SPB), interviu bloqueando o acesso da C&M ao Pix já no dia 1º de julho, 48 horas após os primeiros alertas.
Como a SmartPay parou o golpe
Bloqueio automático e devolução aos destinatários
Desde o primeiro pedido de compra de 100 mil em USDT, a plataforma suspendeu todas as transações de clientes recém-criados e suspeitos. A SmartPay devolveu valores automaticamente para quem ainda não havia trocado o valor por criptomoeda.
Ao mesmo tempo, as movimentações on-chain mostraram que parte havia sido convertida em Bitcoin — mas a fintech conseguiu congelar as saídas para carteiras externas, evitando o pior.
Coordenação com autoridades
A SmartPay reportou o caso ao Banco Central, que confirmou haver risco sistêmico. Além disso, a Polícia Federal e Civil de São Paulo já iniciaram investigação sobre o ataque, com foco em:
- Identificação da vulnerabilidade na C&M;
- Perfis das contas envolvidas;
- Caminhos das transações que entraram na blockchain.
A fintech está colaborando efetivamente, compartilhando logs de IP, KYC e dados de movimentação.
O que motivou o ataque — e o que mudou no setor
Fraude via credenciais da C&M
Segundo Kamal Zogheib, diretor comercial da C&M, o ataque usou usuário e senha de clientes para invadir o sistema em modo automatizado — mas sem afetar sistemas internos ou alterar códigos, minimizando risco estrutural.
O problema está no fato de que a C&M se encontra fora das exigências que os bancos devem cumprir — como manter depósitos de garantia — o que significa que, em caso de falha judicial, os clientes permanecem expostos.
Um alerta para o SPB
O golpe evidenciou uma fragilidade: o Sistema de Pagamentos Brasileiro, incluindo Pix e conta PI, foi estruturado para conectar bancos e fintechs por meio de terceiros. Mas falhas na segurança podem permitir que um prestador serio vire ameaça sistêmica. O Banco Central já estuda reformulações.
Lições aprendidas — para fintechs e reguladores
SmartPay mostrou três pilares de defesa
- Monitoramento 24/7 de cadastros e volumes — alertas automáticos foram decisivos;
- Integração com dados on-chain e Pix — rastrear quem está operando com USDT ou BTC;
- Ação rápida e coordenação com BC e autoridades — o que evitou maiores danos.
Regulamentação em debate
A C&M Software não é obrigada a possuir garantias financeiras em caso de falhas. Se responsabilizada, poderá ter de reembolsar os bancos afetados — dinheiro que sairia do caixa dos bancos e, potencialmente, dos clientes.
Para o Banco Central, o caso mostra a urgência de:
- Regulamentar prestadores de infraestrutura;
- Exigir seguros ou capital mínimo;
- Implantar protocolos de “deep KYC” e antifraude robustos.
Conclusão: como menos de R$ 100 mil evitou um colapso de R$ 1 bi
A movimentação anômala de uma conta por R$ 100 mil em USDT foi o trigger para que a SmartPay — fintech de médio porte — evitasse o que poderia ter sido o maior golpe cibernético do mercado brasileiro. O modelo de integração entre Pix e blockchain provou-se eficaz quando bem estruturado, com monitoramento em tempo real, inteligência em cripto e respostas imediatas.
Este caso reforça a urgência de se repensar a segurança e a responsabilidade na era dos pagamentos instantâneos — e mostra que, mesmo em momentos de madrugada, uma operação bem desenhada pode conter um desastre financeiro.
