Ataque à C&M Software: o que se sabe sobre o desvio de contas reserva ligadas ao Pix
Credenciais legítimas de um operador de TI foram usadas para mandar transferências a partir de contas reserva no Banco Central. A polícia fala em R$ 541 milhões; outras estimativas chegaram a R$ 1 bilhão.
Referência histórica: 4 de julho de 2025. Publicado neste site em 2 de novembro de 2026. As datas no texto identificam o período retratado.
Neste artigo
Em resumo
- A C&M Software, que conecta instituições menores ao sistema financeiro, foi usada para desviar dinheiro de contas reserva mantidas no Banco Central. O desvio ocorreu na madrugada de 30 de junho.
- O valor confirmado pela polícia é de cerca de R$ 541 milhões, da BMP. Os números de R$ 800 milhões e de mais de R$ 1 bilhão que circularam nos primeiros dias são estimativas.
- Não houve invasão técnica: segundo a polícia, credenciais legítimas foram entregues por um operador de TI, preso em 3 de julho.
- Parte do dinheiro virou cripto: de US$ 30 milhões a US$ 40 milhões, segundo o investigador ZachXBT. A Justiça bloqueou R$ 270 milhões em uma conta.
São Paulo, 4 de julho de 2025 — Quatro dias depois do ataque à C&M Software, ainda faltam respostas sobre o valor total, os autores e o destino do dinheiro, mas o desenho do crime está claro: ninguém quebrou a criptografia do Pix. Alguém com acesso legítimo entregou a chave.
- Prejuízo declarado pela BMP à polícia (único valor atribuído oficialmente a uma vítima)
- R$ 541 mi
- Instituições com acesso não autorizado às contas reserva, segundo a BMP
- 6
- Bloqueados pela Justiça em uma conta que recebeu parte do dinheiro
- R$ 270 mi
- Estimativa inicial divulgada por parte da imprensa, não confirmada
- R$ 1 bi
O que aconteceu
A C&M Software é uma empresa paulista que fornece infraestrutura de conexão ao Banco Central para instituições que não têm estrutura própria, como fintechs de conta digital. Segundo a Reuters, o ataque ocorreu na segunda-feira, 30 de junho, e o Banco Central só o tornou público na quarta, 2 de julho. O Decrypt situa as ordens de transferência fraudulentas entre 4h e 7h daquele dia, e a polícia abriu o inquérito ainda em 30 de junho.
Os recursos saíram de contas reserva, mantidas diretamente no Banco Central e usadas só para a liquidação entre instituições. Elas não são contas de clientes. A BMP, a vítima mais citada, disse à Reuters que os clientes não foram afetados e que tem garantias para cobrir o valor desviado. A BMP afirmou que ela e outras cinco instituições tiveram acessos não autorizados às contas reserva.
- 30/06Entre 4h e 7h, ordens de Pix fraudulentas saem de contas reserva de seis instituições. A polícia abre inquérito no mesmo dia, após boletim de ocorrência.
- 02/07O Banco Central torna o caso público e manda a C&M bloquear o acesso das instituições à infraestrutura que ela opera.
- 03/07A Polícia Civil de São Paulo prende, à noite, um operador de TI da C&M. O Banco Central troca a suspensão cautelar da C&M por uma suspensão parcial.
- 04/07A polícia detalha o caso. O Banco Central suspende Transfeera, Soffy e Nuoro Pay do Pix, por cautela.
Como o ataque foi feito
A C&M disse ter sido vítima direta do ataque. O diretor comercial da empresa, Kamal Zogheib, afirmou à Reuters que os criminosos usaram de forma fraudulenta credenciais de clientes e que os sistemas críticos da empresa permaneceram íntegros.
A polícia acrescentou o elemento central: aliciamento de alguém de dentro. Segundo a CNN Brasil, o operador de TI da C&M preso, de 48 anos, confessou ter sido recrutado por terceiros e ter ajudado os criminosos a entrar no sistema e a pedir transferências Pix ao Banco Central. O Decrypt, citando as investigações, relatou pagamentos que somam R$ 15 mil pelas credenciais e por ajuda na montagem do software usado.
O Pix e a infraestrutura do Banco Central funcionaram como projetados: o pedido de transferência veio de um acesso autorizado. O elo fraco foi a pessoa e o ambiente de trabalho dela. O padrão lembra o vazamento por suborno de atendentes da Coinbase e, de outro modo, o ataque à Bybit, em que pessoas autorizadas assinaram uma ordem adulterada: a tecnologia resiste, o acesso humano não.
Quanto foi desviado: o que é confirmado e o que é estimativa
Os números mudaram a cada hora. Separá-los ajuda a ler as manchetes:
| Valor | Quem disse | Status |
|---|---|---|
| R$ 541 milhões (R$ 542 milhões em um trecho) | Polícia Civil de SP, a partir do boletim da BMP | Declarado por uma vítima; é o valor oficial mais alto |
| Pelo menos R$ 400 milhões | Imprensa, 2 a 3 de julho | Estimativa inicial |
| Cerca de R$ 800 milhões | Estimativas de imprensa e de analistas on-chain | Estimativa, sem confirmação oficial |
| Mais de R$ 1 bilhão | Parte da imprensa no primeiro dia | Estimativa; fonte oficial disse que os valores não chegavam a bilhões |
Uma autoridade ouvida pela Reuters, sem se identificar, disse que a C&M atende cerca de duas dezenas de instituições pequenas e que os valores não chegavam a bilhões de reais. O Banco Central não divulgou lista de vítimas nem o total.
Para onde foi o dinheiro
O dinheiro foi pulverizado por Pix e transferências para contas em outras instituições e, em parte, convertido em cripto. O Banco Central suspendeu cautelarmente do Pix, por até 60 dias, a Transfeera, a Soffy e a Nuoro Pay, enquanto apura se elas têm ligação com o desvio. A Transfeera disse que nem ela nem seus clientes foram afetados e que seus outros serviços seguem normais.
O analista on-chain ZachXBT estimou, segundo o Decrypt, que ao menos US$ 30 milhões a US$ 40 milhões foram trocados por bitcoin, ether e USDT por meio de mesas OTC e corretoras da América Latina antes de contas serem congeladas. É uma estimativa feita por rastreamento público de carteiras, não um dado oficial. Em paralelo, a Justiça determinou o bloqueio de R$ 270 milhões em uma conta que recebeu parte do dinheiro.
A conversão rápida é típica: quem desvia dinheiro por Pix tenta transformá-lo em ativo que atravessa fronteiras antes que o bloqueio chegue. A rastreabilidade das redes públicas, no entanto, ajuda a polícia, e emissoras como a Tether congelam saldos quando recebem pedidos formais.
A resposta do Banco Central
- Desconectou a C&M da infraestrutura e mandou bloquear o acesso das instituições clientes à estrutura que ela opera.
- Em 3 de julho, trocou a suspensão cautelar por uma suspensão parcial, depois que a empresa adotou medidas para reduzir o risco de novos incidentes.
- Em 4 de julho, suspendeu Transfeera, Soffy e Nuoro Pay do Pix. A base é o art. 95-A do regulamento do Pix, que permite suspender um participante cuja conduta ponha em risco o funcionamento do arranjo, informou o Poder360.
O que empresas devem tirar do caso
O caso não muda a segurança do Pix para quem o usa no dia a dia, mas é um alerta para qualquer empresa que dependa de provedores e de acessos privilegiados:
A investigação segue aberta: faltam a identificação dos mandantes, o total desviado e a lista oficial de vítimas. Este texto reúne o que era público em 4 de julho; números novos dependem de comunicação do Banco Central e da polícia.
Perguntas frequentes
O Pix foi hackeado no ataque à C&M Software?
Não. Segundo a polícia, não houve invasão técnica do Pix nem do Banco Central: credenciais legítimas, com a ajuda de um operador de TI, foram usadas para enviar pedidos de transferência. O Banco Central desconectou a C&M por cautela.
O dinheiro de clientes foi desviado?
A BMP, principal vítima, afirmou que o desvio ocorreu em contas reserva mantidas no Banco Central, usadas só para liquidação entre instituições, sem impacto nas contas dos clientes. Até 4 de julho, não havia confirmação oficial de perdas de clientes.
Quanto foi desviado no ataque à C&M?
O valor oficial mais alto é o da BMP, de cerca de R$ 541 milhões, declarado à polícia. Valores de R$ 800 milhões e de mais de R$ 1 bilhão circularam como estimativas. O Banco Central não divulgou o total até 4 de julho.
O que é uma conta reserva?
É a conta que algumas instituições financeiras mantêm no Banco Central para liquidar entre si os pagamentos, inclusive os do Pix. Não é uma conta de cliente; o saldo é da própria instituição.
Achou útil? Compartilhe com quem paga fornecedor no exterior.
Fontes
- Ataque contra C&M Software atinge contas reservas de instituições financeiras (Reuters) · InfoMoney, 02/07/2025
- Polícia Civil de SP prende suspeito de envolvimento em ataque cibernético à C&M Software (Reuters) · Forbes Brasil, 04/07/2025
- Ataque hacker desviou R$ 541 milhões em massa, diz polícia · CNN Brasil, 04/07/2025
- BC suspende 3 instituições do Pix após ataque cibernético · Poder360, 04/07/2025
- How a Hacker Spent Only $2.7K to Steal $140 Million From Brazilian Banks · Decrypt, 04/07/2025
Conteúdo informativo, sem recomendação de investimento. Marcas de terceiros citadas pertencem aos respectivos titulares; a menção é jornalística e não indica parceria ou vínculo com a Swapo Finance.
Pagamento internacional com a velocidade do Pix e regra do Banco Central.
Converta real em USDT e envie ao fornecedor na rede TRON. Tarifa única exibida antes, política de segregação patrimonial, atendimento humano. Ativo virtual sem cobertura do FGC; pedido de autorização protocolado no BCB.
