PEDRO S. TEIXEIRA
SÃO PAULO, SP (FOLHAPRESS)
Uma organização criminosa digital promoveu o maior ataque hacker documentado no país ao invadir uma conta da empresa BMP no Banco Central, desviando R$ 541 milhões, que foram distribuídos em mais de 100 transações para 29 instituições financeiras diferentes, segundo dados do inquérito da Polícia Civil de São Paulo.
Algumas dessas instituições, que incluem bancos tradicionais e plataformas de pagamento populares, já reverteram os valores por meio do sistema de devolução instantânea Pix (Med), utilizado para todas as transferências. As entidades que seguiram as normas antifraude determinadas pelo Banco Central não serão alvo de investigação.
Segundo a Polícia Civil, cerca de R$ 271 milhões, transferidos para uma única instituição financeira chamada Soffy, foram bloqueados. A Justiça de São Paulo emitiu mandado contra a Soffy, que recebeu 69 das 166 transações realizadas durante o ataque.
Desde o último sábado (5), a Soffy não retornou as tentativas de contato feitas pela reportagem.
O Banco Central decidiu suspender temporariamente, por até 60 dias, seis instituições de pagamento, incluindo a Soffy, para apurar possíveis infrações nas normas do Pix. Segundo regra interna, o BC pode suspender cautelarmente qualquer participante do Pix que represente risco ao funcionamento do sistema de pagamentos.
Em entrevista ao site especializado Neofeed, o CEO e fundador da BMP, Carlos Benitez, informou que já conseguiu recuperar R$ 160 milhões dos valores desviados. Antes do incidente, a BMP possuía uma liquidez aproximada de R$ 600 milhões, que é o montante disponível para atender solicitações de saque.
De acordo com nota da empresa, nenhum cliente foi prejudicado pelo ataque. “A empresa conta com garantias suficientes para cobrir integralmente o valor afetado, garantindo o funcionamento normal das operações.”
A BMP atua como um bank as a service, modelo em que bancos licenciados oferecem sua infraestrutura para outras fintechs, que ficam responsáveis pelo marketing e tecnologia.
Carlos Benitez relatou que recebeu um alerta sobre transações suspeitas às 4h de segunda-feira (30), após um Pix de R$ 18 milhões sair de sua conta. Às 7h, a equipe da BMP conseguiu interromper as transferências iniciadas às 2h do mesmo dia e criou uma sala de crise para confirmar a fraude e avaliar o prejuízo.
Os criminosos acessaram as reservas financeiras da BMP por meio de um ataque à empresa C&M Software, que gerencia o sistema Pix para bancos e instituições de pagamento.
A investigação policial indica que a quadrilha pagou R$ 15 mil a um técnico da C&M Software, que vendeu seu login e senha e executou códigos fornecidos pelos hackers dentro dos sistemas da empresa.
Até o momento, apenas o ex-funcionário João Nazareno Roque foi preso; ele indicou a participação de pelo menos quatro outras pessoas ainda não identificadas. Um advogado se ofereceu para defendê-lo na sexta-feira (4), mas ainda não foi localizado pela reportagem.
Em coletiva realizada na sexta-feira, porta-vozes da Polícia Civil informaram que o foco da operação era a prisão de Roque, o que limitou o tempo para analisar todas as movimentações financeiras do ataque.
Segundo reportagem da Folha, o golpe desviou cerca de R$ 1 bilhão das reservas financeiras de oito dos 23 clientes da C&M Software. Essas reservas são as contas de depósito mantidas no Banco Central para liquidar pagamentos entre instituições e garantir cobertura em casos de débito.
Contudo, apenas a BMP registrou oficialmente o crime, segundo a Polícia Civil paulista.
O Banco Central esclareceu que não tem controle sobre as contas afetadas e que sua infraestrutura não foi comprometida pelo ataque.
A polícia afirmou que, até o momento, a C&M Software não pode ser responsabilizada criminalmente pelo incidente.
A C&M Software declarou que continua colaborando ativamente com as autoridades responsáveis pela investigação do incidente ocorrido em junho de 2025.