Banco Central amplia suspensões no Pix após ataque hacker bilionário

Durante a noite de sexta-feira (4), o Banco Central anunciou a suspensão do acesso ao sistema Pix de mais três instituições de pagamento, como parte das investigações sobre um ataque hacker contra a empresa de tecnologia C&M Software. Com essa medida, já são seis as fintechs impedidas de operar via Pix.

Foto: Agência Brasil

As empresas afetadas mais recentemente são a Voluti Gestão Financeira, a Brasil Cash e a S3 Bank. Elas se juntam à Transfeera, Nuoro Pay e Soffy, que tiveram a operação suspensa um dia antes. Segundo o Banco Central, a decisão é preventiva e segue as diretrizes da resolução que rege o Pix, com suspensão de até 60 dias para instituições que ofereçam risco ao funcionamento do sistema de pagamentos.

A ação da autoridade monetária ocorre no rastro de um golpe cibernético que desviou cerca de R$ 1 bilhão de instituições financeiras. Apenas a BMP Money Plus sofreu um prejuízo de R$ 541 milhões. Parte desse montante foi transferida para contas ligadas às seis fintechs agora sob bloqueio. A Soffy, por exemplo, teria recebido R$ 270 milhões, conforme revelou a Polícia Civil de São Paulo.

A Transfeera declarou que continua operando normalmente, exceto pelo serviço de pagamento instantâneo, e que está colaborando com as autoridades para reverter a suspensão. A Nuoro Pay também reforçou seu comprometimento com as normas do Banco Central e informou que mantém diálogo com a instituição para retomar suas operações. Até o momento, Voluti, Brasil Cash e S3 Bank não responderam aos contatos da imprensa.

A investigação aponta que o ataque teria envolvido a participação de um técnico da C&M Software, João Nazareno Roque, de 48 anos. Segundo o delegado Renato Topan, Roque revelou ter sido abordado em março e ter mantido conversas com ao menos quatro pessoas envolvidas no esquema, encontrando-se pessoalmente com uma delas em um bar na zona norte de São Paulo. Durante o cumprimento de mandados, a polícia apreendeu celulares, computadores e uma agenda com anotações, embora nenhum indício de criptoativos tenha sido encontrado.

O delegado acrescentou que Carlos Benitez, CEO da BMP, foi alertado por volta das 4h de segunda-feira (1º) sobre uma movimentação suspeita. As transações fraudulentas continuaram até às 7h, e a BMP foi a única empresa que registrou boletim de ocorrência formal.

Apesar do envolvimento de um funcionário, a C&M Software, segundo a polícia, não é responsabilizada criminalmente pelo ataque. Em nota, a empresa afirma que “segue colaborando de forma proativa com as autoridades competentes nas investigações sobre o incidente ocorrido em julho de 2025”.

A autoridade monetária ainda avalia a possibilidade de novas suspensões, caso outras instituições tenham descumprido as normas de segurança do Pix.