Maior ataque hacker do Brasil rouba R$1 BI do sistema financeiro

O sistema financeiro brasileiro foi abalado esta semana com a notícia de que hackers invadiram a infraestrutura da C&M Software, uma prestadora de serviços autorizada pelo Banco Central, e roubaram mais de R$ 1 bilhão de contas de reserva interbancárias.

Essa invasão está sendo considerada o maior ataque hacker da história do sistema bancário nacional — e as consequências vão muito além do prejuízo financeiro.

O que aconteceu no maior ataque hacker da história do sistema financeiro?

A C&M Software é responsável por intermediar a conexão de diversas instituições financeiras — especialmente fintechs — com sistemas como Pix, TED, DDA e o SPB (Sistema de Pagamentos Brasileiro). Ou seja, ela oferece uma camada técnica de acesso entre empresas e o Banco Central do Brasil.

Na segunda-feira, 1º de julho de 2025, criminosos exploraram vulnerabilidades na estrutura da C&M, usando credenciais legítimas de clientes para acessar contas de reserva interbancária.

Essas contas ficam diretamente no Banco Central e são utilizadas exclusivamente para liquidação entre instituições. Com isso, os hackers conseguiram movimentar ativos pertencentes a empresas como BMP, Bradesco e Credsystem.

Como os hackers movimentaram mais de R$1 bilhão sem serem detectados?

Assim que os criminosos acessaram os sistemas da C&M, eles começaram a transferir os valores rapidamente para diferentes provedores de criptomoedas integrados com Pix. A ideia era simples e perigosa:

• Converter os valores em USDT (Tether) ou Bitcoin
• Utilizar gateways cripto, mesas OTC, exchanges P2P e sistemas de swap integrados
• Dificultar o rastreamento, fragmentando os valores em pequenas transações

Um dos provedores identificou o volume atípico, bloqueou a operação e notificou a BMP. Porém, outras operações conseguiram ser concluídas antes da detecção.

Por que esse ataque foi tão grave?

Diferente de ataques a usuários ou cartões clonados, o alvo aqui foi a infraestrutura crítica do sistema financeiro nacional. Os hackers:

• Não atacaram diretamente o Banco Central, mas sim um parceiro autorizado
• Exploraram credenciais legítimas, dificultando a detecção imediata
• Usaram canais oficiais do SPB para movimentações financeiras
• Conseguiram acesso à camada de mensageria das APIs bancárias

Isso demonstra falhas severas na segurança de autenticação, validação e monitoramento de APIs, abrindo um alerta vermelho para todo o ecossistema de banking as a service (BaaS).

O que é a C&M Software e qual seu papel no sistema bancário?

A C&M Software atua há anos conectando instituições financeiras ao ecossistema do Banco Central. Sua principal função é:

• Oferecer APIs, webservices e infraestrutura de mensageria para empresas que não possuem sistemas próprios
• Intermediar liquidações via Pix, TED e boletos bancários
• Facilitar o acesso técnico ao SPB e ao STR (Sistema de Transferência de Reservas)

É um hub de acesso ao núcleo financeiro nacional — e justamente por isso, tornou-se um ponto sensível. Uma vulnerabilidade em sua infraestrutura impacta diversas empresas ao mesmo tempo.

Quem são as instituições afetadas?

A principal vítima divulgada até agora é a BMP, empresa de banking as a service que oferece soluções para fintechs e empresas oferecerem serviços bancários próprios. Outras empresas citadas foram:

• Credsystem
• Bradesco (que nega prejuízos)
• Instituições menores ainda não identificadas

A BMP garantiu que os clientes finais não foram afetados, pois os valores estavam em conta de reserva. Segundo comunicado oficial:

“O ataque envolveu exclusivamente recursos depositados em sua conta reserva no Banco Central. A instituição já adotou todas as medidas legais e operacionais.”

Como os hackers conseguiram acessar as credenciais?

As investigações iniciais apontam que o ataque utilizou credenciais de clientes reais da C&M, provavelmente obtidas por:

• Phishing
• Roubo de senhas em endpoints mal protegidos
• Vazamentos anteriores não monitorados

Com esses dados, os criminosos utilizaram o próprio ambiente da C&M para simular operações legítimas de liquidação. Como a camada de segurança estava na C&M — e não nas empresas clientes —, a falha foi explorada na borda de acesso.

O ataque expôs vulnerabilidades no modelo BaaS?

Sim. O ataque à C&M Software expõe uma das principais fragilidades do modelo de Banking as a Service: a dependência de terceiros para acessar o sistema bancário.

Quando uma empresa terceiriza a conexão ao Banco Central, ela está confiando que a infraestrutura da parceira está segura.

E isso levanta questões como:

• Quais são os protocolos de segurança exigidos pelo Banco Central para prestadores de serviço?
• Há auditorias periódicas? Há monitoramento ativo?
• Como são tratadas tentativas de acesso em massa ou fora do padrão?

Como o sistema reagiu?

Após detectar o incidente, o Banco Central determinou a desconexão imediata da C&M do SPB, isolando a empresa e evitando novos ataques.

Além disso:

• A Polícia Federal e a Polícia Civil de São Paulo iniciaram investigações
• Alguns valores em transações cripto já foram bloqueados e devolvidos
• Exchanges e mesas OTC estão colaborando com as autoridades
• A BMP reforçou sua operação com colaterais financeiros

Esse foi o maior ataque hacker da história do Brasil?

Com base no volume estimado — mais de R$ 1 bilhão roubados em minutos — sim.

Até então, o maior ataque do tipo envolvia valores abaixo de R$ 15 milhões, como no caso do SIAFI em 2024. Isso representa um salto de quase 100 vezes em valor movimentado e um novo patamar de sofisticação nos ataques cibernéticos.

Dúvidas comuns sobre o maior ataque hacker do sistema financeiro

1. Quem foi o responsável pelo ataque?

Ainda não há confirmação oficial. O caso está sob investigação da Polícia Federal e do Banco Central.

2. O Banco Central foi invadido?

Não. A invasão ocorreu na C&M Software, prestadora de serviços autorizada pelo BC.

3. Clientes finais perderam dinheiro?

Segundo as instituições envolvidas, nenhum cliente teve prejuízo. Apenas as contas de reserva foram acessadas.

4. Como os hackers movimentaram o dinheiro?

Por meio de sistemas de pagamento via Pix conectados a exchanges e mesas OTC de criptomoedas.

5. Por que usaram criptomoedas?

Para dificultar o rastreamento do dinheiro e tentar convertê-lo em ativos digitais como USDT e Bitcoin.

6. O que o Banco Central fez?

Determinou o desligamento da C&M do sistema bancário e está conduzindo investigações.

7. A C&M é confiável?

É uma prestadora autorizada e regulada pelo Banco Central, mas teve sua segurança comprometida nesse incidente.

8. Isso pode acontecer com outros bancos?

Sim, especialmente se dependerem de terceiros para acessar sistemas críticos sem camadas adicionais de segurança.

9. O dinheiro pode ser recuperado?

Parte já foi bloqueada. A recuperação completa depende da velocidade das ações judiciais e da colaboração das exchanges.

10. Como evitar que isso se repita?

Reforçar autenticação, auditar APIs, segmentar acessos e criar políticas de segurança específicas para BaaS.

Como o Casa do Dev acompanha esse tipo de ataque hacker?

Aqui no Casa do Dev, produzimos conteúdo técnico e educativo para:

• Desenvolvedores backend e devops
• Arquitetos de software em fintechs
• Equipes de segurança digital

Assine nossa newsletter e siga @casadodev nas redes para se manter atualizado com os incidentes mais relevantes do mundo financeiro e da tecnologia.

Se você quer se especializar em programação, invista em um curso completo. Indico este Pacote Fullstack, ele é um curso completo e vai te ajudar a aprender do zero, aumentando suas habilidades es práticas que o mercado procura.

Comece do absoluto zero e prepare-se para o mercado de trabalho com um curso que vai te ensinar desde lógica de programação até criar projetos e colocar no GitHub!

Veja nossas indicações de cursos de programação que compartilhei para ajudar em sua carreira, e também participe do nossos grupos da Casa do Dev.

Espero que você tenha achado interessante de ler.
Ajude a manter nosso conteúdo, patrocine um conteúdo ou pague um cafézinho para este colega Dev que sempre busca compartilhar um pouco das experiências e conhecimento com vocês.
Chave PIX: [email protected]

Fiquem bem.

Cirino,
Casa do Dev
Criador de conteúdo Tech e fundador da Casa do Dev

[ Instagram ] https://instagram.com/casadodev
[ Twitter ] https://x.com/casadodev
[ Home ] https://casado.dev

• fontes de verificação: https://br.cointelegraph.com/news/hackers-steal-r-1-billion-from-the-central-bank-of-brazil-s-reserve-account-and-convert-it-into-bitcoin-and-usdt, https://itforum.com.br/noticias/hackers-roubam-mais-de-r-1-bi-ataque-banking e https://www.criptofacil.com/hackers-roubam-r-1-bilhao-das-contas-do-banco-central-do-brasil