O Banco Central (BC) suspendeu cautelarmente o acesso ao Pix de seis instituições financeiras nas últimas semanas — uma medida preventiva diante do maior ataque hacker já registrado no sistema de pagamentos brasileiro.
Mais de R$ 530 milhões foram desviados e movimentados via Pix, segundo investigação da Polícia Civil de São Paulo.
Instituições afastadas do Pix pelo Banco Central
Até agora, o BC desconectou estas fintechs:
-
Transfeera, Soffy e Nuoro Pay (suspensas em 4/julho);
-
Brasil Cash, Voluti Gestão Financeira e S3 Bank (suspensas em 7/julho).
A decisão vale por até 60 dias e permite que o BC investigue se essas empresas receberam recursos fruto do ataque à provedora C&M Software, responsável pela infraestrutura tecnológica das operações Pix.
Como o golpe do Pix ocorreu
Na madrugada de 1º de julho, hackers invadiram a infraestrutura de mensageria da C&M, utilizada por diversas fintechs e bancos, para desviar recursos de contas‑reserva mantidas junto ao BC.
Estima‑se que o valor total seja de R$ 541 milhões, com algumas fontes apontando para até R$ 1 bilhão. Parte dos recursos foi convertida em criptomoedas.
Um funcionário da C&M foi preso por facilitar o ataque, vendendo credenciais de acesso por R$ 15 mil.
Por que o BC agiu
Baseado no artigo 95‑A da Resolução 30/2020 — a “lei do Pix” —, o Banco Central pode suspender a participação de instituições quando há risco ao funcionamento do sistema. O objetivo principal é:
-
Evitar novos desvios por instituições envolvidas;
-
Proteger a integridade do sistema de pagamentos instantâneos;
-
Preservar a confiança de usuários e bancos.
Situação das empresas suspensas
-
Transfeera afirmou que suas demais atividades continuam, apenas o Pix está suspenso. A empresa garante colaboração com o BC para retomar a operação.
-
Brasil Cash informou que não foi alvo do ataque e que seus sistemas não foram violados. Está colaborando com autoridades e reforçando a segurança.
-
Voluti ativou seu sistema antifraude, bloqueou transações suspeitas e devolveu recursos via Mecanismo Especial de Devolução (MED). Também afirmou que não houve invasão e que contribui com as investigações.
As demais instituições não se manifestaram publicamente até o momento.
Prazo e consequências da suspensão do Pix
A suspensão é cautelar e tem validade de até 60 dias, podendo ser revogada ou prorrogada conforme as investigações avancem.
Durante esse período:
-
As fintechs ficam impedidas de realizar transações Pix
-
Seus clientes precisam usar outros mecanismos (TED/DOC) ou bancos parceiros para fazer pagamentos instantâneos
-
O BC monitorará o comportamento dessas instituições antes de autorizar o retorno
Riscos ao ecossistema Pix
Embora as medidas tenham alcance limitado (afetam apenas fintechs de pequeno porte), o episódio expõe vulnerabilidades:
-
As instituições envolvidas atuavam como agregadoras, processando operações Pix em nome de parceiros.
-
O incidente fragiliza a ideia de que o sistema é totalmente seguro e automatizado.
-
Pode haver impacto indireto no volume geral de transações e na confiança dos usuários.
Enquanto isso, bancos tradicionais e a infraestrutura central do BC permanecem operacionais e seguros.
Reação do mercado e próximos passos
O BC agiu rapidamente após o ataque; a Polícia Civil já prendeu o funcionário da C&M suspeito, enquanto a investigação ainda apura o envolvimento de outras pessoas ou instituições.
Com o prazo de 60 dias em vigor, o BC deverá acompanhar o caso de perto, podendo estender suspensões ou reativar operações de acordo com os resultados técnicos e legais.
Especialistas definem a medida como “extrema, mas necessária”. Segundo informações, a decisão visa evitar contaminação sistêmica e gerar maior resiliência contra ataques semelhantes.
Impacto para o consumidor
-
Clientes dessas fintechs devem usar canais alternativos para movimentar dinheiro
-
Empresas de menor porte, que dependem do Pix para pagamento a fornecedores, podem enfrentar atraso em recebimentos
-
Usuários comuns não precisam se preocupar, desde que suas contas estejam em bancos não afetados
