O bilhão que nunca existiu: o maior roubo do Pix custou R$ 15 mil em senha, e a conta fecha em R$ 813 milhões
A manchete de julho de 2025 dizia R$ 1 bilhão desviado do Banco Central. O BC não foi invadido, o boletim de ocorrência registra R$ 541 milhões e a PF fecha em R$ 813 milhões. Um técnico de TI vendeu a senha por R$ 5 mil.
Na madrugada de 30 de junho de 2025, entre 4h e 7h, ordens de Pix em massa saíram das contas de reserva que seis instituições mantêm no Banco Central por meio da C&M Software, uma prestadora de tecnologia que conecta 23 clientes ao Sistema de Pagamentos Brasileiro. Só a BMP, que formalizou boletim de ocorrência, perdeu R$ 541 milhões. O dinheiro foi pulverizado em mais de 100 contas em 29 instituições e convertido em cripto em mesas OTC integradas ao Pix. Nada saiu do Banco Central: a Aos Fatos desmentiu, ainda em 3 de julho, o boato de invasão ao BC.
O número da manchete, R$ 1 bilhão, veio de uma estimativa do Brazil Journal repetida por TecMundo e Seu Dinheiro. Nunca foi confirmado. Os números com artefato são três: R$ 541 milhões no boletim da BMP, R$ 270 milhões bloqueados por ordem judicial um mês depois, e R$ 813 milhões como total desviado, citado pela PF na Operação Magna Fraus 2, que prendeu 21 pessoas em 31 de outubro, seis delas na Espanha e duas na Argentina.
A entrada não foi um exploit. Foi João Nazareno Roque, 48 anos, técnico de TI da C&M desde 2022, ex-eletricista, abordado num bar no Jaraguá, zona norte de São Paulo, por alguém que sabia onde ele trabalhava. Vendeu as credenciais por R$ 5 mil, depois explicou como o sistema funcionava por mais R$ 10 mil, e trocava de celular a cada 15 dias. Foi preso em 3 de julho pelo Deic. O advogado dele fala em fantoche. A conta de entrada do maior roubo do Pix fecha em R$ 15 mil.
Dois meses depois, em 29 de agosto, o roteiro se repetiu na Sinqia, outra prestadora: R$ 670 milhões, R$ 630 milhões deles do HSBC Brasil, com credenciais legítimas de fornecedores de TI. Em 5 de setembro o BC publicou o pacote: teto de R$ 15 mil por transação para instituições não autorizadas e para quem se conecta por prestadora, capital mínimo de R$ 15 milhões para as prestadoras, seguro contra risco cibernético, e o prazo de autorização das instituições de pagamento antecipado de dezembro de 2029 para maio de 2026. Em março de 2026 a CrowdStrike relatou um novo grupo, Slim Spider, montando um painel de Pix numa instituição brasileira não nomeada. Sem valor divulgado, confiança média.
R$ 541 milhões num boletim. R$ 813 milhões na PF. R$ 1 bilhão na manchete. Só um deles não tem artefato.
Três números, uma manchete| O que saiu | |
| Boletim da BMP, 30 jun 2025 | R$ 541 mi |
| Total citado pela PF, 31 out | R$ 813 mi |
| A manchete, sem artefato | R$ 1 bi |
| O que entrou | |
| Pelas credenciais | R$ 5 mil |
| Por explicar o sistema | R$ 10 mil |
| = Custo de entrada | R$ 15 mil |
R$ 541 mi: boletim da BMP via CNN Brasil e Folhapress. R$ 270 mi: bloqueio judicial via CNN e Folhapress. R$ 813 mi: PF, Magna Fraus 2, via CNN Brasil. R$ 1 bi nunca foi confirmado por autoridade e fica em confiança fraca. Os R$ 15 mil vêm de CNN, CartaCapital e Poder360.
Um técnico de TI vendeu a senha por R$ 5 mil, explicou o sistema por mais R$ 10 mil, e trocava de celular a cada 15 dias. O resto foi automação.
Detalhes como comandos via Notion ou ambiente de homologação circularam sem artefato checável e ficam de fora.
Evidência · 9 fontes▾
Entidades C&M Software, BMP, Banco Central do Brasil, Sinqia, HSBC Brasil, João Nazareno Roque, Deic, Polícia Federal, Operação Magna Fraus
