Um sofisticado ataque cibernético registrado em agosto de 2025 resultou no desvio de aproximadamente R$ 710 milhões do sistema financeiro brasileiro. O crime foi realizado contra uma empresa de tecnologia responsável por conectar instituições financeiras ao Sistema de Pagamentos Instantâneos (SPI), estrutura operada pelo Banco Central que viabiliza as transferências via Pix.
Os valores desviados pertenciam a contas de dois clientes: o banco HSBC e a fintech Artta, sediada em Curitiba. A empresa atacada, a Sinqia, faz a ponte tecnológica entre bancos, corretoras e fintechs e a rede do Pix.
Os resultados da apuração indicam que os criminosos exploraram credenciais legítimas de fornecedores de tecnologia da Sinqia para acessar o sistema. Após a invasão, o dinheiro foi rapidamente movimentado por diversas camadas financeiras para dificultar o rastreamento. O grupo utilizou empresas de fachada para ocultar o rastro do dinheiro roubado, convertendo os valores em criptomoedas e simulando uma origem legítima para os recursos.
O caso só foi levado a julgamento meses depois. Em março de 2026, a Polícia Federal e o Ministério Público de São Paulo deflagraram a Operação Cofre Digital, cumprindo três mandados de prisão temporária e cinco mandados de busca e apreensão. A Justiça bloqueou até R$ 28 milhões em bens e valores de quatro pessoas físicas e 28 empresas que faziam parte da estrutura criminosa, com ramificações identificadas em São Paulo e no Paraná.
Do total desviado, R$ 589 milhões, cerca de 83%, foram bloqueados pelo Banco Central. Tanto o sistema central do Pix quanto as contas de clientes de varejo não foram comprometidos, já que o ataque incidiu sobre as contas que as instituições mantêm para liquidação bancária.
As investigações prosseguem com o objetivo de identificar o destino final dos recursos e possíveis novos envolvidos no esquema.
