O BTG Pactual suspendeu todas as operações de Pix após identificar um ataque que desviou cerca de R$ 100 milhões de recursos próprios depositados junto ao Banco Central. A maior parte foi recuperada, mas entre R$ 20 milhões e R$ 40 milhões ainda estão em rastreamento.
Ataques ao ecossistema Pix
| Quando | Alvo | Impacto estimado |
|---|---|---|
| Jul/2025 | C&M Software (provedora de tecnologia) | R$ 800+ mi desviados, 3 instituições suspensas pelo BC |
| Jan/2026 | Banco do Nordeste (via provedor terceirizado) | Pix suspenso preventivamente, valor em apuração |
| Mar/2026 | BTG Pactual | ~R$ 100 mi desviados, maior parte recuperada |
Fontes: Bloomberg Línea, Agência Brasil
A escalada de ataques ao ecossistema Pix
O banco identificou atividades atípicas na manhã do domingo, 22 de março, e ativou protocolos de segurança que resultaram na suspensão preventiva de todas as operações via Pix. Em comunicado, o BTG afirmou que “não houve acesso a contas de clientes e nenhum dado de correntista foi exposto”. Os valores desviados não saíram de contas de correntistas, e sim de reservas que a instituição mantém junto ao BC para liquidação de transações no sistema de pagamentos instantâneos. O Banco Central não se pronunciou até a publicação desta reportagem.
O incidente se soma a uma sequência que vem testando a resiliência do Pix. Em julho de 2025, o maior ataque hacker ao Pix partiu de um hotel de luxo em Brasília, explorando vulnerabilidades na C&M Software, provedora que conecta instituições ao sistema. O desvio ultrapassou R$ 800 milhões, afetou ao menos oito instituições e levou o BC a suspender três participantes.
Em janeiro de 2026, foi a vez do Banco do Nordeste suspender o Pix após ataque hacker a um provedor terceirizado.
Em entrevista ao podcast Let’s Money em 2024, Daré, CEO da Núclea, detalhou o DetectaFlow, sistema que conecta bancos para rastrear transações Pix via grafos em tempo real. Na época, a ferramenta já buscava preencher a lacuna de segurança criada pela instantaneidade do Pix. Após o caso C&M, o BC ampliou as exigências de detecção de anomalias para todos os participantes.
