O ataque hacker Sinqia Pix começou com uma estimativa de R$ 420 milhões. Dias depois, o relatório da Evertec, controladora da Sinqia, confirmou que o desvio chegou a R$ 710 milhões. Desse total, R$ 589 milhões (83%) já foram bloqueados pelo Banco Central, segundo informações apuradas pelo O Globo.

A invasão aconteceu em 29 de agosto de 2025, uma sexta-feira. A Sinqia é uma empresa de tecnologia financeira que faz a ligação entre fintechs, bancos e a rede do Banco Central para processar transações Pix. Não é um banco, mas tem acesso direto ao coração do sistema de pagamentos mais usado no Brasil.

Como o ataque hacker Sinqia Pix aconteceu

Os invasores não quebraram nenhum sistema do Banco Central. Usaram credenciais legítimas de fornecedores de TI da Sinqia para enviar ordens de transferência via Pix como se fossem transações autorizadas pelas instituições clientes.

Das duas instituições afetadas, a maior foi o HSBC: R$ 669 milhões saíram de uma conta de liquidação interbancária do banco. A Artta, uma sociedade de crédito direto (SCD), perdeu R$ 41 milhões em contas mantidas diretamente no Banco Central para liquidação. Nenhuma conta de cliente final foi impactada. O ataque mirou nas contas de liquidação, usadas para transferências entre instituições.

A Sinqia encerrou o acesso às credenciais comprometidas, isolou o ambiente Pix e o desconectou preventivamente do Banco Central enquanto investigava o incidente. A empresa afirmou que o ataque se limitou ao ambiente Pix e não afetou outros sistemas.

O segundo grande golpe ao Pix em dois meses

Em junho de 2025, a C&M Software, empresa do mesmo setor, sofreu um ataque semelhante e perdeu mais de R$ 800 milhões em transações Pix. Em dois meses, mais de R$ 1,5 bilhão passou por esse tipo de vulnerabilidade.

A diferença no caso da Sinqia é que os valores foram concentrados em grandes bancos, o que facilitou o bloqueio pelo Banco Central. No caso C&M, a recuperação foi mais difícil porque o dinheiro se dispersou por mais contas.

O que muda para o seu negócio

Empresários que usam Pix para receber e pagar não precisam entrar em pânico. O ataque hacker Sinqia Pix não afetou contas de pessoas físicas ou jurídicas comuns. O episódio, porém, expõe uma vulnerabilidade estrutural no modelo de acesso ao sistema.

Técnicos ouvidos pelo O Globo admitiram que o Banco Central deveria ter agido com mais firmeza para fechar essas brechas. Uma medida em estudo é aumentar o prazo de liquidação de transferências de alto valor. Hoje, o Pix liquida em cerca de dez segundos. Prazos maiores dariam tempo para identificar transações suspeitas antes que o dinheiro saísse.

Outro ponto em análise é rever quem tem acesso às chaves de transação. A suspeita é que fornecedores de TI tenham acesso a chaves que, por segurança, deveriam ficar exclusivamente com as instituições reguladas.

Para empreendedores, a lição é sobre a cadeia de fornecedores de tecnologia: qualquer empresa que conecta seus sistemas financeiros a terceiros carrega o risco de que esses terceiros sejam o elo mais fraco. O ataque hacker Sinqia Pix não veio de fora, veio de dentro, por uma porta aberta para alguém de confiança.

Conteúdo reescrito e traduzido para PT pela redação luiscortex, revisado por humano.

Fonte: share.google