Fenasbac e Mercado Bitcoin abriram a cadeia do golpe: R$ 99 bilhões perdidos num ano, e nenhum elo enxerga mais que um trecho dela.
O primeiro mito que o relatório desmonta: o contato inicial acontece fora do sistema financeiro, com dado vazado e engenharia social, e a instituição só aparece na última milha.
Dos R$ 99 bilhões perdidos no Brasil em 2025, a maior fatia nasce do ataque à pessoa, e não à tecnologia: o golpista vai ao elo mais fraco, não ao core bancário.
O Mercado Bitcoin vê Pix e comportamento do cliente na própria plataforma, mas o golpe começou num telefonema ou numa rede social — e ninguém tem a cadeia inteira na mão.
Depois de bloquear parte do valor de um banco fraudado e ajudar na apuração, a plataforma foi incluída como se fosse parte da fraude. Colaborar teve custo, e não prêmio.
Contra o senso comum, cada passagem entre cripto e moeda fiduciária é um ponto de identificação. No golpe Pix relatado na sessão, os recebedores estavam identificados — e eram laranjas.
O fecho da sessão: se o crime aprendeu a transitar e a se especializar nas novas tecnologias, o setor precisa se organizar como ecossistema. Não existe vitória solo contra a cadeia.
Sessão da faixa Regulation Rocks, no GOV Stage, em dois tempos. Primeiro uma apresentação de abertura, com Sara Oliveira, da Fenasbac, sobre o relatório que a casa produziu com a GASA — a Global Anti-Scam Alliance, que está entrando no Brasil — e a cadeia de três etapas do golpe. Depois uma conversa a dois com Fabricio Tota, do Mercado Bitcoin, coautor de um artigo do relatório, sobre de quem é a responsabilidade quando o dinheiro chega na última milha.
Abertura
A abertura avisou que o foco do palco ia mudar um pouco: o impacto dos golpes digitais no sistema financeiro, com um olho no mercado cripto e blockchain. Antes de entrar no relatório, veio a pergunta de quem ali não conhecia a Fenasbac — subiram muitas mãos, e a casa foi apresentada: uma instituição que se descreve como principal catalisadora da inovação no Brasil.
Instituição que conecta reguladores, instituições financeiras, startups, academia e cooperativas, com a tese de que tecnologia, regulação e modelo de negócio só funcionam juntos.
A Global Anti-Scam Alliance é forte nos Estados Unidos, na Ásia e na Europa, e tem Visa, Mastercard, Google e Amazon entre os membros globais que agora olham para golpes e fraudes.
O Mercado Bitcoin assina um dos artigos. Também contribuíram Aristides Cavalcante, do Banco Central, Rafael Miele, pela FEBRABAN, Ulisses Pacheco, da AWS, e Lucas Gallitto, da GSMA.
Vamos ali no banco sacar 5 mil reais, botar numa caixa de sapato, entregar para alguém na rua. Quem faria isso hoje em dia?
Os números
Os números são do levantamento da GASA referente a 2025, e vieram em perspectiva de país: quase 1% do PIB brasileiro evaporando em um ano com golpes e fraudes. A conta não é de um banco nem de uma plataforma — é do Brasil inteiro.
Na mesma estimativa, 50% dos adultos ouvidos disseram ter sido vítimas de golpe pelo menos uma vez nos últimos doze meses.
A média dá cinco abordagens por semana para cada adulto. E três em cada quatro disseram que sabiam o que estava acontecendo — e caíram assim mesmo.
A tese
O primeiro mito que o relatório quis desmontar é o de que o golpe nasce na instituição financeira. A sessão saiu em defesa do sistema financeiro brasileiro — Pix e Open Finance como motivo de orgulho — para dizer que o ataque começa muito antes, numa cadeia de três etapas, e que o dinheiro só passa pelo banco ou pela exchange na última delas.
Com dados já vazados, o golpista monta a ficha de quem a pessoa é: onde ela se loga, o que está exposto, o que dá para usar depois. É a fase que o relatório chama de descoberta e direcionamento.
Ele não ataca o core bancário nem o firewall: ataca a pessoa, de quem já sabe localização, família e filhos. Setenta por cento das perdas dos R$ 99 bilhões nascem aí — o WhatsApp clonado é o exemplo.
É onde entram a instituição financeira e o mercado cripto. O golpe não começou ali, mas é ali que ele se encerra — e é ali que está o setor reunido neste evento.
O que trava
A conversa começou pelo que o Mercado Bitcoin consegue ver: transações Pix, comportamento do cliente na plataforma, o momento em que o golpe já virou valor. É um trecho substancial da cadeia, mas ainda um trechinho de um crime que começou num telefonema, numa mensagem de WhatsApp ou numa rede social.
Os recursos são escassos, e nem sempre dá para abrir informação: legislação e regulação limitam o que se troca, e abrir pode expor a plataforma e a própria vítima.
Precisa de cem contas laranja e combina com outro criminoso, que já as tem. Não assina nada, não precisa de contrato. Do outro lado, o ambiente institucional é lento e cheio de regra.
Ele vai combinar com outro criminoso também, e vai usar as contas laranjas que esse cara já tem.
Prova de campo
Vieram então os casos concretos, os bons e os ruins. Nos episódios de fraude em massa no Pix, os controles próprios do Mercado Bitcoin — implementados antes mesmo da regulação cripto — identificaram comportamento atípico e seguraram alguns milhões de reais.
Cliente que tipicamente não movimenta aquele volume aciona o alerta: a transação é barrada e a plataforma volta para checar se está tudo certo. Se estiver, segue.
Um envio de stablecoin feito em viagem, fora do padrão de uso do cliente, acabou bloqueado — e exigiu todo o processo de desbloqueio para concluir uma transação legítima.
Um banco foi fraudado, parte do valor caiu na plataforma e só uma parte deu para bloquear. Ao colaborar para recuperar o resto, foi incluído como se fosse parte da fraude.
Cara, eu vou resolver o meu problema, eu não tô muito preocupado com o problema sistêmico. Então, quando a gente tem esse tipo de abordagem pro problema, acho que todo mundo perde.
A ruptura
A sensação corrente é a de que, quando o dinheiro vira cripto, acabou. Na mesa, a leitura foi o contrário: o rastro fica, e cada passagem por um gatekeeper entre cripto e moeda fiduciária é uma chance de identificar quem está do outro lado. A colaboração com polícias e com o Judiciário já acontece há algum tempo.
A plataforma já recebeu pedido para bloquear uma carteira sem que o Judiciário soubesse de quem era. Bloqueada, devolveu CPF e CNPJ, e a investigação seguiu a partir dali.
O mercado da deep web foi desmontado quando um vacilo ligou uma mensagem a uma conta de e-mail e a um computador de biblioteca pública. Duas prisões perpétuas, e um perdão recente de Donald Trump.
Fundos congelados por quatro ou cinco anos se moveram numa compra pequena num 7-Eleven do interior dos Estados Unidos. Câmera, registro, e o casal foi preso — dezenas de milhões de dólares.
Num golpe Pix relatado na sessão, havia nome e CPF de quem recebeu, mas eram laranjas, e não deu em nada. A diferença de tratamento entre os dois mundos precisa ser equiparada.
O recado
O fim juntou as duas partes. De um lado, a crítica às travas que promovem atrito sem resolver — a orientação de 24 horas do Banco Central tinha saído na sexta anterior. De outro, a volta à caixa de sapato: todo mundo riu e disse que não entregaria, mas é o que acontece todo dia pelo celular. Se o crime aprendeu a transitar nas novas tecnologias, as instituições precisam trabalhar juntas. Não existe vitória solo.
A orientação do Banco Central da última sexta entrou na conversa: cripto acima de US$ 10 mil espera 24 horas, com prerrogativa do prestador de liberar quem tem padrão conhecido há meses.
Quatro anos atrás dava para bater o olho numa identificação falsa. Hoje é extremamente complexo: uma campanha de marketing que explodiu no quarto dia era, na verdade, tentativa de fraude.
Limitar por limitar promove atrito na operação de quem é legítimo, e a conta sobra no cliente. No limite, é pôr todas as ruas a 20 por hora — e até o Porsche anda a 20.
A gente tem que caminhar junto. Fraude não é um diferencial competitivo.
Citados na sessãoFenasbac·GASA·Mercado Bitcoin·Visa·Mastercard·Google·Amazon·Banco Central·FEBRABAN·AWS·GSMA·Aristides Cavalcante·Rafael Miele·Ulisses Pacheco·Lucas Gallitto·Pix·Open Finance·WhatsApp·Facebook·Ross Ulbricht·Donald Trump·7-Eleven
TemasGolpes e Fraudes·Engenharia Social·Regulação·Pix·Cripto
Tradução simultânea em legendas — PT, EN e ES — durante todo o evento.
Ver a programação