DINAMO, Grupo Auth e Gate fecharam o palco principal dissecando o roubo de credenciais do PIX e o que muda quando a chave é o próprio ativo.
TS
O incidente sistêmico não quebrou o protocolo: uma credencial usada para transacionar foi vendida por cerca de R$ 15 mil, e o acesso ao prestador intermediário não tinha autenticação multifator.
Não basta autenticar a pessoa. A camada descrita no palco valida também se é ela quem quer fazer aquela operação, e para quem o dinheiro está indo do outro lado.
Confiança e escalabilidade se chocam: crescer obriga a subir governança na mesma proporção. O PIX ampliou a escala transacional do país inteiro e ampliou a exposição junto.
Um certificado comprometido pode ser revogado. No universo cripto a chave é o próprio ativo, e o comprometimento fica mais crítico — daí a pergunta sobre quem guarda as chaves.
O caminho apontado é o player se conectar por uma instituição que já tem licença, estrutura de compliance e canal direto com o Banco Central. A régua sobe e o mercado se segrega.
Num país de baixo letramento tecnológico, o desafio de quem chega com Web3 é não tornar mais complexo um mundo que já é complexo para a maioria — sem abrir mão da verificação.
Último painel do palco principal, conduzido por Aaron Stanley. Na mesa, o fabricante de criptografia que protege as mensagens do PIX, um grupo com licenças de instituição financeira e a operação brasileira de uma exchange global. Em vez de futurologia, a conversa foi para o incidente que tirou mais de R$ 1 bilhão do sistema bancário e para o que a chave privada muda nesse cálculo.
Abertura
O painel que fechou o palco principal juntou três camadas que raramente sentam na mesma mesa: a criptografia que roda por baixo do sistema de pagamentos, a instituição financeira licenciada que dá acesso a ele e a corretora que atende o usuário final. A abertura deu 90 segundos a cada um e, na sequência, pôs uma única pergunta na mesa: o que cada vertical entende por confiança digital em escala.
Pouca gente fora do mercado financeiro a conhece, mas todos interagem com ela: criptografia das mensagens do PIX, hardware das autoridades certificadoras, CNH Digital e imposto de renda.
Um grupo formado por instituições financeiras, que soma licenças próprias e tecnologia para atender um mercado cripto entrando no âmbito regulatório — foi assim que a casa se apresentou na mesa.
A corretora, apresentada como uma das três maiores do mundo em criptoativos, chegou à mesa pela área de growth e desenvolvimento de negócios no Brasil, com a perspectiva do usuário final.
Definição
O dia a dia ficou mais digital — aplicações, nuvem, tudo em ambiente conectado — e, em paralelo, cresceram a fraude e os ataques, de dentro e de fora das organizações, com a pressão reguladora correndo atrás. Nesse cenário, a definição que ficou posta foi esta: confiança digital é conseguir provar duas coisas — que você é você e que é você mesmo quem quer executar aquela operação.
Além de confirmar que o usuário é quem diz ser, as soluções de biometria checam se ele de fato quer fazer aquela transação — e se não é alguém tentando se passar por ele.
O bloco antifraude responde a outra pergunta: para quem estou transferindo, eu conheço aquela pessoa ou entidade, e não estou caindo em um golpe ao mandar o dinheiro.
A conta apresentada para 2025 passa de 750 bilhões de tentativas de ataque no país, o que dá vários milhões por minuto — volume classificado ali mesmo como estrondoso.
A tese
Na leitura levada ao palco, confiança e escalabilidade são duas frentes que acabam se chocando: crescer obriga a ter muito mais governança e muito mais controle, porque o cliente, B2B ou B2C, precisa saber que está em ambiente seguro. O PIX foi o exemplo à mão — aumentou a escalabilidade transacional do Brasil inteiro e, junto com ela, a exposição.
O grupo troca informação com provedores do mesmo segmento para evitar que o golpe se repita: incidente em uma instituição, concorrente ou não, é ruim para o mercado inteiro.
Boa parte do risco entra pela porta do fornecedor. Escolher bons parceiros de segurança apareceu como condição para que o problema não aconteça dentro de casa.
A gente fala aqui: segurança e governança tem que estar no dia a dia, no café da manhã.
Em produção
A pergunta posta na mesa foi sobre o usuário brasileiro, acostumado a golpe e a pirâmide: como saber que a plataforma é segura e que o ativo é de verdade? A resposta começou pela própria rede — operar em blockchain é operar em ambiente transparente, auditável e verificável por qualquer um — e seguiu para o que a casa faz com os dados de quem entra.
Em se tratando de exchange, a primeira coisa que o usuário deveria olhar é quanta liquidez existe ali. A Gate mantém um painel dedicado exclusivamente a esse dado.
O KYC acontece uma vez, no cadastro. O que a casa chama de biometria digital é o comportamento — rotina, destinos, valores — para separar bom de mau usuário sem invadir privacidade.
Uma das primeiras dores das empresas Web3 que chegam ao Brasil é transformar a experiência em algo facilitado num país subdesenvolvido em educação, principalmente a tecnológica.
Não tornar mais complexo um mundo que, para grande maioria das pessoas, já é complexo.
Prova de campo
O PIX é um ambiente imediato — menos de seis segundos entre uma ponta e outra — e, por isso, altamente reativo a qualquer falha. O incidente de nível sistêmico não atacou o protocolo: entrou pela proteção das credenciais que os bancos usam para transacionar, as mesmas do arcabouço de certificados digitais do ICP-Brasil.
O ponto de partida foi humano e barato: uma credencial vendida por cerca de R$ 15 mil, valor citado no palco com a ressalva irônica de que o preço subiu depois do caso.
Instituições acessam a rede do sistema financeiro por prestadores de serviço intermediários. Sem autenticação multifator, os invasores chegaram ao servidor de um deles e copiaram credenciais.
A sequência de eventos levou Banco Central e Conselho Monetário Nacional a publicar resoluções com 14 controles: acesso, política de segurança, guarda de chaves e segregação de ambientes.
A ruptura
O paralelo veio direto: se já se rouba credencial no PIX, o que acontece quando se acrescenta uma camada de transações imutáveis, que também pode ser alvo de fraude e de golpe? A resposta foi de grau, não de tipo.
Um certificado roubado e usado em nome da instituição pode ser revogado quando o comprometimento aparece. A chave privada que representa o ativo financeiro não tem esse botão.
A máxima do varejo cripto foi virada para a empresa: as chaves guardam o dinheiro dos clientes, mas quem é, de fato, o dono e o guardião delas dentro da instituição?
Controle de acesso, processo de autenticação e responsabilidade pela guarda, listados nas resoluções para o sistema financeiro, foram apresentados como a régua também das chaves privadas.
No universo cripto, você sabe bem, not your keys, not your coins, a gente fala aí. Mas você como instituição, você realmente é o dono daquelas chaves?
O recado
O player que vai se tornar regulado se conecta por uma instituição parceira que já tem infraestrutura e comunicação direta com o Banco Central. A régua sobe dos dois lados.
Os aportes de capital exigidos entraram na mesma leitura: são parte do movimento que segrega quem tem estrutura para operar no ambiente regulado de quem não tem.
O fecho foi de cooperação: as instituições financeiras precisam se ajudar e caminhar junto com o Banco Central e os demais reguladores para combater a fraude.
Citados na sessãoDINAMO·Grupo Auth·Gate·Banco Central·Conselho Monetário Nacional·Pix·ICP-Brasil·ITI·Receita Federal·SPB·CNH Digital
TemasSegurança·Identidade Digital·PIX·Custódia·Regulação
Tradução simultânea em legendas — PT, EN e ES — durante todo o evento.
Ver a programação