Pada Minggu, 22 Maret 2026, peretas mengalihkan sekitar R$ 100 juta dari BTG Pactual (bank investasi Brasil) melalui sistem Pix (sistem pembayaran instan Brasil). Banco Central mendeteksi pergerakan tidak biasa mulai pukul 6 pagi. BTG Pactual menangguhkan operasi Pix secara preventif. Pada Senin, 23 Maret, mulai memulihkan layanan. R$ 73 juta berhasil dipulihkan. Antara R$ 20 juta dan R$ 40 juta masih hilang.
Uang yang dicuri bukan berasal dari rekening nasabah. Itu adalah sumber daya BTG sendiri, yang disimpan di Banco Central untuk penyelesaian transaksi melalui Pix. Tidak ada data pribadi yang terekspos. Tidak ada rekening investor yang diakses. Kegagalannya bersifat internal.
Namun episode ini menimbulkan pertanyaan yang sah: apakah Pix aman?
Kronologi Serangan ke BTG Pactual
Serangan tersebut mengeksploitasi jam pengawasan paling rendah: Minggu dini hari. Peretas mengakses rekening penyelesaian yang dimiliki BTG di Banco Central dan mengeksekusi serangkaian transfer melalui Pix ke rekening di berbagai lembaga: Banco Inter, Banco do Brasil, Bradesco, Caixa Econômica Federal, PicPay, Itaú, dan Mercado Pago.
Polisi Federal dan CyberGaeco dikerahkan. Penyelidikan sedang menyelidiki kemungkinan penggunaan kredensial lama yang terkait dengan perusahaan teknologi perbankan yang pernah memberikan layanan kepada BTG. Keterlibatan karyawan yang memiliki akses ke kredensial rekening cadangan tidak dikesampingkan.
Setelah penyebaran di berbagai rekening, sebagian nilai dikonversi ke dalam mata uang kripto untuk mempersulit pelacakan. Taktik ini bukan hal baru: itulah pola tiga serangan terbesar ke sistem keuangan Brasil sejak 2025.
| Peristiwa | Tanggal | Nilai |
|---|---|---|
| Deteksi oleh Banco Central | Minggu, 22/03, pukul 6 | R$ ~100 juta dialihkan |
| Penangguhan Pix oleh BTG | Minggu, 22/03 | Preventif |
| Awal pemulihan | Senin, 23/03 | R$ 73 juta dipulihkan |
| Nilai yang belum dipulihkan | Dalam penyelidikan | R$ 20-40 juta |
Pola Serangan: dari R$ 800 Juta hingga R$ 100 Juta
Serangan ke BTG tidak terjadi dalam ruang hampa. Sejak 2025, sistem keuangan Brasil menghadapi setidaknya tiga insiden besar yang melibatkan Pix, dengan kerugian yang berjumlah lebih dari R$ 1,5 miliar.
Juli 2025: C&M Software (R$ 800 juta). Peretas menyerbu C&M Software, perusahaan teknologi yang melayani lebih dari 8 lembaga keuangan. Serangan mengakibatkan pengalihan sekitar R$ 800 juta, insiden terbesar dalam serangkaian kejadian ini.
September 2025: Sinqia (R$ 710 juta). Penyedia teknologi Sinqia menjadi sasaran serangan yang mengalihkan R$ 710 juta: R$ 669 juta terkait dengan HSBC dan R$ 41 juta dengan koperasi kredit Artta. Sebagian besar nilai diblokir oleh Banco Central.
Januari 2026: Banco do Nordeste. Bank menangguhkan Pix setelah intrusi pada penyedia pihak ketiga. Ini adalah insiden pertama yang melibatkan lembaga tersebut sejak pembuatan sistem.
Polanya jelas: serangan tidak menargetkan Pix itu sendiri, tetapi sistem internal lembaga dan terutama pemasok teknologi mereka. Kredensial lama, akses pihak ketiga, dan kegagalan tata kelola internal adalah vektor masuknya.
Perhatian
Sejak 2025, serangan pada pemasok teknologi perbankan mengakibatkan kerugian lebih dari R$ 1,5 miliar. Mata rantai terlemah bukan Pix: melainkan sistem perantara lembaga.
Pix Itu Sendiri Tidak Dikompromikan
Inilah perbedaan paling penting: infrastruktur Pix, yang dioperasikan oleh Banco Central, tetap utuh.
Pix berfungsi seperti jalan raya. Transfer mengalir melalui jalan raya ini dengan aman, dengan enkripsi ujung ke ujung, otentikasi berlapis, dan pemantauan waktu nyata oleh Banco Central. Yang dikompromikan dalam semua serangan 2025 dan 2026 adalah "kendaraan" yang melintas di jalan raya itu: sistem internal bank dan pemasok mereka.
Dalam kasus BTG Pactual, peretas tidak membobol protokol Pix mana pun. Mereka mengakses kredensial yang digunakan bank untuk beroperasi dalam sistem. Seperti seseorang yang mengkloning kunci mobil, bukan merombak jalan yang dilaluinya.
Banco Central menegaskan dalam pernyataannya bahwa Sistema de Pagamentos Instantâneos (SPI) tidak dilanggar. Yang gagal adalah manajemen kredensial dari salah satu lembaga peserta.
Informasi
Banco Central memantau semua transaksi melalui Pix secara waktu nyata. Pemantauan itulah yang mendeteksi pergerakan tidak biasa BTG pada pukul 6 Minggu pagi, memungkinkan tindakan cepat.
Kripto sebagai Jalur Pelarian
Dalam semua serangan besar sejak 2025, tujuan akhir nilai yang dialihkan mengikuti skenario yang sama: penyebaran di berbagai rekening bank, diikuti konversi ke mata uang kripto.
Logikanya langsung. Transfer bank dapat dilacak: setiap transaksi Pix memiliki CPF atau CNPJ asal dan tujuan. Mata uang kripto, meskipun tercatat di blockchain, memungkinkan pergerakan antar dompet pseudonim yang sangat mempersulit identifikasi penerima akhir.
Dalam serangan ke BTG Pactual, nilai disebarkan di setidaknya 7 lembaga berbeda sebelum sebagian dikonversi ke kripto. Polisi Federal berhasil memulihkan R$ 73 juta, namun porsi yang dikonversi ke aset digital merupakan tantangan terbesar penyelidikan.
Pola ini memperkuat diskusi yang semakin mendesak di Brasil: regulasi pasar mata uang kripto. Keterlacakan operasi kripto dan identifikasi penerima akhir merupakan poin sentral agar pihak berwenang dapat merespons dengan efektif terhadap jenis kejahatan ini.
Cara Melindungi Uang Anda
Serangan 2025 dan 2026 tidak mengompromikan rekening individu. Serangan itu ditujukan pada infrastruktur institusional. Namun bukan berarti Anda tidak perlu mengambil langkah perlindungan untuk penggunaan Pix sehari-hari.
Konfigurasikan batas transfer. Setiap bank memungkinkan penyesuaian batas Pix per transaksi dan per periode. Kurangi batas malam hari (antara pukul 20.00 dan 06.00) ke nilai rendah atau nol. Sebagian besar serangan pada individu terjadi melalui paksaan, dan batas rendah mengurangi kerugian.
Aktifkan autentikasi dua langkah (2FA). Biometri, token, atau konfirmasi melalui perangkat sekunder. Setiap lapisan autentikasi tambahan mempersulit akses tidak sah.
Gunakan kunci acak. Pilih kunci Pix acak daripada CPF, email, atau telepon. Kunci yang terhubung dengan data pribadi memudahkan upaya rekayasa sosial.
Hindari jaringan Wi-Fi publik untuk transaksi keuangan. Jaringan terbuka adalah vektor intersepsi yang diketahui. Gunakan jaringan seluler Anda atau VPN yang terpercaya.
Kenali MED (Mecanismo Especial de Devolução). Jika Anda menjadi korban penipuan melalui Pix, Anda memiliki waktu hingga 80 hari untuk meminta pengembalian nilai dari bank Anda melalui MED. Bank harus menghubungi lembaga penerima dalam 30 menit untuk memblokir sumber daya di rekening tujuan. Semakin cepat kontak, semakin besar kemungkinan pemulihan.
Tips
Konfigurasikan sekarang batas malam hari Pix Anda. Sebagian besar bank memungkinkan pengurangan ke R$ 0 antara pukul 20.00 dan 06.00, dengan perubahan yang dijadwalkan berlaku dalam 24 hingga 48 jam demi keamanan.
Apa Artinya bagi Investor
Keamanan sistem keuangan adalah topik yang langsung menarik bagi setiap investor. Serangan 2025 dan 2026 tidak mempengaruhi Pix sebagai infrastruktur, namun mengungkap kebutuhan lembaga keuangan untuk terus berinvestasi dalam keamanan siber, tata kelola kredensial, dan audit pemasok pihak ketiga.
Bagi investor individu, pelajarannya ganda: memahami bahwa sistem pusat bersifat kuat, tetapi keamanan pribadi bergantung pada praktik yang baik dari pengguna itu sendiri. Batas yang dikonfigurasi, autentikasi yang diperkuat, dan kewaspadaan terhadap upaya rekayasa sosial tetap menjadi pertahanan terbaik.
Di Royal Binary, keamanan sumber daya investor diperlakukan sebagai prioritas operasional. Dengan operasi yang tercatat dalam lingkungan sendiri, dikelola oleh tim Sidnei Oliveira dengan pengalaman lebih dari 6 tahun di pasar keuangan, dan dengan transparansi operasional penuh (CNPJ 64.020.950/0001-60, Avenida Paulista, 807, São Paulo), model kami berupaya mengurangi risiko di setiap tahap proses.
Imbal hasil di pasar keuangan adalah pendapatan variabel. Hasil masa lalu tidak menjamin hasil masa depan.
Tips
Ingin memahami cara kerja operasi terkelola Royal Binary? Kenali paket dan riwayat operasi kami di app.royalbinary.io.