A empresa brasileira de cibersegurança ZenoX revelou uma operação criminosa que usa sites fraudulentos para simular plataformas de apostas, reter depósitos e impedir retiradas financeiras. O esquema atrai apostadores com promessas de ganhos de até R$ 3.000 a partir de transferências via Pix na faixa de R$ 20 a R$ 30, mas bloqueia o resgate e exige o pagamento de uma taxa falsa de R$ 30.
A apuração técnica apontou que o mecanismo de bloqueio funciona por meio da programação direta das páginas, sem depender de softwares maliciosos tradicionais. De acordo com Gabriel Alves, pesquisador de ameaças da ZenoX e autor do relatório técnico, “a malícia desta operação não é malware clássico: é econômica e de engenharia. O próprio código da aplicação implementa o bloqueio do pagamento, a taxa falsa e a confirmação impossível de saque”.
Acompanhe: Nubank registra instabilidade em transações via Pix
Mecanismo técnico do golpe do Saque Fantasma no navegador
Os pesquisadores identificaram que a cobrança indevida ocorre dentro do próprio navegador da vítima, que gera o código QR destinado ao suposto pagamento da taxa de desbloqueio. No entanto, o sistema das páginas não possui ferramentas para validar a transação recebida, fazendo com que o pedido de retirada permaneça com a sinalização de pendência de maneira proposital. Com a falta de confirmação, a interface convida o usuário a emitir uma nova chave de pagamento, criando um ciclo contínuo de cobranças fraudulentas.
Leia também: Banco Central autoriza Pix Automático para contas-salário em 2027
A análise no sistema interno dos endereços fraudulentos foi facilitada pela descoberta de credenciais de produção expostas publicamente no código das páginas, além de uma brecha no formulário de cadastro que permitia o escalonamento imediato de privilégios de conta de usuário para o perfil de administrador. Por meio dessa abertura, a equipe de segurança inspecionou o banco de dados e verificou que os ambientes MAXXBET7K, MAXBTT7K e NEWWBET7K compartilhavam a mesma infraestrutura computacional, lógica de funcionamento e processos de recebimento.
Continue lendo: Operador de máquinas devolve Pix de R$ 1,2 mil recebido por engano em Buri
Dados mapeados pela ZenoX nas plataformas fraudulentas
A apuração no backend de uma das plataformas revelou a existência de R$ 107.519 registrados como saldo fictício acumulado desde dezembro de 2025. Ao todo, 92% das transferências analisadas concentravam-se na faixa entre R$ 20 e R$ 30, e 68% do total de transações avaliadas foram retidas com a indicação de pagamento pendente. Na página NEWWBET7K, os pesquisadores constataram a exposição de dados pessoais de mais de 3.600 pessoas, incluindo nomes, e-mails e telefones cadastrados.
Os registros identificados no painel interno detalham a proporção das movimentações financeiras:
Veja também: Pix por aproximação deixa de ter teto fixo de 500 reais
- 415 contas de usuários cadastradas na base principal analisada pelos técnicos;
- 231 transações de depósito registradas no histórico do sistema da plataforma;
- 157 transferências mantidas com status de taxa pendente, sem liberação de valores;
- 126 mil seguidores na conta do TikTok vinculada à divulgação do esquema;
- 2,5 milhões de curtidas acumuladas na página utilizada para atrair novos usuários.
Operação das falsas apostas ocorre após proibição federal
A atuação dessa rede fraudulenta acontece no momento em que o mercado de apostas de quota fixa foi interrompido no país pela Medida Provisória nº 1.394/2026, assinada pelo presidente da República, Luiz Inácio Lula da Silva, em 25 de setembro de 2026. A determinação governamental fixou o prazo final até as 23h59 de segunda-feira (5) para que os apostadores retirassem saldos remanescentes em empresas legalizadas, levando à desativação de sites comerciais em território nacional a partir de terça-feira (6). Após a medida, o governo federal encaminhou à Agência Nacional de Telecomunicações pedidos de bloqueio para mais de 10 mil domínios irregulares.
Saiba mais: Bolsa Família, Pix e SUS: histórico de criação mobiliza buscas do eleitorado
Antes da publicação da medida provisória, as empresas credenciadas pela Secretaria de Prêmios e Apostas do Ministério da Fazenda tinham a obrigação de utilizar o domínio oficial bet.br. As páginas fraudulentas investigadas ignoravam essa exigência formal e direcionavam a captação de clientes para perfis no TikTok, Instagram e grupos de atendimento no Telegram, prometendo retornos rápidos com a multiplicação do dinheiro depositado.
Como as vítimas devem agir diante do golpe do Saque Fantasma?
A startup de segurança orienta que os usuários lesados interrompam qualquer nova transferência bancária, rejeitando exigências adicionais de taxas de verificação ou depósitos condicionais para liberação de supostos bônus. A orientação é reunir o conjunto probatório das transações financeiras para encaminhamento às autoridades policiais e reporte aos provedores de serviços digitais.
Para formalizar a representação legal, a ZenoX indica a guarda dos seguintes registros:
- Comprovantes das transferências feitas via Pix com a indicação da chave de destino, data e valor;
- Registros visuais das conversas mantidas com os perfis de divulgação e canais de suporte;
- Capturas de tela das páginas falsas e dos históricos com as tentativas de saque bloqueadas;
- Endereços eletrônicos e publicações em redes sociais utilizadas na abordagem inicial.
Identificação dos operadores e monitoramento de novos domínios
A investigação técnica concluiu que a infraestrutura tem capacidade de resistir ao fechamento de endereços por meio da migração constante para novos registros na internet. A identidade civil dos responsáveis diretos e a localização física dos operadores por trás dos domínios da fraude não foram identificadas no relatório pericial divulgado pela empresa.
“A sofisticação não está necessariamente em usar uma tecnologia inédita, mas em combinar recursos simples para criar uma experiência convincente. Quando toda a jornada, do primeiro depósito à tentativa de saque, reforça a sensação de legitimidade, fica muito mais difícil para a vítima perceber onde termina a plataforma e começa a fraude”, afirmou Gabriel Paiva, CEO da ZenoX.
Gabriel Paiva declarou ainda que o combate a esse modelo de crime exige atenção contínua sobre a estrutura técnica compartilhada, permitindo antecipar novas campanhas fraudulentas antes que alcancem novos usuários na internet.