Fintech de milhões registrada em nome de ex-cozinheiro

Alvo de um bloqueio judicial de R$ 270 milhões, valor que teria sido desviado do banco BMP, em um dos maiores golpes cibernéticos já registrados no país, a fintech Soffy Soluções de Pagamentos está oficialmente registrada em nome de Stevan Paz Bastos, um ex-cozinheiro gaúcho que trabalhou em restaurantes no Mato Grosso do Sul.

Documentos oficiais da Junta Comercial de São Paulo indicam que Stevan Paz Bastos tornou-se o único sócio da Soffy em 5 de maio deste ano, aproximadamente seis semanas antes da fintech receber 69 transferências via Pix provenientes da conta do banco BMP, na madrugada de 30 de junho. O banco suspeita que a fintech funcione como uma “empresa de fachada”.

Em um pedido de investigação e bloqueio de bens entregue à Justiça paulista, obtido pelo Metrópoles, o BMP relatou que a empresa foi criada em 2020 com sede em uma praça da cidade de Atibaia, interior de São Paulo, e posteriormente teve seu endereço alterado para um edifício na Avenida Paulista, em São Paulo, sem que o conjunto ocupado fosse detalhado.

O documento também aponta que a Soffy Soluções de Pagamentos acumula uma série de queixas por fraudes via Pix em plataformas de defesa do consumidor, e que os valores desviados no ataque hacker no final de junho “foram fragmentados e usados para compra de criptomoedas, especialmente USDT”.

Além disso, o banco BMP informou que milhões de reais foram transferidos para várias pessoas físicas, sendo os destaques Carlos Luiz da Silva Júnior, que recebeu sete transferências totalizando R$ 44 milhões, e Vanessa Ribeiro Ritacco, que recebeu fragmentos equivalentes a R$ 20 milhões em quatro transações.

Quem é o ex-cozinheiro dono da fintech?

Stevan Paz Bastos, dono formal da Soffy Soluções de Pagamentos, tem 36 anos, nasceu em São Luiz Gonzaga (RS) e até recentemente trabalhou como cozinheiro em restaurantes de Campo Grande, Mato Grosso do Sul. Em seu perfil no Linkedin, afirma ter atuado como chef de cozinha em diversos bares e restaurantes da região entre 2015 e 2020.

Em maio deste ano, ele adquiriu todas as cotas da empresa, tornando-se sócio único, em transação de R$ 1 milhão realizada por Guilherme Henrique Bernardes de Freitas. Fundada em junho de 2020 sob o nome Orion Soluções de Pagamentos, a fintech mudou seu endereço para a Avenida Paulista em maio deste ano.

Residente atualmente em São Paulo, Stevan Bastos não possuía qualquer vínculo prévio com o mercado financeiro e também é proprietário formal da Distribuidora Peixe Boi, fundada em 2018 em Campo Grande.

Prisão de suspeito por facilitar ataque

Dois dias após o incidente, João Nazareno Roque, funcionário de TI da empresa C&M, foi preso sob suspeita de ter auxiliado o ataque, concedendo acesso aos hackers mediante o fornecimento de suas senhas. Segundo as investigações, ele teria recebido R$ 15 mil em troca.

João Nazareno Roque confessou ter autorizado o acesso ao sistema sigiloso do banco após ser abordado por criminosos em um bar. As investigações apontam que ele permitia que outros agentes realizassem transferências eletrônicas em massa, totalizando R$ 541 milhões para diversas instituições financeiras.

A Polícia Civil de São Paulo continua investigando outros envolvidos, de acordo com o depoimento de João Nazareno Roque, há pelo menos mais quatro homens envolvidos nos ataques que afetaram seis instituições financeiras, incluindo o BMP. Um inquérito conduzido pela Polícia Federal também está em andamento.

Detalhes do ataque

O golpe que atingiu a C&M Software utilizou a técnica chamada “Supply Chain”, onde hackers invadem uma empresa para acessar os recursos de seus clientes. Essa ação criminosa é planejada por meses e os invasores já estariam inseridos no sistema da C&M há um tempo.

Seis instituições financeiras foram afetadas, com vultosos desvios de valores e paralisação temporária das operações via Pix. O prejuízo estimado para o banco BMP é de R$ 541 milhões, mas fontes policiais indicam que o montante total pode ser ainda maior.