Uma rede de sites de apostas falsos está aplicando um golpe em duas etapas em brasileiros, e o dinheiro some nas duas. A empresa de cibersegurança ZenoX analisou páginas com nomes como MAXXBET7K, MAXBTT7K e NEWWBET7K e descobriu que o saque prometido nunca acontece. O código mal feito dos golpistas ainda deixou aberto o cadastro das vítimas.
R$ 30 viram R$ 3.000, e depois mais R$ 30
A isca chega por mensagem direta e vídeo no TikTok, no Instagram e no Telegram: deposite R$ 20 ou R$ 30 por Pix e veja o valor virar R$ 2.000 ou R$ 3.000 em minutos. O saldo de fato aparece na tela, mas o botão de saque não funciona. Aí entra a segunda cobrança, uma “taxa de liberação” fixa de R$ 30.
Ao ler o código-fonte, os pesquisadores viram que essa taxa é montada no próprio navegador. Quando a página não consegue falar com o intermediador de pagamentos PixUp, ela gera um QR Code genérico, e a confirmação nunca chega. Não há vírus envolvido, por isso antivírus não ajuda: é engenharia social com um site programado para travar o dinheiro.
Banco de dados aberto
Os criadores deixaram senhas e chaves de administrador no código entregue ao visitante. Com isso, a ZenoX entrou no banco de dados. Só no NEWWBET7K havia cadastro de mais de 3,6 mil pessoas, com nome completo, e-mail, telefone, saldo fictício e histórico de Pix.
No painel do MAXXBET7K e do MAXBTT7K, o saldo somava R$ 107.519 em 415 contas. Do total, 92% dos depósitos eram de valor baixo, e 68% das transações estavam paradas como “pendentes”, que na prática é o destino final do dinheiro. Quando um domínio é bloqueado, o grupo registra outro com nome parecido.
Como reagir
Quem pagou deve abrir contestação pelo MED 2.0, o mecanismo de devolução do Pix do Banco Central, direto no aplicativo do banco e o quanto antes, com comprovantes e prints das conversas. O MED bloqueia o valor na conta de destino e segue o dinheiro por contas intermediárias. Também vale registrar ocorrência na Polícia Civil, o que ajuda a derrubar domínios e perfis. E como os dados vazaram, a próxima abordagem pode ser alguém oferecendo “recuperar o saldo” mediante nova taxa. É o mesmo golpe, com outra roupa.
O alerta chega na semana em que o governo proibiu as bets no Brasil: quem tem saldo em casa de aposta legalizada tem até 5 de outubro para sacar, e qualquer site prometendo “liberar” dinheiro depois disso merece ainda mais desconfiança.
