A Soffy Soluções de Pagamentos, uma das empresas suspeitas de receber recursos desviados em um ataque hacker à C&M Software, é administrada por Stevan Paz Bastos, natural do Rio Grande do Sul, mas com trajetória profissional incomum: antes de fundar a fintech, ele atuou como chef de cozinha em Campo Grande (MS).

Formado em contabilidade entre 2005 e 2010, Bastos migrou para a gastronomia, cursando formação no Senac MS. Seu histórico no LinkedIn mostra passagens como auxiliar administrativo, comerciante e chef em restaurantes da capital e do interior do estado entre 2015 e 2020. A transição para o setor financeiro ocorreu há cinco anos, quando assumiu a Soffy, sediada em São Paulo.

A empresa teve R$ 270 milhões bloqueados pelo Banco Central (BC) nesta semana, suspeita de envolvimento no desvio de R$ 541 milhões do banco BMP. A fraude, parte de um ataque maior à C&M — empresa que conecta instituições menores ao BC —, totalizou prejuízos de R$ 800 milhões. A Soffy está entre as seis instituições suspensas do Pix.

Histórico de processos
Segundo o Valor Econômico, a fintech acumula 13 ações judiciais desde junho por suposta omissão em fraudes via Pix. Em nenhum caso apresentou defesa. Procurada, a empresa não se manifestou.

O ataque à C&M
O crime ocorreu na terça-feira (1º), quando hackers usaram credenciais de um cliente da C&M para simular transações. A empresa afirmou que não houve invasão direta a seus sistemas, mas que clientes têm autonomia para desativar proteções. O BC interveio, suspendendo temporariamente o acesso ao Pix, restabelecido na quinta (3).

Investigado pelo BC, pela Polícia Civil de São Paulo e pela Federal, o caso levou a C&M a contratar uma auditoria externa para reforçar controles. A empresa nega falhas em sua infraestrutura e alega que a responsabilidade pelo uso das credenciais é das instituições clientes.

Stevan Paz Bastos, até então sem ligação com o setor financeiro, agora figura no centro de uma das maiores fraudes digitais do país.

* Com Estadão Conteúdo