Um dos fornecedores white-label mais usados por gateways brasileiros de pagamento — a Creedx / MonsterGateway (Creedx Finance LTDA, CNPJ 62.160.739/0001-18) — teria sido totalmente comprometida. O ator identificado como ka1do publicou em um fórum de cibercrime o que descreve como um takeover completo do CRM Supabase que servia cerca de 30 empresas clientes.
Se o material for autêntico, é um dos vazamentos mais graves do ecossistema fintech brasileiro em 2026 — não pelo tamanho absoluto, mas porque afeta gateways que processam pagamentos de terceiros.
O que vazou (segundo o ator)
- 43.000+ leads com PII completa: nome, e-mail, WhatsApp e CPF.
- Capacidade de account takeover em qualquer usuário da plataforma.
- Criação de conta "Administrador Geral" em qualquer tenant.
- Webhooks de pagamento sem autenticação — transações podem ser marcadas como PAGAS (o ator afirma ter explorado numa transação real).
- 27 backdoors de admin ativos distribuídos entre as empresas clientes.
- Chaves de integração expostas: Pagar.me, SafePix e outras.
- Configurações financeiras e API keys internas.
As falhas técnicas — a cartilha do que não fazer
O relato do ator lê como um checklist reverso de segurança em Supabase. Os pontos citados:
- Projeto Supabase com
mailer_autoconfirmativo e zero Row Level Security. - 80+ funções RPC sem checagem de permissão.
- Reset arbitrário de senha via
admin_update_user_password. - Criação stealth de admin via
create_auth_user_and_profile. - Abuso de webhook sem autenticação — explorado com sucesso numa transação real.
- CORS wildcard com credenciais liberadas nas APIs de produção.
- Configurações financeiras e API keys expostas sem autenticação.
Empresas clientes afetadas
- TriboPay — ~14.500 leads
- IronPay — ~6.400 leads
- Hebreus
- InvictusPay
- Frendz
- Bloo
- Atomo Pay
- … e outras não nomeadas publicamente.
Por que isso é grave
Gateway white-label é infraestrutura. Cada gateway cliente do Creedx tem, por trás, os mesmos endpoints e o mesmo banco — se a base é multi-tenant sem RLS, um único bug vira um vazamento em cadeia. É exatamente o cenário descrito: 30 empresas, um único Supabase, nenhum isolamento efetivo.
A combinação de PII completa (incluindo CPF) + webhook forjável é especialmente perigosa: dá munição para golpe direcionado (phishing com dados reais do cliente) e para fraude financeira (transação marcada como paga sem entrar dinheiro).