Hack de jogos de azar em Curaçao desmascara cerca de 800 proprietários ocultos de cassinos, a maioria deles europeus

O que o hack de jogos de azar de Curaçao revelou

Uma intrusão de nove meses na Autoridade de Jogos de Curaçao (CGA) expôs quem realmente é o dono de centenas de cassinos online offshore. Acontece que a maioria desses proprietários são europeus.

Os ficheiros vazados ligam cerca de 800 beneficiários efetivos às 646 empresas que detinham uma licença de jogo em Curaçao em dezembro de 2025. Juntas, essas empresas gerem milhares de websites, incluindo marcas que os reguladores de toda a Europa multaram ou colocaram na lista negra.

Os documentos também sugerem que o regulador aprovava licenças rotineiramente, enquanto questões básicas sobre propriedade ficavam sem resposta. A CGA não contestou este ponto. Vários dos cripto-cassinos e casas de apostas esportivas mais conhecidos do setor estão entre as marcas cujos proprietários registrados agora aparecem no cache.

Para as autoridades europeias, a fuga de informação revela algo que lhes faltava há décadas: nomes. Até agora, um muro de firmas de fachada anónimas escondeu os responsáveis, tanto dos reguladores como dos cobradores de impostos.

Como um falso requerente de licença entrou no regulador

A violação começou com um simples engano. Em dezembro de 2025, a hacker Lilith Wittmann, baseada em Berlim, inscreveu-se no portal de licenciamento da CGA. Ela se fez passar por gerente de um escritório fiduciário holandês que o regulador já conhecia, mas inseriu seu endereço de e-mail pessoal.

Ela alegou representar uma fundação que havia inventado e o acesso foi concedido em poucos dias. Por conta própria, ela encontrou uma falha de segurança explorável poucas horas após fazer login.

Essa falha abriu todo o sistema de gerenciamento de licenças, onde todos os pedidos e documentos de apoio eram armazenados. Wittmann diz que depois observou o regulador “trabalhar em tempo real” durante cerca de nove meses, sem ser notado pelos funcionários.

A CGA confirmou que uma conta criada sob uma identidade falsa utilizou o seu portal de dezembro de 2025 a setembro de 2026. Afirma que a intrusão foi contida, considera-a uma violação grave da lei de Curaçao e irá denunciá-la às autoridades.

O resultado é vasto. Inclui declarações de propriedade, pedidos de licença, avaliações internas do regulador, passaportes, declarações fiscais e registos financeiros.

Em 23 de setembro, um arquivo público pesquisável com mais de 40.000 documentos foi colocado online sob o nome Casino Secrets. Qualquer pessoa pode consultar empresas e domínios, embora o site ressalte que o aparecimento nos arquivos não implica conduta ilegal.

Wittmann conhece bem os servidores dos reguladores de jogos de azar. No início de 2026, ela violou um sistema pertencente à Malta Gaming Authority.

Uma rede europeia de proprietários por trás de caixas de correio caribenhas

Cidadãos da Ucrânia, do Reino Unido e de Chipre lideram a lista de proprietários identificados nos ficheiros, enquanto 13 são holandeses. No papel, seus negócios são empresas de caixa de correio de Curaçao administradas por escritórios fiduciários locais.

Essa camada de controle é notavelmente pequena. Apenas 40 representantes de 30 escritórios fiduciários negociaram com o regulador em nome das empresas licenciadas, e 31 deles possuem passaportes holandeses.

Os arquivos também chegam ao topo do mercado. Quatro casos se destacam:

Quando abordados, os representantes das casas de apostas disseram que não poderiam responder às suposições extraídas de documentos que não tinham visto. Os proprietários do cassino voltado para o Brasil e a operadora multada na Holanda não responderam. Aparecer nos arquivos não significa que alguém tenha infringido a lei.

Na Alemanha, os repórteres que trabalharam nos arquivos vincularam cerca de 1.000 domínios de cassino a operadores vinculados a um fornecedor de software de cassino. O fornecedor afirma que não administra cassinos e compara seu papel ao de um fornecedor de software de escritório. A CGA considerou o agrupamento uma invenção dos próprios repórteres.

A mesma série de revelações atinge o maior caso de casino ilegal da Alemanha. No dia 8 de Setembro, mais de 100 agentes revistaram 11 propriedades, principalmente nos arredores de Frankfurt, e prenderam o principal suspeito. Os promotores alegam que o cassino não licenciado recebeu cerca de 5,86 bilhões de euros em apostas entre julho de 2021 e o final de 2023.

O regulador conjunto de jogos de azar da Alemanha, o GGL, identificou desde então o cassino online voltado para a Alemanha no centro do caso. Wittmann, que vincula o casino a Curaçau, estima que o défice alemão de impostos sobre jogos de azar seja de cerca de 250 milhões de euros, um valor não confirmado oficialmente. O fornecedor do software diz que pode ter fornecido componentes individuais para aquele cassino, mas não participou de sua administração.

A história também chega aos nórdicos. As emissoras públicas da Noruega e da Suécia examinaram os ficheiros juntamente com as redações holandesas, alemãs e austríacas, e as reportagens norueguesas encontraram noruegueses entre os requerentes de licença.

Revisão do licenciamento de Curaçao sob pressão

O vazamento ocorre no momento em que Curaçao tenta se livrar de sua reputação de longa data de supervisão negligente. Durante quase 30 anos, alguns titulares de licenças master privadas venderam sublicenças a operadores em todo o mundo, com pouco envolvimento do Estado.

Essa licença nunca permitiu que os operadores fizessem apostas em outros países. O seu apelo era o acesso: a escritórios fiduciários locais, empresas de pagamento e fornecedores de software de casino, além de um selo que fazia os operadores parecerem legítimos.

Sob pressão dos Países Baixos, Curaçau aprovou a Portaria Nacional sobre Jogos de Azar (LOK) em 2024, colocando os operadores sob supervisão direta da CGA. Uma licença custa agora cerca de 47.450 euros por ano, e o regulador reforçou as suas regras para operadores de criptomoedas em junho.

A CGA diz que o sector ainda está em transição. Novos requisitos estão a ser introduzidos passo a passo, uma escolha feita sob a responsabilidade do ministro das finanças. O regulador acrescenta que não recusa licenças ao primeiro sinal de dúvida.

Afirma também que rejeitou cerca de 28% dos pedidos desde 2023 e que as suas licenças não cobrem mercados como a Alemanha. Alerta contra o julgamento de pedidos a partir de documentos únicos sem o processo completo.

Os críticos não estão convencidos. Marcel Pheijffer, professor de contabilidade forense na Nyenrode Business University, disse que tal abordagem seria impossível na Holanda. Um regulador, argumentou ele, deveria pensar antes de agir.

Björn Fuchs, presidente da associação holandesa de jogos de azar online VNLOK, foi mais longe. Ele disse que a nova lei parece estar “falhando miseravelmente” e instou o regulador a recusar licenças quando persistirem sinais de alerta.

O que acontece a seguir

As consequências estão apenas começando. A investigação forense da CGA ainda está em andamento e Wittmann disse que planeja divulgar a lista completa dos beneficiários efetivos.

Em Curaçao, o escrutínio está a ser transferido para o Ministério das Finanças. O regulador afirma que a lenta implementação das novas regras foi decidida sob a responsabilidade do ministro, e os meios de comunicação locais já perguntam quais as instruções que a CGA recebeu.

As empresas que dependem de dados de propriedade declarada enfrentam o seu próprio acerto de contas. Bancos, provedores de pagamento e empresas de criptografia que trabalham com operadoras licenciadas em Curaçao podem precisar revisar seus arquivos de devida diligência.

A luta jurídica sobre os métodos de Wittmann está longe de estar resolvida. De acordo com Wittmann, a Autoridade de Jogos de Malta perdeu recentemente um processo provisório contra ela em Berlim, para que ela possa continuar a usar os seus documentos.

Para os jogadores, a conclusão é simples: uma licença de Curaçao revela pouco sobre quem dirige um cassino. Nem torna um operador legal em países como a Alemanha ou os Países Baixos, que exigem uma licença nacional.

Perguntas frequentes

O que aconteceu no hack de jogos de azar em Curaçao?

Uma hacker registrou-se no portal de licenciamento da Autoridade de Jogos de Curaçao sob uma identidade falsa em dezembro de 2025. Ela então teve acesso ao sistema de gerenciamento de licenças do regulador por cerca de nove meses, até que a violação foi detectada em setembro de 2026.

Quem está por trás do hack da Curaçao Gaming Authority?

A hacker e pesquisadora de segurança Lilith Wittmann, baseada em Berlim, assumiu a responsabilidade. No início de 2026, ela também violou um sistema da Malta Gaming Authority.

Quantos proprietários de cassinos foram expostos?

Os ficheiros ligam cerca de 800 proprietários beneficiários a 646 empresas licenciadas em Curaçau em dezembro de 2025. A maioria dos proprietários são europeus, liderados por cidadãos da Ucrânia, do Reino Unido e de Chipre.

As principais marcas de cassino são afetadas pelo vazamento?

Sim. Vários dos cripto-cassinos e casas de apostas esportivas mais conhecidos licenciados em Curaçao aparecem nos documentos, ao lado de centenas de operadores menos conhecidos. Ser citado nos arquivos não indica, por si só, irregularidade.

Um cassino licenciado em Curaçao pode operar legalmente na Europa?

Não apenas com base nessa licença. Uma licença de Curaçao não autoriza jogos de azar em países como a Alemanha ou a Holanda, que exigem as suas próprias licenças nacionais.

Como a Autoridade de Jogos de Curaçao respondeu?

A CGA confirmou o acesso não autorizado, afirma que foi contido e considera-o uma violação grave da lei de Curaçao. Afirma que a indústria está num período de transição e adverte contra tirar conclusões de documentos individuais.