Golpe do Café Divertido: Rastreando um Esquema Ponzi de 278% na TRON

Em 20 de julho de 2026, o aplicativo Fun Coffee parou de funcionar, deixando várias centenas de investidores em Hong Kong e Macau incapazes de recuperar tanto o principal quanto os retornos que a plataforma havia prometido. A empresa por trás dele, que se anunciava como desenvolvedora de equipamentos de café de alta tecnologia com ativos totais superiores a US$1 bilhão, foi posteriormente identificada pela polícia de Hong Kong e Macau como uma operação fraudulenta. Até 19 de agosto, a Polícia de Hong Kong havia recebido 286 denúncias envolvendo aproximadamente HK$118 milhões.

Partindo dos registros de pagamento de uma vítima, rastreamos os fundos adiante na TRON e recuperamos uma rede de 99 endereços que receberam 72.829.035 USDT de fora e, até a data de corte de nossos dados, haviam movido tudo de volta para fora. O que se segue estabelece a estrutura dessa rede, como separamos o dinheiro devolvido aos investidores do dinheiro levado embora, e onde a análise on-chain atinge seu limite.

Uma nota sobre o que se segue. Os fatos do capítulo um vêm de reguladores, polícia e mídia noticiosa, e cada página citada foi aberta e verificada. Tudo o mais é nossa própria análise de registros on-chain, cobrindo apenas USDT na TRON. Onde dizemos o que um endereço faz, isso se baseia em seu comportamento na cadeia e na atribuição de entidade no banco de dados de rótulos da BlockSec. Não é uma conclusão sobre quem controla o endereço, o estado mental dessa pessoa, ou responsabilidade legal. Para proteger a privacidade da vítima cujo material deu início a isto, não mostramos seus endereços, hashes de transação ou capturas de tela da plataforma, e não divulgamos seus valores individuais.

Os alertas vieram antes de a plataforma parar

O registro público tem um formato que vale a pena notar antes de qualquer dado da cadeia.

Em 15 de maio de 2026, a polícia da província de Khánh Hòa, Vietnã, publicou um alerta. Ele descrevia retornos anunciados de 10% a 30% ao mês e uma estrutura que incentivava os participantes a recrutar por meio de "comissões de sistema" e "bônus de desempenho de equipe" em múltiplos níveis. Dizia claramente de onde vinha o dinheiro: não da venda de café, mas de pessoas que se juntavam depois.

Em 13 de julho de 2026, a Comissão de Valores Mobiliários e Futuros de Hong Kong (SFC) adicionou o "Fun Coffee GCM 專案" à sua lista de alertas de Produtos de Investimento Suspeitos. A SFC registrou o operador e o promotor como a mesma entidade, abrangendo Hong Kong e Vietnã. Sua listagem nomeia os produtos anunciados pelo esquema, incluindo um sistema de extração de café frio de alta eficiência e um módulo de teste e rastreabilidade de segurança alimentar, e observa que o material chegou aos investidores por meio de eventos de marketing realizados em Hong Kong.

Em 20 de julho de 2026, o aplicativo parou de funcionar.

A Polícia de Hong Kong começou a receber denúncias ao longo de julho, após o encerramento, e conduziu uma operação conjunta com a Polícia Judiciária de Macau de 1 a 3 de agosto, prendendo seis pessoas em Hong Kong e duas em Macau. Os presos em Hong Kong eram diretores da empresa, acionistas e membros centrais responsáveis pela promoção e recrutamento. Aproximadamente HK$610.000 foram congelados.

A ordem dos acontecimentos, então, foi: alerta regulatório, depois encerramento, depois investigação criminal. Essa sequência é usada novamente mais adiante para explicar uma anomalia nos dados de pagamento.

O discurso de vendas em si não era complicado. A plataforma alegava ativos totais superiores a US$1 bilhão e mais de 5.000 funcionários. A Polícia de Hong Kong descreveu três níveis, 啟航 (Launch), 成長 (Growth) e 遠航 (Voyage), anunciando retornos anuais de aproximadamente 197% a 278%. No nível mais alto, 29.800 USDT mantidos por 570 dias deveriam retornar cerca de HK$1 milhão em lucro. Os participantes ganhavam bônus por trazer amigos e familiares, e a polícia vietnamita observou que os eventos de vendas ensinavam os participantes a recrutar.

O pagamento passava por cripto em cada etapa. Assim que um investidor se registrava no aplicativo, o atendimento ao cliente informava para qual carteira enviar ativos virtuais; somente após esse depósito eles podiam investir. Macau funcionava de forma um pouco diferente: as vítimas entregavam dinheiro em espécie a funcionários da loja, que os ajudavam a fazer o depósito por meio de uma conta cripto, com o dinheiro acabando em uma conta designada pelo patrocinador superior. Esse mesmo patrocinador superior também financiava as operações da loja em cripto.

A rede: quatro camadas, um ponto de estrangulamento, três saídas

Consultados um a um, esses 99 endereços possuem 1,52 USDT entre eles, e todos os 91 endereços de coleta estão zerados. "Moveu tudo para fora" é um resultado medido, e não um resumo.

Os 99 endereços se dividem em quatro camadas, e se comportam de forma muito diferente entre si.

A Camada 1 é um conjunto de 91 endereços de coleta, revezados em lotes. A plataforma nunca publicou um único endereço de depósito fixo. Cada um dos 91 recebeu entre 67 e 649 transferências de entrada de 9 a 38 remetentes distintos. Das 15.272 entradas chegando de fora da rede, 13.903 (91%) foram pagas por uma hot wallet de uma exchange, o que corresponde ao método descrito pela polícia: as vítimas eram instruídas a enviar de onde quer que guardassem sua cripto para uma carteira designada.

A Camada 2 é um único endereço. Tudo o que a Camada 1 coletou converge para TRoCD8...yxJw, que recebeu 68.409.908 USDT em 2.076 transferências, 99,99% delas provenientes da Camada 1, e encaminhou tudo adiante. Não retém nada. Este é o único ponto de estrangulamento da rede, e é a razão pela qual os pagamentos de uma única vítima foram suficientes para revelar toda a estrutura.

A Camada 3 é composta por quatro endereços de retransmissão usados um após o outro. Os períodos em que o hub os financia são consecutivos e não se sobrepõem, com cada transição ocorrendo em um único dia. Isso se parece menos com quatro funções operando em paralelo e mais com uma única função cuja carteira foi substituída três vezes.

A Camada 4 é composta por três hubs de destinação, e é aqui que o dinheiro se divide por finalidade. 91,1% do que sai da Camada 3 chega a esses três endereços. Dois deles funcionaram consecutivamente, e o segundo, TPuLUc...Mo7Z, esteve ativo apenas entre 15 e 23 de julho de 2026, exatamente a janela em que a plataforma ficou fora do ar e a polícia começou a receber denúncias. Foi o último endereço a pagar alguém.

Dois detalhes não se encaixam no quadro organizado de camadas e devem ser mencionados. Nem tudo desceu até a Camada 4: 8,5% das saídas da Camada 3, 6.245.984 USDT em 563 transferências, deixou a rede diretamente a partir da Camada 3. E nem tudo entrou pela Camada 1: a Camada 3 recebeu mais 3.355.420 USDT em 302 transferências diretamente de fora da rede, e os hubs da Camada 4 receberam mais 1.293.472 USDT entre si, dinheiro que nunca passou por um endereço de coleta.

Quem quer que tenha operado isso não distribuiu o dinheiro estritamente por camada. A Camada 3 atuou como retransmissora e, simultaneamente, operou sua própria saída.

Números redondos separam os canais

A rede tem três saídas. O que cada uma foi usada pode ser determinado pela forma de seus valores individuais de transferência.

A linha sobre múltiplos de 1.000 os separa de forma mais nítida. As transferências do Canal 1 quase nunca são redondas: 1,1% são múltiplos de 1.000, e seus valores mais comuns são cifras como 393, 448 e 324. Os Canais 2 e 3 são redondos 86,2% e 73,4% das vezes, em valores como 150.000 e 5.000.

Essa diferença decorre de como cada número é gerado. Pagar a um usuário seu saque ou seus juros significa calcular principal vezes taxa, o que normalmente deixa um resto quebrado. Movimentar dinheiro em massa significa uma pessoa digitando uma cifra, e pessoas digitam cifras redondas.

Isso é uma tendência, não uma lei. Uma plataforma pode arredondar seus pagamentos de juros; alguém movendo fundos pode deliberadamente evitar números redondos. Mas o encaixe aqui é suficientemente próximo para sustentar a classificação, e é corroborado por tudo o mais sobre os três canais: o Canal 1 fez 12.532 pequenas transferências para 1.428 destinos, enquanto o Canal 2 fez 87 grandes transferências para 19.

O Canal 1 é o canal de pagamento, 45.574.708 USDT voltando aos investidores e recrutadores. 946 endereços de depósito da Binance receberam 86,63% desse total; 451 endereços de autocustódia receberam 12,51%.

Os Canais 2 e 3 movimentaram dinheiro para fora. Os 19 destinos do Canal 2 são hubs que operam de forma independente e que receberam 174.114.070 USDT no total em toda a sua atividade, dos quais este caso representa 12,8%. O Canal 3 tem o mesmo perfil, uma ordem de grandeza abaixo, principalmente para endereços que não conseguimos atribuir e para três endereços de depósito da HTX.

O conjunto de endereços parou de crescer, mas o dinheiro não

As entradas mensais na Camada 1 aumentaram todos os meses durante nove meses. Sem quedas.

518.213 USDT em novembro de 2025 subindo para 14.349.354 USDT em julho de 2026, um fator de 27,7. O mês mais alto é julho, o mês em que a plataforma parou, então a arrecadação ainda estava em seu pico quando ela ficou fora do ar.

O conjunto de endereços não acompanhou o dinheiro. Nenhum endereço de coleta novo foi ativado em março ou abril de 2026, e esses foram os dois meses de crescimento mais rápido. Até julho, 11 endereços ativos estavam lidando com 14.349.354 USDT, uma média de 1.304.487 USDT cada, 83 vezes o valor de novembro. O conjunto foi disposto em lotes, 33 endereços de uma vez em novembro de 2025 e 20 de uma vez em maio de 2026, e o crescimento foi absorvido empurrando mais volume por cada um. O mês em que esses primeiros 33 entraram em serviço é o mês em que a loja de Macau abriu.

A transferência média também cresceu, de 814 USDT para 6.882 USDT. Isso diz mais do que os totais: não foi apenas que mais pessoas se juntaram, foi que cada contribuição estava ficando maior. Participantes posteriores estavam apostando mais por transação do que os anteriores.

Quantas pessoas participaram

Duas rotas independentes chegam aproximadamente ao mesmo ponto, e ambas são pisos mínimos.

Das 15.272 entradas que a Camada 1 recebeu de fora da rede, 13.903 vieram de 15 endereços rotulados como pertencentes a exchanges, cada um dos quais está à frente de muitos remetentes de varejo que não conseguimos distinguir. As restantes 1.369 vieram de 175 endereços de autocustódia, uma média de 7,8 transferências cada. Extrapolando o lado das exchanges nessa taxa, chega-se a cerca de 1.777 pessoas; somando os 175, chega-se a aproximadamente 1.950.

Do outro extremo: o Canal 1 pagou 1.428 endereços de destino, e 86,3% dos contribuintes de autocustódia receberam algum pagamento em algum momento. Aplicando essa taxa inversamente, obtém-se cerca de 1.655.

Portanto, de 1.650 a 1.950, e provavelmente mais do que isso. A maioria dos endereços de autocustódia contribuiu uma ou duas vezes, mas alguns contribuíram dezenas de vezes e um mais de duzentas, o que se parece menos com uma pessoa e mais com um recrutador reabastecendo para sua rede subordinada. Uma média é a ferramenta certa para transformar um total de transferências em uma contagem de pessoas, mas esses endereços de alta frequência puxam a média para cima e empurram a contagem de pessoas para baixo. Estimado pela frequência com que um participante comum realmente aparece, o número pode chegar à ordem de 7.000. Três outros fatores apontam na mesma direção: uma pessoa pode possuir vários endereços; quem nunca sacou não aparece em lugar nenhum no canal de pagamento; e há uma rota de financiamento que ignora completamente a Camada 1, pagando de uma hot wallet da HTX diretamente para a Camada 3 (110 transferências, 240.824 USDT).

Uma contagem de pessoas não é uma contagem de vítimas. Os endereços que recebem pagamentos abrigam pelo menos três tipos de partes misturadas, e a cadeia não as separa: investidores comuns que receberam menos do que colocaram, recrutadores ganhando comissão em múltiplos níveis e, possivelmente, as próprias contas de saque dos operadores, o que não pode ser descartado precisamente porque esses endereços de depósito da Binance não podem ser atribuídos a ninguém.

A maioria dos participantes que conseguimos rastrear individualmente recuperou de fato o seu dinheiro

As conclusões desta seção se aplicam apenas aos participantes que podem ser identificados individualmente na cadeia, então esse grupo precisa ser definido primeiro. Há um subconjunto que podemos medir: aqueles que pagaram a partir de uma carteira que controlam, em vez de por meio de uma exchange. Quando alguém paga a partir de uma conta em exchange, o remetente na cadeia é a hot wallet da exchange, compartilhada por milhares de clientes, e nenhum pagamento individual pode ser vinculado a uma pessoa. Quando pagam a partir de sua própria carteira, isso pode ser feito.

Após excluir endereços pertencentes à própria rede e contribuições insignificantes abaixo de 100 USDT, restam 175 endereços. Destes, 151 (86,3%) receberam dinheiro de volta; juntos, contribuíram com 6.211.277 USDT e receberam 7.830.067 USDT, uma taxa de recuperação de 126,1%, com 110 recuperando 100% ou mais. Como grupo, saíram à frente. Outros 24 não receberam nada, após terem contribuído com 466.630 USDT entre si.

Agrupados por mês da primeira contribuição, não há tendência de queda. A recuperação mediana por mês oscila entre 75,0% e 183,2%, e a coorte de novembro de 2025, a mais antiga, fica em 113,4%. A história familiar de uma pirâmide financeira, em que os primeiros a entrar se dão bem e os últimos são varridos, não aparece nesta amostra.

Isso remete de volta à linha do tempo estabelecida anteriormente. O esquema não ficou sem dinheiro: arrecadou mais em seu último mês do que em qualquer mês anterior. O que o interrompeu foi um alerta da polícia estrangeira em maio e uma listagem regulatória em 13 de julho, seguidos pelo encerramento em 20 de julho, com a investigação criminal começando apenas depois. Um esquema interrompido enquanto ainda é solvente ainda não chegou ao estágio em que para de pagar as pessoas.

Isso também explica como algo que anunciava 278% ao ano sobreviveu por quase um ano. Os primeiros participantes realmente foram pagos, e sua experiência é o que recrutou a próxima rodada. A Polícia de Hong Kong descreveu o mesmo mecanismo do lado das vítimas: participantes viam outros terem sucesso, recebiam pequenos retornos eles mesmos, acreditavam que o esquema era genuíno, baixavam a guarda e aumentavam seu investimento.

A taxa de recuperação de 126,1% não representa os participantes como um todo

As limitações são duas: quanto do canal de pagamento esta amostra cobre e quem está nela.

Primeiro, ela cobre apenas 12,51% do canal de pagamento. O método exige uma contribuição comparável na cadeia, que somente endereços de autocustódia possuem. Os 946 endereços de depósito da Binance que receberam 86,63% do Canal 1 estão totalmente fora dela. Por contagem de transferências, 91% das entradas da Camada 1 vieram através de uma exchange.

Segundo, o fato de esse grupo ser líquido positivo é exatamente o motivo pelo qual ele não é representativo. Pessoas que usam carteiras de autocustódia em um esquema como este tendem a ser mais ativas, movimentar mais e ter entrado mais cedo. Uma parcela substancial delas são recrutadores, não investidores. Podemos ver o padrão diretamente: um endereço contribuiu com 581 USDT e recebeu 100.434 USDT, um fator de 173, e há outros na faixa de 100x e 75x. Qualquer estimativa de perda construída sobre esta amostra subestima sistematicamente o valor real.

Devemos ter cautela até mesmo ao chamá-los de recrutadores. Receber muito mais do que se pagou parece idêntico na cadeia, seja ganhando comissão de recrutamento ou sendo um investidor antecipado que obteve lucros e saiu. Esse padrão isolado não consegue separar os dois casos, então não fazemos essa conclusão sobre nenhum endereço específico.

A vítima cujos registros deram início a esta análise fornece um contraste direto. Todas as suas contribuições passaram por uma conta em exchange, então ela não está entre os 175, e seus pagamentos acumulados chegaram a aproximadamente 3,8% do que contribuiu, duas ordens de grandeza distante dos 126,1% da amostra. Um único caso não é evidência estatística, mas aponta na mesma direção do viés: as pessoas que não conseguimos ver individualmente podem ter se saído muito pior do que as que conseguimos.

Quanto os participantes realmente perderam

Três cifras diferentes são comumente descritas como "a perda". Apenas uma delas é adequada para uma reivindicação de perda por parte dos participantes.

Os próprios registros da plataforma são o "valor investido" acumulado exibido pelo aplicativo. Essa cifra inclui lucros de papel reinvestidos e bônus de nível, então é materialmente maior do que o que qualquer pessoa realmente pagou. Não deveria ser usada.

Os recebimentos acumulados on-chain são o que os endereços de coleta receberam de fora da rede: 68.170.144 USDT. Essa cifra é comprovada e defensável, mas não é o que os participantes perderam. Em uma pirâmide financeira, o mesmo dinheiro circula entre contribuição e pagamento mais de uma vez, então a cifra acumulada fica acima da perda líquida real. E se parte dela é dinheiro que os próprios operadores injetaram para fabricar volume aparente não pode ser determinado a partir da cadeia.

A perda líquida é o valor que os participantes perderam no agregado, e é a única das três adequada para uma reivindicação de perda.

Como a rede se esvaziou completamente, há uma identidade disponível:

contribuições totais = valores devolvidos aos participantes + valores levados pelos operadores + fundos remanescentes na rede (≈ 0)

O que significa que a perda líquida agregada é igual ao que os operadores levaram. Os Canais 2 e 3 se qualificam: grandes transferências redondas para hubs e endereços de depósito em exchanges que, simultaneamente, reúnem quantias substanciais de outras fontes, sem nenhuma das características de pagamento a usuários individualmente.

(A cifra do Canal 2 é o que realmente saiu; 1.100.002 USDT do volume de seu hub retornou à Camada 3 e nunca partiu.)

Não há um teto que possamos fornecer. Seria esse número mais qualquer parte dos 45.389.827 USDT que o Canal 1 enviou para fora da rede que tenha ido para as próprias contas de saque dos operadores em vez de para investidores reais, e isso depende de quantos daqueles 946 endereços de depósito da Binance pertencem aos operadores. Um endereço de depósito de exchange corresponde a uma conta de exchange, mas quem a detém, e se essa pessoa também pagou dinheiro à plataforma, não está na cadeia. Somente os próprios registros da exchange podem resolver isso. Este relatório, portanto, fornece um piso, sem teto e sem estimativa pontual.

Mesmo o piso carrega uma suposição, que é a de que os destinos do Canal 3 realmente estão fora da rede. Dos 1.636 endereços externos que transacionaram com esses 99, 160 o fizeram em ambas as direções, pagando dinheiro tanto para dentro quanto para fora. Alguns deles podem funcionalmente pertencer à mesma operação e simplesmente terem ficado fora do limite que esta análise traçou. Se um trabalho posterior os trouxer para dentro dele, tanto o total de saídas do Canal 3 quanto este piso diminuirão.

O que a cadeia resolveu, e o que não resolveu

Partindo dos pagamentos de uma única vítima, a cadeia revelou a forma de toda a operação: 91 endereços de coleta revezados, um único ponto de estrangulamento, quatro retransmissores usados em sequência, três saídas com propósitos distinguíveis e 27,4 milhões de USDT que podem ser demonstrados como tendo sido levados embora em vez de devolvidos.

O que ela não conseguiu revelar são identidades. Os 946 endereços de depósito em exchanges que detêm 86,63% dos pagamentos são o limite. Além desse ponto, a questão deixa de ser analítica e passa a ser uma questão de registros mantidos pelas exchanges, que é para onde este tipo de caso precisa seguir a partir de agora.

Fontes

Cada item na seção de contexto foi verificado em relação à página original. Os títulos estão em seu idioma original.

Duas observações sobre as fontes. A contagem de denúncias de Hong Kong existe em três momentos diferentes (225 denúncias e cerca de HK$94 milhões em 3 a 4 de agosto; 255 e cerca de HK$104 milhões em 5 de agosto; 286 e cerca de HK$118 milhões em 19 de agosto); usamos a mais recente. Quanto à data do encerramento, o VietnamPlus relata 20 de julho, enquanto a Polícia Judiciária de Macau descreve as vítimas percebendo problemas em 22 de julho; esses são o encerramento e a descoberta, e não há conflito entre eles.

Escopo: USDT na TRON. Dados de transação até 24 de agosto de 2026; saldos consultados em 25 de agosto de 2026; fontes públicas verificadas em 25 de agosto de 2026. As porcentagens referem-se a valores, salvo quando indicado como contagem de endereços. Endereços sem atribuição no banco de dados de rótulos são descritos como não tendo rótulo de entidade, o que registra apenas que não conseguimos identificá-los.