Golpe do Fun Coffee: Rastreando um Esquema Ponzi de 278% na TRON

Em 20 de julho de 2026, o aplicativo Fun Coffee parou de funcionar, deixando várias centenas de investidores em Hong Kong e Macau incapazes de recuperar tanto o principal quanto os retornos que a plataforma havia prometido. A empresa por trás dele, que se anunciava como desenvolvedora de equipamentos de café de alta tecnologia com ativos totais superiores a US$1 bilhão, foi posteriormente identificada pela polícia de Hong Kong e Macau como uma operação fraudulenta. Até 19 de agosto, a Polícia de Hong Kong havia recebido 286 denúncias envolvendo aproximadamente HK$118 milhões.

Partindo dos registros de pagamento de uma vítima, rastreamos os fundos adiante na TRON e recuperamos uma rede de 99 endereços que receberam 72.829.035 USDT de fora e, até a data de corte de nossos dados, havia movido tudo de volta para fora. O que se segue apresenta a estrutura dessa rede, como separamos o dinheiro devolvido aos investidores do dinheiro levado embora, e onde a análise on-chain encontra seu limite.

Uma nota sobre o que se segue. Os fatos do capítulo um vêm de reguladores, polícia e veículos de notícias, e cada página citada foi aberta e verificada. Tudo o mais é nossa própria análise de registros on-chain, cobrindo apenas USDT na TRON. Quando dizemos o que um endereço faz, isso se baseia em seu comportamento on-chain e na atribuição de entidades no banco de dados de rótulos da BlockSec. Não se trata de uma conclusão sobre quem controla o endereço, o estado mental dessa pessoa ou responsabilidade legal. Para proteger a privacidade da vítima cujo material deu início a isso, não mostramos seus endereços, hashes de transação ou capturas de tela da plataforma, e não divulgamos seus valores individuais.

Os avisos vieram antes de a plataforma parar

O registro público tem um formato que vale a pena notar antes de qualquer dado da blockchain.

Em 15 de maio de 2026, a polícia da província de Khánh Hòa, no Vietnã, publicou um alerta. Ele descrevia retornos anunciados de 10% a 30% ao mês e uma estrutura que empurrava os participantes a recrutar por meio de "comissões de sistema" e "bônus de desempenho de equipe" multinível. Dizia claramente de onde vinha o dinheiro: não da venda de café, mas de pessoas que aderiam mais tarde.

Em 13 de julho de 2026, a Comissão de Valores Mobiliários e Futuros de Hong Kong (SFC) adicionou o "Fun Coffee GCM 專案" à sua lista de alerta de Produtos de Investimento Suspeitos. A SFC registrou o operador e o promotor como a mesma entidade, abrangendo Hong Kong e Vietnã. Sua listagem nomeia os produtos que o esquema anunciava, incluindo um sistema de extração de café gelado de alta eficiência e um módulo de teste e rastreabilidade de segurança alimentar, e observa que o material chegou aos investidores por meio de eventos de marketing realizados em Hong Kong.

Em 20 de julho de 2026, o aplicativo parou de funcionar.

A Polícia de Hong Kong começou a receber denúncias ao longo de julho, após o fechamento, e conduziu uma operação conjunta com a Polícia Judiciária de Macau de 1 a 3 de agosto, prendendo seis pessoas em Hong Kong e duas em Macau. Os presos em Hong Kong eram diretores da empresa, acionistas e membros centrais responsáveis pela promoção e recrutamento. Aproximadamente HK$610.000 foram congelados.

A ordem dos fatos, portanto, foi aviso regulatório, depois fechamento, depois investigação criminal. Essa sequência é usada novamente mais adiante para explicar uma anomalia nos dados de pagamento.

O discurso de venda em si não era complicado. A plataforma afirmava ter ativos totais superiores a US$1 bilhão e mais de 5.000 funcionários. A Polícia de Hong Kong descreveu três níveis, 啟航 (Lançamento), 成長 (Crescimento) e 遠航 (Viagem), anunciando retornos anuais de aproximadamente 197% a 278%. No nível mais alto, 29.800 USDT mantidos por 570 dias deveriam retornar cerca de HK$1 milhão em lucro. Os participantes ganhavam bônus por trazer amigos e familiares, e a polícia vietnamita observou que os eventos de vendas ensinavam os participantes a recrutar.

O pagamento passava por cripto em cada etapa. Uma vez que um investidor se registrava no aplicativo, o atendimento ao cliente informava para qual carteira enviar ativos virtuais; somente após esse depósito é que eles podiam investir. Macau funcionava de forma um pouco diferente: as vítimas entregavam dinheiro em espécie aos funcionários da loja, que os ajudavam a fazer o depósito por meio de uma conta cripto, e o dinheiro terminava em uma conta designada pelo "upline" (patrocinador). Esse mesmo upline também financiava as operações da loja em cripto.

A rede: quatro camadas, um ponto de estrangulamento, três saídas

Consultados um a um, esses 99 endereços possuem juntos 1,52 USDT, e todos os 91 endereços de coleta estão a zero. "Movimentou tudo para fora" é um resultado medido, não um resumo.

Os 99 endereços se dividem em quatro camadas, e se comportam de maneira muito diferente entre si.

A Camada 1 é um pool de 91 endereços de coleta, rotacionados em lotes. A plataforma nunca publicou um endereço de depósito fixo. Cada um dos 91 recebeu entre 67 e 649 transferências entrantes de 9 a 38 remetentes distintos. Das 15.272 entradas provenientes de fora da rede, 13.903 (91%) foram pagas por uma carteira quente (hot wallet) de exchange, o que corresponde ao método descrito pela polícia: as vítimas eram instruídas a enviar de onde quer que guardassem suas criptomoedas para uma carteira designada.

A Camada 2 é um único endereço. Tudo o que a Camada 1 coletou converge para TRoCD8...yxJw, que recebeu 68.409.908 USDT em 2.076 transferências, 99,99% delas provenientes da Camada 1, e as encaminhou todas adiante. Ele não retém nada. Este é o único ponto de estrangulamento da rede, e é a razão pela qual os pagamentos de uma única vítima foram suficientes para revelar toda a estrutura.

A Camada 3 é composta por quatro endereços de retransmissão usados um após o outro. Os períodos em que o hub os financia são consecutivos e não se sobrepõem, com cada transição ocorrendo em um único dia. Isso se parece menos com quatro papéis operando em paralelo e mais com um único papel cuja carteira foi substituída três vezes.

A Camada 4 é composta por três hubs de disposição, e é aqui que o dinheiro se divide por finalidade. 91,1% do que saiu da Camada 3 chega a esses três endereços. Dois deles operaram consecutivamente, e o segundo, TPuLUc...Mo7Z, esteve ativo apenas entre 15 e 23 de julho de 2026, exatamente a janela em que a plataforma ficou fora do ar e a polícia começou a receber denúncias. Foi o último endereço a pagar alguém.

Dois detalhes não se encaixam no quadro organizado por camadas e devem ser mencionados. Nem tudo desceu até a Camada 4: 8,5% das saídas da Camada 3, 6.245.984 USDT em 563 transferências, saíram da rede diretamente da Camada 3. E nem tudo entrou pela Camada 1: a Camada 3 recebeu mais 3.355.420 USDT em 302 transferências diretamente de fora da rede, e os hubs da Camada 4 receberam mais 1.293.472 USDT entre eles, dinheiro que nunca passou por um endereço de coleta.

Quem quer que tenha operado isso não roteou o dinheiro estritamente por camada. A Camada 3 atuou como retransmissora e, simultaneamente, operou sua própria saída.

Números redondos separam os canais

A rede possui três saídas. O que cada uma delas foi usada para pode ser determinado a partir do formato dos valores individuais das transferências.

A linha sobre múltiplos de 1.000 os separa de forma mais clara. As transferências do Canal 1 quase nunca são redondas: 1,1% são múltiplos de 1.000, e seus valores mais comuns são cifras como 393, 448 e 324. Os Canais 2 e 3 são redondos 86,2% e 73,4% das vezes, em valores como 150.000 e 5.000.

Essa diferença decorre de como cada número é gerado. Pagar a um usuário sua retirada ou seus juros significa calcular o principal multiplicado por uma taxa, o que normalmente deixa um resto não redondo. Movimentar dinheiro em massa significa uma pessoa digitando uma cifra, e pessoas digitam cifras redondas.

Essa é uma tendência, não uma lei. Uma plataforma pode arredondar seus pagamentos de juros; alguém movendo fundos pode deliberadamente evitar números redondos. Mas o encaixe aqui é próximo o suficiente para sustentar a classificação, e é apoiado por tudo o mais sobre os três canais: o Canal 1 fez 12.532 transferências pequenas para 1.428 destinos, enquanto o Canal 2 fez 87 grandes para 19.

O Canal 1 é o canal de pagamento, 45.574.708 USDT retornando aos investidores e recrutadores. 946 endereços de depósito da Binance receberam 86,63% desse valor; 451 endereços de autocustódia receberam 12,51%.

Os Canais 2 e 3 movimentaram dinheiro para fora. Os 19 destinos do Canal 2 são hubs que operam de forma independente e que receberam 174.114.070 USDT no total em toda a sua atividade, dos quais este caso representa 12,8%. O Canal 3 tem o mesmo perfil, uma ordem de magnitude menor, principalmente para endereços que não conseguimos atribuir e para três endereços de depósito da HTX.

O pool de endereços parou de crescer, mas o dinheiro não

As entradas mensais na Camada 1 aumentaram todos os meses durante nove meses seguidos. Sem quedas.

518.213 USDT em novembro de 2025, subindo para 14.349.354 USDT em julho de 2026, um fator de 27,7. O mês mais alto é julho, o mês em que a plataforma parou, então a captação de recursos ainda estava em seu pico quando ela ficou fora do ar.

O pool de endereços não acompanhou o dinheiro. Nenhum endereço de coleta novo foi ativado em março ou abril de 2026, e esses foram os dois meses de crescimento mais rápido. Em julho, 11 endereços ativos estavam lidando com 14.349.354 USDT, uma média de 1.304.487 USDT cada, 83 vezes o valor de novembro. O pool era organizado em lotes, 33 endereços de uma vez em novembro de 2025 e 20 de uma vez em maio de 2026, e o crescimento foi absorvido empurrando mais dinheiro por cada um deles. O mês em que esses primeiros 33 entraram em serviço é o mês em que a loja de Macau abriu.

A transferência média também cresceu, de 814 USDT para 6.882 USDT. Isso diz mais do que os totais: não foi apenas que mais pessoas aderiram, foi que cada contribuição estava se tornando maior. Os participantes mais tardios estavam apostando mais por transação do que os anteriores.

Quantas pessoas participaram

Duas rotas independentes chegam a aproximadamente o mesmo lugar, e ambas são pisos mínimos.

Das 15.272 entradas que a Camada 1 recebeu de fora da rede, 13.903 vieram de 15 endereços rotulados como pertencentes a exchanges, cada um dos quais fica na frente de muitos remetentes de varejo que não conseguimos diferenciar. As 1.369 restantes vieram de 175 endereços de autocustódia, uma média de 7,8 transferências cada. Extrapolando o lado das exchanges nessa proporção, obtém-se cerca de 1.777 pessoas; somando as 175, chega-se a aproximadamente 1.950.

Do outro lado: o Canal 1 pagou a 1.428 endereços de destino, e 86,3% dos contribuintes de autocustódia receberam algum pagamento em algum momento. Aplicando essa proporção de forma inversa, obtém-se cerca de 1.655.

Então, entre 1.650 e 1.950, e provavelmente mais do que isso. A maioria dos endereços de autocustódia depositou uma ou duas vezes, mas alguns depositaram dezenas de vezes e um mais de duzentas, o que se parece menos com uma pessoa e mais com um recrutador reabastecendo para sua rede subordinada. Uma média é a ferramenta certa para transformar um total de transferências em um número de pessoas, mas esses endereços de alta frequência elevam a média e reduzem a contagem de pessoas. Estimado a partir da frequência com que um participante comum realmente aparece, o número pode chegar à ordem de 7.000. Três outras coisas apontam na mesma direção: uma pessoa pode possuir vários endereços; quem nunca fez uma retirada não aparece em nenhum lugar no canal de pagamento; e existe uma rota de financiamento que ignora completamente a Camada 1, pagando de uma carteira quente da HTX diretamente para a Camada 3 (110 transferências, 240.824 USDT).

Uma contagem de pessoas não é uma contagem de vítimas. Os endereços que recebem pagamentos abrigam pelo menos três tipos de parte misturados, e a blockchain não os separa: investidores comuns que receberam menos do que investiram, recrutadores ganhando comissão multinível e, possivelmente, contas de saque dos próprios operadores, o que não pode ser descartado justamente porque esses endereços de depósito da Binance não podem ser atribuídos a ninguém.

A maioria dos participantes que conseguimos rastrear individualmente recuperou seu dinheiro

As conclusões desta seção se aplicam apenas aos participantes que podem ser identificados individualmente na blockchain, então esse grupo precisa ser definido primeiro. Há um subconjunto que podemos medir: aqueles que depositaram a partir de uma carteira que controlam, em vez de por meio de uma exchange. Quando alguém paga a partir de uma conta de exchange, o remetente na blockchain é a carteira quente da exchange, compartilhada por milhares de clientes, e nenhum pagamento individual pode ser vinculado a uma pessoa. Quando pagam de sua própria carteira, isso pode ser feito.

Após excluir endereços pertencentes à própria rede e contribuições de valor irrisório abaixo de 100 USDT, restam 175 endereços. Destes, 151 (86,3%) receberam dinheiro de volta; juntos, contribuíram com 6.211.277 USDT e receberam 7.830.067 USDT, uma taxa de recuperação de 126,1%, com 110 recuperando 100% ou mais. Como grupo, saíram no lucro. Outros 24 não receberam nada, tendo contribuído com 466.630 USDT entre eles.

Agrupados por mês da primeira contribuição, não há tendência de queda. A recuperação mediana por mês varia entre 75,0% e 183,2%, e a coorte de novembro de 2025, a mais antiga, está em 113,4%. A história familiar de um esquema Ponzi, em que os primeiros participantes saem bem e os últimos ficam sem nada, não aparece nesta amostra.

Isso remete à linha do tempo apresentada anteriormente. O esquema não ficou sem dinheiro: captou mais em seu último mês do que em qualquer mês anterior. O que o interrompeu foi um alerta da polícia estrangeira em maio e uma listagem regulatória em 13 de julho, seguidas do fechamento em 20 de julho, com a investigação criminal começando somente depois. Um esquema interrompido enquanto ainda é solvente ainda não chegou ao estágio em que para de pagar as pessoas.

Isso também explica como algo que anunciava 278% ao ano sobreviveu por quase um ano. Os primeiros participantes de fato foram pagos, e a experiência deles é o que recrutou a rodada seguinte. A Polícia de Hong Kong descreveu o mesmo mecanismo do lado das vítimas: os participantes viam outros terem sucesso, recebiam pequenos retornos eles mesmos, acreditavam que o esquema era genuíno, baixavam a guarda e aumentavam seus investimentos.

A taxa de recuperação de 126,1% não representa os participantes como um todo

As limitações são duplas: quanto do canal de pagamento essa amostra cobre, e quem está nela.

Primeiro, ela cobre apenas 12,51% do canal de pagamento. O método exige uma contribuição comparável na blockchain, que apenas os endereços de autocustódia possuem. Os 946 endereços de depósito da Binance que receberam 86,63% do Canal 1 estão completamente fora dela. Por número de transferências, 91% das entradas da Camada 1 vieram por meio de uma exchange.

Segundo, o fato de esse grupo ser líquido positivo é exatamente o motivo pelo qual não é representativo. Pessoas que usam carteiras de autocustódia em um esquema como esse tendem a ser mais ativas, a movimentar mais dinheiro e a ter aderido mais cedo. Uma parcela substancial delas são recrutadores, não investidores. Podemos ver o padrão diretamente: um endereço depositou 581 USDT e recebeu 100.434 USDT, um fator de 173, e há outros na faixa de 100x e 75x. Qualquer estimativa de perda construída sobre essa amostra subestima sistematicamente o valor real.

Devemos ter cautela até mesmo em chamá-los de recrutadores. Receber muito mais do que se pagou parece idêntico na blockchain, seja porque a pessoa estava ganhando comissão de recrutamento, seja porque era um investidor inicial que embolsou lucros e saiu. Esse padrão isolado não consegue separar as duas hipóteses, então não fazemos essa conclusão sobre nenhum endereço específico.

A vítima cujos registros deram início a essa análise oferece um contraste direto. Todas as suas contribuições passaram por uma conta de exchange, então ela não está entre os 175, e seus pagamentos cumulativos somaram aproximadamente 3,8% do que contribuiu, duas ordens de magnitude distantes dos 126,1% da amostra. Um único caso não é evidência estatística, mas aponta na mesma direção do viés: as pessoas que não conseguimos ver individualmente podem ter se saído muito piores do que as pessoas que conseguimos.

Quanto os participantes realmente perderam

Três cifras diferentes são comumente descritas como "a perda". Apenas uma delas é adequada para uma reivindicação de perda por parte dos participantes.

Os próprios livros da plataforma são o "valor investido" cumulativo que o aplicativo exibia. Essa cifra inclui lucros de papel reinvestidos e bônus de nível, então é materialmente maior do que o que qualquer pessoa realmente pagou. Não deve ser usada.

Os recebimentos cumulativos on-chain são o que os endereços de coleta receberam de fora da rede: 68.170.144 USDT. Essa cifra é comprovada e defensável, mas não é o que os participantes perderam. Em um esquema Ponzi, o mesmo dinheiro circula entre contribuição e pagamento mais de uma vez, então a cifra cumulativa fica acima da perda líquida real. E se parte desse valor é dinheiro que os próprios operadores injetaram para fabricar volume aparente não pode ser determinado a partir da blockchain.

A perda líquida é o valor que os participantes perderam no agregado, e é a única das três adequada para uma reivindicação de perda.

Como a rede se esvaziou completamente, existe uma identidade disponível:

contribuições totais = valores devolvidos aos participantes + valores levados pelos operadores + fundos remanescentes na rede (≈ 0)

Isso significa que a perda líquida agregada equivale ao que os operadores levaram. Os Canais 2 e 3 se qualificam: grandes transferências redondas para hubs e endereços de depósito de exchange que, simultaneamente, agrupam quantias substanciais de outras fontes, sem nenhuma das características de pagamento a usuários um por um.

(A cifra do Canal 2 é o que realmente saiu; 1.100.002 USDT do volume de seu hub retornaram à Camada 3 e nunca partiram.)

Não há limite superior que possamos fornecer. Seria esse número mais o quanto dos 45.389.827 USDT que o Canal 1 enviou para fora da rede foi para as próprias contas de saque dos operadores, em vez de para investidores reais, e isso depende de quantos daqueles 946 endereços de depósito da Binance pertencem aos operadores. Um endereço de depósito de exchange corresponde a uma conta de exchange, mas quem a detém, e se essa pessoa também pagou dinheiro na plataforma, não está na blockchain. Somente os registros da própria exchange podem resolver isso. Este relatório, portanto, fornece um limite inferior, sem limite superior e sem uma estimativa pontual.

Mesmo o limite inferior carrega uma suposição, que é que os destinos do Canal 3 realmente estão fora da rede. Dos 1.636 endereços externos que transacionaram com esses 99, 160 o fizeram em ambas as direções, tanto depositando dinheiro quanto retirando-o. Alguns deles podem pertencer funcionalmente à mesma operação e simplesmente terem ficado fora do limite traçado por esta análise. Se um trabalho posterior os incluir, tanto o total de saída do Canal 3 quanto este limite inferior diminuem.

O que a blockchain resolveu, e o que não resolveu

Partindo dos pagamentos de uma única vítima, a blockchain revelou o formato de toda a operação: 91 endereços de coleta rotativos, um único ponto de estrangulamento, quatro retransmissores usados em sequência, três saídas com propósitos distinguíveis, e 27,4 milhões de USDT que podem ser demonstrados como levados embora em vez de devolvidos.

O que ela não conseguiu revelar são identidades. Os 946 endereços de depósito de exchange que detêm 86,63% dos pagamentos são o limite. Além desse ponto, a questão deixa de ser analítica e se torna uma questão de registros mantidos pelas exchanges, que é para onde este tipo de caso precisa seguir.

Fontes

Cada item na seção de contexto foi verificado em relação à página original. Os títulos estão em seu idioma original.

Duas observações sobre as fontes. O número de denúncias em Hong Kong existe em três momentos no tempo (225 denúncias e cerca de HK$94 milhões em 3 a 4 de agosto; 255 e cerca de HK$104 milhões em 5 de agosto; 286 e cerca de HK$118 milhões em 19 de agosto); usamos o mais recente. Quanto à data do encerramento, o VietnamPlus registra 20 de julho, enquanto a Polícia Judiciária de Macau descreve as vítimas notando problemas em 22 de julho; essas são, respectivamente, o encerramento e a descoberta, e não são conflitantes.

Escopo: USDT na TRON. Dados de transações até 24 de agosto de 2026; saldos consultados em 25 de agosto de 2026; fontes públicas verificadas em 25 de agosto de 2026. As porcentagens referem-se a valores, exceto quando indicadas como contagens de endereços. Endereços sem atribuição no banco de dados de rótulos são descritos como sem rótulo de entidade, o que registra apenas que não conseguimos identificá-los.