Foi em 25 de setembro de 2026 que Alex, um jogador profissional de pôquer online, usava seu agente de inteligência artificial (IA) Claude para revisar algumas estatísticas de jogo. (Alex só concordou em falar com a WIRED sob pseudônimo para evitar qualquer risco de represálias de invasores.) Depois que o banco de dados SQL (linguagem de consulta estruturada) dele travou e precisou ser reiniciado, o agente Claude percebeu algo suspeito: um programa chamado MeshAgent estava em funcionamento em segundo plano, aparentemente capaz de capturar a tela de Alex e até de controlar toda a sua máquina.
Graças ao relatório do agente Claude, Alex descobriu que o programa tinha sido instalado em 24 de abril, e não por ele mesmo. Segundo Alex, o agente identificou 11 momentos registrados com data e hora em que o programa capturou sua tela, com base em erros gráficos provocados durante sessões de compartilhamento de tela. Em todas as 11 ocasiões, Alex estava jogando uma sessão na ACR, também chamada Americas Cardroom, uma grande operadora de pôquer online com presença mundial.
Ele verificou o histórico de suas mãos e logo encontrou a informação mais preocupante até então: o mesmo adversário, que jogava com o apelido OxOO, estava na sua mesa em 10 das 11 sessões.
O apelido era conhecido. Alex e vários amigos da comunidade de altas apostas já tinham suspeitas sobre o comportamento desse jogador. Alex consultou as estatísticas de taxa de vitórias do jogador em um site público de monitoramento; os números eram astronomicamente superiores aos dos melhores jogadores do mundo, algo estatisticamente impossível considerando o volume de mãos disputadas. Na visão de Alex, era evidente que esse jogador estava trapaceando.
Uma investigação feita por Alex e outros membros da comunidade de altas apostas nos dias seguintes confirmou seus temores e foi além. Alex era um de centenas de jogadores que teriam sido alvos desse tipo de software malicioso, usado pelo mesmo suposto invasor ao longo de vários anos. Alex, que foi o primeiro a descobrir o MeshAgent em seu computador, afirma ter sido “apenas” lesado em por volta de US$ 30 mil, uma quantia relativamente moderada para o nível em que ele joga; muitos de seus colegas não tiveram a mesma sorte.
Com milhões de dólares supostamente roubados nos maiores sites da internet, o mundo do pôquer busca respostas sobre como o esquema pôde continuar por tanto tempo, se os principais sites levaram o risco a sério depois que o caso foi denunciado e se o pôquer online em si foi comprometido de forma irreversível.
Dois grandes sites dos primórdios do pôquer online, Absolute Poker e Ultimate Bet, serviram de alerta em meados dos anos 2000. Em casos separados, superusuários trapaceiros conseguiram obter acesso privilegiado aos sites e depenar jogadores em milhões de dólares. (Grande parte do dinheiro foi devolvida aos jogadores após uma investigação.) Esses episódios de grande repercussão levaram muitos dos principais sites de pôquer a reforçar suas medidas de segurança.
Outro caso menor de superusuário ocorreu em 2013, quando um jogador finlandês de altas apostas afirmou que seu notebook tinha sido roubado do quarto de hotel durante um torneio do European Poker Tour em Barcelona. Quando o notebook foi recuperado, estava infectado com um software malicioso que permitia a um hacker visualizar sua tela remotamente. E talvez o mais famoso escândalo de superusuário de todos tenha acontecido nas mesas presenciais: em uma história que chegou até o SportsCenter, um jogador chamado Mike Postle foi acusado de roubar mais de US$ 250 mil de jogos transmitidos ao vivo no Stones Gambling Hall em 2018 e 2019, com a ajuda do que observadores acreditavam ser um suposto cúmplice com acesso a dados das cartas em tempo real, que repassava as informações para o celular de Postle. (Postle negou as acusações, alegando que se tratava de “fake news”.)
Fora um incidente relativamente pequeno (e rapidamente corrigido) em 2023, o mundo do pôquer online passou anos sem um caso confirmado de superusuário, até agora. E parte do que se sabe sobre esta última tentativa indica um invasor mais sofisticado do que nos escândalos anteriores, além de uma paciência pouco comum em ataques desse tipo.
“Tradicionalmente, quando você vê esses tipos de invasores motivados por dinheiro, eles conseguem acesso a um sistema e, assim que estão dentro, fazem um levantamento do que conseguem acessar; depois atingem todo mundo de uma vez e esvaziam todas as carteiras”, diz WolfSec, um profissional de segurança cibernética que presta consultoria a muitos jogadores de pôquer de altas apostas em medidas de proteção. Ele foi o primeiro a divulgar o golpe do MeshAgent, em 29 de setembro, em sua conta no X. (WolfSec concordou em falar com a WIRED com a condição de que seu nome verdadeiro não fosse usado, por temer represálias de hackers; a WIRED confirmou de forma independente suas credenciais como especialista em segurança cibernética.)
Mas esse hacker não fez nada disso, apesar de muitos desses jogadores terem grandes participações em criptomoedas e outros investimentos acessíveis em seus computadores. O invasor parece ter se dedicado a um reconhecimento avançado. Na verdade, WolfSec acredita que o mesmo invasor já tentava atacar as máquinas dos jogadores em 2022, usando uma técnica mais básica; como nenhum recurso conhecido foi roubado naquela época, nenhuma outra medida foi tomada depois que os jogadores removeram o software malicioso de seus computadores.
No entanto, tudo indica que o hacker apenas esperava o momento certo e aprimorava seus métodos para um golpe futuro.
Em vez de atingir jogadores individualmente, este ataque mais recente envolveu programas de terceiros chamados IntuitiveTables e Jurojin. Essas ferramentas permitem que profissionais joguem dezenas de mãos de pôquer online ao mesmo tempo. Com esses populares recursos de “multimesas”, os jogadores podem alternar entre partidas ao vivo com uma tecla, fazer apostas ou jogadas com atalhos de teclado e realizar outras ações que facilitam jogar em várias mesas virtuais simultaneamente. Segundo WolfSec, o hacker comprometeu os dois aplicativos e enviou software malicioso para mais de mil usuários estimados.
No caso do Jurojin, o invasor obteve acesso ao sistema de atualizações de software do próprio desenvolvedor e conseguiu entregar o agente de acesso remoto aos usuários existentes por meio de atualizações normais e automáticas.
O desenvolvedor do Intuitive Tables executava o Jurojin em seu computador de testes, e essa máquina recebeu o agente de acesso remoto como parte da atualização comprometida do Jurojin. Usando esse agente, o invasor incluiu código malicioso no aplicativo Intuitive Tables antes que o desenvolvedor assinasse o certificado de segurança de uma versão atualizada do app. Essa versão com o código malicioso foi publicada no site do Intuitive Tables como um download público, e todos que instalaram essa versão do aplicativo instalaram sem saber uma porta de acesso secreta em seus computadores.
Nos dois casos, o código malicioso foi entregue por um canal padrão de atualização ou por uma versão oficial, de modo que nem os usuários nem seus antivírus perceberam qualquer irregularidade.
A versão modificada do Intuitive Tables se comportava exatamente como a versão limpa, com uma exceção: ela também verificava os arquivos dos jogadores em busca de seus nomes de usuário.
“Se você estivesse em uma lista embutida no código, armazenada na infraestrutura do invasor, com a qual o malware se conectava para baixar e comparar seu nome de usuário, ele agia como um programa malicioso e baixava arquivos maliciosos adicionais”, diz WolfSec. “Se você não estivesse nessa lista, ele se tornava o programa normal e não fazia nada de malicioso.”
A lista parece ter sido preenchida principalmente com jogadores regulares de altas apostas de diversos sites. Todos os jogadores da lista aparentemente tiveram o MeshAgent instalado de forma oculta em suas máquinas. O hacker estava pronto para dar o bote.
Mike, um jogador profissional de pôquer que falou com a WIRED sob pseudônimo por medo de represálias de hackers, jogou nos dois sites na época e esteve em mesas com o jogador que usava esses apelidos. Mike conta que, a princípio, se perguntou se o sucesso do jogador misterioso poderia ser explicado de alguma forma. Talvez estivesse fazendo algo novo que ele e seus colegas profissionais ainda não tinham descoberto.
“Dava para desculpar” no começo, diz Mike. “Talvez esse cara seja realmente muito, muito bom ou algo assim.”
À medida que o número de mãos vencedoras aumentava, porém, Mike e vários amigos de altas apostas ficaram mais desconfiados. Inicialmente, suspeitaram que o jogador estivesse recebendo assistência em tempo real por meio de motores baseados em teoria dos jogos, capazes de superar os melhores jogadores humanos. A assistência em tempo real é proibida nos principais sites, mas é difícil de fiscalizar perfeitamente e é algo que os profissionais observam regularmente. Mike deixou em grande parte de jogar nas mesas com o jogador misterioso, por precaução.
Assim como WolfSec, Mike comenta o nível relativo de habilidade e disciplina empregado por esse jogador durante aquelas sessões de 2025, principalmente em comparação com outros trapaceiros conhecidos da história do pôquer. A conta geralmente usava apostas padronizadas e jogava com faixas normais de mãos. Sua atuação sessão a sessão nunca chamou muita atenção; apenas a taxa de vitórias da conta ao longo do tempo gerou questionamentos.
Mas, em junho de 2026, Mike jogou uma sessão de duas horas heads-up (um contra um) em outro site, o ClubWPT Gold, que ele depois descobriria, após revisões com a equipe de segurança do site, ser contra o mesmo jogador das sessões de 2025. O jogador usou um apelido diferente para evitar ser detectado, então Mike não viu motivo para redobrar a cautela. O adversário simplesmente passou por cima de Mike, tomando todas as decisões corretas, até mesmo em situações aparentemente impossíveis, quase como se pudesse ver as cartas de Mike. “Foi muito escancarado”, diz Mike.
Logo após a sessão, Mike enviou mensagens para vários amigos do mundo de altas apostas dizendo que achava que tinha sido trapaceado.
E ele estava certo. Quando a notícia da invasão veio a público pela conta de WolfSec no X, o ClubWPT Gold investigou. O site baniu a conta contra a qual Mike havia jogado e o ressarciu pelas perdas, afirma Randy Lundy, chefe de operações com clientes do ClubWPT Gold.
A presença desse suposto trapaceiro nos círculos online era um segredo aberto na comunidade àquela altura. Na verdade, Mario Mosböck, embaixador de pôquer da CoinPoker autorizado a falar sobre a resposta da empresa à invasão, afirma que o site começou a investigar esse jogador já em 2025, banindo-o e devolvendo mais de US$ 100 mil em fundos supostamente roubados aos jogadores afetados. (Mosböck afirma que a devolução dos valores foi adiada em vários meses porque o suposto trapaceiro recorreu do confisco junto aos reguladores.) A taxa de vitórias simples do jogador e as estatísticas de estilo de jogo pareciam evidência de irregularidades, mesmo que o site não conseguisse determinar com certeza como a trapaça estava acontecendo.
Como, então, o mesmo suposto trapaceiro conseguiu continuar lesando jogadores como Alex e Mike em outros sites supostamente respeitáveis por mais de um ano depois?
O “eles” a que ele se refere é a GGPoker, possivelmente o site mais conhecido do mundo entre jogadores que não são dos EUA. Howard afirma que enviou uma denúncia ao site no início de setembro de 2026, semanas antes de a invasão do MeshAgent se tornar pública, destacando o jogo incomum do suposto trapaceiro e pedindo que o site investigasse.
“Encontrei várias discrepâncias de três a quatro desvios padrão”, diz Howard, e isso considerando apenas uma amostra limitada de históricos de mãos enviada a ele por amigos e clientes. Ele enviou suas conclusões à equipe da GGPoker, mas não recebeu resposta. Só obteve uma resposta depois que WolfSec revelou a invasão no X, com o site dizendo que “não havia evidências conclusivas” para agir na época da sua denúncia.
Os diversos sites de pôquer online lidaram com o caso de maneiras diferentes. Os jogadores elogiaram amplamente a CoinPoker por banir proativamente o jogador apenas com base na taxa de vitórias e nas tendências de jogo, indicadores considerados definitivos de trapaça em apostas tão altas e com amostras tão grandes; já o ClubWPT Gold parece ter sido afetado apenas mais tarde no esquema, mas também atuou com firmeza ao descobri-lo.
Já o hacker continuou ativo na GGPoker e na ACR até o fim de setembro, supostamente roubando entre US$ 1,5 milhão e US$ 4 milhões, segundo as estimativas das fontes ouvidas pela WIRED para esta reportagem.
“Os jogadores estão frustrados, porque vinham denunciando isso por um ano”, diz John Andress, chefe de integridade de jogo da A5 Labs, uma plataforma de segurança cibernética que oferece serviços de combate à trapaça ao ClubWPT Gold e a outras marcas. “Algumas plataformas simplesmente ignoraram completamente essas denúncias.”
Isso aconteceu apesar de sinais que, para muitos, eram óbvios demais.
A CoinPoker afirma que a identidade verdadeira supostamente do jogador já era conhecida desde o início do processo, depois que a empresa realizou com ele uma entrevista de verificação de segurança por webcam, em fevereiro de 2025. O nome informado pelo jogador coincidia com o apelido que ele usou depois na GGPoker, site que exige que jogadores usem o nome real como identificação, em vez de pseudônimo, em determinados jogos de altas apostas. (A WIRED não está divulgando o nome do jogador porque ele não foi acusado formalmente de nenhum crime. O jogador não respondeu a múltiplos pedidos de comentário para esta reportagem.) O porta-voz da CoinPoker afirma que sua equipe também entrou em contato com a ACR com as conclusões e não obteve resposta. (Os pedidos de comentário da WIRED à ACR e à GGPoker não tiveram retorno.)
Em seu favor, a GGPoker reconheceu o incidente e anunciou várias correções em uma publicação em seu blog em 15 de outubro, incluindo a proibição de ferramentas de terceiros e a adoção de um sistema de detecção de anomalias na taxa de vitórias. O site também afirma ter rastreado os fundos do suposto invasor até uma conta da Coinbase e pediu à empresa de criptomoedas que restrinja a conta e preserve seus registros; diz ainda que forneceu os endereços das carteiras a órgãos de fiscalização do setor e às autoridades policiais.
Mas a ACR está seguindo na direção oposta: em 18 de outubro, enviou um e-mail aos jogadores afirmando que sua equipe de segurança não encontrou resultados de jogo comprometidos nem irregularidades e que não fará nenhum reembolso. Ao mesmo tempo, no mesmo e-mail, anunciou um novo recurso para impedir que ferramentas de visualização remota capturem as imagens das cartas na mão dos jogadores.
Outras entidades tomaram medidas concretas: tanto o Jurojin quanto o IntuitiveTables (por meio de seu canal no Discord) lançaram ferramentas para ajudar os usuários a verificar se a invasão do MeshAgent afetou suas máquinas. A AceGuardian, grupo de pesquisa ligado à A5 Labs, lançou uma ferramenta de “detecção de superusuários” de código aberto, pensada para uso em qualquer site de pôquer. WolfSec afirma ter apresentado uma denúncia ao Centro de Queixas sobre Crimes na Internet, braço de combate ao cibercrime do FBI (Departamento Federal de Investigação dos EUA), e tem trabalhado com jogadores para melhorar a segurança de seus computadores. O FBI, procurado para comentar pela WIRED, não confirmou o recebimento nem forneceu detalhes sobre essa denúncia.
Mas esses esforços só terão sucesso de fato se os sites tratarem esses casos com mais rigor e não agirem apenas depois que ataques de grande porte acontecerem.
