Atualização do app da MobiKwik permitiu que pagamentos UPI fossem liquidados com PIN errado — ₹40 crore desapareceram em 48 horas

Em 11 e 12 de setembro de 2025, a infraestrutura UPI da MobiKwik liquidou pagamentos em condições que o sistema bancário jamais aceitaria. Uma atualização de software lançada no início daquele mês havia quebrado silenciosamente duas verificações básicas nos pagamentos vinculados à sua carteira: os usuários podiam enviar valores muito acima do saldo da carteira, e as transações eram liquidadas mesmo quando o PIN digitado estava errado. Em bolsões limitados de Haryana, comerciantes registrados e usuários agiram em conluio para reivindicar liquidações não autorizadas em larga escala — o FIR que a MobiKwik acabou registrando estimou o valor em ₹40 crore.

A empresa só descobriu dois dias depois. Uma auditoria interna sinalizou transações suspeitas datadas de 11 a 12 de setembro, e um funcionário relatou a violação em 13 de setembro. A MobiKwik registrou um FIR em Gurugram com base nas seções de estelionato e apropriação indébita do Bharatiya Nyaya Sanhita; a polícia prendeu seis homens — cinco de Nuh, um de Palwal —, identificou cerca de 2.500 beneficiários e congelou ₹8 crore em contas bancárias. A MobiKwik recuperou cerca de ₹14 crore, deixando um impacto líquido estimado de ₹26 crore, segundo seu comunicado ao mercado.

A falha atingiu o motor de crescimento da empresa. A MobiKwik vinha vendendo aos investidores o Pocket UPI — pagamentos UPI roteados pela carteira MobiKwik em vez de uma conta bancária —, com o valor bruto de mercadorias crescendo 53% ano a ano no primeiro trimestre do ano fiscal de 2026, impulsionado pelo aumento do volume de UPI. Volume é a métrica; limites são sua antimétrica. A fraude atingiu os resultados do trimestre de setembro como um prejuízo líquido de ₹28.6 crore, cerca de oito vezes o prejuízo de ₹3.6 crore do ano anterior, e a ação caiu após a divulgação.

₹40 crore desviados em 48 horas; ₹14 crore recuperados, impacto líquido de ₹26 crore; seis presos, ₹8 crore congelados, 2.500 beneficiários rastreados

A versão foi lançada sem os dois testes mais importantes em pagamentos: uma tentativa com PIN errado e um envio acima do saldo. Ambos passaram na infraestrutura de produção.

A detecção foi posterior aos fatos. Dois dias de tráfego anômalo de liquidação proveniente de alguns distritos não foram sinalizados em tempo real; foi uma auditoria interna, não um alerta, que pôs fim ao problema.

A narrativa de crescimento elevou os riscos: o impulso de volume do Pocket UPI fazia os limites parecerem atrito, e os limites eram exatamente o que falhou.

A polícia suspeitou de ajuda interna para revelar a falha — o conhecimento privilegiado da atualização nunca foi isolado nem monitorado.

Em pagamentos, os caminhos negativos são o produto: uma versão que nunca testa PINs errados e envios acima do saldo transforma o motor de crescimento em dreno. O rollback é um controle, não uma contingência.

A MobiKwik registrou o caso em ₹40 crore, recuperou ₹14 crore e informou às bolsas que o impacto líquido estimado foi de ₹26 crore, com esforços de cobrança e jurídicos em andamento. Seis acusados foram para custódia judicial; a polícia de Nuh pediu publicamente que residentes que receberam transferências inexplicadas em 11 e 12 de setembro se apresentassem e devolvessem os valores. O prejuízo ajudou a transformar o segundo trimestre do ano fiscal de 2026 em um prejuízo líquido de ₹28.6 crore. Foi também a terceira divulgação de fraude na história recente da MobiKwik — depois de uma fraude de ₹19 crore em 2017 e de uma fraude de ₹1.26 crore envolvendo um ex-funcionário entre agosto de 2023 e setembro de 2024 —, um padrão que os investidores agora leem em conjunto.