crypto casinos

Como os cassinos offshore driblam o geoblocking no Brasil — e por que isso quase nunca funciona

A Anatel derruba 50 mil domínios, mas 80% voltam em minutos. Entenda a engenharia por trás da evasão — VPNs, proxies residenciais e móveis — e por que o verdadeiro freio não está no bloqueio de acesso.

The Ex Pit Boss

08 Jul 2026 • 6 min read

Toda vez que a Anatel derruba mais um lote de domínios de apostas ilegais, a mesma cena se repete horas depois: o mesmo site reaparece com um nome quase idêntico, um link no Telegram circula entre os apostadores e o tráfego segue como se nada tivesse acontecido. Não é falha de execução. É a natureza de uma barreira que nunca foi desenhada para resistir a quem tem motivo financeiro para atravessá-la — e, como este artigo mostra, boa parte dos mecanismos usados para furar essa barreira não é inofensiva para quem os usa.

O Brasil regulou o mercado, mas a fronteira digital continua porosa

Desde 1º de janeiro de 2025, apostar no Brasil só é legal em plataformas licenciadas pela Secretaria de Prêmios e Apostas (SPA), vinculada ao Ministério da Fazenda. Fora desse perímetro, tudo é ilegal — independentemente de a casa ter uma licença de Curaçao, Malta ou qualquer outra jurisdição estrangeira, que o Brasil simplesmente não reconhece.

Para dar dentes a essa regra, a chamada "Lei Jungmann" (Lei 15.358/2026), combinada com a Resolução 569/2026 da Anatel, instituiu um mecanismo de bloqueio técnico: a agência derruba domínios ilegais por DNS, IP e SNI, e mantém sistemas de detecção de mirrors — sites-espelho que reaparecem sob outro nome para escapar do bloqueio anterior. Até agora, cerca de 50 mil endereços já foram notificados ou bloqueados.

O problema é a eficácia real desse cerco. Estimativas do setor apontam que cerca de 80% dos domínios bloqueados continuam acessíveis pouco depois — por redirecionamento automático, por canais no Telegram que republicam o link vivo do dia, ou simplesmente por variações no nome do domínio que driblam os filtros. Há um precedente que ilustra bem a velocidade dessa resposta: quando o Brasil bloqueou o X (antigo Twitter) em 2024, o uso de VPNs no país saltou 1.600% em um único dia. Especialistas em cibersegurança descrevem esse tipo de enforcement com uma expressão direta: "mopping up ice" — tentar limpar uma poça enxugando o gelo que continua derretendo ao lado.

Geoblocking: a primeira barreira, e a mais fácil de furar

O geoblocking é o mecanismo mais básico de restrição geográfica. Serviços como Cloudflare ou bases de dados como a MaxMind associam um endereço IP a um país e, quando esse país está na lista de bloqueio, o acesso é negado. É uma solução barata, rápida de implementar e, por isso mesmo, universal.

É também trivialmente contornável. Basta que o usuário faça sua conexão parecer originada em outro lugar — o que qualquer VPN ou proxy resolve em segundos. E do lado da casa de apostas ilegal não há nenhum risco jurídico que a desestimule a aceitar esse tráfego: como o Brasil não reconhece licenças estrangeiras, ela já está operando ilegalmente de qualquer forma.

Detecção de VPN: funciona, mas só até certo ponto

As plataformas mais sofisticadas não se contentam em olhar apenas o IP declarado. Elas calculam um "score de confiança" combinando vários sinais simultâneos: bases de dados de IP e de ASN que identificam faixas pertencentes a data centers (AWS, Hetzner, DigitalOcean e similares aparecem etiquetados como infraestrutura, não como residências); vazamentos de DNS e de WebRTC, que revelam a rota real do tráfego mesmo com VPN ativa; contradições entre fuso horário, idioma do navegador e o país declarado; e fingerprinting de protocolo, capaz de reconhecer as assinaturas técnicas do OpenVPN ou do WireGuard mesmo quando o tráfego está criptografado.

O resultado é que VPNs comerciais tradicionais — as baratas, de data center — são identificadas em mais de 90% dos casos. Isso não elimina a fraude, mas empurra quem quer contornar o bloqueio para uma categoria de ferramenta bem mais difícil de rastrear.

Proxies residenciais e móveis: o verdadeiro buraco no muro

É aqui que a engenharia da evasão fica mais sofisticada — e mais perigosa para quem, sem saber, participa dela.

Como o endereço IP de uma pessoa comum vira ferramenta de terceiros

Um proxy residencial não usa a infraestrutura de uma empresa de nuvem: usa o IP doméstico de uma pessoa real. Isso acontece de três formas principais. A primeira é a monetização via SDK: desenvolvedores de aplicativos gratuitos — utilitários, jogos, apps de smart TV — embutem um kit de proxy fornecido por empresas como Castar, Pawns ou Packet. O usuário "compartilha" banda e IP em troca do app gratuito, uma autorização que costuma estar escondida nos termos de uso que ninguém lê. A segunda via é o malware: aplicativos trojanizados, muitas vezes pré-instalados em caixas de TV Android baratas ou em dispositivos IoT — o caso mais documentado é o botnet BADBOX. A terceira é o modelo "ganhe dinheiro com sua internet ociosa", popularizado por serviços do tipo Honeygain, em que o usuário aceita revender sua banda sem necessariamente entender o uso final que ela terá.

A arquitetura funciona assim: o cliente do proxy se conecta a um gateway de backconnect do provedor, que autentica o pedido e o redireciona para um nó residencial — um computador ou celular real, de uma pessoa real, fisicamente localizado no país desejado, por exemplo um notebook em São Paulo. Dali, o tráfego segue até o site de apostas. Para a plataforma que recebe essa conexão, o que aparece é um IP residencial legítimo, de uma operadora brasileira como Vivo ou Claro, com reputação normal e indistinguível de qualquer vizinho comum navegando na internet. O país, a cidade e até a operadora podem ser escolhidos sob demanda.

Proxies móveis: o adversário quase impossível de bloquear

Se o proxy residencial já é difícil de identificar, o proxy móvel é praticamente inatacável — por um motivo estrutural da própria rede de telefonia. As operadoras usam CGNAT (Carrier-Grade NAT), uma tecnologia em que milhares de celulares reais compartilham um único endereço IPv4 público. Bloquear esse IP significa bloquear, ao mesmo tempo, mais de 2 mil clientes pagantes e legítimos da operadora — algo comercialmente inviável para qualquer serviço online. Como consequência, o tráfego de redes móveis carrega uma espécie de "voto de confiança" automático que o tráfego de data center nunca tem.

Some a isso a rotação: uma simples reconexão à rede gera um IP de operadora totalmente novo. Um único modem 4G, operado programaticamente, pode circular por mais de 100 mil endereços IP diferentes, trocando de identidade em menos de um segundo.

O alerta ao consumidor: sua smart TV pode estar sendo usada por criminosos

Essas redes de proxy residencial não são uma curiosidade técnica neutra — na maioria dos casos documentados, são botnets construídas a partir de dispositivos sequestrados sem o conhecimento de seus donos.

Em janeiro de 2026, o Google conduziu uma operação de takedown contra a rede IPIDEA, um dos maiores provedores de proxy residencial do mundo. Os números divulgados pela equipe de Threat Intelligence do Google impressionam: cerca de 6,1 milhões de IPs ativados diariamente, sustentados por aproximadamente 5 milhões de dispositivos infectados, recrutados através de mais de 600 aplicativos Android, 3.075 binários maliciosos para Windows e malware embutido em caixas de TV — o já citado BADBOX 2.0. Essa infraestrutura era utilizada por mais de 550 grupos criminosos diferentes, para fins que vão de espionagem de alto nível a ataques de credenciais em massa e ataques DDoS.

John Hultquist, da equipe de Threat Intelligence do Google, resumiu o fenômeno de forma direta: as redes de proxy residencial "se tornaram uma ferramenta onipresente para tudo, desde espionagem de alto nível até esquemas criminosos em massa". O FBI reforçou o alerta em 2026, avisando que dispositivos domésticos comuns — roteadores, smart TVs, celulares antigos — podem ser transformados em ferramenta de criminosos sem que o dono perceba absolutamente nada de anormal no funcionamento do aparelho.

A mensagem central para o leitor é simples e desconfortável: o endereço IP usado por alguém para acessar um cassino ilegal pode ser, neste exato momento, a smart TV de uma família que não faz a menor ideia de que seu aparelho está sendo alugado para esse fim.

Como as plataformas ainda pegam alguns: o verdadeiro adversário é o KYC

Como o IP deixou de ser um sinal confiável, a detecção séria se deslocou para o comportamento. A biometria comportamental analisa padrões de mouse e ritmo de digitação; a geo-velocity identifica deslocamentos fisicamente impossíveis, como uma sessão que muda de um ASN residencial para um de data center no meio da navegação; o fingerprinting de dispositivo e a análise de vínculos cruzam o mesmo aparelho, cartão ou e-mail usados em múltiplas contas.

Mas o obstáculo que nenhuma dessas técnicas de mascaramento de IP consegue vencer é outro: o KYC — a verificação de identidade com documento e comprovante de endereço. Nenhum proxy residencial, por mais convincente que seja tecnicamente, falsifica um RG ou uma fatura de energia. É nesse ponto, e não no bloqueio de rede, que a fraude de localização geralmente encontra seu limite real.

Conclusão

Bloquear domínios continua sendo necessário, mas sozinho equivale a limpar gelo derretendo — a água volta a se espalhar minutos depois. Os freios que de fato incomodam o mercado ilegal de apostas offshore não estão na camada de acesso, e sim na camada financeira e regulatória: o bloqueio de pagamentos via Pix ou criptoativos, monitorado pelo Banco Central; a exigência de KYC completo; e a nova responsabilização de quem promove essas plataformas, prevista na Portaria MF 1.766/2026, que estabelece responsabilidade tributária solidária para intermediários e divulgadores.

Para o apostador comum, o recado é direto: quem usa uma plataforma ilegal não tem nenhuma garantia legal de receber o que ganhou, e corre o risco concreto de estar, sem saber, emprestando seu próprio dispositivo para sustentar uma rede criminosa.