Seu Colega Paga R$ 60 por R$ 18 Mil em Creditos do Claude. Voce Paga o Preco Cheio.

Existe um mercado paralelo, gigantesco e em plena operacao, onde tokens de IA das maiores empresas do mundo sao revendidos com ate 97,8% de desconto. E nao estamos falando de uma promocao escondida ou de um cupom magico.

Estamos falando de cartoes roubados, contas fraudulentas em escala industrial, proxies que redirecionam trafego e um ecossistema tao sofisticado que tem ate programa de fidelidade. Eu fui atras dos numeros, das ferramentas, e de como esse mercado funciona por dentro.

O que e um “relay” de tokens de IA

No jargao do submundo, um relay (ou “transfer station”, como chamam nos foruns chineses) e um servico que funciona como proxy entre voce e as APIs oficiais de modelos como Claude, GPT-5.5, Codex e DeepSeek.

Funciona assim: o operador do relay monta um pool com centenas de contas roubadas, fraudadas ou compartilhadas. Esse pool e exposto atraves de uma API compativel com o formato da OpenAI. Voce, como cliente, conecta seu app nessa API alternativa e usa tokens de IA a uma fracao do preco oficial.

A infraestrutura por tras e real e documentada. A maioria dos relays roda softwares open source como one-api ou new-api, gateways que gerenciam multiplos “canais” (cada canal e um provedor + pool de chaves), com sistema de billing, quotas, failover automatico e ate painel de controle em chines com suporte ao cliente.

Os 10 maiores relays combinados recebem 3,6 milhoes de visitas por mes. Um deles, o hvoy.ai, distribui 50 chaves de API de US$ 100 por dia em sorteios para atrair novos clientes. Sim, e tipo um programa de fidelidade do crime.

Um thread no V2EX (especie de Hacker News chines) com o titulo “Guia completo do jargao das estacoes de transferencia de IA” acumulou 35.000 visualizacoes e 190 respostas entre marco e junho de 2026. O mercado nao se esconde. Ele se documenta.

A cadeia de suprimentos do token roubado

O mercado negro de tokens de IA opera em quatro camadas bem definidas, como uma supply chain legitima, so que cada elo e ilegal.

Upstream: os fornecedores de cartoes e contas

No topo da cadeia estao os “card merchants”, que vendem cartoes virtuais pre-pagos ou roubados em lotes. Junto deles, estao os operadores de contas que registram milhares de assinaturas usando esses cartoes. Uma conta Claude Max custa cerca de US$ 200/mes. Com um cartao roubado, o custo real e zero.

Esses operadores usam automacao pesada. Scripts que criam contas em massa, burlam CAPTCHAs com servicos de solving automatizado, e configuram pagamentos com cartoes descartaveis que serao cancelados via chargeback em 30 dias. O provedor de IA fica com o prejuizo.

Midstream: os pools de contas

A camada do meio agrega centenas dessas contas comprometidas. Softwares como o sub2api transformam assinaturas de chat (Claude Max, ChatGPT Plus) em endpoints de API programaveis. O pool gerencia tokens, faz load balancing entre contas, e automaticamente rotaciona credenciais quando uma e bloqueada.

A arquitetura tecnica e impressionantemente profissional:

[Usuario] → [Relay API (one-api)] → [Pool Manager]
                                        ├── Conta Claude Max #1
                                        ├── Conta Claude Max #2
                                        ├── Conta Claude Max #3
                                        ├── ... (centenas)
                                        └── Conta Claude Max #N

Quando uma conta e banida, o pool simplesmente a substitui por uma nova. O upstream fornece contas frescas diariamente. O cliente final nunca percebe a rotacao.

Downstream: os relays de consumo

Sao os sites que o desenvolvedor final acessa. Interface em chines (ou ingles), billing por token, suporte por WeChat ou Telegram, e precos que fariam qualquer CFO questionar a realidade.

Alguns relays oferecem ate dashboards de monitoramento, historico de uso, e SLAs informais de uptime. E como se fosse um provedor de cloud legítimo, com a pequena diferenca de que toda a operacao e construida sobre fraude.

O cliente final

Desenvolvedores individuais, startups pequenas, empresas SaaS de medio porte e, o mais preocupante, laboratorios de IA que compram acesso massivo para destilacao de modelos. Segundo discussoes em foruns, esse ultimo grupo movimenta “uma cadeia industrial de bilhoes de RMB”.

Os numeros que nao fazem sentido (ate voce entender o esquema)

Um caso documentado pela Vectoral: US$ 3.333 em creditos oficiais da Anthropic por 425 RMB, que equivale a aproximadamente US$ 60. Isso da 98,2% de desconto.

Como isso e possivel? A matematica e simples quando o “custo de aquisicao” do token e fraude. Cartoes roubados, chargebacks programados, exploracao de trials gratuitos em escala e, em alguns casos, credenciais de API vazadas de repositorios publicos no GitHub.

E o volume e absurdo. Um unico relay de medio porte processa o equivalente a centenas de milhares de dolares em tokens por dia. Multiplicado pelos 10+ relays maiores, estamos falando de milhoes de dolares em compute roubado por mes.

LLMjacking: quando roubar compute vira profissao

O termo “LLMjacking” descreve o uso nao autorizado de recursos de LLM hospedados em cloud atraves de credenciais comprometidas, APIs expostas ou endpoints desprotegidos. E como cryptojacking, mas em vez de minerar Bitcoin, o atacante consome inferencia de IA e revende o acesso.

A Sysdig documentou em 2026 a Operation Bizarre Bazaar, a primeira campanha de LLMjacking com ecossistema completo de marketplace. Os atacantes usam scanners automatizados (Shodan, Censys) para encontrar endpoints exploraveis: APIs sem autenticacao, servidores de desenvolvimento expostos, e agora, endpoints MCP (Model Context Protocol) que conectam sistemas de IA a infraestrutura interna.

O marketplace funciona no Telegram e Discord, atraves de plataformas como o silver.inc, aceitando pagamentos via PayPal e crypto. Uma chave de API de IA roubada custa cerca de US$ 30 no mercado negro. Mas o custo de compute que ela gera para a vitima pode ser catastrofico.

Imagina chegar no trabalho segunda-feira e encontrar uma fatura de US$ 47.000 da AWS porque alguem usou suas credenciais para rodar inferencia de Claude a noite inteira. Isso acontece. Regularmente.

A KPMG publicou um relatorio dedicado ao tema em 2026, classificando tokens de IA roubados como uma “ameaca emergente” no mesmo nivel de ransomware para empresas que adotam IA generativa em producao.

O escandalo dos 25.000 bots da Anthropic

Em junho de 2026, a Anthropic enviou uma carta ao Comite Bancario do Senado americano revelando o que chamou de “o maior ataque de destilacao conhecido” contra a empresa.

Os numeros sao impressionantes:

• 25.000 contas fraudulentas criadas entre 22 de abril e 5 de junho de 2026
• 28,8 milhoes de interacoes com o Claude nesse periodo
• Operadores supostamente afiliados a Alibaba e Alibaba Qwen
• Objetivo: capturar reasoning traces do Claude para treinar modelos concorrentes

Destilacao, para quem nao conhece o termo, e o processo de treinar um modelo menor usando os outputs (especialmente as cadeias de raciocinio) de um modelo maior e mais capaz. Em vez de gastar bilhoes em treino do zero, voce “rouba” a inteligencia de um modelo frontier pagando apenas pelo custo de inferencia. Ou, nesse caso, nem pagando.

Para colocar em perspectiva: treinar um modelo do calibre do Claude Opus do zero custa estimados US$ 500 milhoes a US$ 1 bilhao. Destilar um modelo razoavel usando outputs roubados custa o equivalente a algumas dezenas de milhares de dolares em tokens fraudados. O incentivo economico e avassalador.

Isso explica por que o mercado negro de tokens de IA nao e so sobre devs querendo economizar. E sobre uma industria de bilhoes de RMB onde laboratorios usam acesso fraudulento para acelerar o desenvolvimento de modelos concorrentes.

A resposta: KYC para comprar IA

A Anthropic reagiu com o que muitos consideraram uma medida drastica. A partir de 8 de julho de 2026, a empresa implementou verificacao de identidade (KYC) para assinaturas Claude Pro e Max.

O processo funciona assim: ao fazer upgrade, o usuario e redirecionado para o Persona (plataforma de verificacao de identidade) e precisa fornecer:

• Documento de identidade oficial com foto
• Selfie ao vivo pela camera do celular
• Scan de geometria facial

A reacao da comunidade foi… previsivel. Devs que pagam religiosamente suas assinaturas agora precisam mandar selfie para usar uma ferramenta de codigo. Enquanto isso, os operadores de relay provavelmente ja tem um estoque de identidades falsas prontas.

O Departamento de Comercio dos EUA tambem entrou na jogada. Em 12 de junho, exigiu que a Anthropic verificasse identidade e nacionalidade de usuarios que acessam o Fable 5 (Claude Opus 4.8 com capabilities avancadas), citando preocupacoes com ciberseguranca e uso indevido.

A ironia e que o KYC resolve parte do problema de fraude de assinatura, mas nao toca no LLMjacking (que usa credenciais de API, nao contas de chat) nem na destilacao via API business tier.

Como se proteger (se voce e dev ou empresa)

Se voce usa APIs de IA legitimamente, esse mercado negro te afeta de varias formas. Primeiro, se suas credenciais vazarem, voce paga a conta. Segundo, provedores estao apertando controles (como o KYC da Anthropic), o que afeta sua experiencia. Terceiro, se voce for pego usando um relay, mesmo sem saber da fraude, sua conta pode ser banida permanentemente.

Para desenvolvedores individuais

# Nunca commite chaves de API no git
echo "*.env" >> .gitignore
echo ".env.local" >> .gitignore

# Use variaveis de ambiente, nunca hardcode
export ANTHROPIC_API_KEY="sk-ant-..."

# Rode gitleaks antes de todo push
gitleaks detect --source . --verbose

Alem disso, ative alertas de billing na sua conta de cloud. Configure um limite de gasto diario. Se sua API key vazar, a primeira coisa que um atacante faz e testar se ela funciona com modelos premium.

Para empresas

Implemente rotacao automatica de chaves com prazo maximo de 90 dias. Audite quem tem acesso as credenciais de IA. Monitore padroes de uso: um pico de consumo as 3h da manha com requests vindos de IPs inesperados e um sinal claro de LLMjacking.

Use VPCs e redes privadas para acessar endpoints de IA. Nunca exponha um servidor MCP na internet publica. A Sysdig identificou que endpoints MCP desprotegidos sao o novo vetor favorito dos atacantes, porque dao acesso nao so a inferencia, mas a sistemas de arquivos e bancos de dados internos.

O elefante na sala: destilacao e roubo ou competicao?

Existe um debate tecnico e etico que poucos querem ter. Se eu pago para usar o Claude e gravo todos os outputs, eu posso treinar meu proprio modelo com esses dados?

Os termos de servico da Anthropic dizem que nao. A OpenAI proibe explicitamente usar outputs para treinar modelos concorrentes. Mas a realidade e que enforcement disso e quase impossivel quando o usuario opera atraves de proxies anonimos.

O caso dos 28,8 milhoes de interacoes mostra a escala do problema. Nao sao devs individuais fazendo fine-tuning caseiro. Sao operacoes industriais com milhares de contas, proxies sofisticados e pipelines de treinamento automatizados.

E a questao fica mais complicada quando voce percebe que modelos open source como Qwen, Llama e DeepSeek podem ter sido treinados, pelo menos parcialmente, com dados destilados de modelos proprietarios. Ninguem admite publicamente, mas o salto de qualidade de alguns modelos entre versoes e… suspeitamente rapido.

O proprio fato de a Anthropic ter mencionado a Alibaba Qwen na carta ao Senado sugere que a empresa acredita haver uma conexao direta entre o relay market e o desenvolvimento de modelos concorrentes chineses. Se isso for verdade, estamos falando de propriedade intelectual de bilhoes de dolares sendo transferida atraves de APIs a preco de banana.

O que vem pela frente

O mercado negro de tokens de IA nao vai desaparecer. Enquanto houver assimetria de preco entre o custo de treinar um modelo (bilhoes de dolares) e o custo de acessar um via API (centavos por token), havera incentivo economico para fraude.

O que provavelmente vamos ver nos proximos meses:

Mais KYC e verificacao: Nao so a Anthropic. Google, OpenAI e outros provedores devem implementar verificacao de identidade para acesso a modelos mais poderosos. A era do acesso anonimo a IA frontier esta acabando.

Hardware-based authentication: Chaves de API vinculadas a dispositivos fisicos, similar ao que bancos fazem com tokens de seguranca. Isso dificultaria enormemente o pooling de contas.

Watermarking de outputs: Tecnicas criptograficas embutidas nos outputs dos modelos que permitem rastrear qual conta gerou qual resposta. Se um modelo destilado reproduz esses watermarks, a origem fica provada. A Anthropic ja usa algo parecido com esteganografia no Claude Code, como reportamos aqui no CodeInsider.

Rate limiting por identidade: Nao por API key, mas por identidade verificada. Uma pessoa, um limite de uso, independente de quantas contas crie.

O jogo de gato e rato entre provedores de IA e o mercado negro esta apenas comecando. E como todo mercado ilicito, a sofisticacao dos dois lados so vai aumentar. A pergunta nao e se seu provedor de IA vai pedir seu RG. E quando.

Fonte de inspiracao: An Inside Look at the Relay Market Powering Token Resellers and Fraud (Vectoral)