CurseForge ou Modrinth: qual é melhor e tem vírus? (2026)

Published on

CurseForge ou Modrinth? O Modrinth é a melhor plataforma e o CurseForge tem mais mods. Os dois escaneiam cada arquivo e já tiveram um caso de malware.

Paisagem de Minecraft com uma fogueira acesa diante de montanhas nevadas ao pôr do sol

CurseForge ou Modrinth? Essa dúvida aparece no primeiro mod que você baixa, e logo vem a segunda: o CurseForge tem vírus? E o Modrinth? Este guia responde as duas com o que cada plataforma publica sobre si mesma, conferido em 3 de novembro de 2026. As fontes estão quase todas em inglês, e as citações foram traduzidas por nós.

Resposta rápida: para a maioria dos jogadores, o Modrinth é a melhor plataforma: código aberto, uma API que não pede chave para a maioria dos acessos, 75% da receita de anúncios para os criadores e site e app em português do Brasil. O CurseForge é a maior: diz ter 300.000 mods de Minecraft, contra 78.030 na busca do Modrinth, e packs grandes como o All the Mods 10 só estão lá. Nenhum dos dois é vírus. Os dois escaneiam todo arquivo enviado, e os dois já tiveram um caso de malware que passou: o fractureiser no CurseForge em 2023 e o Windows Borderless no Modrinth em 2024. Baixe sempre pela página oficial do projeto ou pelo app oficial, nunca de um ZIP que chegou pelo Discord.

CurseForge ou Modrinth lado a lado

Dados de 3 de novembro de 2026, salvo outra data:

ModrinthCurseForge
Mods de Minecraft78.030 na busca do Modrinth300.000, pela conta do CurseForge em agosto de 2026
Modpacks grandes de Forge e NeoForgeAll the Mods 10, FTB StoneBlock 4 e Vault Hunters não aparecem na buscaOs três estão lá
Edição do MinecraftSó Java EditionMods para Java e add-ons para Bedrock
Receita de anúncios para os criadores75%70%
Verificação dos arquivosScanner próprio que descompila todo arquivo enviadoMais de uma dúzia de testes automáticos por arquivo, com vários antivírus
Caso de malware mais conhecidoWindows Borderless, maio de 2024, cerca de 372 IPsfractureiser, junho de 2023, cerca de 6.500 downloads
Servidores pagosModrinth Hosting, em betaCurseForge Servers, beta com a Shockbyte desde 8 de setembro de 2026

Qual é melhor, CurseForge ou Modrinth?

Como plataforma, o Modrinth leva vantagem. Todo o código, do site ao Modrinth App, está público no GitHub. A documentação da API diz que você "não precisa de um token para a maioria das requisições", o que facilita a vida de launchers e scripts de servidor. O programa de recompensas divide a receita de anúncios em 75% para os criadores e 25% para o Modrinth; o CurseForge diz na página de download que repassa 70%. E o site e o Modrinth App têm a opção Português (Brasil) nas configurações de idioma.

O CurseForge ganha no tamanho. Em agosto de 2026 ele anunciou 300.000 mods de Minecraft. As duas plataformas contam de jeitos diferentes, mas os packs grandes deixam a diferença clara: o All the Mods 10, de NeoForge, passa de 22,7 milhões de downloads no CurseForge e não aparece na busca do Modrinth. O CurseForge também tem add-ons para o Bedrock, com um guia próprio, enquanto a lista de versões do Modrinth só tem a Java Edition.

A Overwolf também não precisa pesar na escolha: o app do CurseForge vem numa versão standalone, mais leve, e numa versão Overwolf, que instala o cliente da Overwolf junto, como avisa a página do app.

Na prática:

  • Fabric com mods de desempenho: Modrinth. O Sodium tem 259 milhões de downloads lá e 162 milhões no CurseForge.
  • Um pack grande de Forge ou NeoForge, como o All the Mods 10: CurseForge, onde o pack é publicado.
  • Add-ons para Bedrock: CurseForge.
  • Mods dos dois sites: o Prism Launcher, que se conecta direto ao Modrinth e ao CurseForge.

O CurseForge tem vírus?

O app e o site do CurseForge não são vírus, e o CurseForge diz que escaneia "todos os arquivos que você baixa diretamente pelo nosso app ou site em busca de malware e código malicioso" (maio de 2026). Todo arquivo enviado passa por "mais de uma dúzia" de testes automáticos, "incluindo várias verificações de antivírus", a página do projeto é revisada por uma pessoa sempre que o projeto é criado ou atualizado, e um arquivo suspeito vai para um especialista em segurança da Overwolf (relatório de 2023). Para mods de Minecraft, o processo de aprovação descrito em maio de 2024 descompila cada arquivo, compara cada classe com malware já conhecido e passa o código por análise estática; no fim, um arquivo suspeito é rejeitado ou vai para revisão manual.

Esse sistema já falhou uma vez em grande escala. O fractureiser foi descoberto em junho de 2023, na manhã do lançamento do Minecraft 1.20: um atacante subiu mods infectados no CurseForge e no dev.bukkit.org, e o malware tentava roubar cookies e senhas do navegador e as contas do Discord, da Microsoft e do Minecraft. Segundo o CurseForge, ele foi feito para escapar de "todos os antivírus comerciais". Em 10 horas, o CurseForge bloqueou as contas do atacante, escaneou todo o banco de arquivos e removeu os infectados, que foram baixados cerca de 6.500 vezes. Os investigadores concluíram que o CurseForge em si não foi invadido, só usuários individuais. Se você ainda usa mods baixados do CurseForge entre fevereiro e junho de 2023, eles mandam tratar esses arquivos como possivelmente maliciosos, e o CurseForge tem ferramentas de detecção para isso.

O próprio CurseForge admite o limite: "não conseguimos escanear nem verificar arquivos de modpack enviados por amigos e importados pelo app do CurseForge". Se importar um ZIP assim, escolha "CurseForge Files Only", que instala só arquivos verificados e escaneados.

O Modrinth tem vírus?

O Modrinth também não é vírus, e como o código é público, dá para ver como os envios são tratados. Todo arquivo enviado, de projeto novo ou de atualização, vai para um scanner antimalware próprio que descompila o código Java. A equipe marca cada achado suspeito como seguro ou inseguro, e um veredito inseguro rejeita o projeto e o esconde do público. Projetos novos também passam por gente; na tradução do próprio site, "seu projeto será analisado e revisado por moderadores humanos".

A brecha fica nas atualizações: a revisão humana acontece no primeiro envio, e depois uma versão nova entra no ar assim que o autor faz o upload, com o scan rodando em seguida. Foi assim que passou o único caso de malware que o Modrinth divulgou (relato do Modrinth). O mod "Windows Borderless" foi aprovado em 30 de abril de 2024 com um arquivo limpo. Em 2 de maio, uma versão nova passou a mandar dados do PC para um webhook do Discord, e versões de 4 a 6 de maio trouxeram ladrões de senhas e tokens. No dia 6, um usuário denunciou o mod dizendo que a conta do Discord dele tinha sido invadida; cerca de três horas depois, a equipe investigou e, em poucos minutos, tirou do ar o projeto e todos os outros dos mesmos autores. O malware só rodava no Windows, foi baixado de cerca de 372 IPs e não estava em nenhum modpack do Modrinth.

E o fractureiser? Não chegou ao Modrinth, mas os investigadores escreveram que isso foi "pura sorte" e que "o Modrinth é tão seguro quanto o CurseForge".

O Modrinth App também ganhou avisos em 2026: desde a versão 0.13.7, de 29 de abril, ele avisa antes de instalar um .mrpack que não está hospedado no Modrinth, e desde a 0.15.11, de 14 de julho, também antes de instalar um mod que não foi publicado lá (changelog). Nas configurações, deixe ligada a opção "Me alertar antes de instalar pacote de mods desconhecidos".

Então, qual é mais seguro?

Nenhum dos dois de forma clara. Os dois escaneiam todo envio, revisam projetos novos e já deixaram passar um caso conhecido. Escolha pela plataforma onde estão os mods que você quer.

E o antivírus? Um resultado limpo prova pouco, porque o fractureiser passou por todos os antivírus comerciais. Um alerta sozinho também não prova nada: o Modrinth avisa que, numa denúncia, "resumos do Microsoft Defender, VirusTotal ou detecção de malware por IA não são formas suficientes de evidência". Trate um alerta como motivo para tirar o arquivo e conferir de onde ele veio.

Onde está o risco de verdade

Os ataques recentes chegaram por fora das páginas oficiais:

  • Modpacks falsos no Discord. Em maio de 2026, o CurseForge contou o caso de um golpista que se passava por alguém da comunidade, pediu ajuda para gravar um vídeo surpresa num servidor privado e mandou um ZIP pequeno como o modpack "obrigatório". Dentro, o arquivo EchoVoiceBeta-1.0-SNAPSHOT.jar podia rodar comandos do PowerShell e baixar mais malware, provavelmente para roubar contas do Minecraft, tokens do Discord e cookies do navegador.
  • Mods falsos no GitHub. Em junho de 2025, a Check Point Research achou mods falsos que imitavam os cheats Oringo e Taunahi em repositórios com estrelas de várias contas, para parecerem confiáveis. Eles roubavam senhas do navegador, carteiras de criptomoeda e contas do Discord e do Steam.
  • Sites de repost. Cópias de mods em outros sites pulam as verificações. A campanha StopModReposts, ativa desde 2014, avisa que quem baixa delas corre o risco de pegar "malware ou versões desatualizadas".
  • Uma atualização ruim num projeto de verdade. O fractureiser pegou carona em projetos populares depois que a conta de um estúdio foi invadida, e o Windows Borderless trocou um arquivo limpo por um malicioso numa atualização.

Como baixar mods com segurança

  1. Comece pela página oficial no curseforge.com ou no modrinth.com, ou pelo app oficial. Um link de vídeo ou do Discord que não leva para lá não merece o download.
  2. Confira o autor, a idade do projeto e os downloads. Um nome quase igual ao de um mod famoso, com poucas centenas de downloads, é sinal de alerta.
  3. Escolha o arquivo para a sua versão do Minecraft e o seu loader (Fabric, Forge, NeoForge ou Quilt). Uma versão nova depois de meses de silêncio, sem changelog, pode esperar alguns dias.
  4. Nunca importe um modpack que chegou por mensagem privada, nem de amigo. Se importar, use "CurseForge Files Only" ou não ignore o aviso do Modrinth App.
  5. Faça backup do mundo antes de colocar mods num save que já existe.

E para quem tem servidor?

As duas plataformas vendem servidores: o Modrinth Hosting, em beta, e, desde setembro de 2026, o CurseForge Servers, um beta feito com a Shockbyte na aba Servers do app do CurseForge, liberado aos poucos. Mas qualquer hospedagem roda packs dos dois sites: no CurseForge, o autor publica um server pack como arquivo extra; no Modrinth, o pack vem num arquivo .mrpack, como o Cobblemon Official Modpack. Na nossa hospedagem de modpacks (página em inglês), o instalador do painel instala packs listados do CurseForge e do Modrinth, e os arquivos de servidor de qualquer outro pack podem ir por SFTP.

O servidor carrega os mesmos arquivos .jar que os jogadores, então instale pelo pack oficial, nunca por um ZIP de terceiros. Os guias Is CurseForge safe? e Is Modrinth safe?, em inglês, mostram como conferir a pasta mods do servidor, e a comparação completa está em Modrinth vs CurseForge. Para escolher onde hospedar um servidor para jogadores no Brasil, veja o nosso guia de servidor Minecraft no Brasil.

FAQ

O CurseForge é confiável? Sim. O CurseForge é feito pela Overwolf, como diz a própria página de download, e passa os arquivos enviados por testes automáticos e revisão humana. Os investigadores do fractureiser, o pior caso que já passou por lá, concluíram que o CurseForge em si não foi invadido.

O app do CurseForge é spyware? Não. É um gerenciador de mods legítimo da Overwolf. Ele mostra anúncios e coleta dados, mas a Overwolf diz que você não precisa fazer login para usar os apps e pode recusar a coleta de dados. Se não quer o cliente da Overwolf, baixe a versão standalone.

Modrinth ou CurseForge para modpacks? Use a plataforma onde o pack é publicado. All the Mods 10, FTB StoneBlock 4 e Vault Hunters estão no CurseForge; o Cobblemon Official Modpack está no Modrinth. Se você joga packs dos dois lados, o Prism Launcher instala de ambos.

Posso usar mods do Modrinth e do CurseForge juntos? Pode. O Minecraft não sabe de qual site veio cada mod, então mods dos dois funcionam juntos desde que sejam para o mesmo loader e a mesma versão do jogo. Instale cada mod uma vez só, e não uma cópia de cada site.

Meu antivírus acusou um mod. É vírus? Só o alerta não responde isso. Tire o arquivo da pasta de mods e veja de onde ele veio: se não foi da página oficial no CurseForge ou no Modrinth, apague. Se você abriu o jogo com ele, troque de outro aparelho as senhas da conta Microsoft, do Discord, do e-mail e as salvas no navegador, ligue a verificação em duas etapas e denuncie o projeto.

Fontes

Todas consultadas em 3 de novembro de 2026: