- Estudo analisou 23.818 achados de auditoria e 218 incidentes com US$ 7,76 bilhões roubados
- Vazamento de chaves privadas e phishing respondem por 43,9% do valor perdido
- 105 protocolos auditados foram invadidos e somam 55% das perdas registradas
O selo ‘auditado’ virou uma espécie de certificado de garantia no mercado cripto e um novo estudo mostra que essa confiança está mal calibrada. Pesquisa da Oak Security cruzou 23.818 achados públicos de auditoria com 218 incidentes catalogados entre janeiro de 2022 e março de 2026, expondo o abismo entre o que auditores examinam e por onde o dinheiro efetivamente escapa.
O trabalho, assinado por Stefan Beyer e disponível em preprint acadêmico, contabilizou US$ 7,764 bilhões em perdas no período. A distribuição dos ataques desmonta a ideia de que revisar contratos inteligentes basta para proteger usuários.
Chaves privadas lideram perdas com US$ 1,89 bilhão
Comprometimento de chaves privadas responde por 24,4% do valor roubado, seguido por phishing e engenharia social com 19,5%. Somados, os dois vetores representam 43,9% do prejuízo categorias que nenhum auditor de smart contract é contratado para inspecionar.
Falhas de controle de acesso vêm em terceiro (12,8%), com manipulação de oráculos e preços logo atrás (8,6%). Quando o estudo agrega ataques a dependências e governança, a fatia de vetores humanos e operacionais salta para 49,6% das perdas totais.
Do lado dos achados de auditoria, o cenário é outro, erros de lógica de negócio (14,6%), qualidade de código (13%), validação de entrada (10%) e controle de acesso (9,8%) lideram os relatórios. Auditores encontram aquilo que procuram no código, enquanto atacantes contornam diretamente essas barreiras.
Caso Bybit expõe o limite do ‘auditado’
O roubo de US$ 1,46 bilhão sofrido pela Bybit em fevereiro de 2025 é o exemplo perfeito. Atacantes ligados à Coreia do Norte, segundo o FBI, manipularam a interface de assinatura em uma máquina de desenvolvedor comprometida. Os signatários viram o endereço esperado na tela enquanto autorizavam, por baixo, a transferência de aproximadamente 401.347 ETH.
A Safe, provedora de multisig usada pela exchange, confirmou que nenhuma vulnerabilidade foi encontrada em seus contratos ou no código-fonte. O ataque atravessou uma etapa que auditoria de smart contract não cobre, a ponte entre o que o humano vê e o que o blockchain executa. A Bybit chegou a processar a Coreia do Norte via lei RICO para tentar recuperar parte do valor.
Sozinho, o incidente da Bybit contribuiu com US$ 1,43 bilhão dos US$ 1,51 bilhão de perdas por phishing no dataset o equivalente a 18,4% de todo o valor roubado nos 218 casos analisados. Oito eventos concentram metade das perdas totais, o que confirma que cripto é um mercado de outliers catastróficos.
Protocolos auditados somam US$ 4,3 bilhões em perdas
Dos 218 incidentes, 105 envolveram protocolos com ao menos uma auditoria pública anterior, totalizando cerca de US$ 4,3 bilhões 55% das perdas observadas. O número não prova que auditores deixaram bugs passar. Em muitos casos, a versão auditada era diferente da que rodava em produção, ou o vetor de ataque estava fora do escopo original da revisão.
Beyer descreve o problema como uma falha de linguagem. Uma auditoria examina commits específicos, num intervalo de dias, sobre um conjunto delimitado de contratos. Quando o PDF vira selo no site do projeto, o público lê ‘seguro’ mas a revisão nunca cobriu a máquina do desenvolvedor, a interface de assinatura, o pipeline de deploy, os oráculos ou o processo de custódia.
CVM cobra due diligence antes de listar tokens no Brasil
Para o investidor brasileiro, o alerta é direto, exchanges locais e plataformas de tokenização frequentemente exibem selos de auditoria como diferencial de marketing. A CVM, no entanto, vem endurecendo o discurso sobre due diligence de emissores em ofertas de crypto assets, e o projeto de lei sobre tokenização em tramitação no Senado tende a exigir divulgações padronizadas.
O Banco Central, em movimento paralelo, já retém envios de cripto acima de US$ 10 mil por 24 horas medida operacional que reconhece justamente o tipo de risco que auditorias de código não endereçam: fraude, engenharia social e desvio via interface.
Beyer propõe substituir o selo por um rótulo padronizado, no estilo tabela nutricional, detalhando qual commit recebeu revisão, quais contratos ficaram de fora, se o bytecode em produção corresponde ao auditado, quando testaram as chaves e se revisaram o front-end. Enquanto isso não vira norma, cabe ao investidor tratar o carimbo ‘auditado’ como o que ele realmente é uma inspeção limitada, com prazo de validade e perímetro estreito.
