- Golpes e ataques contra projetos Web3 provocaram perdas de US$ 464,5 milhões no primeiro trimestre de 2026, segundo a Hacken.
- Vulnerabilidades em smart contracts causaram prejuízos de US$ 86,2 milhões, expondo riscos mesmo em blockchains consideradas seguras.
- Especialista da Tempest alerta que falhas no código podem permitir o roubo irreversível de ativos e recomenda testes de segurança antes do lançamento.
Apenas no primeiro trimestre de 2026, US$ 464,5 milhões (mais de R$ 2 bilhões) foram perdidos em projetos de Web3 por meio de golpes, sendo a maioria ataques de phishing e engenharia social, segundo dados da Hacken. O cenário coloca a segurança dos ativos digitais entre os temas que ganham relevância à medida que bancos, fintechs e empresas de tokenização avançam na adoção de blockchain para movimentar e representar ativos.
A proteção, porém, não deve se limitar à prevenção de fraudes contra usuários, mas também avaliar a segurança do código que sustenta as aplicações — a avaliação é da empresa de cibersegurança Tempest Security Intelligence, que analisou os dados sobre os golpes.
De acordo com o especialista em segurança ofensiva da Tempest, Abner Sena de Alcântara, a associação entre blockchain e segurança ainda alimenta uma falsa sensação de proteção em parte do mercado. A tecnologia foi desenvolvida para garantir a integridade e a imutabilidade dos registros, mas essas características não tornam automaticamente seguros os sistemas construídos sobre ela.
“Um smart contract é, essencialmente, um código que executa regras e operações dentro da blockchain e, como qualquer software, pode apresentar erros de implementação, falhas de lógica e problemas de controle de acesso”, explica o especialista.
Segundo Abner, há uma percepção geral de que, se está na blockchain, está seguro. Porém, a blockchain e o smart contract são coisas diferentes. “A rede pode ser extremamente resistente a fraudes e, ainda assim, o código que executa uma operação ter uma vulnerabilidade”, explica o especialista.
Uma falha pode comprometer todos os ativos
Em determinadas condições, uma falha em uma função do contrato pode permitir que o atacante altere parâmetros críticos, execute operações não autorizadas ou transfira ativos para uma carteira sob seu controle. Conforme a Hacken, dos US$ 464,5 milhões perdidos em ataques na Web3, US$ 86,2 milhões vieram de explorações de vulnerabilidades em smart contracts.
O risco é agravado pela característica de irreversibilidade das transações. Enquanto uma fraude em sistemas financeiros tradicionais pode ser bloqueada, contestada ou revertida por instituições e intermediários, uma transferência realizada na blockchain não conta com uma autoridade central que possa desfazer a operação.
“Em uma empresa que trabalha com ativos digitais, uma vulnerabilidade não significa apenas que alguém pode acessar um sistema. Dependendo da falha, o atacante pode conseguir movimentar o próprio ativo. E, depois que essa transferência acontece, em em redes públicas, como Bitcoin, Ethereum, Solana, Polygon não existe uma instituição intermediária que possa simplesmente estorná-la”, afirma Abner.
Para as empresas, isso transforma a segurança do smart contract em uma questão diretamente relacionada à continuidade do negócio. Em um cenário extremo, a exploração de uma única vulnerabilidade poderia comprometer os recursos vinculados a um contrato em poucos minutos, levando a perdas financeiras que inviabilizariam a operação.
Prevenção precisa estar na agenda
A evolução das ameaças em projetos na Web3 também aparece no relatório Smart Contract Top 10 da Open Worldwide Application Security Project (OWASP), com falhas de controle de acesso e vulnerabilidades de lógica de negócio aparecendo em primeiro e em segundo lugar.
Conforme Abner, a discussão sobre segurança, então, precisa acompanhar a evolução da infraestrutura desde as primeiras etapas dos projetos. A recomendação é que as empresas realizem testes de penetração especializados antes da entrada em produção, em vez de esperar um incidente para avaliar a segurança do contrato.
“Não é uma tecnologia em que a empresa pode pensar primeiro em colocar em produção e depois verificar a segurança. Quando existe um ativo financeiro dentro daquele contrato, o custo de descobrir uma vulnerabilidade depois do lançamento pode ser muito maior, porque talvez o atacante já tenha explorado o problema”, afirma o especialista.
Na prática, o pentest permite simular tentativas de exploração e identificar vulnerabilidades que podem não aparecer em testes funcionais ou em revisões convencionais de código. A recomendação ganha ainda mais força diante da falta de profissionais com experiência específica em segurança de Web3.
“Embora a tecnologia blockchain esteja em desenvolvimento há anos, o conhecimento especializado sobre segurança de smart contracts ainda é mais restrito do que em tecnologias tradicionais, o que aumenta a possibilidade de que falhas elementares passem pelas etapas internas de desenvolvimento”, conclui Abner.
