- Perdas por falhas operacionais em cripto cresceram 720% em 2026, saltando de US$ 78,3 milhões para US$ 642 milhões, segundo a Nexus Mutual.
- Comprometimento de chaves privadas e engenharia social estão entre os principais vetores de ataques, que já não dependem apenas de vulnerabilidades em contratos inteligentes.
- Especialista alerta que auditorias de código não são suficientes e recomenda reforçar a autocustódia, a proteção de credenciais, o monitoramento e os controles de acesso.
As perdas associadas a falhas operacionais no mercado de criptoativos saltaram de US$ 78,3 milhões em 2025 para US$ 642 milhões em 2026, até o fim do terceiro trimestre, uma alta de aproximadamente 720%, segundo levantamento da Nexus Mutual divulgado em outubro. Entre os principais vetores estão o comprometimento de chaves privadas e ataques de engenharia social.
No total, o relatório aponta que as perdas on-chain chegaram a US$ 1,9 bilhão em 2026, o maior volume desde 2022. O levantamento considera diferentes tipos de risco no ecossistema, como vulnerabilidades em contratos inteligentes, falhas operacionais, problemas de custódia e perda de paridade de ativos digitais.
Para Leonardo Maximiliano, cofundador e CEO da DSEC Labs e especialista em segurança de ativos digitais e autocustódia, o avanço das perdas operacionais mostra uma mudança importante no perfil dos ataques.
“Durante muito tempo, quando se falava em hack no mercado cripto, a primeira associação era com uma vulnerabilidade no código ou em um contrato inteligente. O que estamos vendo agora é que os criminosos também passaram a atacar tudo o que existe ao redor da tecnologia: pessoas, dispositivos, chaves privadas, fornecedores, processos de assinatura e acessos administrativos”, afirma Maximiliano.
O relatório classifica o comprometimento de chaves e a engenharia social entre os principais pontos de falha operacional observados no ano. Em um dos maiores casos analisados, um ataque prolongado de engenharia social conseguiu comprometer integrantes responsáveis por autorizações de uma estrutura multifirma, permitindo a movimentação de centenas de milhões de dólares sem que fosse necessário explorar uma falha no contrato inteligente.
Segundo Maximiliano, essa mudança exige que empresas e investidores ampliem o conceito de segurança para além da proteção da blockchain. “Uma blockchain pode continuar funcionando exatamente como foi projetada e, ainda assim, o dinheiro ser roubado. Se um criminoso consegue a chave correta ou convence uma pessoa autorizada a aprovar uma operação, para a rede aquela transação pode ser perfeitamente válida. É justamente por isso que proteger a chave privada é tão importante quanto proteger o código”, explica.
Autocustódia também exige processos de segurança
O avanço dos ataques envolvendo credenciais também traz implicações para usuários que optam pela autocustódia, modelo no qual o próprio investidor mantém controle sobre as chaves necessárias para movimentar seus ativos. De acordo com Maximiliano, retirar criptomoedas de uma exchange elimina determinados riscos de contraparte, mas transfere ao usuário a responsabilidade pela proteção das credenciais.
“Autocustódia não significa simplesmente comprar uma hardware wallet e considerar o problema resolvido. É preciso pensar em como a seed foi gerada, onde o backup está guardado, quais dispositivos entram em contato com a carteira, quem conhece a existência desses ativos e quais procedimentos serão adotados antes de assinar uma transação”, afirma.
- Leia também: Bradesco cria identidade digital em blockchain e quer expandir em 2027 para diferentes serviços bancários e empresas
No ambiente corporativo, o especialista destaca ainda a necessidade de reduzir a concentração de poder sobre os recursos. Entre as medidas estão estruturas multifirma, segregação de funções, limites para movimentações, monitoramento de transações e controles específicos para acessos privilegiados.
“Se uma única credencial consegue movimentar milhões de dólares, ela passa a representar um ponto único de falha. A tecnologia permite distribuir essa responsabilidade. O problema é quando uma estrutura aparentemente descentralizada continua dependendo, na prática, de uma chave, de uma pessoa ou de um fornecedor com poder excessivo”, acrescenta.
Ataques mostram que auditoria é apenas uma camada
O levantamento também reforça que a segurança precisa ser tratada como um processo contínuo. Além de vulnerabilidades de contratos, casos registrados ao longo do ano envolveram comprometimento de infraestrutura, manipulação de autorizações e ataques direcionados a pessoas responsáveis pela movimentação de ativos.
Para o CEO da DSEC Labs, a auditoria de código continua sendo uma etapa importante, mas não cobre sozinha todos os vetores capazes de provocar uma perda.
“Você pode ter um contrato tecnicamente seguro e ainda sofrer um ataque pela cadeia de fornecedores, por engenharia social ou pelo comprometimento de uma credencial administrativa. Segurança não é uma fotografia feita antes do lançamento. É monitoramento, revisão de permissões, atualização dos sistemas e capacidade de reagir quando o modelo de ameaça muda”, conclui Maximiliano.
O relatório The State of Crypto Insurance Q3 2026, da Nexus Mutual, foi publicado em 26 de outubro. A organização ressalta que os valores são calculados com base em sua própria metodologia de acompanhamento de perdas e podem diferir dos números apresentados por outros rastreadores do mercado.
