- Setor cripto acumulou 245 incidentes de segurança entre janeiro de 2025 e julho de 2026
- Dez maiores ataques concentraram 72,5% do valor roubado no período
- Cobertura ativa de seguros on-chain caiu 20,2% e chegou a US$ 130,2 milhões
Plataformas de criptomoedas perderam US$ 3,63 bilhões em 245 incidentes de segurança registrados entre janeiro de 2025 e julho de 2026. O número consta do relatório State of Crypto Security, publicado pela CoinGecko em 27 de agosto, e coloca o setor diante de uma constatação incômoda: auditorias tradicionais não estão cobrindo a maior parte das vulnerabilidades exploradas.
A concentração dos prejuízos chama atenção. Só os dez maiores ataques responderam por mais de 72,5% do total roubado. Ataques a infraestrutura e cadeia de suprimentos — como comprometimento de chaves privadas, dispositivos de funcionários, front-ends e bridges — somaram, sozinhos, mais de US$ 1,8 bilhão. A leitura é direta: o dinheiro está saindo por fora do smart contract, não por dentro dele.
Bybit lidera com US$ 1,44 bilhão em um único hack
O maior incidente do período foi o ataque à Bybit, em fevereiro de 2025, que drenou aproximadamente US$ 1,44 bilhão. A CoinGecko destaca que a exploração não envolveu falha em contrato inteligente da exchange, e sim comprometimento da infraestrutura de assinatura de transações — um vetor típico de comprometimento de chave privada, considerado hoje o principal risco de exchanges centralizadas.
Na sequência aparecem o rombo de US$ 292 milhões na KelpDAO, os US$ 285 milhões retirados do Drift Protocol e o exploit de US$ 223 milhões contra o Cetus. Aplicações descentralizadas perderam cerca de US$ 546 milhões por explorações de contrato, incluindo manipulação de oráculos e falhas em mecanismos internos. Dois ataques atribuídos a grupos ligados à Coreia do Norte movimentaram outros US$ 577 milhões, majoritariamente via engenharia social e bridges.
Auditorias cobriram apenas 11% dos casos explorados
O dado mais desconfortável do relatório é sobre auditoria. Das 245 plataformas afetadas, 147 (cerca de 60%) haviam passado por auditoria independente antes de serem atacadas — e essas mesmas plataformas concentraram 88,44% das perdas totais. Isso não significa que auditores aprovaram código vulnerável: apenas 11% dos incidentes envolveram falhas dentro do escopo típico de uma auditoria de smart contract, o que ainda somou US$ 396 milhões.
O restante veio de credenciais comprometidas, atualizações de software não auditadas, dependências externas e mecanismos de governança que ficam fora da revisão contratada. Uma auditoria, lembra a CoinGecko, é um retrato de uma versão específica do código — não substitui monitoramento contínuo nem segurança operacional. O relatório da CoinGecko reforça que o vetor de ataque migrou para fora da camada de contrato.
Seguros on-chain recuam 20,2% e capacidade encolhe
Enquanto os ataques crescem, a proteção diminui. A cobertura ativa entre os principais protocolos de seguro on-chain caiu 20,2%, passando de US$ 163,2 milhões para US$ 130,2 milhões. Pagamentos acumulados ficaram próximos de US$ 33 milhões. Cinco dos nove protocolos monitorados se tornaram inativos ou pivotaram para outros negócios até agosto de 2026, pressionados por prêmios caros e dificuldade de atrair capital.
Vale a ressalva metodológica: comparar US$ 130,2 milhões de cobertura com US$ 3,63 bilhões de perdas cumulativas não gera uma razão formal de cobertura, porque um número é fotografia e o outro é filme. Além disso, apólices costumam excluir phishing, roubo de chave privada, erro operacional e volatilidade de mercado — justamente os vetores que mais roubaram dinheiro no período.
Exchanges brasileiras sob pressão do BC
Para o investidor brasileiro, o timing importa. As novas regras de criptoativos do Banco Central derrubaram o mercado local em 58% em julho, e exigências de segregação patrimonial e controle de chaves entram em vigor justamente no momento em que exchanges globais migram de seguros externos para fundos próprios de proteção. Esses fundos, alerta o relatório, dependem de custódia, composição de reservas e discricionariedade da própria exchange — não equivalem a seguro regulado.
O caso da falha crítica no Core Lightning, divulgada nesta semana, ilustra o ponto: cadeia de dependências e infraestrutura, não o contrato em si, é onde o risco está mais concentrado em 2026.
