- PeckShield contabiliza 55 incidentes e US$ 766,5 milhões roubados em setembro
- Bitget perdeu US$ 388 milhões e Liquid Network, outros US$ 320 milhões
- Ano acumula 656 incidentes de segurança e US$ 2,68 bilhões em prejuízo
Setembro entrou para a lista dos piores meses do ano em roubos de cripto. Duas empresas de segurança blockchain chegaram a números parecidos: PeckShield contabilizou 55 incidentes relevantes e US$ 766,5 milhões subtraídos. A CertiK, usando metodologia mais ampla, registrou 97 ocorrências e US$ 768,4 milhões em perdas.
Os dois levantamentos apontam salto expressivo frente a agosto. E ambos concentram o estrago em apenas dois eventos.
Bitget perde US$ 388 milhões e lidera ranking do mês
O ataque à Bitget respondeu sozinho por metade do volume roubado no mês. A exchange teve US$ 388 milhões drenados, em um episódio que o CEO atribuiu a uma vulnerabilidade de terceiro. Reportagens posteriores indicaram que os invasores circularam pela infraestrutura da corretora por semanas antes de agir — a Bitnotícias detalhou como os hackers passaram 25 dias dentro do ambiente da empresa.
Logo atrás aparece a Liquid Network, sidechain do Bitcoin, com US$ 320 milhões explorados. Esse caso teve desfecho atípico: mais de US$ 270 milhões foram devolvidos depois, reduzindo o prejuízo líquido a uma fração do valor inicial. Devoluções desse porte costumam indicar negociação direta com o atacante, prática que ganhou tração desde 2021 e que divide opiniões no setor.
Fora do topo, os valores caem rápido. Safe Wallet perdeu US$ 7,8 milhões, a DCENT contabilizou US$ 6 milhões e a plataforma Duelbits, US$ 5,9 milhões. Nenhum outro incidente do mês passou da casa dos dois dígitos em milhões.
Ano acumula 656 incidentes e US$ 2,68 bilhões em perdas
O painel de segurança da CertiK mostra 656 incidentes ao longo de 2026, somando US$ 2,68 bilhões em fundos perdidos. Trata-se de um patamar elevado mesmo para os padrões do setor, e a distribuição segue o mesmo padrão dos anos anteriores: poucos ataques de grande porte definem o total, enquanto dezenas de exploits menores passam quase despercebidos.
“Setembro foi um lembrete direto de quão rápido o cenário de ameaças pode mudar”, afirmou a CertiK em comunicado. A frase ecoa um problema estrutural. Enquanto protocolos de DeFi amadureceram em auditoria de contratos, o elo fraco migrou para custódia centralizada, fornecedores terceirizados e chaves operacionais.
Há ainda o componente geopolítico. O próprio CEO da Bitget levantou suspeita de envolvimento norte-coreano no ataque, citando rastros de IP. Grupos ligados a Pyongyang respondem por parcela relevante dos roubos de alto valor desde 2022, segundo relatórios de inteligência blockchain.
Custódia em exchange volta ao centro do debate no Brasil
Para o investidor brasileiro, o episódio reacende uma discussão prática. Boa parte do volume local ainda transita por corretoras internacionais, e um ataque de centenas de milhões em uma exchange global afeta diretamente quem mantém saldo lá — independentemente de onde mora.
O Banco Central vem endurecendo o cerco. A autoridade monetária já sinalizou que pretende acelerar o veto a empresas cujos controladores não tenham reputação ilibada, parte do novo marco de prestadoras de serviços de ativos virtuais. Exigências de capital mínimo, segregação patrimonial e governança de segurança passam a filtrar quem opera no país.
Nada disso blinda o usuário que escolhe uma plataforma de fora. Vale lembrar que a transparência de reservas virou argumento comercial: a OKX, por exemplo, declarou 139.865 BTC em reserva no fechamento de setembro. Prova de reservas, porém, atesta solvência — não impede invasão.
O mercado absorveu os ataques sem abalo relevante de preço. O Bitcoin opera em US$ 83.460 (cerca de R$ 434,2 mil), com alta de 0,5% em 24 horas. O Ethereum está em US$ 2.683,35, avanço de 0,6% no mesmo intervalo. Historicamente, hacks isolados só pressionam cotações quando atingem stablecoins sistêmicas ou pontes com liquidez concentrada.
Quem mantém posições relevantes tende a revisar a divisão entre custódia própria e saldo em corretora. Carteiras de hardware, multisig e distribuição entre plataformas continuam sendo as respostas mais básicas — e as mais ignoradas.
