- DeFi acumula US$ 1,3 bilhão em perdas nos oito primeiros meses de 2026
- Drift e KelpDAO concentram US$ 575 milhões roubados em apenas 18 dias
- Grupo norte-coreano Lazarus responde por 44% do total desviado no ano
O ecossistema DeFi acumula pelo menos US$ 1,3 bilhão em prejuízos com ataques nos primeiros oito meses de 2026, segundo levantamentos da CertiK, da Forbes e da TRM Labs. O número, por si só, não seria uma ruptura em relação aos anos anteriores. O que mudou foi o vetor: chaves comprometidas passaram a superar bugs de contrato inteligente como a principal porta de entrada.
A leitura dos dados do painel rekt.news, que cataloga incidentes acima de US$ 3 milhões, mostra mais de 30 ocorrências no ano. Nenhuma das duas maiores explorou vulnerabilidade de código. Ambas exploraram pessoas.
Drift e KelpDAO somam US$ 575 milhões em 18 dias
No dia 1º de abril, o Drift Protocol, então maior exchange de perpétuos da Solana, foi drenado em US$ 285 milhões em apenas 128 segundos. Os atacantes se passaram por uma mesa quantitativa por meses, participaram de conferências e cultivaram vínculos presenciais com contribuidores do projeto até obter autoridade pré-assinada do Security Council usando um durable nonce, recurso legítimo da Solana.
A execução foi cirúrgica. Whitelistaram um token fictício chamado CVT, depositaram 500 milhões de unidades como colateral contra um oráculo falso que controlavam há três semanas e sacaram USDC, SOL e ETH. Uma auditoria da Neodyme, de 2024, havia sinalizado exatamente o mecanismo — classificado como informativo, porque supostamente só o admin poderia acioná-lo.
Dezessete dias depois, em 18 de abril, o KelpDAO perdeu US$ 290 milhões. Alguém aplicou engenharia social sobre um desenvolvedor da LayerZero Labs, capturou suas session keys e envenenou a infraestrutura RPC que alimentava a rede verificadora da ponte. Os nós externos sofreram DDoS. Os nós comprometidos restantes assinaram uma mensagem cross-chain forjada, e a ponte cunhou 116.500 rsETH sem lastro. O TVL da Aave encolheu US$ 6,28 bilhões em 48 horas.
Lazarus responde por 44% do total desviado
Mandiant, CrowdStrike, Elliptic e a própria LayerZero atribuíram os dois ataques ao TraderTraitor, subgrupo do Lazarus Group ligado ao regime norte-coreano. Somando Drift e KelpDAO, o grupo responde por US$ 575 milhões — cerca de 44% do prejuízo total do ano em DeFi.
O padrão é conhecido do investidor brasileiro que acompanhou o caso Bybit em fevereiro de 2025, quando US$ 1,5 bilhão saíram da corretora. Na janela móvel de 18 meses, o Lazarus ultrapassa US$ 2 bilhões roubados. A Bybit, inclusive, processou a Coreia do Norte em corte federal americana, uma ação inédita que tenta transformar responsabilidade estatal em recuperação de ativos.
Pontes quebram sempre do mesmo jeito
Depois do KelpDAO, vieram AFX Trade (US$ 24,15 milhões, cinco assinaturas de validadores comprometidas na ponte Arbitrum), VerusCoin (US$ 19,14 milhões em duas explorações da mesma ponte de Ethereum) e o bug de underflow do Cosmos EVM, que atingiu MANTRA, TAC e KiiChain em sequência, somando US$ 20,8 milhões.
A LayerZero suporta configurações multi-verificador. Ainda assim, dados publicados pela KelpDAO na Dune Analytics mostram que 47% dos OApps ativos, mais de 1.200 contratos, seguem rodando com um único verificador. A correção existe. Quase ninguém liga.
Coldcard mostra que o problema vai além do DeFi
No dia 30 de julho, um bug de firmware da carteira Coldcard trocou o gerador de números aleatórios por um fallback previsível, tornando as seeds passíveis de força bruta. A Galaxy Research contabilizou 1.596 BTC subtraídos de cerca de 7.300 endereços, com estimativa próxima de US$ 130 milhões. Aqui na cobertura do BitNotícias, o hacker do Coldcard usou a THORChain para converter os BTC roubados em ETH e dificultar rastreamento.
Com o Bitcoin cotado a US$ 80.821 (R$ 410 mil), o episódio deve entrar no radar da regulação brasileira, que hoje foca em corretoras licenciadas mas ainda não trata explicitamente de custódia auto-gerida. Para o investidor local que migrou para hardware wallets como resposta à pressão regulatória sobre exchanges, o recado é direto: mesmo o self-custody depende da qualidade da entropia usada na geração da chave. Auditoria de código não cobre esse ponto — e, em 2026, quase nada do que importou cobriu.
