As plataformas de criptomoedas perderam US$ 3,63 bilhões em 245 incidentes de segurança documentados entre janeiro de 2025 e julho de 2026, de acordo com o Relatório do Estado da Segurança Cripto da CoinGecko, publicado em 27 de agosto.
Resumo
- As plataformas de criptomoedas perderam US$ 3,63 bilhões em 245 incidentes documentados entre janeiro de 2025 e julho de 2026.
- Os dez maiores ataques representaram mais de 72,5% de todos os fundos roubados registrados em todo o mundo.
- Plataformas auditadas representaram 147 incidentes e 88,44% das perdas relatadas durante o período do estudo em geral.
- Apenas 11% dos incidentes envolveram vulnerabilidades cobertas pelos escopos de auditoria de contratos inteligentes de rotina, informou a CoinGecko publicamente.
- A cobertura de seguro onchain ativa caiu 20,2% para US$ 130,2 milhões, enquanto cinco protocolos saíram ou mudaram de direção.
As perdas foram fortemente concentradas. Os dez maiores ataques representaram mais de 72,5% do valor total roubado, enquanto comprometimentos de infraestrutura e cadeia de suprimentos causaram mais de US$ 1,8 bilhão em perdas.
A CoinGecko identificou o comprometimento de chaves privadas como o principal risco para exchanges centralizadas. Aplicações descentralizadas perderam aproximadamente US$ 546 milhões por meio de explorações de contratos inteligentes, enquanto ambas as categorias de plataformas também enfrentaram manipulação de oráculos e falhas de mecanismos internos.
Os números representam o conjunto de dados de incidentes da CoinGecko. O resumo publicado não declara claramente se todos os ativos recuperados ou congelados foram deduzidos, portanto, os US$ 3,63 bilhões devem ser tratados como sua estimativa de perda relatada, em vez de um total líquido final de perdas.
As perdas de segurança cripto foram concentradas em ataques importantes
A violação da Bybit em fevereiro de 2025 foi o maior incidente incluído, representando aproximadamente US$ 1,44 bilhão. O ataque envolveu infraestrutura de assinatura de transações comprometida, em vez de um defeito em um contrato inteligente da exchange.
Outros incidentes importantes incluíram a violação da KelpDAO de US$ 292 milhões, o ataque ao Protocolo Drift de US$ 285 milhões e a exploração da Cetus de US$ 223 milhões. Seus diferentes métodos mostram por que um único controle de segurança não pode cobrir toda a superfície de ataque da indústria.
Ataques de infraestrutura podem ter como alvo chaves privadas, dispositivos de funcionários, interfaces de front-end, dependências de software e operadores de pontes. Esses componentes geralmente ficam fora dos contratos inteligentes revisados durante auditorias convencionais.
Grupos patrocinados por estados também adotaram operações mais longas e complexas. Como relatado anteriormente, dois ataques ligados à Coreia do Norte drenaram aproximadamente US$ 577 milhões por meio de engenharia social e comprometimentos de infraestrutura de ponte, em vez de falhas comuns de contratos.
As auditorias cobriram apenas uma minoria das fraquezas exploradas
A CoinGecko descobriu que 147 das 245 plataformas afetadas, ou cerca de 60%, haviam concluído uma auditoria de segurança independente antes de serem atacadas. Essas plataformas representaram 88,44% das perdas registradas.
Essa descoberta não estabelece que os auditores aprovaram o componente vulnerável. A CoinGecko disse que apenas aproximadamente 11% dos incidentes envolveram falhas que estavam dentro do escopo de auditorias de contratos inteligentes de rotina.
Essas falhas dentro do escopo ainda causaram cerca de US$ 396 milhões em perdas. A maioria dos outros incidentes envolveu infraestrutura externa, atualizações de software não auditadas, credenciais comprometidas ou mecanismos de governança que a auditoria não avaliou.
Uma auditoria também é um instantâneo de uma versão específica do código. Alterações feitas após a revisão podem introduzir novas vulnerabilidades. Sua eficácia depende do escopo, metodologia, experiência do auditor e se os desenvolvedores resolveram as descobertas.
Em cobertura relacionada, a revisão de segurança da Ripple identificou 96 problemas antes que o código afetado chegasse aos usuários, mostrando que auditorias podem prevenir perdas quando as descobertas chegam antes da ativação. Elas não podem substituir o monitoramento contínuo e a segurança operacional.
A capacidade de seguro onchain caiu enquanto os ataques aumentaram
A cobertura ativa nos principais protocolos de seguro onchain diminuiu 20,2%, de US$ 163,2 milhões para US$ 130,2 milhões. Os pagamentos cumulativos permaneceram próximos de US$ 33 milhões, de acordo com a CoinGecko.
Cinco dos nove protocolos rastreados tornaram-se inativos ou migraram para outras áreas de negócios até agosto de 2026. A CoinGecko atribuiu o recuo parcialmente ao risco elevado, prêmios caros e dificuldade em atrair provedores de capital.
O valor de cobertura de US$ 130,2 milhões não deve ser comparado diretamente com US$ 3,63 bilhões como um índice de cobertura formal. O primeiro é uma medida pontual, enquanto o segundo cobre incidentes cumulativos ao longo de 19 meses.
As apólices também contêm definições restritas. Algumas cobrem falhas verificadas de contratos inteligentes, mas excluem phishing, roubo de chaves privadas, erros de funcionários, volatilidade do mercado e perdas envolvendo cadeias não suportadas.
As exchanges dependem cada vez mais de reservas autofinanciadas
As exchanges centralizadas têm cada vez mais estabelecido fundos de proteção ao investidor em vez de adquirir seguro externo completo. Essas reservas podem fornecer reembolso mais rápido após uma violação.
No entanto, um fundo de proteção não é automaticamente equivalente a um seguro regulamentado. A cobertura depende dos termos da exchange, da custódia das reservas, da composição dos ativos e da discricionariedade sobre eventos qualificados.
As atestações de prova de reservas abordam outra questão ao mostrar que uma exchange controla ativos correspondentes aos saldos dos clientes. Elas não estabelecem gestão segura de chaves nem provam que todos os passivos foram divulgados.
O próximo teste do relatório será se as plataformas expandirão as auditorias além dos contratos inteligentes para sistemas operacionais, pontes e dependências de software. Os provedores de seguro também devem determinar se uma proteção mais ampla pode ser oferecida sem tornar os prêmios inacessíveis.
