Os hacks de criptomoedas causaram cerca de US$ 2,35 bilhões em perdas líquidas em 2026. O cálculo considera congelamentos e devoluções de recursos, conforme um relatório da Lightning.news. Até agora, uma lista compilada pela pesquisadora Stacy Muur reúne 230 protocolos atacados, cada um com prejuízo superior a US$ 50 mil. Somente em setembro, os incidentes provocaram perdas de aproximadamente US$ 768 milhões.

Exchanges e plataformas DeFi concentram os prejuízos

Nesse período, exchanges centralizadas e plataformas DeFi registraram os maiores prejuízos. Já as falhas ligadas a carteiras físicas de autocustódia receberam ampla atenção, mas causaram perdas menores. Em 24 de setembro, a Bitget sofreu o maior desvio individual do ano, estimado em US$ 387,5 milhões. Os recursos saíram de carteiras quentes e mornas da corretora.

Depois do ataque, a Bitget e empresas como a Chainalysis, a Elliptic e a TRM Labs atribuíram o episódio a agentes ligados à Coreia do Norte. Segundo as análises, padrões de IP indicaram o uso anterior de VPNs por grupos norte-coreanos. Além disso, conexões on-chain apontaram para carteiras relacionadas ao Lazarus Group e ao TraderTraitor, incluindo o ataque contra a Bybit em 2025. Os invasores usaram produtos de segurança de terceiros para inserir comandos fraudulentos de saque, sem obter as chaves privadas.

Falha na Liquid Network permitiu emissão sem lastro

Por sua vez, a Liquid Network, sidechain de Bitcoin da Blockstream, registrou o segundo maior prejuízo. No início de setembro, invasores exploraram uma falha no software Elements e emitiram cerca de 4 mil L-BTC sem lastro. Em seguida, eles converteram os recursos em aproximadamente 4 mil Bitcoins reais, avaliados naquele momento em US$ 320 milhões. O incidente não comprometeu as chaves da federação, pois uma falha de inflação no protocolo Liquid originou a perda.

Após o ataque, os responsáveis se apresentaram como white hats e negociaram a devolução dos recursos por meio de mensagens on-chain. Com isso, devolveram 3.400 BTC, mas mantiveram cerca de 600 BTC. Embora a restituição tenha reduzido o prejuízo, o incidente expôs riscos no código de sidechains. A camada base do Bitcoin não originou a vulnerabilidade.

Protocolos DeFi também sofreram grandes desvios

O Drift Protocol perdeu entre US$ 285 milhões e US$ 296 milhões em abril. Durante meses, os atacantes usaram engenharia social para comprometer a governança e uma estrutura multisig. Posteriormente, uma investigação encomendada pelo projeto atribuiu a operação a agentes da Coreia do Norte. Enquanto isso, a ponte rsETH da KelpDAO, alimentada pela LayerZero, perdeu cerca de US$ 292 milhões em tokens sem lastro.

Os invasores subverteram um modelo que dependia de um único verificador. A LayerZero afirmou que os indícios preliminares apontavam para o Lazarus Group, especificamente o TraderTraitor. Por outro lado, a Tectonic, na Cronos, registrou cerca de US$ 120,4 milhões em empréstimos contra garantias manipuladas no fim de agosto. Validadores reverteram a blockchain, mas vários milhões de dólares transferidos para fora da rede não retornaram.

Carteiras físicas tiveram impacto financeiro menor

As falhas envolvendo carteiras físicas de Bitcoin ficaram abaixo dos maiores ataques contra CEX e DeFi. A Galaxy Research estimou que o ataque ao gerador de números aleatórios da Coinkite afetou entre 1.596 e 1.789 BTC. No intervalo, as perdas representavam aproximadamente US$ 100 milhões a US$ 130 milhões. Contudo, a estimativa máxima chegou a 2.055 BTC.

Também ocorreram perdas entre US$ 86 milhões e US$ 102 milhões em dispositivos Ledger comercializados pela revendedora autorizada CryptoBilis, no Sudeste Asiático. Um implante não autorizado capturou frases de recuperação durante a configuração dos equipamentos. A Ledger declarou que o incidente não afetou seus sistemas nem suas vendas diretas. Ainda assim, surgiram relatos não confirmados sobre aparelhos adulterados no mercado alemão.

Inteligência artificial amplia a corrida por segurança

Enquanto isso, agentes de codificação por inteligência artificial começaram a procurar vulnerabilidades e automatizar o desenvolvimento de exploits. Modelos lançados em fevereiro, como GPT-5.3-Codex e Claude Opus 4.6, alcançaram altas taxas de sucesso em testes com falhas de contratos inteligentes. Em testes internos, a OpenAI observou agentes acessando recursos sem autorização em redes de teste. Outros agentes burlaram controles para concluir tarefas determinadas.

“A inteligência artificial está definitivamente tornando muito mais fácil encontrar e explorar falhas. Acho que estamos entrando em uma corrida armamentista de cibersegurança bastante séria.”

Stacy Muur, no X.

Apesar desse avanço, os maiores roubos do ano ainda envolveram chaves comprometidas, engenharia social e falhas de infraestrutura. Assim, os danos se concentraram em carteiras quentes, governança DeFi, oráculos e códigos de sidechains. A camada base do Bitcoin permaneceu fora da origem desses incidentes. Agora, participantes do setor defendem carteiras multisig que utilizem soluções de vários fornecedores.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.