Ataques cripto totalizaram US$ 1,18 bilhão no terceiro trimestre de 2026, com 77% das perdas originadas de fornecedores comprometidos, ferramentas de desenvolvimento ou componentes de infraestrutura fora do escopo de auditorias de segurança padrão, segundo relatório da Hacken divulgado em 15 de outubro. Dos 107 incidentes registrados, quatro concentraram cerca de 80% do valor roubado: Bitget (US$ 387 milhões), Liquid Network (US$ 320 milhões), Tectonic (US$ 120 milhões) e vulnerabilidade no firmware Coldcard (US$ 115 milhões).
O dado de 77%, equivalente a aproximadamente US$ 906 milhões, marca a maior proporção de perdas por ataques cripto à cadeia de fornecimento desde o primeiro trimestre de 2025. Correções divulgadas publicamente que permaneceram não aplicadas também contribuíram para esse total. A mediana de perda entre os 107 incidentes foi de US$ 670 mil, mas 98 eventos tiveram perdas abaixo de US$ 10 milhões.
Ataques a smart contracts somam US$ 228 milhões
Incidentes em smart contracts totalizaram US$ 228 milhões distribuídos em 71 eventos, tornando-se o vetor de ataque mais frequente. No entanto, o valor médio por incidente em smart contracts foi de US$ 3,2 milhões, enquanto os quatro maiores ataques à cadeia de fornecimento tiveram média de US$ 235 milhões cada.
A diferença de escala revela que auditorias de código focadas em smart contracts não protegem contra o risco concentrado em fornecedores e infraestrutura. Empresas que auditam contratos mas não verificam dependências de terceiros, bibliotecas comprometidas ou atualizações de firmware deixam a maior parte do risco financeiro sem cobertura.
Recuperações atingiram 33% das perdas brutas
Cerca de US$ 387 milhões, aproximadamente 33% das perdas brutas, foram devolvidos ou revertidos. Operadores cobriram cerca de US$ 410 milhões de perdas de usuários com fundos próprios. Cerca de US$ 384 milhões, ou 32%, permaneceram não devolvidos e não cobertos.
A Bitget cobriu os US$ 387 milhões roubados com fundo de proteção ao usuário, valor que aparece na categoria de coberturas. Circle e Tether congelaram cerca de US$ 340 mil vinculados ao roubo da Bitget, uma fração do total. As figuras de fundos devolvidos, revertidos e cobertos podem se sobrepor, já que a cobertura da Bitget aparece na categoria de fundos cobertos.
Liquid Network devolveu 85% após pressão
O ataque à Liquid Network, que drenou US$ 320 milhões em Bitcoin, resultou na devolução de 85% dos fundos. O incidente foi classificado como o maior hack de 2026 até o momento da publicação do relatório da Hacken. A taxa de recuperação de 85% é atípica, e análise da TRM Labs indica que os atacantes devolveram os fundos após rastreamento on-chain intenso.
Firmware comprometido expõe risco em autocustódia
A vulnerabilidade no firmware Coldcard, que resultou em US$ 115 milhões em perdas, mostra que até dispositivos de autocustódia podem ser vetores de ataque quando a cadeia de fornecimento é comprometida. Usuários que compraram dispositivos com firmware adulterado perderam fundos mesmo seguindo práticas recomendadas de segurança.
Auditorias de segurança em DeFi normalmente cobrem contratos inteligentes implantados na blockchain, mas não verificam firmware de carteiras de hardware, bibliotecas JavaScript usadas em interfaces web, ou SDKs de terceiros integrados em aplicativos. Ataques cripto à cadeia de fornecimento exploram essa lacuna.
O caso Coldcard também destaca que autocustódia não elimina risco de terceiros. Fabricantes de carteiras de hardware, mantenedores de bibliotecas de criptografia e provedores de nós RPC todos representam pontos de confiança implícita que podem ser comprometidos.
Comparação com trimestres anteriores
O terceiro trimestre de 2026 foi descrito como o período mais danoso desde o primeiro trimestre de 2025, mas o relatório da Hacken não fornece valores em dólares para trimestres anteriores. Setembro de 2026 registrou US$ 766 milhões em hacks cripto, classificado como o pior mês do ano em análise separada.
A concentração de 80% do valor roubado em apenas quatro incidentes sugere que ataques cripto de grande escala continuam sendo raros, mas quando ocorrem, causam impacto desproporcional. A mediana de US$ 670 mil indica que a maioria dos incidentes envolve protocolos menores ou explorações de menor complexidade.
Brasil avança em segregação mas cadeia de fornecimento fica de fora
As Resoluções 519, 520 e 521 do Banco Central do Brasil, vigentes desde 2 de fevereiro de 2026, exigem segregação de ativos de clientes. Provedores de serviços de ativos virtuais (PSAVs) devem manter fundos de clientes separados de recursos próprios, reduzindo risco de perda em caso de falência.
No entanto, a regulação brasileira não aborda ataques cripto à cadeia de fornecimento. Se um PSAV autorizado usa biblioteca JavaScript comprometida em sua interface web, ou integra SDK de terceiro com backdoor, a segregação de ativos não impede o roubo. O risco de infraestrutura permanece fora do escopo regulatório.
A Instrução Normativa RFB nº 2.291, que criou a declaração DeCripto obrigatória desde 1º de julho de 2026, exige reporte de transações mas não estabelece padrões de segurança para fornecedores de software usado por corretoras e carteiras. Empresas cripto brasileiras que dependem de bibliotecas open-source não auditadas ou SDKs de terceiros enfrentam o mesmo risco de cadeia de fornecimento que causou 77% das perdas no terceiro trimestre global.