As plataformas DeFi perderam pelo menos 1,3 bilhão de dólares para hackers nos primeiros oito meses de 2026, segundo dados da CertiK compilados no relatório Hack3d H1. O que diferencia 2026 de anos anteriores não é apenas o volume roubado, mas a mudança fundamental no método de ataque DeFi: chaves privadas comprometidas e acesso administrativo substituíram bugs de contratos inteligentes como a principal causa de perdas no setor DeFi.
O Drift Protocol perdeu 285 milhões de dólares em 1 de abril, drenado em apenas 128 segundos. O acesso administrativo foi obtido através de meses de engenharia social direcionada aos desenvolvedores do projeto. Menos de três semanas depois, em 18 de abril, a KelpDAO perdeu 290 milhões via sua ponte LayerZero quando um único verificador foi comprometido.
Essas duas perdas sozinhas representam cerca de 575 milhões de dólares, ou 44% do total roubado em oito meses. A velocidade do ataque ao Drift demonstra que, uma vez obtido o acesso privilegiado, a execução técnica leva menos tempo que uma transferência bancária internacional.
A mudança de bugs de código para falhas humanas
Durante anos, a narrativa dominante sobre segurança DeFi concentrou-se em auditorias de código e testes formais de contratos inteligentes. Projetos DeFi competiam para mostrar quantas empresas de auditoria haviam revisado seus contratos. Essa abordagem pressupunha que o risco primário estava no código, não nas pessoas que o controlavam.
Os dados de 2026 invertem essa premissa. Engenharia social, credenciais roubadas e chaves de administrador comprometidas agora causam mais perdas que exploits técnicos de contratos. O caso Drift envolveu meses de preparação para obter acesso a sistemas internos, não a descoberta de uma vulnerabilidade no código Solana ou no protocolo do Drift.
A KelpDAO ilustra outro ponto fraco estrutural em pontes DeFi: dependência de configurações de verificador único ou quórum baixo. Muitas pontes ainda operam com um único verificador ou com configurações de quórum que permitem que cinco assinaturas de validador aprovem transferências. A AFX Trade perdeu 24,15 milhões de dólares em 22 de julho quando cinco assinaturas de validador atingiram o quórum, autorizando uma retirada fraudulenta de USDC na Arbitrum.
Para investidores brasileiros, essa mudança tem implicações diretas sob a Instrução Normativa 1888 da Receita Federal. A IN 1888 exige que corretoras de criptomoedas reportem operações de clientes, mas movimentos em carteiras de autocustódia permanecem fora do escopo de reporte. No entanto, se a autocustódia de fato expõe usuários a riscos de engenharia social maiores que exploits de código, a premissa de que autocustódia é inerentemente mais segura precisa ser reavaliada.
Governança capturada e oráculos manipulados
O Term Labs perdeu 8,5 milhões de dólares em agosto quando participação quase zero de votantes permitiu que uma carteira assumisse o controle através de governança. Esse tipo de ataque não explora código, mas apatia: quando apenas uma fração dos detentores de tokens vota, o custo para capturar governança cai drasticamente.
A Moonwell perdeu cerca de 9 milhões de dólares na Base em 27 de agosto quando um atacante inflou o preço de um token ilíquido via manipulação de oráculo e emprestou contra ele. Oráculos descentralizados foram projetados para evitar esse tipo de manipulação, mas tokens de baixa liquidez ainda podem ser explorados se o oráculo depende de pools com pouca profundidade.
A ponte VerusCoin foi atacada duas vezes em 2026: 11,6 milhões de dólares em maio e 7,54 milhões em julho. Exploits repetidos no mesmo protocolo sinalizam que correções após o primeiro ataque foram insuficientes ou que o design fundamental da ponte contém falhas não resolvidas.
Lazarus Group domina 44% das perdas
O grupo Lazarus da Coreia do Norte está vinculado a pelo menos 575 milhões de dólares das perdas de 2026, cerca de 44% do total. Seu total acumulado em 18 meses excede 2 bilhões de dólares. O ataque ao Bybit em fevereiro de 2025 resultou em perdas de 1,5 bilhão, o maior roubo individual de criptomoedas registrado até aquele momento.
A capacidade do Lazarus de executar ataques repetidos e em grande escala sugere que o grupo opera com recursos estatais, paciência para campanhas de engenharia social de meses e acesso a infraestrutura técnica sofisticada. Diferente de hackers oportunistas, o Lazarus escolhe alvos com alta liquidez e prepara ataques com antecedência.
Para corretoras brasileiras que buscam autorização do Banco Central até 30 de outubro de 2026, a ameaça Lazarus representa um risco regulatório direto. A Resolução 521 do Banco Central exige que prestadoras de serviços de ativos virtuais implementem controles de segurança cibernética, mas não especifica proteções contra engenharia social direcionada. Se uma corretora autorizada for comprometida via phishing ou credenciais roubadas, a responsabilidade legal pode recair sobre a empresa mesmo sem falha técnica no código.
O paradoxo da descentralização e controle administrativo
Plataformas DeFi promovem descentralização como garantia de segurança, mas mantêm chaves administrativas que podem pausar contratos, atualizar código ou drenar fundos. Essa contradição cria um ponto único de falha humana em sistemas que afirmam não ter pontos únicos de falha.
O bug de firmware Coldcard, que tornou seeds de carteira vulneráveis a força bruta, levou a perdas de cerca de 130 milhões de dólares. Embora não seja um exploit DeFi, o caso Coldcard reforça que a segurança de criptomoedas depende tanto de geradores de números aleatórios quanto de contratos inteligentes auditados.
A vulnerabilidade de underflow no Cosmos EVM atingiu MANTRA (3,6 milhões), TAC (7,5 milhões) e KiiChain (9,7 milhões), totalizando cerca de 20,8 milhões. O bug envolvia replay de recibo cross-shard, um tipo de exploit que auditorias tradicionais de contratos podem não detectar porque depende da interação entre camadas do sistema, não de lógica de contrato isolada.
Lições para o mercado brasileiro
O Brasil lidera a adoção global de criptomoedas com 252,5 bilhões de dólares em volume acumulado, segundo dados da Chainalysis de outubro de 2026. Esse volume atrai atenção de grupos como o Lazarus. Se o mercado brasileiro continuar crescendo sem implementar proteções contra engenharia social e comprometimento de chaves, ataques direcionados a corretoras e plataformas locais tornam-se questão de tempo.
A exigência do Banco Central de segregação de ativos e auditoria independente mitiga o risco de apropriação indevida de fundos de clientes, mas não protege contra chaves administrativas comprometidas. Uma corretora pode segregar ativos perfeitamente e ainda perder tudo se um atacante obtiver acesso às chaves de custódia através de phishing ou malware.
A lição central de 2026 é que código auditado não garante segurança quando pessoas com acesso privilegiado são o alvo. Educação de desenvolvedores sobre phishing, autenticação multifator resistente a phishing (como chaves de hardware FIDO2), e eliminação progressiva de chaves administrativas omnipotentes são medidas mais urgentes que mais uma rodada de auditoria de contratos.
Plataformas que ainda operam com configurações de verificador único ou quórum de cinco assinaturas em pontes de centenas de milhões de dólares demonstram que a prioridade do setor é velocidade de mercado, não arquitetura resiliente. Até que o custo reputacional de ser hackeado supere o custo de implementar controles de acesso robustos, a tendência de 2026 continuará.