Perdas em Exchanges Centralizadas e DeFi Dominam Hacks de Cripto em 2026 Apesar de Falhas em Carteiras de Hardware

Os hacks de criptomoedas geraram aproximadamente 2,35 bilhões de dólares em perdas líquidas até agora em 2026, após congelamentos e retornos, de acordo com um relatório da Lightning.news compartilhado com a Bitcoin Magazine. Uma pesquisadora de segurança chamada Stacy Muur postou no X uma "lista de protocolos que foram hackeados por mais de 50.000 dólares em 2026." 230 protocolos até o momento. "A segurança cripto está absolutamente comprometida." Apenas setembro representou cerca de 768 milhões de dólares na contagem de Muur, impulsionada principalmente por exchanges centralizadas e DeFi, em vez de carteiras de hardware de autocustódia puras, que receberam cobertura significativa na época.

A maior perda única foi o esvaziamento da Bitget em 24 de setembro, que totalizou aproximadamente 387,5 milhões de dólares de carteiras quentes e mornas. A exchange e empresas como Chainalysis, Elliptic e TRM Labs ligaram o incidente à Coreia do Norte, citando padrões de IP consistentes com o uso anterior de VPNs ligadas ao DPRK, sobreposições em cadeia com carteiras ligadas a atividades anteriores do Lazarus Group e TraderTraitor, incluindo o roubo da Bybit em 2025. Os atacantes usaram produtos de segurança de terceiros para injetar comandos de retirada fraudulentos sem precisar das chaves privadas.

A Liquid Network, a sidechain de Bitcoin da Blockstream, sofreu o segundo maior golpe quando atacantes exploraram um bug no software Elements no início de setembro para criar cerca de 4.000 L-BTC não lastreados e os trocaram por aproximadamente 4.000 bitcoins reais, avaliados em cerca de 320 milhões de dólares na época. Os atores autodenominados "white-hat" devolveram 3.400 BTC após negociações realizadas em cadeia via mensagens OP_RETURN e mantiveram cerca de 600 BTC. Nenhuma chave de federação foi comprometida. A perda veio de um tipo de bug de inflação no protocolo da rede Liquid.

Samson Mow mais tarde chamou o episódio de parte de uma "avalanche de ataques assistidos por IA" que já havia atingido outros softwares adjacentes ao Bitcoin antes de atingir a Liquid. A rede já está de volta e funcionando, tendo coberto as perdas, presumivelmente de investidores.

As plataformas DeFi mostraram o mesmo padrão de perdas concentradas e de alto valor. O Drift Protocol perdeu aproximadamente 285 a 296 milhões de dólares em uma violação de governança e multisig em abril que envolveu meses de engenharia social. Uma investigação encomendada pelo projeto atribuiu a operação a atores norte-coreanos.

A ponte rsETH da KelpDAO, alimentada pelo LayerZero, foi esvaziada de aproximadamente 292 milhões de dólares em tokens não lastreados após um design de verificador único ser subvertido. O LayerZero afirmou que indicadores preliminares apontavam para o Lazarus Group do DPRK, especificamente TraderTraitor.

O Tectonic na Cronos viu cerca de 120,4 milhões de dólares emprestados contra colaterais manipulados no final de agosto. Os validadores mais tarde reverteram a cadeia e recuperaram a maior parte, embora vários milhões de dólares que já haviam sido transferidos fora da rede não tenham sido restaurados.

Incidentes envolvendo carteiras de hardware Bitcoin foram menores em agregado, apesar da ampla cobertura na mídia. A Galaxy Research colocou os valores do hack do Coinkite RNG na faixa de aproximadamente 1.596 a 1.789 BTC, na ordem de 100 a 130 milhões de dólares, com estimativas superiores mais altas perto de 2.055 BTC.

As perdas da Ledger, de aproximadamente 86 a 102 milhões de dólares, foram rastreadas até dispositivos vendidos através do revendedor autorizado do Sudeste Asiático CryptoBilis, onde um implante de hardware não autorizado capturou frases de recuperação durante a configuração, um ataque à cadeia de suprimentos. A empresa afirmou que os casos confirmados estavam limitados à cadeia de suprimentos desse revendedor e que seus próprios sistemas e vendas diretas não foram afetados, embora haja relatos não confirmados de dispositivos comprometidos chegando aos mercados alemães. No entanto, combinados, esses eventos adjacentes a hardware permanecem bem abaixo dos maiores incidentes de CEX e DeFi.

O ano também coincidiu com a implementação prática de agentes de codificação de IA capazes de escanear bases de código em busca de vulnerabilidades e automatizar o desenvolvimento de exploits. Muur afirmou que "a IA está definitivamente tornando muito mais fácil encontrar e explorar bugs. Acho que estamos entrando em uma corrida armamentista cibernética bastante séria."

Relatórios observam que os exploits de falhas de código aceleraram após o lançamento em fevereiro de modelos como GPT-5.3-Codex e Claude Opus 4.6, que mostraram altas taxas de sucesso em benchmarks de bugs de contratos inteligentes a baixo custo.

A OpenAI divulgou casos de testes internos em que agentes acessaram fundos de rede de teste não autorizados ou contornaram controles para completar tarefas. A maioria dos maiores roubos do ano ainda dependia de vetores tradicionais, como comprometimento de chaves, engenharia social e falhas de infraestrutura, mas a barreira reduzida para descobrir e armar bugs adiciona uma nova camada de risco, particularmente para sistemas complexos de contratos inteligentes e sidechains.

A camada base do Bitcoin em si não foi a fonte dessas perdas. A maior parte dos danos de 2026 se concentrou na infraestrutura de carteiras quentes de CEX, governança DeFi, designs de oráculos e código de sidechain de Bitcoin, enquanto carteiras de hardware de autocustódia puras, mesmo quando imperfeitas, representaram uma parte claramente menor. No entanto, pedidos por uma atualização nas recomendações de autocustódia surgiram de líderes da indústria, promovendo carteiras multisig de múltiplos fornecedores como o futuro da indústria de nicho.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.