Auditorias de segurança em criptomoedas perdem confiança à medida que instituições exigem monitoramento ao vivo

Os investidores institucionais estão ampliando as verificações de segurança em criptomoedas além das auditorias de contratos inteligentes, à medida que falhas operacionais se tornam uma fonte maior de perdas.

Resumo

• As instituições exigem cada vez mais monitoramento contínuo, uma vez que as auditorias não conseguem capturar riscos-chave, de signatários e de infraestrutura.
• Chaves, signatários e infraestrutura comprometidos causaram 88,3% dos aproximadamente $764 milhões roubados durante o segundo trimestre de 2026.
• Apenas 4% dos projetos monitorados combinaram auditorias, recompensas ativas por bugs e controles de monitoramento de terceiros.

O Relatório de Segurança e Conformidade do segundo trimestre de 2026 da Hacken afirmou que marcadores de confiança tradicionais, incluindo auditorias anteriores e histórico operacional, não mostraram de forma confiável quais projetos evitariam uma exploração.

O relatório monitorou 1.427 projetos e descobriu que apenas 9% mostraram evidências de monitoramento de terceiros. Apenas 4% combinaram monitoramento com uma recompensa ativa por bugs e uma auditoria. A Hacken afirmou que chaves, signatários e infraestrutura comprometidos representaram 88,3% dos cerca de $764 milhões roubados durante o trimestre, mudando a atenção para controles que permanecem ativos após revisões de código.

A Hacken disse que as instituições estão perguntando se os controles de segurança correspondem ao capital que um protocolo possui. Federico Bagiotti, chefe de gerenciamento de riscos do Abraxas Capital, disse que "a segurança inadequada em relação ao capital em risco" era a questão mais provável que faria a empresa rejeitar uma posição que, de outra forma, seria atraente.

As revisões institucionais estão cobrindo cada vez mais mudanças no conjunto de signatários, garantias colaterais, prestadores de serviços externos e planos de resposta a incidentes. O Abraxas também verifica bloqueios de tempo, listas brancas de endereços de retirada, controles multipartidários e dependência de uma única chave ou verificador. Essas medidas se concentram no acesso privilegiado e na prontidão para emergências, em vez de apenas verificar se os contratos passaram por uma revisão.

Um relatório separado do primeiro semestre de 2026 da CertiK também descobriu que perdas menores não significavam que as criptomoedas se tornaram mais seguras. Como o crypto.news relatou, as perdas relacionadas a criptomoedas caíram 46,8% ano a ano para $1,32 bilhão no primeiro semestre, mas as violações de carteiras se tornaram o maior método de ataque no segundo trimestre. A CertiK colocou as perdas do segundo trimestre dessa categoria em $807,5 milhões sob sua própria metodologia.

Projetos de criptomoedas auditados ainda falharam fora do código do contrato

A Hacken identificou 14 projetos explorados durante o segundo trimestre que haviam completado auditorias anteriormente. Em muitos casos, a falha ocorreu fora do código do contrato inteligente coberto por uma revisão convencional. As áreas afetadas incluíram dispositivos de signatários, validadores de ponte, sistemas de backend, chaves de administrador e contratos mais antigos que permaneceram ativos após as equipes pararem de usá-los.

Como o crypto.news relatou em junho, o Humanity Protocol perdeu cerca de $36 milhões após um malware em um dispositivo de desenvolvedor expor sete chaves privadas. Investigadores disseram que o atacante usou credenciais válidas para autorizar transações, enquanto os contratos inteligentes do projeto e a arquitetura Safe não foram explorados.

Um padrão semelhante apareceu em dois dos maiores ataques relatados do ano. O crypto.news relatou anteriormente que os incidentes do Drift Protocol e KelpDAO dependeram de engenharia social, dispositivos comprometidos e infraestrutura de ponte, em vez de falhas diretas nos contratos inteligentes. Juntos, esses ataques representaram $577 milhões em perdas.

Instituições exigem evidências contínuas de segurança em criptomoedas

Rajeev Bamra, chefe de estratégia da economia digital na Moody's Ratings, disse que a resiliência operacional se tornou "a lente prática" através da qual as instituições avaliam segurança, conformidade e governança. Sob essa abordagem, uma auditoria continua sendo parte da revisão, mas os investidores também buscam evidências de que as equipes monitoram o acesso e se preparam para falhas após a implementação.

As revisões de custódia institucional estão seguindo na mesma direção. Como o crypto.news relatou em 11 de julho, reguladores europeus lançaram uma revisão dos custodiante de criptomoedas autorizados pela MiCA, focando na gestão de chaves privadas, controles de transação, resposta a incidentes e riscos tecnológicos de terceiros. Jody Mettler, COO da BitGo, disse que os clientes institucionais estão perguntando cada vez mais como os custodiante segregam ativos, controlam o acesso e mantêm serviços durante estresse de mercado.

O conjunto de dados da Hacken cobriu projetos com capitalizações de mercado acima de $1 milhão listados nas 50 principais exchanges centralizadas pelo CoinGecko Trust Score. Ele excluiu stablecoins, ativos embrulhados e ativos do mundo real tokenizados. A pesquisa baseou-se em controles visíveis publicamente ou divulgados, portanto, arranjos de segurança privados podem não aparecer nos dados.

Monitoramento e prontidão para incidentes se tornam testes de alocação

A mudança para verificações contínuas não remove o papel das auditorias de contratos inteligentes. O relatório do primeiro trimestre de 2026 da Hacken registrou seis protocolos explorados que haviam sido auditados, incluindo um com 18 auditorias anteriores. A empresa disse que a segurança precisa cobrir código, operações e infraestrutura ao longo da vida de um projeto, em vez de terminar quando um relatório de auditoria é publicado.

Para os investidores, essa revisão mais ampla pode incluir monitoramento em tempo real, programas de recompensas por bugs, design de gerenciamento de chaves, separação de signatários e planos de resposta testados. Projetos que não conseguem mostrar esses controles podem enfrentar mais perguntas de alocadores, seguradoras e contrapartes antes de receber capital ou acesso comercial, de acordo com as descobertas do segundo trimestre da Hacken.

Dados regulatórios e de segurança recentes seguem o mesmo padrão. A ESMA está testando a resiliência operacional de custodiante licenciados, enquanto a CertiK descobriu que compromissos direcionados de carteiras impulsionaram uma grande parte das perdas de 2026. Para instituições que avaliam a exposição a criptomoedas, a questão está se tornando cada vez mais não apenas se um projeto foi auditado, mas se seus controles continuam funcionando depois.

Aviso: Este conteúdo é fornecido apenas para fins de divulgação e informação geral da marca e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, eventos online ou informações relacionadas mencionados neste documento não devem ser considerados uma recomendação, solicitação ou convite para comprar, vender, negociar ou de qualquer outra forma realizar transações com criptoativos ou usar quaisquer serviços. Criptoativos são altamente voláteis, e sua negociação pode resultar em perdas. Os serviços e eventos online da WEEX podem não estar disponíveis em todas as regiões e estão sujeitos às leis, regulamentos e requisitos de elegibilidade aplicáveis. É sua responsabilidade garantir que o uso dos serviços da WEEX esteja em conformidade com as leis locais e avaliar cuidadosamente os riscos antes de participar de quaisquer atividades relacionadas a criptomoedas.