Plataformas de criptoativos perderam US$ 3,63 bilhões em 245 incidentes de segurança documentados entre janeiro de 2025 e julho de 2026, de acordo com o Relatório de Segurança de Cripto da CoinGecko, publicado em 27 de agosto.
As perdas foram fortemente concentradas. Os dez maiores ataques foram responsáveis por mais de 72,5% do valor total roubado, enquanto comprometimentos de infraestrutura e cadeia de suprimentos causaram mais de US$ 1,8 bilhão em perdas.
A CoinGecko identificou o comprometimento de chaves privadas como o principal risco para corretoras centralizadas. Aplicações descentralizadas perderam aproximadamente US$ 546 milhões através de exploits de contratos inteligentes, enquanto ambas as categorias de plataformas também enfrentaram manipulação de oráculos e falhas de mecanismos internos.
Os números representam o conjunto de dados de incidentes da CoinGecko. O resumo publicado não declara claramente se cada ativo recuperado ou congelado foi deduzido, portanto, os US$ 3,63 bilhões devem ser tratados como sua estimativa de perda relatada, e não como um total final de perda líquida.
A violação da Bybit em fevereiro de 2025 foi o maior incidente incluído, totalizando aproximadamente US$ 1,44 bilhão. O ataque envolveu a infraestrutura de assinatura de transações comprometida, em vez de um defeito em um contrato inteligente da corretora.
Outros incidentes importantes incluíram a violação da KelpDAO de US$ 292 milhões, o ataque ao Drift Protocol de US$ 285 milhões e o exploit da Cetus de US$ 223 milhões. Seus diferentes métodos mostram por que um único controle de segurança não pode cobrir toda a superfície de ataque da indústria.
Ataques de infraestrutura podem visar chaves privadas, dispositivos de funcionários, interfaces de front-end, dependências de software e operadores de pontes. Esses componentes frequentemente ficam fora dos contratos inteligentes revisados durante auditorias convencionais.
Grupos apoiados por estados também adotaram operações mais longas e complexas. Conforme relatado anteriormente, dois ataques ligados à Coreia do Norte drenaram aproximadamente US$ 577 milhões através de engenharia social e comprometimentos da infraestrutura de pontes, em vez de falhas contratuais comuns.
A CoinGecko descobriu que 147 das 245 plataformas afetadas, ou cerca de 60%, haviam concluído uma auditoria de segurança independente antes de serem atacadas. Essas plataformas foram responsáveis por 88,44% das perdas registradas.
Essa descoberta não estabelece que os auditores aprovaram o componente vulnerável. A CoinGecko afirmou que apenas aproximadamente 11% dos incidentes envolveram falhas que estavam dentro do escopo das auditorias rotineiras de contratos inteligentes.
Essas falhas dentro do escopo ainda causaram cerca de US$ 396 milhões em perdas. A maioria dos outros incidentes envolveu infraestrutura externa, atualizações de software não auditadas, credenciais comprometidas ou mecanismos de governança que a auditoria não avaliou.
Uma auditoria também é um instantâneo de uma versão específica do código. Mudanças feitas após a revisão podem introduzir novas vulnerabilidades. Sua eficácia depende do escopo, metodologia, experiência do auditor e se os desenvolvedores resolveram as descobertas.
Em cobertura relacionada, a revisão de segurança da Ripple identificou 96 problemas antes que o código afetado chegasse aos usuários, mostrando que as auditorias podem prevenir perdas quando as descobertas chegam antes da ativação. Elas não podem substituir o monitoramento contínuo e a segurança operacional.
A cobertura ativa entre os principais protocolos de seguro onchain diminuiu 20,2%, de US$ 163,2 milhões para US$ 130,2 milhões. Os pagamentos cumulativos permaneceram perto de US$ 33 milhões, de acordo com a CoinGecko.
Cinco dos nove protocolos rastreados tornaram-se inativos ou mudaram para outras áreas de negócio até agosto de 2026. A CoinGecko atribuiu a retração parcialmente ao risco elevado, prêmios caros e dificuldade em atrair provedores de capital.
O valor da cobertura de US$ 130,2 milhões não deve ser comparado diretamente com US$ 3,63 bilhões como uma proporção formal de cobertura. O primeiro é uma medida pontual no tempo, enquanto o segundo cobre incidentes cumulativos ao longo de 19 meses.
As apólices também contêm definições restritas. Algumas cobrem falhas verificadas de contratos inteligentes, mas excluem phishing, roubo de chaves privadas, erros de funcionários, volatilidade de mercado e perdas envolvendo cadeias não suportadas.
Corretoras centralizadas têm estabelecido cada vez mais fundos de proteção ao investidor em vez de comprar seguro externo completo. Essas reservas podem proporcionar reembolso mais rápido após uma violação.
No entanto, um fundo de proteção não é automaticamente equivalente a um seguro regulamentado. A cobertura depende dos termos da corretora, custódia da reserva, composição dos ativos e discrição sobre eventos qualificadores.
Atestados de prova de reservas abordam outra questão ao mostrar que uma corretora controla ativos correspondentes aos saldos dos clientes. Eles não estabelecem gerenciamento seguro de chaves ou provam que todas as responsabilidades foram divulgadas.
O próximo teste do relatório será se as plataformas expandirão as auditorias além dos contratos inteligentes para sistemas operacionais, pontes e dependências de software. Provedores de seguro também devem determinar se uma proteção mais ampla pode ser oferecida sem tornar os prêmios inacessíveis.
ETH
BTC