Especialista da CertiK: hackers levam vantagem na corrida armamentista — por enquanto

​A indústria de criptomoedas continua perdendo bilhões de dólares com ataques de hackers. No entanto, algumas das maiores ameaças não vêm de vulnerabilidades na própria tecnologia blockchain, mas de fragilidades nos sistemas e nas pessoas ao seu redor. Em uma entrevista à Traders Union, Natalie Newson, investigadora sênior de blockchain da CertiK, explicou por que os hackers estão à frente dos profissionais de segurança, quão seguras são realmente as carteiras de criptomoedas e o que os usuários podem fazer para proteger seus fundos.

Os hackers estão mudando suas táticas

No primeiro semestre de 2026, a indústria de criptomoedas perdeu aproximadamente US$ 1,31 bilhão em 344 incidentes de segurança, de acordo com o relatório Hack3D da CertiK. À primeira vista, a situação parece ter melhorado em comparação com o ano passado, mas Natalie Newson acredita que esses números apresentam um quadro enganoso.

A aparente melhora reflete, em grande parte, o hack da Bybit, de US$ 1,45 bilhão, ocorrido no primeiro semestre de 2025. Excluindo esse incidente isolado, as perdas da indústria, na verdade, aumentaram aproximadamente 28% em relação ao ano anterior.

“Portanto, o ambiente subjacente não melhorou e, em alguns aspectos, piorou. A maior parte desses danos não veio de uma brilhante quebra de códigos, mas de carteiras comprometidas e de pessoas vítimas de engenharia social.”

As vulnerabilidades de código continuam sendo a principal causa dos ataques em número de incidentes. Nos primeiros seis meses de 2026, a CertiK registrou 204 incidentes desse tipo, resultando em perdas de aproximadamente US$ 152 milhões. No entanto, o comprometimento de carteiras provou ser mais destrutivo: apenas 33 incidentes causaram mais de US$ 444 milhões em perdas.

Os ataques de phishing foram responsáveis por outras perdas de US$ 366 milhões. Embora o número de incidentes de phishing tenha caído mais da metade em comparação com o ano anterior, as perdas financeiras diminuíram apenas 11%.

“Os invasores estão deixando de lado campanhas em massa e adotando um punhado de ataques de engenharia social altamente direcionados; apenas quatro incidentes foram responsáveis por cerca de 85% de todas as perdas com phishing.”

A maior vulnerabilidade está fora da blockchain

Os hackers tendem a atacar ecossistemas onde grandes quantidades de capital estão concentradas. No primeiro semestre de 2026, a Ethereum registrou o maior número de incidentes, com 153 ataques resultando em perdas de aproximadamente US$ 523 milhões. A Solana sofreu significativamente menos ataques, mas as perdas ainda chegaram a US$ 315 milhões.

Uma parcela substancial dos danos veio de apenas dois hacks. Em abril, invasores roubaram US$ 291 milhões da Kelp DAO e US$ 285 milhões do Drift Protocol. Juntos, esses incidentes representaram quase 44% das perdas totais da indústria de criptomoedas durante o período de seis meses.

“A maior fragilidade não está realmente na própria blockchain. Está na camada off-chain da qual tudo depende: gerenciamento de chaves, fluxos de assinatura, interfaces front-end e infraestrutura, como provedores de RPC.”

Essas fragilidades off-chain ajudam a explicar por que até mesmo projetos que passaram por auditorias de segurança independentes ainda podem ser vítimas de hackers.

“Uma auditoria é um retrato de um código específico em um momento específico, não um selo permanente de aprovação.”

Newson também aponta uma tendência crescente entre os invasores de atacar smart contracts mais antigos, que estão em operação há mais de um ano. Suas vulnerabilidades podem ter passado despercebidas em análises anteriores. Por isso, a CertiK recomenda complementar as auditorias com monitoramento contínuo, programas de bug bounty e revisões de segurança adicionais após alterações no código.

A IA dá aos hackers uma vantagem temporária

A inteligência artificial está mudando a disputa entre cibercriminosos e empresas que protegem a indústria de criptomoedas. Agora, os hackers podem criar deepfakes convincentes, gerar mensagens de phishing em vários idiomas e automatizar operações fraudulentas.

A IA também ajuda os invasores a identificar vulnerabilidades no código com mais rapidez, reduzindo o nível de conhecimento técnico necessário para lançar ataques sofisticados. Enquanto isso, as empresas de cibersegurança usam a mesma tecnologia para analisar códigos em larga escala, detectar transações suspeitas e rastrear complexos esquemas de lavagem de criptomoedas.

“Ambos os lados estão se beneficiando e, neste momento, isso é realmente uma corrida armamentista.”

Ainda assim, os dois lados operam sob restrições muito diferentes. Ao contrário dos criminosos, as empresas de cibersegurança precisam cumprir requisitos regulatórios e garantir que suas ferramentas produzam resultados confiáveis.

“No curto prazo, acredito que os invasores levam vantagem, porque adotam novas ferramentas sem quaisquer restrições de conformidade ou precisão.”

O equilíbrio pode mudar no longo prazo. Newson acredita que os profissionais de segurança podem eventualmente obter uma vantagem graças ao acesso a grandes quantidades de dados e à capacidade de ampliar suas defesas. No entanto, isso exigirá que a indústria de criptomoedas invista mais ativamente nessas tecnologias.

Os hackers estão passando dos ataques digitais para a violência física

Criminosos estão mirando cada vez mais diretamente os detentores de criptomoedas, usando violência física e intimidação para obter acesso aos seus ativos. Esses ataques podem envolver sequestros, invasões domiciliares e extorsão. Entre as vítimas estão fundadores de projetos de cripto, executivos de empresas, investidores abastados e até seus familiares.

Conhecidos como ataques de wrench, esses crimes envolvem coerção física com o objetivo de forçar as vítimas a entregar suas criptomoedas. O aumento desses ataques é impulsionado por transferências de criptomoedas instantâneas e irreversíveis, vazamentos de dados pessoais e pela própria exposição pública dos investidores.

“Há também uma ironia aqui: à medida que a segurança digital melhora, o ser humano se torna o ponto de entrada mais fácil.”

Newson recomenda que pessoas com grandes quantidades de criptomoedas evitem divulgar publicamente informações sobre seus ativos e usem mecanismos de segurança que impeçam qualquer pessoa de transferir todos os fundos de forma independente.

Isso inclui carteiras multisig e transações com bloqueio temporal. Essas medidas podem dificultar o roubo mesmo sob coerção física, pois os criminosos não podem simplesmente obter acesso a uma única carteira ou forçar seu proprietário a transferir os fundos imediatamente.

As cold wallets ainda são confiáveis?

As ameaças físicas também levantam questões sobre como as criptomoedas devem ser armazenadas. Até mesmo dispositivos que permanecem desconectados da internet dependem da confiabilidade do firmware, das cadeias de suprimentos e das ações de seus proprietários.

No entanto, Newson não acredita que esses riscos tornem as hardware wallets obsoletas.

“O armazenamento a frio ainda é a opção mais segura disponível para a maioria das pessoas.”

A especialista recomenda comprar dispositivos diretamente dos fabricantes, verificar e atualizar o firmware regularmente e manter as seed phrases protegidas.

Para grandes quantidades, ela também recomenda usar estruturas multisig, para que a segurança dos ativos não dependa de um único dispositivo ou fabricante. Manter as chaves privadas offline ainda oferece proteção substancial contra ataques online.

A Web3 algum dia poderá ser segura?

Dos US$ 1,31 bilhão perdidos no primeiro semestre de 2026, apenas cerca de US$ 115 milhões foram congelados ou recuperados, segundo a CertiK. Os fundos restantes não haviam sido congelados nem recuperados durante o período analisado.

A perda média por incidente foi de aproximadamente US$ 3,8 milhões, mas a mediana foi significativamente menor, de cerca de US$ 139.000. Isso indica um grande número de ataques menores que afetaram projetos menos conhecidos e seus usuários.

Newson acredita que o setor de cripto pode melhorar significativamente a segurança, mas isso exigirá uma abordagem diferente ao desenvolvimento de produtos.

“Ninguém pensa em criptografia ao usar o internet banking, e esse é o padrão que a Web3 precisa alcançar.”

Na visão dela, as carteiras de cripto devem explicar claramente o que os usuários estão assinando e alertá-los antes que interajam com serviços potencialmente maliciosos. Ferramentas melhores para recuperar o acesso e os fundos após incidentes de segurança também são igualmente importantes.

Os usuários não deveriam precisar de um conhecimento aprofundado da tecnologia blockchain para gerenciar seus ativos com segurança.

“O risco nunca será zero, assim como não é nas finanças tradicionais, mas a direção é correta.”

Em última análise, o desenvolvimento futuro da Web3 dependerá não apenas de melhorias nas blockchains e nos smart contracts, mas também da eficácia com que o setor conseguirá proteger usuários comuns contra erros, fraudes e novas formas de ataque.