Os protocolos de finanças descentralizadas (DeFi) perderam $92,5 milhões em 15 incidentes de hacking separados em abril de 2025. De acordo com o último relatório mensal da empresa de segurança de blockchain Immunefi, isso representa um aumento de 27,3% em relação ao ano anterior em comparação com abril de 2024 e mais que o dobro das perdas de março de 2025, que somaram $41,4 milhões.
Este aumento preocupante reforça o consenso crescente entre os profissionais de segurança de que a base técnica do DeFi permanece perigosamente vulnerável, apesar de anos de exploits de alto perfil e advertências repetidas de especialistas em segurança cibernética. Os números de abril contribuem para uma estatística ainda mais preocupante: as perdas totais em criptomoedas por hacks e exploits em 2025 já alcançaram $1,74 bilhão - superando o total anual de 2024 de $1,49 bilhão em apenas quatro meses.
"O que estamos testemunhando não é apenas um pico temporário, mas uma crise de segurança fundamental em como protocolos descentralizados são projetados, implementados e mantidos", explica Maria Chen, Pesquisadora Principal da ChainSecurity. "A indústria está construindo uma infraestrutura financeira cada vez mais complexa em código que não passa pelo mesmo rigor que os sistemas financeiros tradicionais."
Os exploits de abril visaram predominantemente redes blockchain estabelecidas, com 100% dos ataques classificados como exploits técnicos, em vez de ataques baseados em engenharia social ou fraude. Entre os 15 incidentes documentados, vários se destacam tanto por sua magnitude quanto pelos vetores de ataque sofisticados empregados:
Protocolo UPCX: $70 Milhões
A maior violação do mês afetou o UPCX, um protocolo de pagamentos cross-chain que acumulou mais de $300 milhões em valor total bloqueado (TVL) desde seu lançamento no final de 2024. Em 12 de abril, atacantes identificaram uma vulnerabilidade crítica no mecanismo de verificação de mensagens cross-chain do protocolo.
De acordo com a análise forense preliminar da empresa de inteligência de blockchain Chainalysis, o exploit explorou uma falha sutil em como o UPCX validava as assinaturas de transações em diferentes cadeias compatíveis com EVM. Os atacantes executaram um ataque de precisão durante um período de alta congestionamento de rede, contornando etapas de verificação e autorizando saques fraudulentos de múltiplos pools de liquidez simultaneamente.
"O ataque ao UPCX demonstra como as pontes cross-chain continuam a representar algumas das infraestruturas mais vulneráveis do ecossistema", observa Thomas Walton-Pocock, fundador do Optimism Security Labs. "Apesar de vários exemplos históricos de exploits em pontes, remontando aos hacks da Wormhole e Ronin de 2022, os projetos continuam a subestimar a complexidade da mensageria segura cross-chain."
Desde então, o UPCX anunciou um plano de compensação para os usuários afetados, embora os detalhes ainda estejam pendentes enquanto as investigações continuam.
KiloEx: $7,5 Milhões
KiloEx, uma exchange descentralizada focada em negociação de opções, perdeu $7,5 milhões em 19 de abril em um aparente ataque sofisticado de manipulação de oráculos de preço. O atacante aproveitou-se de uma redução temporária de liquidez em um dos mercados de referência da KiloEx, manipulando o preço percebido dos contratos de opções KETH/ETH.
Ao primeiro deprimir artificialmente o preço do oráculo por meio de uma série de trades coordenados em múltiplas plataformas, e depois explorar o mecanismo de liquidação automatizada da KiloEx, o atacante pôde comprar contratos de opções fortemente descontados antes que o preço do oráculo se recuperasse.
"Os ataques aos oráculos estão se tornando cada vez mais metódicos", observa Samczsun, um respeitado pesquisador de segurança do Paradigm. "Os atacantes de hoje entendem a microestrutura do mercado e conseguem orquestrar condições que tecnicamente não violam as regras de nenhum sistema individual, mas ainda criam oportunidades de arbitragem exploráveis entre protocolos interconectados."
Outros Incidentes Significativos
Os outros exploits de abril totalizaram $15 milhões em perdas:
- Loopscale: $5,8 milhões perdidos quando atacantes exploraram uma vulnerabilidade de reentrada em seu contrato de empréstimo
- ZKsync: $5,0 milhões drenados por uma falha em um circuito de verificação de prova de conhecimento zero
- Term Labs: $1,5 milhão roubado via valores de retorno não verificados em interações de contrato inteligente
- Bitcoin Mission: $1,3 milhão em BTC embrulhado levado por controles de acesso inadequados
- The Roar: $790.000 perdidos por manipulação de empréstimo relâmpago
- Impermax: $152.000 drenados por erros de arredondamento de precisão em cálculos de recompensa
- Zora: $140.000 em ativos NFT comprometidos por manipulação de metadados
- ACB: $84.000 perdidos devido a funções de inicialização não protegidas
Ethereum Ainda é o Alvo Principal
A distribuição de ataques em redes blockchain revela vulnerabilidades persistentes mesmo em ecossistemas estabelecidos. O Ethereum permaneceu o alvo principal, respondendo por cinco incidentes (33,3% do total), enquanto a BNB Chain experimentou quatro ataques (26,7%). O Base, solução layer-2 da Coinbase, viu três exploits significativos (20%), marcando uma tendência preocupante para a rede relativamente nova.
"Os atacantes vão onde o dinheiro está, mas também priorizam redes com pontos de integração exploráveis", explica a Dra. Jenna Rodriguez, professora de criptografia no MIT. "O domínio do TVL pelo Ethereum o torna um alvo eterno, mas estamos vendo uma atenção crescente em redes layer-2 como o Base precisamente porque eles estão implementando tecnologia nova que não foi testada em batalha."
Os incidentes restantes afetaram Arbitrum, Solana, Sonic e ZKsync, indicando que nenhum ecossistema blockchain está imune a violações de segurança. O único incidente da Solana representa uma melhoria notável comparado a anos anteriores, quando a rede sofreu múltiplos exploits de alto perfil. Content: verificação.
"Estamos observando que protocolos solicitam auditorias muito mais detalhadas do que há mesmo um ano", relata Yan Michalevsky, fundador da empresa de segurança Ottersec. "Os projetos agora normalmente passam por múltiplas auditorias independentes, verificação formal quando aplicável e simulações econômicas antes da implementação."
Soluções de Seguro
Protocolos de seguro on-chain como Nexus Mutual e InsurAce expandiram suas opções de cobertura, embora os prêmios tenham aumentado substancialmente em resposta à crescente frequência de sinistros. Em maio de 2025, aproximadamente $500 milhões em ativos DeFi têm alguma forma de cobertura contra exploits—ainda representando menos de 1% do TVL total em DeFi.
Escalação de Recompensas por Bugs
A Immunefi relata que as recompensas por bugs aumentaram em média 64% ano a ano, com pagamentos máximos para vulnerabilidades críticas agora regularmente ultrapassando $1 milhão. Em março de 2025, um hacker de "chapéu branco" recebeu $2,5 milhões por identificar uma vulnerabilidade crítica no Uniswap V4—o maior pagamento por recompensa de bug na história das criptomoedas.
Atenção Reguladora
Corpos reguladores em todo o mundo tomaram nota da crise de segurança. O framework Markets in Crypto-Assets (MiCA) da União Europeia, totalmente implementado no início de 2025, agora requer que protocolos DeFi operando em jurisdições europeias atendam aos padrões mínimos de segurança.
Nos Estados Unidos, a SEC usou falhas de segurança como justificativa adicional para ações de aplicação contra protocolos considerados como oferecendo valores mobiliários não registrados. O presidente da SEC, Gary Gensler, comentou recentemente: "A frequência desses hacks demonstra precisamente por que as proteções aos investidores precisam ser estendidas a esses novos produtos financeiros."
Prevenção Técnica: O Caminho à Frente
Especialistas em segurança concordam amplamente em várias melhorias tecnológicas necessárias para abordar as causas raiz das vulnerabilidades DeFi:
Verificação Formal
Técnicas de verificação formal, que provam matematicamente a correção do código em relação às especificações, são cada vez mais vistas como essenciais para componentes fundamentais de protocolos. Embora intensiva em recursos, a verificação formal pode eliminar classes inteiras de vulnerabilidades.
"A indústria precisa ir além do modelo de auditar e lançar em direção a garantias de segurança comprovadas matematicamente", argumenta Manuel Araoz, fundador da Zeppelin Solutions. "Para protocolos que lidam com bilhões em fundos de usuários, nada menos que verificação formal deve ser aceitável."
Monitoramento de Segurança Descentralizado
Sistemas de monitoramento em tempo de execução que podem detectar padrões de transações anômalas estão ganhando força. Protocolos como a Forta Network fornecem monitoramento descentralizado que pode sinalizar atividades suspeitas em várias cadeias, permitindo potencialmente respostas de emergência mais rápidas.
Timelocks e Disjuntores
Implementar atrasos obrigatórios para movimentos significativos de fundos e suspensão automática de protocolos durante condições anômalas pode mitigar o impacto de futuros exploits.
Estruturas de Segurança Padronizadas
Vários grupos da indústria estão desenvolvendo estruturas de segurança padronizadas específicas para DeFi, incluindo a Open Zeppelin's DeFi Security Alliance e o Smart Contract Security Consortium da Ethereum Foundation.
Equilibrando Inovação e Segurança
Os números de exploit de abril de 2025 oferecem um aviso contundente de que os desafios de segurança das criptomoedas permanecem tão urgentes quanto sempre. Com perdas acumuladas de $1,74 bilhão já superando todo o ano de 2024, a indústria enfrenta um ponto de inflexão crítico.
"O desafio fundamental enfrentado pelo DeFi não é técnico - é cultural", conclui Dr. Narula. "A indústria prioriza a velocidade de inovação sobre a segurança, e até que esse equilíbrio mude, continuaremos vendo essas manchetes."
Para que o DeFi alcance adoção em massa e participação institucional, as práticas de segurança devem amadurecer para corresponder à enorme responsabilidade financeira que esses protocolos assumiram. A inovação sem permissão que impulsionou a rápida evolução das criptomoedas deve ser equilibrada com práticas rigorosas de segurança adequadas para infraestruturas financeiras que gerenciam bilhões em fundos de usuários.
À medida que a indústria entra no segundo terço de 2025, todos os olhos estarão voltados para se os protocolos podem implementar medidas de segurança mais robustas sem sacrificar a abertura e a composabilidade que tornam o DeFi revolucionário. O resultado desse desafio técnico e cultural provavelmente determinará se as finanças descentralizadas se tornarão um sistema financeiro global transformador ou permanecerão perpetuamente vulneráveis a explorações.