O número de manchete parece catastrófico. Em 288 ataques documentados em 2026, o setor de cripto já perdeu US$ 2,2 bilhões em roubos, exploits e engenharia social, colocando este ano no caminho para rivalizar os piores da série histórica. Mas escondida dentro desse total está uma história contraintuitiva, praticamente ignorada: os protocolos DeFi que dominaram as manchetes de hacks entre 2021 e 2023 deixaram de ser a principal superfície de ataque.
O mapa de ameaças migrou. Infraestrutura centralizada, pontes cross-chain e engenharia social assistida por IA agora respondem pelas maiores perdas unitárias, enquanto o avanço nas ferramentas de smart contracts reduziu de forma relevante a incidência de exploits “clássicos” de reentrância e flash loans. Entender para onde foram, de fato, esses US$ 2,2 bilhões — e por quê — é crucial para cada investidor institucional, equipe de protocolo e investidor de varejo que navega este mercado no fim de 2026.
TL;DR
Hacks em cripto chegaram a US$ 2,2 bilhões em 288 ataques em 2026, mas a composição das perdas se deslocou de forma decisiva dos exploits puros de smart contracts em DeFi. Falhas em bolsas centralizadas, vulnerabilidades em pontes cross-chain e engenharia social assistida por IA concentram agora as maiores perdas por incidente no ano. Ferramentas de verificação formal mais robustas, maior adoção de auditorias e monitoramento on-chain reduziram de maneira material a frequência dos exploits “clássicos” de DeFi que dominaram 2021-2023. A atenção regulatória se intensifica na mesma proporção das perdas totais, criando um ciclo de realimentação entre falhas de segurança e novas exigências de compliance. A superfície de ataque cresce mais rápido do que a capacidade das ferramentas defensivas, impulsionada pela proliferação de novas redes, protocolos de mensagens cross-chain e código gerado por IA.
Os US$ 2,2 bilhões em perspectiva
Colocar os US$ 2,2 bilhões em contexto histórico exige precisão, pois os números de manchete variam conforme a metodologia de cada fonte. A Chainalysis define perdas com crimes em cripto de forma diferente de firmas de análise on-chain como CryptoRank ou PeckShield, sobretudo porque a Chainalysis inclui receitas de golpes (scams) em suas estimativas de atividade ilícita, enquanto rastreadores de exploits tendem a excluí-las.
Para fins desta análise, o número de US$ 2,2 bilhões reflete apenas exploits diretos de protocolos e infraestrutura — não inclui phishing, rug pulls ou fraudes de investimento. Nessa metodologia, 2026 já supera o total anual de 2025 e se aproxima dos US$ 2,7 bilhões registrados em todo o ano de 2023 pela própria Chainalysis. Os 288 incidentes individuais até o fim de setembro de 2026 já excedem o total de 2024, que fechou com cerca de 230 ataques documentados no banco de dados da CryptoRank.
A perda média por incidente em 2026 está em torno de US$ 7,6 milhões, frente a aproximadamente US$ 5,2 milhões por ataque em 2023, sugerindo que, embora pequenos exploits de alta frequência continuem ocorrendo, a severidade média por evento está aumentando.
A tendência de maior perda média por ataque aponta para uma mudança estrutural na sofisticação dos invasores. Exploits oportunistas em pequena escala, típicos de usuários avançados explorando contratos mal configurados, não desapareceram, mas deixaram de ser os principais responsáveis pelo dano agregado. Os maiores eventos de 2026 vêm sendo marcados por longos períodos de reconhecimento, cadeias de ataque em múltiplas etapas e, em vários casos documentados, uso de análise de código assistida por IA para identificar edge cases que passaram por auditorias formais sem serem detectados.
Leia também: Bug na Polymarket permitia acesso a contas sem senha
Para onde o dinheiro foi: raio‑X dos vetores de ataque
A mudança estrutural mais importante no panorama de hacks de 2026 é a migração das grandes perdas isoladas de bugs em smart contracts para compromissos em nível de infraestrutura. Segundo o acompanhamento trimestral da PeckShield tracking, infraestruturas de exchanges centralizadas e sistemas de carteiras de custódia responderam por cerca de 34% das perdas em dólar nos três primeiros trimestres de 2026, comparado a aproximadamente 18% em todo o ano de 2023.
As pontes cross-chain mantiveram-se como o segundo maior vetor em valor. A economia básica da segurança dessas pontes pouco avançou, apesar de anos de autópsias pós-Ronin e pós-Nomad. Pontes concentram enorme valor em um conjunto relativamente pequeno de smart contracts que precisam, simultaneamente, lidar com verificação de provas criptográficas, lógicas de multi-assinatura e gestão de liquidez — tudo isso permanecendo permissionless. Dados da DeFiLlama mostram que as perdas específicas em pontes até o terceiro trimestre de 2026 superaram US$ 480 milhões, algo como 22% das perdas totais rastreadas.
Desde 2021, as pontes já acumulam mais perdas em dólar do que qualquer outra categoria única de ataque, com o total de roubos ligados a esse tipo de infraestrutura superando US$ 3,8 bilhões em incidentes documentados.
Exploits de smart contracts como categoria distinta — isto é, ataques que dependem de vulnerabilidades lógicas no código de protocolo, e não de falhas de infraestrutura ou de gestão de chaves — caíram como fatia das perdas totais em 2026. Eles ainda representam a maioria dos incidentes em número de casos, porque o volume absoluto de contratos implantados continua crescendo, mas sua contribuição para o dano agregado em dólares está em declínio. É essa a conclusão contraintuitiva que o número de US$ 2,2 bilhões tende a mascarar.
Leia também: Saylor diz que o cripto venceu no dia em que o Senado enterrou o Clarity Act
Por que os exploits de smart contracts em DeFi estão em queda
A redução das perdas ligadas a exploits puros de smart contracts não significa uma súbita “maturidade” cultural de segurança no DeFi. Ela reflete a convergência de ferramentas e mudanças de estrutura de mercado que elevaram progressivamente o custo de executar um exploit puramente de código contra um protocolo bem capitalizado.
A adoção de verificação formal avançou de forma significativa. Ferramentas como o Prover da Certora e o framework K da Runtime Verification deixaram de ser exercícios acadêmicos de nicho e viraram requisito padrão de pré-lançamento para qualquer protocolo que busca capital institucional.
Um relatório de desenvolvedores de 2025 da Electric Capital report apontou que a fatia de protocolos DeFi com mais de US$ 50 milhões em TVL que passaram por ao menos um processo de verificação formal subiu de cerca de 12% em 2022 para mais de 40% no fim de 2025. Esse percentual continuou em alta em 2026.
Protocolos submetidos à verificação formal e a pelo menos duas auditorias independentes registraram cerca de 70% menos exploits bem‑sucedidos de smart contracts por dólar de TVL que protocolos comparáveis sem auditoria, segundo o banco de incidentes monitorados pela DeFiLlama.
O monitoramento on-chain contínuo também virou padrão no topo do mercado. Serviços como Forta Network, OpenZeppelin Defender e o gerenciamento em tempo real de parâmetros da Gauntlet create condições de “disjuntores” (circuit breakers) capazes de pausar contratos ou sinalizar comportamento anômalo em segundos, assim que uma transação suspeita chega ao mempool.
Em vários grandes casos de 2025, gatilhos automáticos de pausa mitigaram parcialmente o impacto, limitando as perdas a uma fração da exposição teórica máxima. A economia de atacar um protocolo monitorado, com bug bounty de US$ 5 milhões e mecanismo de pausa de 30 segundos, passou a jogar claramente contra o invasor.
Leia também: Sui se aproxima de US$ 1 enquanto um indicador chave acende sinal de alerta
A nova superfície de ataque: exploração assistida por IA
A ameaça emergente mais relevante documentada nos relatórios de incidentes de 2026 é o uso de modelos de linguagem de grande porte para acelerar e escalar a fase de descoberta de vulnerabilidades. Isso já é realidade. Diversas análises pós‑mortem publicadas on-chain e em fóruns de segurança em 2026 descrevem padrões de ataque compatíveis com análise estática assistida por IA, em que a velocidade e a abrangência da varredura de vulnerabilidades superam em muito o que um único pesquisador conseguiria fazer manualmente.
A Trail of Bits, uma das firmas de auditoria de smart contracts mais respeitadas do setor, publicou no segundo trimestre de 2026 uma nota de pesquisa mostrando como ferramentas de análise de código baseadas em LLMs — inclusive versões ajustadas de modelos públicos — conseguem identificar certas classes de overflow de inteiros e falhas de controle de acesso em código Solidity mais rapidamente que auditores humanos, quando operam em escala. As mesmas ferramentas usadas por pesquisadores legítimos para achar bugs antes do deploy estão disponíveis para adversários sem qualquer freio ético.
A varredura de vulnerabilidades assistida por IA consegue processar dezenas de milhares de linhas de Solidity por minuto e sinalizar caminhos de exploração que levariam dias para um auditor humano mapear, alterando de forma estrutural a economia da fase de descoberta de falhas.
A implicação é que o modelo de auditoria “foto estática” tende a ficar insuficiente. Um protocolo que passou por uma auditoria rigorosa em janeiro de 2026 pode enfrentar, em setembro de 2026, um adversário turbinado por IA capaz de reanalisar o mesmo código em horas e encontrar edge cases que escaparam ao escrutínio inicial. A resposta defensiva da indústria — monitoramento contínuo e verificação formal — vai na direção correta, mas ainda não está disseminada o bastante para neutralizar essa assimetria. Novas redes que estreiam com ferramental mínimo de segurança continuam altamente expostas.
Leia também: Bittensor supera US$ 300 e reacende o interesse pela narrativa de IA
Segurança em bolsas centralizadas: o elo fraco subestimado
O A narrativa de que protocolos descentralizados são inerentemente mais perigosos, enquanto as corretoras centralizadas oferecem segurança “nível institucional”, foi desmontada pelo histórico de incidentes de 2026. As perdas ligadas a CEXs neste ano incluem não apenas invasões diretas a hot wallets, mas também ataques cada vez mais sofisticados a credenciais de funcionários, integrações de APIs de terceiros e à própria infraestrutura de custódia usada por grandes exchanges na gestão de cold storage.
O comprometimento de um fornecedor da Polymarket em setembro de 2026, que resultou no phishing de US$ 2,9 milhões diretamente de carteiras de usuários por meio de uma integração de terceiros — e não via exploração do protocolo em si — ilustra bem o novo modelo de risco das CEXs. A exchange não foi invadida. O seu prestador de serviço foi. Esse padrão, em que o ataque entra pela borda da cadeia de fornecedores em vez da plataforma principal, repetiu‑se em diversos incidentes relevantes em 2026 e ecoa o tipo de ataque à cadeia de suprimentos que há décadas assombra a infraestrutura financeira tradicional.
Em 2026, ataques a fornecedores terceirizados e à cadeia de suprimentos responderam por uma fatia materialmente maior das perdas em CEXs do que comprometimentos diretos de hot wallets, invertendo o padrão observado antes de 2024.
Arranjos de custódia institucional enfrentam um dilema estrutural semelhante. Carteiras com computação multipartidária (MPC) e módulos de segurança de hardware (HSMs) elevaram significativamente a barreira contra extração forçada de chaves, mas os processos humanos que regem fluxos de aprovação, participação em cerimônias de chave e procedimentos de recuperação de emergência seguem expostos à engenharia social. A CipherTrace, adquirida pela Mastercard, destacou em um relatório setorial de 2025 que ataques de engenharia social contra equipes operacionais de exchanges se tornaram a categoria de violações bem-sucedidas de plataformas centralizadas que mais cresce em número de incidentes.
Leia também: Dogecoin deixa principais tokens para trás enquanto ursos são forçados a encerrar posições
Segurança de Pontes: o problema de US$ 480 milhões que não se resolve sozinho
As pontes cross‑chain continuam sendo o problema de segurança mais difícil da indústria justamente porque as características que as tornam valiosas — transferências de ativos entre cadeias de forma trustless, permissionless e eficiente em capital — entram em choque direto com os requisitos de segurança. Uma ponte que pode ser pausada por um comitê multisig é mais segura, mas menos descentralizada. Já uma ponte que se apoia em provas criptográficas de light clients em vez de comitês validador possui premissas de confiança mais robustas, porém o próprio código de verificação das provas abre uma nova superfície de ataque.
As duas arquiteturas dominantes de pontes em 2026 — pontes validadas externamente com esquemas de assinatura limiar e pontes baseadas em provas de conhecimento zero (ZK) — sofreram ataques relevantes. O modelo de validação externa é vulnerável à conivência entre validadores ou ao comprometimento do conjunto. Já o modelo de pontes ZK tem se mostrado exposto a bugs nos próprios circuitos de verificação das provas, extremamente complexos e difíceis de auditar com ferramentas tradicionais.
Nenhum desenho de ponte se mostrou imune a perdas em larga escala. Dos quinze maiores incidentes envolvendo pontes desde 2021, oito ocorreram em sistemas com validação externa e cinco em estruturas baseadas em provas ZK ou otimistas. Dois casos envolveram designs híbridos. LayerZero, Wormhole e Axelar investiram pesado em upgrades de segurança em 2025 e 2026, incluindo programas de bug bounty que somam mais de US$ 15 milhões, auditorias de circuitos por terceiros e monitoramento reforçado.
O rastreador de incidentes da DeFiLlama indica que essas plataformas, especificamente, não registraram perdas significativas em 2026, sugerindo impacto real desses investimentos. O restante do ecossistema, porém, sobretudo as pontes menores que atendem redes mais novas, não recebeu o mesmo grau de atenção em segurança — e essas pontes de menor porte responderam de forma desproporcional pelo volume de incidentes em 2026, em número de casos.
Leia também: OpenAI enfrenta processo em British Columbia por tiroteio escolar com 8 vítimas
Taxas de Recuperação On‑Chain: quanto do cripto roubado realmente volta?
Um aspecto dos US$ 2,2 bilhões em perdas que recebe bem menos atenção analítica do que o montante em si é a taxa de recuperação. Nem todo cripto roubado permanece perdido para sempre. A rastreabilidade on‑chain — o paradoxo que torna cripto útil para criminosos, mas ainda assim muito mais rastreável que dinheiro em espécie — permite bloquear, negociar ou recuperar uma parcela relevante e crescente dos valores desviados, inclusive via acordos de recompensa com “white hats”.
A Chainalysis informou, em seu balanço semestral sobre crimes cripto em 2026, que as taxas de recuperação em ataques a nível de protocolo — isto é, incidentes em que o vetor foi uma falha de smart contract, e não um comprometimento de chave privada — subiram para cerca de 22% a 27% dos fundos roubados, ante algo em torno de 8% a 12% em 2021.
A melhora reflete mudanças estruturais: mais protocolos oferecendo recompensas “sem perguntas” entre 10% e 20% do valor desviado, maior capacidade das autoridades em rastrear fundos que passam por mixers e, sobretudo, as ações de enforcement contra o Tornado Cash em 2023, que reduziram de forma material a disponibilidade de ferramentas de ofuscação on‑chain em grandes volumes. Com base na metodologia da Chainalysis aplicada a incidentes públicos, estima‑se que entre US$ 480 milhões e US$ 600 milhões dos US$ 2,2 bilhões perdidos em 2026 já estejam congelados ou sejam potencialmente recuperáveis.
O quadro é bem mais negativo nos incidentes envolvendo comprometimento de chaves privadas em entidades centralizadas, porque os fundos podem ser rapidamente escoados por trilhas off‑chain antes que qualquer ordem de bloqueio seja aplicada. Essa distinção é fundamental para entender a perda líquida efetiva para o ecossistema. O número bruto — os US$ 2,2 bilhões — superestima as perdas realizadas à medida que parte dos valores é recuperada. Mas, para o investidor individual, que muitas vezes não pode esperar meses ou anos pela conclusão de um processo de recuperação, a perda bruta espelha melhor a sua experiência real.
Leia também: Bitcoin sobe 12% em setembro enquanto temores em Wall Street arrefecem
A Resposta Reguladora: como US$ 2,2 bilhões estão redesenhando a agenda de compliance
Perdas dessa magnitude não acontecem em um vácuo regulatório. A proposta do Federal Reserve de exigir reservas integrais em suas regras para stablecoins, divulgadas em setembro de 2026, inclui cláusulas explícitas sobre auditorias de segurança para qualquer instituição que busque uma licença de emissor, citando diretamente o volume agregado de ataques em 2026 como justificativa para padrões mais rígidos de risco operacional. Tanto a SEC quanto a CFTC já referenciaram o histórico de incidentes de 2026 em manifestações públicas sobre a abrangência das futuras exigências de registro para exchanges de cripto.
Na União Europeia, o regulamento Markets in Crypto‑Assets (MiCA), em plena aplicação desde o fim de 2024, firmou‑se como o marco regulatório com maior impacto prático sobre os padrões de segurança de plataformas.
O Artigo 70 do MiCA obriga prestadores de serviços de criptoativos autorizados a manter medidas técnicas e organizacionais proporcionais aos riscos, incluindo limites à exposição de hot wallets, prazos máximos de 24 horas para reporte de incidentes e avaliações de segurança por terceiros. Orientações da Autoridade Bancária Europeia (EBA) publicadas no 1º trimestre de 2026 detalharam que CASPs devem conduzir testes de penetração externos pelo menos uma vez por ano e manter playbooks documentados de resposta a incidentes.
Na prática, a conformidade com o MiCA virou o piso mínimo de segurança para qualquer plataforma que atenda usuários europeus — e esse padrão já é citado por reguladores dos EUA como referência para futuras regras domésticas. A trajetória regulatória é clara: o número de US$ 2,2 bilhões tende a acelerar a imposição de auditorias de segurança obrigatórias, prazos rígidos de divulgação de incidentes e, em última instância, requisitos mínimos de reservas e seguros tanto para protocolos DeFi quanto para plataformas centralizadas. Projetos que hoje optam por ir além desses parâmetros reduzem de forma significativa o risco regulatório futuro, enquanto os que tratam segurança como um ajuste pós‑lançamento caminham na direção oposta.
Leia também: XMR salta 13% enquanto posição em aberto de US$ 305 milhões aumenta risco de correção
O que os dados revelam sobre quais protocolos são realmente seguros
Classificar protocolos pelo histórico de segurança, em vez de aceitar o discurso de marketing, exige uma abordagem baseada em dados. Diversas plataformas de análise on‑chain lançaram, entre 2025 e 2026, sistemas de pontuação de risco para protocolos, com metodologias distintas, mas conclusões amplamente convergentes sobre os fatores que melhor predizem a probabilidade de exploração.
O banco de dados de hacks da DeFiLlama, hoje a fonte primária pública mais abrangente, mostra de forma consistente que concentração de TVL, complexidade de código e tempo desde a última auditoria são os três indicadores mais fortes da frequência de perdas por dólar de TVL. Protocolos com mais de US$ 500 milhões em TVL concentrados em menos de cinco smart contracts e cuja última auditoria ocorreu há mais de 18 meses apresentam uma taxa de perda significativamente maior do que aqueles com TVL distribuída, arquitetura modular e relacionamento contínuo com auditorias independentes.
Protocolos posicionados no décimo superior em frequência de auditoria e cobertura de verificação formal registraram zero exploits bem‑sucedidos de smart contracts acima de US$ 1 milhão nos três primeiros trimestres de 2026, segundo a base de incidentes monitorada pela DeFiLlama. A ressalva é que a qualidade das auditorias varia enormemente. Uma única auditoria de uma casa reconhecida, como Trail of Bits, OpenZeppelin ou Halborn, tem peso preditivo maior do que três relatórios emitidos por firmas pouco experientes.
O mercado de auditoria de segurança em cripto segue, em grande parte, desregulado e sem um sistema padronizado de credenciamento, o que faz com que uma um protocolo que se promova como “auditado” nos seus materiais de marketing pode ter passado tanto por um processo robusto de verificação formal quanto por um simples scan automatizado e superficial. Gestores institucionais, cada vez mais, distinguem claramente entre diferentes níveis de auditoria quando fazem due diligence em protocolos — e essa diferenciação tende a se acentuar à medida que reguladores estabelecem critérios mais rigorosos para a qualidade dessas auditorias.
Também leia: Bitcoin Se Aproxima De Zona Decisiva: Um Novo Ciclo De Alta Está Prestes A Começar?
Perspectivas À Frente: De Onde Virá O Próximo US$ 1 Bilhão
Projetar onde ficará o valor final das perdas de 2026 — e de onde virão os principais vetores de ataque em 2027 — exige entender quais fatores estruturais estão melhorando e quais estão se deteriorando. O quadro é ambíguo de um modo que nem os otimistas nem os pessimistas em segurança parecem reconhecer plenamente.
Entre os vetores de melhoria real estão a adoção crescente de verificação formal, o avanço de ferramentas de monitoramento contínuo, a padronização de programas de bug bounty e o aperfeiçoamento da capacidade das forças de segurança em rastrear e congelar fundos roubados. Esses ganhos se concentram no topo do mercado — protocolos com grandes tesourarias, base de usuários institucionais e forte incentivo reputacional para investir em segurança. Os 20 maiores protocolos DeFi por TVL têm registrado, como grupo, queda das perdas por exploits em relação ao total de ativos sob gestão nos últimos três anos.
Do outro lado, os fatores em deterioração incluem a proliferação de novas chains com infraestrutura de segurança incipiente, a disseminação de ferramentas de descoberta de vulnerabilidades assistidas por IA — acessíveis tanto a defensores quanto a atacantes —, a ampliação da superfície de ataque trazida por protocolos de mensageria cross-chain, e o avanço de carteiras geridas por agentes de IA e de estratégias DeFi automatizadas que criam novos riscos de gestão de chaves. O relatório da BlackRock de setembro de 2026, apontando que agentes de IA serão motores da demanda por stablecoins, está correto na direção, mas agentes de IA executando transações on-chain de forma autônoma também inauguram uma superfície de ataque inédita e ainda pouco compreendida — para a qual as ferramentas atuais de segurança não foram desenhadas.
Se a trajetória atual se mantiver, 2026 deve encerrar com perdas por hacks entre US$ 2,8 bilhões e US$ 3,2 bilhões, com incidentes em pontes e infraestrutura de CEX provavelmente respondendo pelos maiores eventos isolados no quarto trimestre.
A combinação de código gerado por IA, complexidade de deploy multi-chain e processos de revisão de segurança subdimensionados no “long tail” de protocolos é hoje a fonte mais plausível do próximo grande evento sistêmico. A melhora estrutural na segurança do topo da DeFi é real e merece ser reconhecida. Mas o ecossistema cresce mais rápido do que sua cultura de segurança, e os US$ 2,2 bilhões em perdas até setembro de 2026 são a evidência mais clara desse descompasso.
Leia a seguir: A Aposta De US$ 11 Bi Em Junk Bonds Aumenta O Risco De Dívida Da SoftBank Com A OpenAI
O Risco Mudou De Lugar
Os US$ 2,2 bilhões perdidos em hacks de cripto em 2026 não são apenas uma repetição de padrões históricos. Eles refletem uma mudança estrutural real na zona de vulnerabilidade do setor, que se desloca de bugs pontuais em smart contracts para compromissos em infraestrutura, exploração assistida por IA e a crescente superfície de ataque trazida pela conectividade cross-chain. Os protocolos DeFi que dominaram as piores manchetes entre 2021 e 2023, como grupo, reforçaram de forma mensurável sua postura de segurança. As brechas se abriram em outros pontos.
A principal mensagem para investidores, equipes de protocolo e reguladores é que a queda na frequência dos exploits “clássicos” de DeFi não significa que o ecossistema esteja mais seguro como um todo. Significa que o risco migrou para outra camada da pilha, em que as defesas são menos maduras e, em alguns casos, a concentração de valor é até maior do que na fase inicial da DeFi. Pontes, infraestrutura centralizada, ambientes de execução de agentes de IA e as centenas de novas chains lançadas a cada ano sem tooling de segurança adequado compõem a superfície de ataque de 2027 — e o setor ainda não alinhou o volume de investimento defensivo ao ritmo de acumulação de risco.
A resposta regulatória às perdas de 2026 já começa a aparecer nos requisitos de conformidade do MiCA, nas propostas do Federal Reserve para segurança de stablecoins e no endurecimento da atuação de SEC e CFTC. Essas pressões devem acelerar o investimento em segurança no segmento em conformidade regulatória, mas tendem a fazer pouco para proteger usuários de protocolos não conformes que operam fora desse alcance. O número de US$ 2,2 bilhões quase certamente será maior em 31 de dezembro de 2026. A questão é se a infraestrutura defensiva do setor — verificação formal, monitoramento contínuo e a cultura de segurança institucional — conseguirá ganhar escala rápido o bastante para inverter essa trajetória antes do próximo evento sistêmico.
Leia a seguir: Perp DEXs Estão Consumindo O Volume Das Corretoras Centralizadas, E A Virada Está Acelerando
