Hacks de cripto somam US$ 1,18 bilhão no terceiro trimestre, o pior desde 2025

A Hacken, empresa de segurança, apontou o terceiro trimestre de 2026 como o pior trimestre para hacks de cripto desde o começo de 2025. Foram US$ 1,18 bilhão em 107 incidentes registrados, segundo o relatório publicado nesta semana. No primeiro trimestre de 2025, o roubo de US$ 1,4 bilhão da Bybit já tinha levado o total do período para US$ 1,6 bilhão.

Cerca de 77% do total, aproximadamente US$ 906 milhões, veio de fornecedores comprometidos, ferramentas de desenvolvedor, correções já divulgadas que não foram aplicadas ou outros componentes fora das revisões de segurança. O número é uma consolidação do período: os maiores casos já haviam sido divulgados individualmente quando aconteceram.

Os quatro maiores incidentes foram o ataque à Bitget, de US$ 387 milhões, o exploit da Liquid Network, de US$ 320 milhões, o exploit da Tectonic, de US$ 120 milhões e uma vulnerabilidade de firmware do Coldcard, associada a perdas estimadas em US$ 115 milhões. Cerca de 80% das perdas se concentram nesses quatro casos. Ao todo, 98 dos 107 incidentes ficaram abaixo de US$ 10 milhões e a mediana de perda foi de US$ 670 mil.

Contratos inteligentes foram o vetor mais frequente, somando US$ 228 milhões em 71 incidentes. Ainda assim, foi a cadeia de suprimentos que concentrou o valor roubado. Para a Hacken, a lição é que auditar contratos não alcança o fornecedor, a ferramenta de desenvolvimento nem a infraestrutura de custódia. A companhia recomendou ampliar as auditorias para oráculos, pontes, sistemas de custódia e autoridades de assinatura.

Dos US$ 1,18 bilhão perdidos, cerca de US$ 387 milhões voltaram ou foram revertidos, o equivalente a 33% das perdas brutas. Depois do ataque à Liquid Network, white hats autodeclarados devolveram US$ 272 milhões, cerca de 85% do valor roubado. No caso da Tectonic, validadores da Cronos reverteram 114 minutos de histórico já confirmado da blockchain, o que interrompeu cerca de US$ 111,2 milhões dos US$ 120,4 milhões afetados. Circle e Tether congelaram cerca de US$ 340 mil relacionados ao ataque à Bitget.

Operadores cobriram outros US$ 410 milhões de prejuízo de usuários com recursos próprios. O fundo de proteção da Bitget cobriu US$ 387 milhões e Triple-A, Coinsbuy e TAC devolveram cerca de US$ 22 milhões. Mesmo assim, cerca de US$ 384 milhões, ou 32% das perdas brutas, não foram devolvidos nem cobertos por ninguém.