A perda de US$ 763,9 milhões: por que as auditorias de contratos inteligentes não conseguiram impedir o pior trimestre da Web3

Análise de segurança do segundo trimestre de 2026

O segundo trimestre de 2026 foi o período mais grave para a segurança da Web3 desde o segundo trimestre de 2025, com agentes mal-intencionados obtendo US$ 763,9 milhões em 67 incidentes de segurança. A mudança marcante do trimestre foi uma transformação fundamental nos perfis de vulnerabilidade: o código não é mais a principal superfície de ataque; agora, são os controles operacionais e o gerenciamento de chaves.

Mais de 88% do total das perdas decorreram de comprometimentos operacionais, e não de falhas na lógica dos contratos inteligentes. O capital institucional já está se ajustando, mudando as prioridades da due diligence de auditorias pontuais para o monitoramento contínuo, a governança do acesso privilegiado e estruturas de autorização com múltiplos participantes.

De acordo com o relatório trimestral de segurança e conformidade da Hacken, violações relacionadas a chaves e infraestrutura representaram 88,3% de todos os fundos roubados, ou cerca de US$ 674,5 milhões. Bugs em contratos inteligentes continuaram sendo o tipo de ataque mais comum — 44 dos 67 incidentes —, mas representaram apenas cerca de 11% do total de perdas. Cerca de 75,5% de todas as perdas decorreram de apenas dois incidentes atribuídos a agentes de ameaças norte-coreanos, enquanto apenas 9% dos projetos monitorados mantêm monitoramento contínuo e 4% combinam auditorias, programas de recompensa por bugs e monitoramento em tempo real.

Uma das principais constatações do segundo trimestre é que 14 protocolos auditados sofreram violações — um indicador claro da crescente discrepância entre o que uma auditoria de contrato inteligente realmente avalia e onde os agentes mal-intencionados realmente atacam. Para especialistas em segurança, essas violações expõem a falha fatal de tratar uma revisão de código em um determinado momento como um escudo de segurança abrangente.

“O maior equívoco é achar que uma auditoria é um certificado de segurança”, disse Leo Fan, fundador da Cysic. “Na verdade, trata-se de uma avaliação limitada a uma base de código específica em um determinado momento. Uma auditoria não abrange automaticamente os dispositivos dos signatários, a infraestrutura em nuvem, as permissões operacionais, o bytecode implantado, atualizações posteriores, dependências de terceiros ou contratos antigos que ainda podem ser chamados.”

Eric Swartz, sócio fundador e diretor jurídico da Panther Hollow Ventures, concordou que tratar as auditorias como uma linha de chegada deixa os protocolos expostos. “Uma auditoria mostra como um sistema estava em um determinado momento”, disse Swartz. “Ela não garante que atualizações futuras, mudanças operacionais ou novos métodos de ataque não introduzam riscos. As equipes mais sólidas veem as auditorias como uma parte de um programa de segurança muito mais amplo.”

Samuel Videau, diretor de tecnologia (CTO) da Genius, observou que a seção de escopo de um relatório de auditoria frequentemente revela o que não foi avaliado. “Quase 90% das perdas do segundo trimestre vieram de chaves, signatários e infraestrutura, todos fora dessa seção de escopo, e 14 projetos auditados foram esvaziados mesmo assim”, disse Videau. “O boletim não é o programa de segurança.”

Himanshu Sahay, diretor de tecnologia (CTO) e cofundador da Arch, enfatizou que as auditorias não podem ser consideradas isoladamente. “Uma auditoria é uma importante avaliação pontual do código e da arquitetura que foram analisados, mas não pode levar em conta todos os riscos operacionais ou mudanças futuras em um sistema”, disse Sahay. “A segurança precisa ser tratada como um processo contínuo.”

Contornando o código: o ponto fraco da infraestrutura fora da cadeia

Enquanto isso, à medida que as defesas dos contratos inteligentes amadurecem e a lógica na cadeia se torna cada vez mais difícil de ser comprometida, os agentes mal-intencionados mudaram de estratégia de forma decisiva. Em vez de invadir portas de entrada fortemente protegidas, os invasores estão sistematicamente contornando o código por completo para explorar o ponto fraco da infraestrutura fora da cadeia.

“A superfície mais subestimada é o plano de controle fora da cadeia: dispositivos signatários, procedimentos de geração e rotação de chaves, identidades na nuvem, pipelines de CI/CD, serviços de back-end, validadores de ponte e caminhos de administração de emergência”, disse Fan. “As equipes costumam proteger o armazenamento de chaves, mas prestam menos atenção à forma como as chaves são realmente utilizadas… quando comprometidas, os invasores podem gerar transações que são tecnicamente válidas na cadeia, tornando a prevenção e a detecção muito mais difíceis.”

O próprio perímetro da nuvem apresenta uma falsa sensação de segurança para muitos desenvolvedores da Web3.

“A maior suposição é que usar um grande provedor de nuvem torna um aplicativo seguro por padrão”, disse Jerald David, CEO da Lynq. “Os provedores de nuvem protegem a infraestrutura subjacente, mas as equipes ainda são responsáveis por como os sistemas são configurados, como as credenciais são gerenciadas e quem tem acesso.”

Videau, por sua vez, alertou que uma arquitetura inadequada pode anular a proteção multisig. “Toda a operação é executada em funções de serviço com permissões excessivas e pipelines de CI/CD que podem acessar chaves de produção; e se uma conta de serviço puder ler sua chave de assinatura, sua multisig não passa de uma farsa”, disse Videau. “Contratos obsoletos que ainda detêm direitos de administrador são outro vetor de ataque: o código que você lançou há dois anos é uma porta aberta, e os invasores não se importam com o que você considera dentro do escopo.”

À medida que os alocadores institucionais recalibram seus modelos de risco, o padrão para a alocação de capital aumentou significativamente. “Pronto para instituições” não é mais definido por um relatório de auditoria impecável, mas pela comprovação de maturidade operacional, governança de nível empresarial e controles resilientes de gerenciamento de chaves.

“Eu analiso primeiro a maturidade operacional”, disse David. “A equipe consegue explicar claramente como o capital circula pelo sistema, onde estão os pontos-chave de controle e como os riscos são monitorados? As instituições precisam de previsibilidade e transparência.”

Sahay observou que nenhum controle isolado garante, por si só, o apoio institucional. “As instituições querem entender como os sistemas críticos são acessados, como as permissões são gerenciadas, como as atividades são monitoradas e quais processos existem caso algo dê errado”, disse Sahay. “É a combinação de controles robustos, transparência e disciplina operacional que, em última instância, gera confiança.”

Ao avaliar protocolos, Fan se concentra no mapa de privilégios: quem pode movimentar ativos, substituir signatários ou alterar medidas de segurança. “Se eu tivesse que identificar um controle mais associado à confiança institucional, seria a autorização multipartidária em todas as rotas de movimentação de ativos e atualizações”, disse Fan. “As instituições querem evidências de que uma ação unilateral é impossível.”

Swartz acrescentou que as instituições priorizam a forma como as equipes lidam com adversidades. “As instituições sabem que nenhum protocolo está completamente isento de riscos”, disse Swartz. “O que importa é se a equipe possui boa governança, controles internos robustos, transparência em relação aos riscos e um plano claro para responder quando algo der errado.”

Os cinco especialistas concordam que a Web3 deve adotar camadas de defesa que incorporem monitoramento em tempo real, gerenciamento disciplinado de chaves e programas de recompensa por bugs ágeis para se proteger contra ameaças em constante evolução.

“Os ativos digitais operam 24 horas por dia, mas partes da infraestrutura que os suportam ainda funcionam de acordo com horários financeiros tradicionais”, observou David. “À medida que o mercado se torna mais institucionalizado, a infraestrutura que suporta a movimentação e a liquidação de capital também precisa se tornar mais resiliente.”

Perspectivas para o segundo semestre de 2026: realinhamento das camadas de defesa

Os especialistas, por sua vez, alertam que o segundo semestre de 2026 trará mais do mesmo. Em vez de desperdiçar tempo tentando fazer engenharia reversa em contratos inteligentes auditados, espera-se que os agentes de ameaças continuem atacando o caminho de menor resistência: controles operacionais, alvos humanos e infraestrutura-chave.

“Espero que os ataques operacionais de controle de acesso continuem dominando as perdas: engenharia social, roubo de credenciais, comprometimento de signatários, invasão de nuvem ou CI/CD e ataques à infraestrutura de validadores fora da cadeia”, previu Fan. “Bugs individuais em contratos inteligentes continuarão ocorrendo, mas os invasores seguirão visando o caminho mais curto para obter autoridade.”

Videau concluiu com um apelo para realinhar os gastos com segurança aos riscos reais: “Gaste onde estão as perdas. Quase 90% dos fundos roubados passaram por chaves, signatários e infraestrutura, mas os orçamentos ainda são direcionados para auditorias de contratos. Os piores ataques serão aqueles que ninguém previu; portanto, construa sua defesa como se seu perímetro já tivesse sido violado.”