Hacken reportou US$ 763,9 milhões extraídos em 67 incidentes de segurança Web3 no 2º trimestre de 2026, marcando o período mais grave para a segurança Web3 desde o 2º trimestre de 2025. Mais de 88% das perdas totais se originaram de comprometimentos operacionais e falhas de gestão de chaves, e não de vulnerabilidades no código de contrato inteligente, representando uma mudança fundamental na superfície de ataque do Web3. O trimestre registrou 14 protocolos auditados violados, com comprometimentos de chaves e de infraestrutura respondendo por US$ 674,5 milhões, enquanto bugs de contrato inteligente — embora representassem 44 dos 67 incidentes — causaram apenas 11% das perdas. Líderes de segurança atribuem essa mudança ao fato de atores de ameaça estarem contornando sistematicamente código on-chain endurecido para explorar controles operacionais off-chain, dispositivos de assinatura e infraestrutura de nuvem. O capital institucional está ajustando as prioridades de diligência prévia, saindo de auditorias pontuais para monitoramento contínuo e estruturas de autorização com participação de múltiplas partes em resposta a essa crise de segurança operacional.
Dados de Incidentes do 2º trimestre de 2026 Revelam 88% das Perdas por Comprometimentos Operacionais
De acordo com o relatório trimestral de segurança e conformidade da Hacken, comprometimentos de chaves e de infraestrutura responderam por 88,3% de todos os fundos roubados, ou aproximadamente US$ 674,5 milhões. Bugs de contrato inteligente permaneceram o tipo de ataque mais comum — 44 de 67 incidentes — mas representaram apenas cerca de 11% das perdas totais. Aproximadamente 75,5% de todas as perdas vieram de apenas dois incidentes atribuídos a atores de ameaça norte-coreanos, enquanto apenas 9% dos projetos acompanhados mantêm monitoramento contínuo e 4% combinam auditorias, bug bounties e monitoramento ao vivo.
Um achado central do 2º trimestre de 2026 é que 14 protocolos auditados foram violados. Leo Fan, fundador da Cysic, afirmou: “O maior equívoco é achar que uma auditoria é um certificado de segurança. Na verdade, é uma avaliação com escopo de uma base de código específica em um ponto específico no tempo. Uma auditoria não cobre automaticamente dispositivos de assinatura, infraestrutura de nuvem, permissões operacionais, bytecode implantado, upgrades posteriores, dependências de terceiros ou contratos antigos que continuam acionáveis.”
Eric Swartz, sócio-gerente fundador e consultor jurídico geral da Panther Hollow Ventures, disse: “Uma auditoria mostra como um sistema estava em um momento específico no tempo. Ela não garante que upgrades futuros, mudanças operacionais ou novos métodos de ataque não introduzam risco. As equipes mais fortes veem auditorias como apenas uma parte de um programa de segurança muito mais amplo.”
Samuel Videau, CTO da Genius, observou que a seção de escopo de um relatório de auditoria frequentemente revela o que não foi avaliado: “Quase 90% das perdas do 2º trimestre vieram de chaves, signers e infraestrutura, tudo fora daquela seção de escopo, e 14 projetos auditados foram drenados mesmo assim. A ‘ficha’ do relatório não é o programa de segurança.”
Atores de Ameaça Contornam o Código de Contrato Inteligente para Atacar Infraestrutura Off-Chain
À medida que as defesas de contrato inteligente amadurecem e a lógica on-chain tem ficado cada vez mais difícil de comprometer, atores de ameaça migraram para explorar infraestrutura off-chain. Fan afirmou: “A superfície mais subestimada é o plano de controle off-chain: dispositivos de assinatura, procedimentos de geração e rotação de chaves, identidades de nuvem, pipelines de CI/CD, serviços de backend, validadores de bridge e caminhos de administração emergencial. As equipes muitas vezes protegem o armazenamento de chaves, mas prestam menos atenção a como as chaves são de fato usadas... quando são comprometidas, os atacantes podem produzir transações que são tecnicamente válidas on-chain, tornando prevenção e detecção muito mais difíceis.”
Jerald David, CEO da Lynq, abordou suposições de segurança na nuvem: “A maior suposição é achar que usar um grande provedor de nuvem torna uma aplicação segura por padrão. Provedores de nuvem protegem a infraestrutura subjacente, mas as equipes ainda são responsáveis por como os sistemas são configurados, como as credenciais são gerenciadas e por quem tem acesso.”
Videau alertou que arquitetura inadequada pode anular a proteção de multisig: “Toda a operação roda em service roles super-permitidos e pipelines de CI/CD que podem tocar chaves de produção, e se uma única conta de serviço puder ler sua chave de assinatura, seu multisig vira teatro. Contratos descontinuados ainda mantendo direitos administrativos são outra via: o código que você implantou há dois anos é uma porta aberta ao vivo, e os atacantes não se importam com o que você considera dentro do escopo.”
Alocadores Institucionais Mudam Requisitos de Segurança Além de Auditorias
À medida que alocadores institucionais recalibram seus modelos de risco, o patamar para implantação de capital aumentou. David afirmou: “Eu olho primeiro para a maturidade operacional. A equipe consegue explicar com clareza como o capital transita pelo sistema, quais são os principais pontos de controle e como os riscos são monitorados? Instituições precisam de previsibilidade e transparência.”
Himanshu Sahay, CTO e cofundador da Arch, observou: “Instituições querem entender como sistemas críticos são acessados, como permissões são gerenciadas, como a atividade é monitorada e quais processos existem se algo der errado. É a combinação de controles fortes, transparência e disciplina operacional que, no fim, constrói confiança.”
Fan foca no mapa de privilégios ao avaliar protocolos: “Se eu tivesse que identificar um controle mais associado à confiança institucional, seria a autorização com múltiplas partes em cada caminho de movimentação de ativos e de upgrade. Instituições querem evidência de que uma ação unilateral é impossível.”
Swartz acrescentou: “Instituições sabem que nenhum protocolo é completamente isento de risco. O que importa é se a equipe tem boa governança, controles internos fortes, transparência sobre risco e um plano claro para responder quando algo der errado.”
Os cinco especialistas concordam que o Web3 precisa adotar camadas de defesa, incluindo monitoramento em tempo real, gestão disciplinada de chaves e bug bounties responsivos para proteger contra ameaças em evolução. David observou: “Ativos digitais operam 24 horas por dia, mas partes da infraestrutura que os suportam ainda operam de acordo com cronogramas financeiros tradicionais. À medida que o mercado se torna mais institucional, a infraestrutura que suporta a movimentação e a liquidação do capital também precisa se tornar mais resiliente.”
Especialistas em Segurança Preveem Ataques Operacionais Contínuos no 2º Semestre de 2026
Os especialistas alertam que o 2º semestre de 2026 trará ataques operacionais contínuos. Fan previu: “Espero que ataques de controle de acesso operacional continuem dominando as perdas: engenharia social, roubo de credenciais, comprometimento de signers, intrusão em nuvem ou em CI/CD e ataques à infraestrutura off-chain de validadores. Bugs individuais em contratos inteligentes continuarão, mas os atacantes vão continuar mirando o caminho mais curto até a autoridade.”
Videau concluiu: “Aplique recursos onde estão as perdas. Quase 90% dos fundos roubados passaram por chaves, signers e infraestrutura, mas os orçamentos ainda despejam dinheiro em auditorias de contrato. Os piores ataques serão os que ninguém previu, então construa como se seu perímetro já tivesse ido embora.”
FAQ
O que causou as perdas de segurança Web3 de US$ 763,9 milhões durante o 2º trimestre de 2026?
A Hacken informou que 88,3% dos US$ 763,9 milhões roubados em 67 incidentes vieram de comprometimentos de chaves e infraestrutura, e não de vulnerabilidades em contratos inteligentes. Aproximadamente 75,5% de todas as perdas vieram de apenas dois incidentes atribuídos a atores de ameaça norte-coreanos, enquanto bugs de contrato inteligente — apesar de representarem 44 de 67 incidentes — causaram apenas 11% das perdas totais.
Por que 14 protocolos auditados foram violados no 2º trimestre de 2026?
Especialistas em segurança explicam que auditorias são avaliações com escopo de código em um ponto específico no tempo e não cobrem dispositivos de assinatura, infraestrutura de nuvem, permissões operacionais nem sistemas de controle off-chain. Samuel Videau observou que quase 90% das perdas do 2º trimestre vieram de chaves, signers e infraestrutura — tudo fora das seções típicas de escopo de auditoria.
Quais controles de segurança investidores institucionais agora exigem dos protocolos Web3?
Leo Fan afirmou que instituições querem evidência de autorização com múltiplas partes em cada caminho de movimentação de ativos e de upgrade, tornando impossível a ação unilateral. Himanshu Sahay observou que instituições exigem entender como sistemas críticos são acessados, como permissões são gerenciadas, como a atividade é monitorada e quais processos existem se algo der errado.
