Hacken reportou 763,9 milhões de dólares extraídos em 67 incidentes de segurança Web3 no 2.º trimestre de 2026, assinalando o período mais grave para a segurança Web3 desde o 2.º trimestre de 2025. Mais de 88% das perdas totais resultaram de compromissos operacionais e falhas na gestão de chaves, e não de vulnerabilidades no código de contratos inteligentes, representando uma mudança fundamental na superfície de ataque do Web3. O trimestre registou a violação de 14 protocolos auditados: os compromissos de chaves e de infraestruturas responderam por 674,5 milhões de dólares, enquanto os bugs de contratos inteligentes — embora tenham estado em 44 dos 67 incidentes — provocaram apenas 11% das perdas. Líderes de segurança atribuem esta mudança ao facto de atores maliciosos contornarem de forma sistemática o código on-chain endurecido para explorar controlos operacionais off-chain, dispositivos de assinatura e infraestrutura cloud. O capital institucional está a ajustar as prioridades de diligência prévia, afastando-se de auditorias pontuais para um modelo de monitorização contínua e de estruturas de autorização com múltiplos participantes em resposta a esta crise de segurança operacional.
Dados de incidentes do 2.º trimestre de 2026 revelam 88% das perdas por compromissos operacionais
De acordo com o relatório trimestral de segurança e conformidade da Hacken, os compromissos de chaves e de infraestruturas foram responsáveis por 88,3% de todos os fundos roubados, ou aproximadamente 674,5 milhões de dólares. Os bugs de contratos inteligentes mantiveram-se como o tipo de ataque mais comum — 44 de 67 incidentes — mas representaram apenas cerca de 11% do total de perdas. Cerca de 75,5% de todas as perdas vieram de apenas dois incidentes atribuídos a atores de ameaça norte-coreanos, enquanto apenas 9% dos projetos acompanhados mantêm monitorização contínua e 4% combinam auditorias, bug bounties e monitorização em direto.
Um achado central do 2.º trimestre de 2026 é que 14 protocolos auditados foram violados. Leo Fan, fundador da Cysic, afirmou: "A maior ideia errada é que uma auditoria é um certificado de segurança. Na realidade, é uma avaliação limitada de uma base de código específica num dado momento. Uma auditoria não cobre automaticamente dispositivos de assinatura, infraestrutura cloud, permissões operacionais, bytecode implementado, atualizações posteriores, dependências de terceiros ou contratos antigos que se mantêm chamáveis."
Eric Swartz, sócio-gerente fundador e consultor jurídico geral da Panther Hollow Ventures, disse: "Uma auditoria diz-lhe como um sistema estava num determinado momento. Não garante que futuras atualizações, mudanças operacionais ou novos métodos de ataque não introduzam risco. As equipas mais fortes vêem as auditorias como apenas uma parte de um programa de segurança muito mais amplo."
Samuel Videau, CTO da Genius, destacou que a secção de âmbito de um relatório de auditoria frequentemente revela o que não foi avaliado: "Quase 90% das perdas do 2.º trimestre vieram de chaves, signers e infraestruturas, tudo fora dessa secção de âmbito, e 14 projetos auditados acabaram por ser drenados na mesma. A folha de notas não é o programa de segurança."
Atores de ameaça contornam o código de contratos inteligentes para visar infraestruturas off-chain
À medida que as defesas de contratos inteligentes amadurecem e a lógica on-chain se tornou cada vez mais difícil de comprometer, os atores de ameaça mudaram o foco para explorar infraestruturas off-chain. Fan afirmou: "A superfície mais subestimada é o plano de controlo off-chain: dispositivos de assinatura, procedimentos de geração e rotação de chaves, identidades cloud, pipelines de CI/CD, serviços de backend, validadores de ponte e caminhos de administração de emergência. As equipas muitas vezes garantem o armazenamento de chaves, mas prestam menos atenção ao modo como as chaves são realmente usadas... quando são comprometidas, os atacantes conseguem produzir transações que são tecnicamente válidas on-chain, tornando a prevenção e a deteção muito mais difíceis."
Jerald David, CEO da Lynq, abordou pressupostos de segurança na cloud: "O maior pressuposto é que usar um grande fornecedor cloud torna uma aplicação segura por defeito. Os fornecedores cloud protegem a infraestrutura subjacente, mas as equipas continuam responsáveis por como os sistemas são configurados, como as credenciais são geridas e por quem tem acesso."
Videau alertou que uma arquitetura inadequada pode anular a proteção de multisig: "Toda a operação corre em funções de serviço com permissões excessivas e em pipelines de CI/CD que podem tocar em chaves de produção e, se uma única conta de serviço conseguir ler a sua chave de assinatura, o seu multisig é teatro. Contratos descontinuados que ainda mantêm direitos de administração são outra via: o código que enviou há dois anos é uma porta viva, e os atacantes não se importam com o que considera no âmbito."
Alocadores institucionais mudam requisitos de segurança para além de auditorias
À medida que os alocadores institucionais recalibram os seus modelos de risco, o patamar para a alocação de capital subiu. David afirmou: "Eu avalio primeiro a maturidade operacional. A equipa consegue explicar claramente como o capital se move no sistema, onde estão os pontos-chave de controlo e como é que os riscos são monitorizados? As instituições precisam de previsibilidade e transparência."
Himanshu Sahay, CTO e cofundador da Arch, observou: "As instituições querem perceber como é que os sistemas críticos são acedidos, como as permissões são geridas, como a atividade é monitorizada e que processos existem caso algo corra mal. É a combinação de controlos fortes, transparência e disciplina operacional que, no fim, gera confiança."
Fan foca-se no mapa de privilégios ao avaliar protocolos: "Se eu tivesse de identificar um controlo mais associado à confiança institucional, seria a autorização multiparceiro em todas as vias de movimentação de ativos e de atualização. As instituições querem evidência de que uma ação unilateral é impossível."
Swartz acrescentou: "As instituições sabem que nenhum protocolo é completamente isento de risco. O que importa é saber se a equipa tem boa governança, controlos internos fortes, transparência sobre risco e um plano claro para responder quando algo corre mal."
Os cinco especialistas concordam que o Web3 precisa de adotar pilhas de defesa em camadas que incorporem monitorização em tempo real, gestão disciplinada de chaves e bug bounties responsivos para se proteger contra ameaças em evolução. David referiu: "Os ativos digitais operam 24/7, mas partes da infraestrutura que os suporta ainda funcionam de acordo com calendários financeiros tradicionais. À medida que o mercado se torna mais institucional, a infraestrutura que suporta a movimentação e o acerto de capital também precisa de ser mais resiliente."
Especialistas em segurança preveem ataques operacionais contínuos no 2.º semestre de 2026
Os especialistas alertam que o 2.º semestre de 2026 trará ataques operacionais contínuos. Fan previu: "Espero que os ataques de controlo de acesso operacional continuem a dominar as perdas: engenharia social, roubo de credenciais, compromisso de signers, intrusões na cloud ou em CI/CD e ataques à infraestrutura de validadores off-chain. Continuarão a existir bugs individuais em contratos inteligentes, mas os atacantes vão manter-se focados no caminho mais curto até à autoridade."
Videau concluiu: "Gaste onde estão as perdas. Quase 90% dos fundos roubados passam por chaves, signers e infraestruturas, mas os orçamentos continuam a ser canalizados para auditorias de contratos. Os piores ataques serão os que ninguém previu; por isso, construa como se o seu perímetro já tivesse desaparecido."
FAQ
O que causou as perdas de segurança Web3 de 763,9 milhões de dólares no 2.º trimestre de 2026?
A Hacken reportou que 88,3% dos 763,9 milhões de dólares roubados ao longo de 67 incidentes vieram de compromissos de chaves e de infraestruturas, em vez de vulnerabilidades em contratos inteligentes. Cerca de 75,5% de todas as perdas vieram de apenas dois incidentes atribuídos a atores de ameaça norte-coreanos, enquanto bugs de contratos inteligentes — apesar de representarem 44 de 67 incidentes — causaram apenas 11% das perdas totais.
Porque é que 14 protocolos auditados foram violados no 2.º trimestre de 2026?
Especialistas em segurança explicam que auditorias são avaliações limitadas de código num determinado momento no tempo e não cobrem dispositivos de assinatura, infraestrutura cloud, permissões operacionais ou sistemas de controlo off-chain. Samuel Videau assinalou que quase 90% das perdas do 2.º trimestre vieram de chaves, signers e infraestruturas — tudo fora das secções típicas de âmbito das auditorias.
Que controlos de segurança exigem agora os investidores institucionais aos protocolos Web3?
Leo Fan afirmou que as instituições querem evidência de autorização multiparceiro em todas as vias de movimentação de ativos e de atualização, tornando impossível a ação unilateral. Himanshu Sahay referiu que as instituições exigem compreender como é que os sistemas críticos são acedidos, como as permissões são geridas, como a atividade é monitorizada e que processos existem caso algo corra mal.
