Ataques cripto no primeiro semestre de 2026: US$ 1,3 bilhão perdido, Drift e Kelp DAO e os padrões por trás
Dois ataques de abril, ao Drift e à Kelp DAO, somaram quase 44% das perdas do semestre. O relatório da CertiK mostra que o comprometimento de carteiras e a engenharia social lideram o prejuízo.
Referência histórica: 7 de julho de 2026. Publicado neste site em 2 de novembro de 2026. As datas no texto identificam o período retratado.
Neste artigo
Em resumo
- A CertiK registrou US$ 1,31 bilhão em perdas e 344 incidentes no primeiro semestre de 2026, uma queda de 46,8% sobre o mesmo período de 2025, que incluiu o ataque à Bybit.
- Drift Protocol (US$ 285 milhões) e Kelp DAO (US$ 291 milhões), ambos em abril, responderam por quase 44% do total.
- Comprometimento de carteiras foi o vetor mais caro (US$ 444,5 milhões em 33 casos); phishing teve menos casos, mas de valor mais alto.
- Para empresas, o padrão se repete: o ponto fraco costuma ser pessoa, assinatura ou infraestrutura, não o código do contrato.
São Paulo, 7 de julho de 2026 — Os ataques ao ecossistema cripto somaram US$ 1,31 bilhão no primeiro semestre de 2026, segundo o relatório Hack3D, da empresa de segurança CertiK, divulgado em 6 de julho. Foram 344 incidentes, praticamente o mesmo número de 2025, mas com perdas menores: o semestre anterior havia registrado US$ 2,47 bilhões, puxado pelo roubo de cerca de US$ 1,45 bilhão da Bybit.
A queda engana. Sem a Bybit, o primeiro semestre de 2025 teria perdas de cerca de US$ 1,03 bilhão, e, nessa base de comparação, os prejuízos de 2026 são aproximadamente 28% maiores, segundo a própria CertiK. Para quem usa stablecoins em pagamentos, o relatório traz mais lições sobre como o dinheiro é perdido do que sobre quanto.
- Perdas em 344 incidentes no 1º semestre de 2026 (CertiK, 6/7/2026)
- US$ 1,31 bi
- Fundos congelados ou devolvidos; perda líquida de US$ 1,20 bilhão
- US$ 115,3 mi
- Fatia de dois casos de abril: Kelp DAO e Drift Protocol
- ~44%
- Perda mediana por incidente, contra média de US$ 3,8 milhões
- US$ 138,7 mil
Os números do semestre, por vetor e por rede
| Vetor | Perdas | Incidentes | Leitura |
|---|---|---|---|
| Comprometimento de carteira ou chaves | US$ 444,5 milhões | 33 | O mais caro: poucos casos, valores muito altos |
| Phishing e engenharia social | US$ 366,3 milhões | 63 | Menos casos que em 2025 (132), com valor médio maior; quatro incidentes são cerca de 85% do total |
| Vulnerabilidade de código | US$ 151,6 milhões | 204 | O mais frequente, mas de baixo valor por caso |
Por rede, a Ethereum concentrou US$ 522,8 milhões em 153 incidentes. A Solana somou US$ 315,1 milhões, quase tudo do ataque ao Drift. Os US$ 115,3 milhões congelados ou devolvidos mostram que a resposta rápida ainda recupera parte do dinheiro. A CertiK também alerta que atores ligados à Coreia do Norte, como o grupo Lazarus, costumam intensificar as operações ao longo do ano e que o segundo semestre merece atenção redobrada.
Os dois maiores casos: Drift e Kelp DAO
Os valores variam entre fontes: a CertiK contabiliza US$ 285 milhões para o Drift e US$ 291 milhões para a Kelp DAO, enquanto a Rekt News, que reúne relatos dos próprios projetos e de analistas, fala em US$ 285,3 milhões e cerca de US$ 290 milhões. As descrições técnicas abaixo vêm dessa cobertura e dos comunicados dos projetos; a atribuição a grupos da Coreia do Norte é, em ambos os casos, preliminar.
Nos dois casos, o código do contrato funcionou como escrito. O que falhou foi o entorno: quem tinha poder de assinar, quais máquinas e serviços de rede eram confiáveis e quantas aprovações eram necessárias. É o mesmo padrão do ataque à Bybit, descrito em Bybit e o roubo de US$ 1,5 bilhão, e da tendência apontada em roubos cripto em 2025.
Os padrões de ataque do semestre
- Out/2025Início do contato com contribuidores do Drift por um grupo que se apresentava como firma de trading, segundo o projeto.
- 01/04/2026Drift Protocol: controle administrativo transferido e cofres esvaziados em minutos.
- 18/04/2026Kelp DAO: verificador único comprometido, mensagem falsa assinada e rsETH liberado.
- 06/07/2026CertiK publica o Hack3D do 1º semestre: US$ 1,31 bilhão em 344 incidentes.
- Poucos alvos, valores enormes. Dois casos explicam quase metade das perdas. O risco está concentrado em protocolos e pontes com muito dinheiro e poucos signatários.
- Pessoa como porta de entrada. Contatos longos, repositórios de código e aplicativos de teste foram a isca no Drift. Vale o mesmo alerta de fornecedor falso e troca de dados bancários.
- Assinatura antecipada e sem tempo de espera. No Drift, assinaturas pré-autorizadas e um limite de 2 de 5 aprovações permitiram mudanças imediatas de administração, o que críticos apontaram como falta de um intervalo de segurança.
- Configuração mínima por padrão. Na Kelp, um único verificador bastava. A discussão sobre quem deveria ter exigido mais verificadores continuou entre o projeto e a LayerZero.
O que uma empresa pode aplicar
Exija mais de uma aprovação para mover valores. Use um dispositivo exclusivo para assinar transações e não rode código de terceiros nele. Confira o endereço de destino por um segundo canal antes de enviar. Trate pedidos de mudança de carteira ou de conta como suspeitos até confirmar por telefone conhecido.
Para a empresa que apenas paga fornecedores com stablecoins, o risco principal não é o protocolo de empréstimo: é o erro de endereço, a fraude de troca de dados e a perda de acesso. Não existe cobertura do FGC para ativos virtuais, e a transferência confirmada é irreversível. Por isso, convém manter os valores parados em stablecoin pelo menor tempo possível e reter a documentação de cada pagamento.
Os dados do semestre mostram o sentido da ameaça: menos ataques de contrato e mais ataques a pessoas, chaves e infraestrutura. A defesa também passa por processo, e não só por tecnologia.
Perguntas frequentes
Quanto foi perdido em ataques cripto no primeiro semestre de 2026?
A CertiK contou US$ 1,31 bilhão em 344 incidentes, com US$ 115,3 milhões congelados ou devolvidos, o que deixa a perda líquida em cerca de US$ 1,20 bilhão. Outras empresas de análise usam metodologias diferentes e podem apresentar totais distintos.
Quais foram os maiores ataques de 2026 até julho?
Em abril, o Drift Protocol, na Solana (cerca de US$ 285 milhões, em 1º de abril), e a Kelp DAO, com rsETH (cerca de US$ 290 milhões, em 18 de abril). Juntos, representam quase 44% das perdas do semestre, segundo a CertiK.
Qual o tipo de ataque mais caro em 2026?
O comprometimento de carteiras e chaves, com US$ 444,5 milhões em 33 incidentes. O phishing somou US$ 366,3 milhões em 63 casos, e as vulnerabilidades de código, US$ 151,6 milhões em 204 casos, o maior número de incidentes.
A Coreia do Norte está por trás dos ataques de 2026?
Os projetos Drift e LayerZero atribuíram, de forma preliminar, os dois maiores ataques de abril a grupos ligados à Coreia do Norte, e a Elliptic e a TRM Labs apontaram atores norte-coreanos no caso do Drift. A atribuição segue sujeita a confirmação por autoridades. A CertiK alerta que esses grupos tendem a intensificar a atividade no segundo semestre.
Achou útil? Compartilhe com quem paga fornecedor no exterior.
Fontes
- CertiK Hack3D: H1 2026 Report · CertiK, 06/07/2026
- Drift Protocol — Rekt · Rekt News, 09/04/2026
- KelpDao — Rekt · Rekt News, 24/04/2026
Conteúdo informativo, sem recomendação de investimento. Marcas de terceiros citadas pertencem aos respectivos titulares; a menção é jornalística e não indica parceria ou vínculo com a Swapo Finance.
Pagamento internacional com a velocidade do Pix e regra do Banco Central.
Converta real em USDT e envie ao fornecedor na rede TRON. Tarifa única exibida antes, política de segregação patrimonial, atendimento humano. Ativo virtual sem cobertura do FGC; pedido de autorização protocolado no BCB.
