Hacks em 2026 deslocam-se para chaves e governança
A Immunefi constata que os ataques passam cada vez mais por signing keys, governança e infraestrutura. BonkDAO e Humanity Protocol mostram quão grande pode ser o dano sem um bug em smart contract.
Pontos principais
- Em 2026, os ataques a criptomoedas deslocam-se sobretudo para chaves, governança e segurança operacional, e não apenas para bugs em smart contracts.
- A Immunefi refere que este ano já foram roubados cerca de 972 milhões de dólares, com exemplos como BonkDAO e Humanity Protocol.
- As auditorias, por si só, são insuficientes, porque a gestão de chaves, a custody e a signing também podem causar perdas elevadas.
Em 2026, as perdas no setor das criptomoedas já não resultam apenas de falhas em smart contracts. De acordo com a Immunefi, o foco dos ataques tem vindo a deslocar-se para chaves, governança e segurança operacional. Só este ano, já terão sido roubados cerca de 972 milhões de dólares (854 milhões de euros), num cenário em que signing keys, votações e infraestrutura assumem um peso crescente face aos erros de código.
Chaves tornam-se o ponto fraco
O caso da BonkDAO mostra como uma tesouraria pode ser esvaziada sem que exista qualquer falha no contrato. Um atacante terá gasto cerca de 4 milhões de dólares (3,5 milhões de euros) para, com uma participação reduzida, adquirir tokens suficientes para uma proposta de governança. Depois disso, a proposta foi executada exatamente nos termos em que tinha sido escrita. Neste episódio, a vulnerabilidade não estava no contrato, mas nas próprias regras.
A Humanity Protocol enquadra-se na mesma tendência. Em junho, foram perdidos mais de 30 milhões de dólares (26,4 milhões de euros) depois de uma private key ter sido comprometida no computador de um membro da equipa, enquanto o contrato permaneceu intacto. Este caso insere-se numa mudança mais ampla que se tornou evidente na primeira metade de 2026: os compromissos de wallet e outros erros operacionais revelaram-se mais dispendiosos do ponto de vista financeiro do que os ataques tradicionais a smart contracts. A evolução acompanha também a tendência mais ampla de que as private keys explicam uma grande parte dos hacks, em vez de falhas no próprio código.
As auditorias não chegam
Mitchell Amador, fundador e CEO da Immunefi, sublinha que uma auditoria apenas permite avaliar o código num determinado momento. Não diz quem controla a signing authority, de que forma uma key é guardada ou o que acontece se um portátil for comprometido. Por isso, um protocolo pode acumular várias auditorias e, ainda assim, sofrer perdas elevadas; segundo o texto, um projeto perdeu mesmo 128 milhões de dólares (112 milhões de euros), apesar de 11 auditorias.
Os dados reforçam essa leitura. Numa análise a 425 hacks entre 2021 e 2025, uma pequena parte dos erros operacionais concentrou a maior fatia dos danos. Entre 2024 e 2025, 54,6% de todo o valor perdido, distribuído por 191 hacks, foi atribuível ao comprometimento de centralized exchanges, ou seja, a chaves, custody e signing acima da camada do contrato.
Porque isto afeta os investidores
Para os investidores europeus em criptomoedas, esta mudança é relevante porque os maiores riscos estão cada vez menos visíveis no próprio código. O trabalho sobre a infraestrutura, a gestão de chaves e os processos de governança passa, assim, a ser tão importante como as auditorias ou as code reviews formais. A segurança deixa de ser apenas uma questão técnica e passa também a influenciar instrumentos de investimento, custody e a forma como as empresas de criptomoedas organizam o seu controlo interno.
A Immunefi defende que programas de segurança contínuos e com incentivos podem fazer uma diferença significativa, uma vez que os investigadores são pagos para encontrar vulnerabilidades antes dos atacantes. Ainda assim, essa abordagem também tem de ir além dos smart contracts e abranger as pessoas, os sistemas e as regras que mantêm um protocolo em funcionamento.
