Por que o DeFi continua perdendo milhões com exploits

Tem sido um dos piores anos já registrados para hacks de DeFi, e estamos apenas na metade do caminho.

Nos primeiros cinco meses de 2026, mais de US$ 840 milhões foram perdidos em hacks de DeFi — com abril sozinho respondendo por mais de US$ 600 milhões roubados, liderados por dois dos maiores ataques do ano: o exploit de US$ 292 milhões na KelpDAO e a violação de US$ 285 milhões no Protocolo Drift.

As perdas continuaram em maio, com a THORChain suspendendo as negociações depois que pesquisadores de segurança sinalizaram uma suspeita de exploit entre cadeias afetando mais de US$ 10 milhões.

TrustedVolumes, Echo Protocol, Step Finance, Truebit, Resolv Labs, Volo Protocol, Rhea Finance, ponte Verus-Ethereum, e muitos outros completam uma lista de vítimas que parece um teste de estresse de todas as premissas de confiança em que a DeFi se apoia, de acordo com dados da DeFiLlama.

Especialistas com quem o Decrypt conversou concordam amplamente com o diagnóstico de que os recentes hacks de DeFi estão expondo fraquezas estruturais em pontes e sistemas administrativos, enquanto os avanços em IA podem estar ajudando os atacantes a encontrar vulnerabilidades mais rapidamente.

Natalie Newson, investigadora sênior de blockchain na plataforma de segurança Web3 CertiK, disse ao Decrypt que, embora abril tenha sido excepcionalmente severo para exploits de criptomoedas, a tendência mais ampla permanece mais estável e abaixo do pico de incidentes visto em 2023.

“Abril de 2026 foi um mês ruim para explorações de criptomoedas; houve apenas três dias sem uma exploração em que pelo menos US$ 10.000 foram roubados”, disse ela.

“No entanto, quando olhamos para o panorama geral, o número de incidentes (excluindo phishing) tem sido, sem dúvida, bastante consistente e ainda menor do que um pico em 2023”, observou Newson, acrescentando que a gravidade de abril foi impulsionada por 14 explorações que excederam US$ 1 milhão em perdas, perdendo apenas para as 16 de setembro de 2025.

O fator Coreia do Norte

Ari Redbord, Chefe Global de Política e Assuntos Governamentais da TRM Labs, disse ao Decrypt que o aumento remonta a um único ator estatal que passou de participante marginal a ameaça definidora em cinco anos.

“O principal impulsionador é a Coreia do Norte, e essa campanha está se tornando mais afiada, não mais ampla”, disse Redbord, observando que atores ligados à Coreia do Norte foram responsáveis por 76% das perdas globais com hacks de criptomoedas nos primeiros quatro meses de 2026, acima dos 64% em 2025 e menos de 10% em 2020.

“A Coreia do Norte está usando não apenas tecnologia para atacar o espaço, mas também engenharia social sofisticada e bem planejada”, disse ele.

O maior hack DeFi do ano até agora atingiu a KelpDAO em 18 de abril, quando invasores drenaram cerca de 116.500 rsETH, no valor de aproximadamente US$ 292 milhões, de uma ponte entre cadeias.

A LayerZero, cuja infraestrutura de mensagens sustentava a ponte, disse no mais recente relatório post-mortem que o ataque começou em 6 de março, quando um desenvolvedor foi alvo de engenharia social, e chaves de sessão foram coletadas.

O protocolo de mensagens entre cadeias disse que o ataque foi atribuído pela Mandiant, CrowdStrike e pesquisadores independentes ao ator de ameaça da RPDC TraderTraitor, também conhecido como UNC4899.

A razão estrutural pela qual o DeFi continua absorvendo os golpes, acrescentou Redbord, se resume a onde o dinheiro está e como ele se move.

"A complexidade cross-chain do DeFi o torna um ambiente rico em alvos—pontes consistentemente produzem as maiores perdas de incidente único, e os modos de falha se repetem com consistência impressionante porque o problema central é arquitetural", observou ele.

Padrões recorrentes

Raz Niv, cofundador e CTO da plataforma de segurança onchain Blockaid, disse ao Decrypt que três padrões técnicos continuam aparecendo nos maiores incidentes do ano: falhas de controle de acesso privilegiado, upgrades maliciosos de proxy onde atacantes trocam contratos de implementação por versões com backdoor, e lacunas na verificação de mensagens cross-chain.

Sobre acesso privilegiado, Niv disse que a empresa monitora "eventos anômalos de 'Role Granted' e escalonamento de privilégio não autorizado", com incidentes como o exploit do Echo Protocol remontando a chaves de administrador comprometidas ou mal configuradas.

"Atacantes ou fazem engenharia social para obter chaves privadas ou exploram limites de multisig mal projetados", acrescentou ele.

Ele apontou para falhas envolvendo controles de acesso privilegiado, upgrades maliciosos de proxy e sistemas de verificação cross-chain, dizendo que ataques recentes estão expondo fraquezas mais profundas nas suposições que conectam infraestruturas cada vez mais complexas.

"O fio condutor não é a complexidade em si", disse Niv. "É que cada camada de abstração (proxies, papéis de administrador, mensagens cross-chain) introduz suposições de confiança que os atacantes sondam metodicamente."

Influência da IA

Niv disse que a IA está cada vez mais transformando a descoberta de exploits, embora ele tenha alertado que seu impacto é frequentemente mal compreendido.

Os modelos atuais estão se tornando cada vez mais eficazes em identificar vulnerabilidades conhecidas em escala e estão "automatizando o que auditores qualificados fazem", disse ele, enquanto alertava que "a preocupação real não é a IA substituir atacantes humanos", mas a IA "amplificando atacantes" ao lidar com reconhecimento e liberando-os para se concentrar em técnicas mais sofisticadas.

"A boa notícia é que os defensores podem usar as mesmas ferramentas. Monitoramento e simulação assistidos por IA estão se tornando essenciais para equipes de segurança que tentam acompanhar o ritmo", acrescentou Niv.

No caso do aumento de hacks no DeFi, Newson apontou para uma tendência semelhante, dizendo "um fator que provavelmente contribui, embora não seja o único, são os avanços em IA."

Ela acrescentou que a CertiK tem visto um aumento na exploração de contratos mais antigos e não verificados, tornando "a suposição lógica de que a IA está ajudando a encontrar vulnerabilidades."

Da mesma forma, Redbord disse que "atores mal-intencionados estão implantando IA em escala" em reconhecimento, engenharia social e design de exploração, acrescentando que a sofisticação vista em ataques como o da Drift parece "consistente com fluxos de trabalho assistidos por IA."

Analistas da TRM acreditam que operadores norte-coreanos estão cada vez mais incorporando ferramentas de IA em suas operações, com ele dizendo: "a resposta é implantar IA na defesa com a mesma agressividade que os adversários estão implantando no ataque."

Acima do código

Redbord disse que os hacks de DeFi são "um problema solucionável", mas disse que a indústria precisa ser mais honesta sobre onde as falhas estão realmente ocorrendo.

Ele observou que "auditorias protegem contra bugs de código", mas não contra campanhas sofisticadas de engenharia social como a da Drift, onde proxies norte-coreanos supostamente passaram meses cultivando acesso antes da violação.

"O modelo que funciona é a coordenação público-privada em tempo real", acrescentou o especialista.

Newson disse que 2026 pode representar "um ponto de virada evolucionário", dizendo que a indústria está aprendendo que a segurança cibernética é um "problema de pilha completa" que abrange "IA, a RPDC, ou infraestrutura e pessoal."

"Não importa quão perfeita seja sua matemática on-chain se seus processos humanos off-chain forem vulneráveis", disse ela, observando que a indústria está cada vez mais se voltando para "soluções práticas e estruturais" para abordar riscos de infraestrutura e engenharia social.

Impacto na confiança

O dano à confiança no espaço DeFi é mais difícil de quantificar, mas fácil de observar.

A exploração da Kelp DAO desencadeou uma onda de retiradas de $6,2 bilhões apenas do Aave, antes que um esforço de socorro liderado pelo CEO da Aave, Stani Kulechov, apelidado de "DeFi United", levantasse 132.650 ETH no valor de cerca de $303 milhões para respaldar a dívida incobrável.

A resposta coordenada mostra que a indústria pode se mobilizar. Também mostra quanto capital é necessário para encobrir uma única exploração de ponte.

Newson disse que as consequências dependem inteiramente de quem é afetado.

"Veteranos experientes do setor podem considerar as últimas seis semanas como algo normal—apenas a próxima norma evolutiva e uma experiência dura para se aprender com ela," disse ela.

Ela observou que o impacto de explorações repetidas parece muito diferente para participantes mais novos no mercado, alertando que para usuários que perdem fundos significativos, as consequências não são uma "experiência de aprendizado", mas levantam "questões existenciais" sobre a "viabilidade e segurança" de longo prazo das criptomoedas, com correções técnicas muitas vezes chegando tarde demais para desfazer o dano.