Hacks de criptomoedas: 2,81 bilhões de dólares roubados em 2026, outubro já com 116 milhões

<< Uma pequena fuga pode afundar um grande navio >>, advertia Benjamin Franklin. O setor de criptomoedas confirma isso novamente neste outono: Ledger adulterados de um único revendedor foram suficientes para fazer desaparecer quase 90 milhões de dólares.

Outubro, já 116 milhões. Os hackers roubaram 2,81 bilhões de dólares do setor de criptomoedas desde janeiro, de acordo com o painel da CertiK atualizado em 12 de outubro.

O mês atual já pesa 116,1 milhões de dólares, após 1,26 bilhão de dólares roubados no terceiro trimestre. E sem o único hack da Bybit, o ano de 2025 já foi superado.
Os principais pontos deste artigo:

• Os hackers roubaram 2,81 bilhões de dólares do setor de criptomoedas entre janeiro e 12 de outubro de 2026, dos quais 116,1 milhões em outubro, segundo a CertiK.
• Setembro é o pior mês do ano, com 773,4 milhões de dólares roubados em 105 incidentes.
• Excluindo o hack da Bybit, 2026 já supera o total de 2025.
• A Ledger confirmou um implante de hardware em um dispositivo vendido pelo revendedor CryptoBilis.

Setembro de 2026: o pior mês do ano para hacks

Setembro custou 773,4 milhões de dólares em 105 incidentes, segundo a contagem atualizada da CertiK. A PeckShield contabiliza 766,5 milhões em 55 incidentes significativos. Este é o pior mês de 2026, à frente de abril. O hack da Bitget pesa 388 milhões de dólares e o da Liquid Network 320 milhões. Mais de 270 milhões foram desde então restituídos pelos hackers da Liquid Network, o que explica a maior parte dos 284,8 milhões congelados ou devolvidos no mês. Setembro de 2026: 773,4 milhões de dólares roubados em 105 incidentes, dos quais 284,8 milhões congelados ou devolvidos. Fonte: CertiK, dados até 12 de outubro de 2026.

Safe Wallet (7,8 milhões), DCENT (6 milhões) e Duelbits (5,9 milhões) completam a lista. Em termos de método, o diagnóstico é claro. As falhas de código e infraestrutura explicam 95% das perdas do mês (733,8 milhões de dólares), contra apenas 6,2 milhões para phishing, segundo o relatório mensal da CertiK. Perdas mensais devido a hacks de criptomoedas desde 2023: o pico de fevereiro de 2025 corresponde ao hack da Bybit, e o de setembro de 2026 ao mais alto do ano. Fonte: CertiK, dados até 12 de outubro de 2026.

Cinco hacks concentram 59% das perdas de 2026

Os cinco maiores incidentes do ano somam cerca de 1,57 bilhão de dólares, ou quase 59% das perdas até o final de setembro, de acordo com os dados da CertiK compilados pela CryptoSlate. O quinto, uma vítima não identificada, perdeu 284,8 milhões de dólares.

Montantes CertiK, 2026

Tudo não está perdido. 452,4 milhões de dólares foram congelados ou devolvidos desde janeiro, reduzindo a perda líquida para 2,35 bilhões de dólares. Resta a pista norte-coreana. A Elliptic atribui a Pyongyang mais de um bilhão de dólares em roubos em 2026, em mais de 51 incidentes, e considera "altamente provável" a implicação da Coreia do Norte no ataque ao Bitget. A LayerZero também designou o grupo Lazarus para o KelpDAO. Desde janeiro de 2026: 2,81 bilhões de dólares roubados em 693 incidentes, resultando em 2,35 bilhões de perdas líquidas após 452,4 milhões congelados ou devolvidos. Fonte: CertiK, dados até 12 de outubro de 2026.

Hacks de criptomoedas: 2026 já supera 2025 sem Bybit

A CertiK registrou 3,35 bilhões de dólares em perdas durante todo o ano de 2025. O número parece ainda distante. Mas ele se baseava em um único roubo: o roubo do Bybit em fevereiro de 2025, cerca de 1,45 bilhão de dólares atribuído ao Lazarus. Retire isso e 2025 volta a cerca de 1,9 bilhão. Em meados de outubro, 2026 já fez muito pior sem nenhum ataque dessa magnitude.

A ameaça também mudou de face. No primeiro semestre, a CertiK colocou em primeiro lugar as compromissos de carteiras (444,5 milhões de dólares em 33 incidentes), à frente do phishing (366,3 milhões em 63 incidentes). As falhas de código continuam sendo as mais numerosas com 204 incidentes. No entanto, elas representam apenas 151,6 milhões de dólares. Os hackers atacam menos frequentemente, mas com muito mais força, visando a infraestrutura das plataformas.

E a violência física segue a mesma tendência. A CertiK contabilizou 52 "wrench attacks" (agressões para forçar uma vítima a entregar suas chaves) no primeiro semestre, contra 39 um ano antes. Os montantes em jogo passaram de 10,5 para 124,2 milhões de dólares, uma tendência que a França conhece bem com seus sequestros de criptomoedas repetidos.

Outubro: um hardware comprometido e um exploit DeFi

Outubro já apresenta 116,1 milhões de dólares em perdas devido a 26 incidentes até o dia 12 do mês, segundo a CertiK. A maior parte vem de dispositivos Ledger adulterados. O restante provém em grande parte da exploração do protocolo 79thVault na BNB Chain, estimada em 12,5 milhões de dólares nas primeiras avaliações. Outubro de 2026: já foram roubados 116,1 milhões de dólares em 26 incidentes em doze dias. Fonte: CertiK, dados até 12 de outubro de 2026.

A Ledger confirmou no 10 de outubro a presença de um implante de hardware não autorizado no dispositivo de um cliente. Todos os casos confirmados envolvem dispositivos vendidos por um mesmo revendedor. O fabricante assegura que seus próprios sistemas e canais de venda diretos não foram afetados.

Esse revendedor, CryptoBilis, operava na Indonésia, Malásia e Filipinas. As estimativas on-chain variam de 86 a 93 milhões de dólares roubados em mais de 300 carteiras de Bitcoin, Ethereum e Tron. A Tether congelou cerca de 10 milhões de dólares em USDT. O revendedor havia mudado de proprietário antes dos roubos, sem que nenhum vínculo com o ataque tenha sido estabelecido até o momento.

Para os detentores, a orientação da Ledger é clara. Não inicialize um dispositivo comprado desse revendedor nos últimos 90 dias. Se já estiver configurado, transfira os fundos para uma nova frase de recuperação, em um dispositivo comprado diretamente do fabricante. E lembre-se de que nenhum funcionário da Ledger jamais pedirá suas 24 palavras.

O seguro não está acompanhando. De janeiro de 2025 a julho de 2026, os protocolos de seguro on-chain pagaram apenas cerca de 33 milhões de dólares, para 3,63 bilhões de perdas registradas pela CoinGecko. Cinco dos nove protocolos monitorados tornaram-se inativos ou mudaram de atividade, como detalha nosso relatório do terceiro trimestre.