A criptomoeda está sendo hackeada com mais frequência, não menos. O esvaziamento da Liquid Network mostra o verdadeiro problema: $1,5 milhões gastos para proteger $5 bilhões em ativos.
# Por que a criptomoeda continua sendo hackeada — $1,5M para proteger $5 bilhões
Principais conclusões
- A criptomoeda está sendo hackeada com mais frequência, não menos: aproximadamente $1,4 bilhões roubados em 250 ataques em 2026, em comparação com $2,7 bilhões em 146 em 2025 — assaltos menores em média, mas com frequência muito maior.
- O hack na [Rede Liquid](https://liquid.net) da [Blockstream](https://blockstream.com) expôs o incentivo podre por baixo: um orçamento de segurança de US$ 1,5 milhão protegendo US$ 5 bilhões em ativos — um gasto de 0,03%.
- O autointitulado "white hat" devolveu 3.400 BTC e manteve 598,5 BTC (~US$ 47 milhões) como recompensa autoatribuída — aproximadamente 30 vezes o orçamento total de segurança.
- Chaves comprometidas e engenharia social — e não bugs em contratos inteligentes — superaram as explorações de código como a principal causa de perdas em DeFi em valor em dólar neste ano.
- A lição duradoura: o risco de segurança agora é uma entrada de primeira ordem, mensurável em preço, e os sobreviventes serão os protocolos que financiam a segurança como um produto central, e não como uma consideração posterior.
Em 6 de setembro de 2026, alguém levou cerca de 4.000 Bitcoins — aproximadamente US$ 320 milhões — da carteira da federação que sustenta a Liquid, a sidechain da Bitcoin da Blockstream. Não foi uma chave roubada. O multisig 11-de-15 se manteve, e as chaves de autorização de peg-out nunca foram tocadas. Um desconhecido encontrou uma falha no Elements, a base de código de código aberto em que a Liquid roda, cunhou L-BTC que não tinha Bitcoin real como lastro e resgatou-o pela porta da frente como um cliente normal. A reserva caiu de 4.200 BTC para 197 BTC em cerca de 23 minutos.
Então veio a parte estranha. O atacante não fugiu. Escreveu "we are whitehats. contact us on chain" em uma transação da Bitcoin e começou a negociar um reembolso de US$ 320 milhões em público, uma mensagem OP_RETURN de cada vez. Um dia depois, devolveu 3.400 BTC — 85% do saque — e manteve 598,5 BTC, cerca de US$ 47 milhões, como recompensa autoatribuída.
Aqui está o número que deveria fazer todo fundador, trader e LP se endireitar na cadeira: em 9 de setembro, o atacante disse ao mundo que a Blockstream havia alocado apenas US$ 1,5 milhão para proteger US$ 5 bilhões em ativos. "Sua negligência é óbvia", escreveram, ameaçando manter o restante a menos que a Blockstream pagasse uma recompensa de 10%.
Essa proporção é a história inteira da segurança cripto em 2026. Não uma falha técnica. Uma falha de incentivos. Se você quer entender por que a cripto continua sendo hackeada, pare de ler análises pós-mortem de contratos inteligentes e comece a ler a planilha de orçamento.
## Por que a superfície de ataque se moveu do código para as pessoas?
Por uma década, a indústria tratou a segurança como um problema de revisão de código: mais auditores, mais verificação formal, mais recompensas por bugs para reentrância e estouro de buffer. Os atacantes simplesmente subiram na pilha. Em 2026, os ataques de chaves comprometidas superaram as explorações de contratos inteligentes como a principal causa de perdas em DeFi em valor em dólar — porque é onde o valor desprotegido agora está.
Olhe para o maior roubo individual do ano. Em abril, a [Drift Protocol](https://drift.trade), a maior exchange de perpétuos da Solana, perdeu cerca de US$ 285 milhões. Não foi um bug. Foi uma operação de inteligência norte-coreana de seis meses (rastreada como UNC4736, ou AppleJeus). Operadores se passaram por uma empresa de trading quantitativo, encontraram contribuidores pessoalmente em conferências em vários países e depositaram mais de US$ 1 milhão do próprio capital para construir credibilidade. Então, comprometeram dois contribuidores — um por meio de um repositório de código malicioso, outro por meio de um aplicativo de carteira falso do TestFlight que explorou uma falha de execução silenciosa de código no VSCode e no Cursor. Os contratos da Drift haviam sido auditados pela Trail of Bits em 2022. Auditoria limpa, drenada em doze minutos por meio de um multisig 2-de-5 sem timelock.
Mesmo padrão, dia diferente: a KelpDAO perdeu cerca de US$ 292 milhões quando um atacante alimentou dados falsos para seu único verificador confiável. A Tectonic perdeu cerca de US$ 75 milhões devido a colateral fino e a um oráculo de pump-and-dump. A Coldcard perdeu US$ 115–130 milhões devido a um bug de número aleatório no firmware. Nenhum desses foram zero-days engenhosos. Eram pontos únicos de confiança, desprovidos de defesa em profundidade.
A frequência é o indício. US$ 1,4 bilhão em 250 ataques em 2026, contra US$ 2,7 bilhão em 146 em 2025. Menos dólares, muito mais incidentes — o roubo médio é menor, mais rápido e cada vez mais automatizado. Pontes e infraestrutura cross-chain agora representam 26 ataques (mais de 10% do total), contra apenas 3 em 2025. Esta é a profissionalização do roubo: uma longa cauda de atacantes semiautomatizados explorando as bordas subfinanciadas do ecossistema.
## Quem ganha quando um "white hat" retém US$ 47 milhões?
O CTO da Ledger, Charles Guillemet, chamou o episódio Liquid de "mais parecido com extorsão do que com hacking white-hat". Ele está certo sobre o método — drenar primeiro, negociar depois é coerção, não divulgação responsável. Mas a parte desconfortável é o número. Uma vulnerabilidade que pode drenar US$ 320 milhões em 23 minutos vale milhões por qualquer padrão sério de recompensa. A única razão pela qual isso parece um escândalo é que a Blockstream nunca precificou o risco por conta própria. O atacante fez a precificação por eles — e, perversamente, o mercado está concordando silenciosamente.
Os vencedores são fáceis de nomear. Pesquisadores de segurança que passaram anos implorando por recompensas reais acabaram de receber o pitch de recrutamento mais forte imaginável: prova viva de que a vantagem de encontrar o grande alvo é enorme. Auditores, seguradoras e empresas de monitoramento ganham — a demanda por seus serviços está prestes a disparar. Os atacantes ganham, obviamente.
Os perdedores: os detentores de L-BTC cujos fundos ficaram congelados enquanto a rede permaneceu pausada, confiando em uma sidechain cujos operadores gastaram 0,03% do valor em risco para protegê-la. E a reputação da Blockstream sofre o corte mais profundo — esta não era uma startup desajeitada, é a empresa mais séria em Bitcoin no setor, e mesmo ela subfinanciou a segurança em ordens de grandeza.
## Isso já aconteceu antes — ou é novo?
Há uma longa história de hackers devolvendo fundos roubados: Poly Network em 2021 ($610 million, all returned), Euler em 2023 ($197 million, mostly returned). Mas aqueles eram ladrões que foram pegos e escolheram a restituição. O que é diferente sobre a Liquid é o enquadramento: o atacante se anunciou como white hat antes mesmo de o roubo ser descoberto, depois usou os fundos devolvidos como alavanca para extrair uma concessão pública.
Essa é uma nova categoria — chame de ransomware com formulário de divulgação. E só funciona por causa do problema mais profundo e antigo: os orçamentos de segurança do crypto são grotescamente mal alocados em relação ao valor em risco. O incidente da Liquid é simplesmente a primeira vez que um atacante usou publicamente o orçamento de segurança de um projeto como argumento para o crime. Isso é um marco de maturação, de forma perversa — os atacantes agora entendem a economia do crypto melhor do que muitos fundadores.
## Para onde isso está indo nos próximos três anos?
Três previsões, nenhuma sobre preços. Primeiro, os gastos com segurança se profissionalizarão ou os protocolos serão explorados. A proporção de $1.5-million-to-$5-billion é indefensável e agora pública; espere que projetos sérios convirjam para pontos-base de dígito único de TVL alocados à segurança, no mínimo, e espere que o resto seja limpo.
Segundo, o "white hat com uma arma" se tornará uma característica reconhecida — ainda que feia — do cenário. Seja qual for o nome que reguladores deem (extorsão) ou tribunais (roubo), os incentivos estão travados: um estranho encontrou um bug crítico e recebeu 30x o orçamento total de segurança da vítima. Isso acontecerá de novo, porque o mercado continua financiando o prêmio.
Terceiro, seguros e atestação se tornam o fosso. Os protocolos que sobreviverem à seleção de 2026–2027 não serão os com os contratos mais espertos; serão os com equipes de segurança reais, recompensas reais, timelocks e cobertura. O DeFi está prestes a ficar chato — e chato é exatamente o que as instituições estão esperando.
## O que isso significa para os traders?
Trate o risco de segurança como uma variável de primeira ordem, mensurável em preço — da mesma forma que trataria a liquidez ou o risco regulatório, e não como uma nota de rodapé. O "desconto por hack" é real e composto: a TVL da Tectonic colapsou de $121.7 milhões para cerca de $3 milhões após sua exploração. Quando um protocolo é hackeado, a liquidez não volta. A assimetria é brutal — você não está sendo compensado pelo risco de cauda de estacionar capital em uma ponte de verificador único ou em um mercado de empréstimo não auditado.
A concentração é a correlação oculta. L-BTC, sidechains federadas e pontes de verificador único parecem exposição a "Bitcoin" ou "ETH", mas carregam um risco de software e contraparte que o ativo base não possui. A cadeia base não foi hackeada; o wrapper foi. Se sua tese é "quero exposição a Bitcoin", manter uma versão embrulhada ou de sidechain adiciona silenciosamente um risco pelo qual você não está sendo pago.
E a observação de "pás e picaretas": o tema recorrente que se compõe em cada ciclo de hacks não é um token — é a pilha de segurança. Auditores, seguradoras, empresas de monitoramento e os protocolos que financiam a segurança adequadamente são onde o valor durável se acumula. Não é uma recomendação; apenas uma nota sobre onde o recurso genuinamente escasso da indústria está agora: confiança.
## A conta sempre chega
A Blockstream provavelmente indenizará os detentores de L-BTC — Adam Back disse que o peg será coberto 1:1. O dinheiro, no final, voltará em grande parte. Mas a lição não será desimpressa: uma indústria que levantou bilhões para marketing e lançamentos de tokens gastou $1.5 milhões para proteger $5 bilhões — e um estranho com um editor de texto teve que mostrar a eles a matemática, sob ameaça, por 30 vezes o orçamento.
Da próxima vez que alguém perguntar por que a cripto continua sendo hackeada, não mostre a eles uma análise pós-mortem. Mostre a planilha.
## FAQ
Por que a cripto continua sendo hackeada em 2026?
A principal causa de perdas mudou de bugs em contratos inteligentes para chaves comprometidas, verificadores únicos e engenharia social. Os atacantes subiram na pilha até as camadas humanas e de infraestrutura, porque é onde o valor fica desprotegido.
O "white hat" da Liquid Network foi um white hat de verdade?
Debatível. O atacante devolveu 85% dos fundos, mas manteve cerca de $47 milhões e ameaçou retê-los sem uma recompensa de 10% — o que o CTO da Ledger, Charles Guillemet, e outros chamaram de "mais parecido com extorsão do que com hacking white-hat".
Quanto a Blockstream gastou em segurança?
O atacante revelou que a Blockstream alocou cerca de 1,5 milhão de dólares para proteger aproximadamente 5 bilhões de dólares em ativos na Liquid — cerca de 0,03%.
O hack da Liquid comprometeu o próprio Bitcoin?
Não. A camada base do Bitcoin não foi tocada. O bug estava no Elements, o software que alimenta a sidechain Liquid, e na infraestrutura federada ao redor do peg. Nenhuma chave multisig foi comprometida.
Qual é a lição mais importante para usuários de DeFi?
A segurança agora é um risco de primeira ordem e mensurável. Concentrar fundos em pontes de verificador único, sidechains federadas ou protocolos não auditados adiciona risco de cauda pelo qual você não é compensado — e protocolos hackeados raramente recuperam sua liquidez.