US$ 681 milhões em ataques a DeFi ignoraram escopo das auditorias

Um levantamento de incidentes de segurança em finanças descentralizadas no primeiro semestre de 2026 revelou que a maioria das vítimas havia passado por auditorias profissionais de smart contracts antes dos ataques.

Levantamento de incidentes em DeFi

O dataset compilado pela ack3 em colaboração com a Czech Technical University documentou 135 incidentes verificados entre janeiro e junho de 2026. As perdas atribuídas totalizaram US$ 939,86 milhões, abrangendo protocolos em múltiplas blockchains e categorias de ataque, desde exploração de código até comprometimento de infraestrutura. O dado central do estudo aparece na divisão dos 135 incidentes. Desses, 68 possuíam histórico de auditoria pública identificável e 46 sofreram ataques em pontos que nenhuma análise prévia havia coberto. Apenas 20 incidentes ocorreram em pelo menos uma cobertura prévia.

Em termos financeiros, os ataques fora de escopo representaram US$ 680,97 milhões, o equivalente a 94,4% das perdas dos protocolos que haviam sido auditados. Os incidentes dentro de escopo somaram US$ 35,21 milhões, correspondendo a 4,9% do total.

O que uma auditoria cobre

Uma auditoria de smart contracts avalia artefatos específicos em determinado momento, cobrindo funções e módulos explicitamente definidos no escopo do trabalho contratado. O rótulo de protocolo auditado frequentemente transmite a impressão de garantia abrangente, o que não corresponde à realidade técnica das avaliações pois a cobertura é sempre parcial e temporal.

Casos de ataques fora de escopo

O post-mortem publicado pela ICON Foundation em 30 de agosto de 2026 exemplifica o padrão. O contrato de migração da rede ICON sofreu um exploit de replay em 27 de agosto, quando o atacante reenviou duas mensagens de saque legítimas por 1.492 vezes consecutivas em um intervalo de 20 minutos.

O defeito estava na checagem de unicidade. Os bits altos do número de série eram validados, mas a proteção criptográfica atingia apenas os 256 bits de menor peso. A equipe reconheceu que a checagem exclusiva de mensagem não estava no escopo do trabalho anterior. As perdas ficaram em aproximadamente 150,2 ETH e 31.204 USDC, e a rede ficou suspensa por cerca de 25 horas.

O mecanismo multisig do Drift havia sido ajustado para o modo dois de cinco signatários, combinando um signatário antigo com quatro novos membros. Nenhum mecanismo de timelock foi configurado para as operações administrativas. O atacante se aproveitou do signatário original e de outro recém-adicionado para transferir as permissões de administrador para um endereço sob seu controle. A SlowMist confirmou que a causa raiz foi a configuração da governança multisig somada à ausência de timelock, não uma vulnerabilidade no código dos smart contracts. As perdas chegaram a US$ 285 milhões.

O maior prejuízo individual de DeFi em 2026 expõe a diferença entre auditoria de código e segurança de governança.

O exploit da Kelp DAO, em abril, drenou 116.500 rsETH em uma única transação por meio de uma falha na camada de infraestrutura off-chain do protocolo. O atacante substituiu os binários em dois nós RPC internos do tipo op-geth e realizou ataques de negação de serviço contra nós externos para forçar o failover, enganando o único DVN configurado. Entre 17h35 e 18h21 UTC, o atacante depositou os rsETH em versões do Aave e tomou emprestado aproximadamente US$ 190 milhões em WETH. O Conselho de Segurança do Arbitrum congelou cerca de 30.765 ETH. A Kelp possuía auditorias de smart contracts, mas o ataque ocorreu inteiramente por meio da infraestrutura fora da chain, escapando de qualquer verificação de código.

Outros casos reforçam a mesma tendência. A ponte Taiko sofreu um prejuízo de US$ 1,7 milhão quando uma chave de assinatura pública foi encontrada no repositório Raiko, fora do escopo da auditoria da OpenZeppelin. O Polymarket registrou US$ 3,1 milhões em perdas via comprometimento do front-end, superfície não coberta pelos contratos auditados. O protocolo Resolv perdeu US$ 24,5 milhões após o comprometimento de credenciais de infraestrutura que permitiu o mint on-chain de tokens lastreados.

O alerta do estudo

O preprint da ack3 e da Czech Technical University alerta que o selo de auditado diz até onde a análise chegou e em que data, mas não cobre o que ficou de fora nem o que mudou depois. Excluindo os dois maiores incidentes, Kelp DAO e Drift, a participação dos ataques fora de escopo nas perdas totais cai para 72,1%, patamar ainda elevado. Os 94,4% revelam uma falha de comunicação do ecossistema. O mercado vende auditoria como selo de blindagem total, mas o que ela entrega é a fotografia de um pedaço do sistema em um instante. O descompasso de 18 meses entre a avaliação e o ataque se repete porque a superfície real dos protocolos cresce enquanto a cobertura permanece congelada no momento da análise.