The ack3 H1 2026 DeFi Incident Dataset: Audit Scope Across 135 Security Incidents
Este artigo analisa o Conjunto de Dados de Incidentes DeFi do primeiro semestre de 2026 para revelar que 67,6% dos incidentes de segurança e 94,4% das perdas atribuídas ocorreram por meio de caminhos de ataque fora do escopo das auditorias de contratos inteligentes identificadas pré-incidente, demonstrando uma distinção crítica entre o histórico de auditoria do projeto e a cobertura específica do caminho do incidente.
Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
Imagine o mundo digital do dinheiro, conhecido como Finanças Descentralizadas ou DeFi, como uma cidade enorme e movimentada, construída inteiramente de máquinas invisíveis que funcionam sozinhas. Nesta cidade, não existem bancos com gerentes; em vez disso, existem "smart contracts" — programas de computador complexos que movem dinheiro automaticamente com base em regras estritas. Como essas máquinas detêm bilhões de dólares, as pessoas contratam "auditores", que são como inspetores de edifícios de alta tecnologia, para verificar as plantas antes que as máquinas sejam ligadas. A grande questão que todos fazem é: "Se um edifício tem o selo de aprovação de um inspetor, ele é seguro?" Este artigo mergulha exatamente nessa questão, mas com um toque diferente. Ele sugere que ter um selo não significa que o edifício inteiro seja seguro; pode significar apenas que o inspetor olhou para a porta da frente enquanto o ladrão entrava pela janela dos fundos. Os autores estão tentando descobrir com que frequência esses "selos" realmente cobrem o caminho específico que um hacker utiliza para roubar o dinheiro.
O Grande Descompasso da "Auditoria": Quando os Inspetores Perdem o Perigo Real
Na primeira metade de 2026, uma equipe de cibersegurança chamada ack3 decidiu brincar de detetive. Eles reuniram uma lista massiva de 135 desastres de segurança na cidade DeFi, onde hackers conseguiram roubar a impressionante quantia de US$ 939,86 milhões. Isso é quase um bilhão de dólares desaparecendo no éter digital! A equipe queria resolver um mistério: quando esses desastres aconteceram, os projetos haviam sido "auditados" (inspecionados) previamente? E se haviam sido, os auditores realmente olharam para a parte específica do sistema que o hacker quebrou?
A resposta que encontraram é um pouco como verificar a segurança de um carro. Imagine que você contrata um mecânico para inspecionar um carro. Ele verifica o motor, os freios e os pneus, e coloca um adesivo de "Seguro para Dirigir". Mas então, o carro é roubado porque o ladrão arrombou a trava do porta-luvas — uma parte que o mecânico nunca olhou. O carro foi "inspecionado", mas a parte específica que falhou estava fora do escopo da inspeção.
Os pesquisadores analisaram 68 desses 135 desastres onde conseguiram encontrar os relatórios de inspeção originais. Aqui está a parte chocante: em 46 desses casos (isso é 67,6% dos projetos inspecionados), o hacker não quebrou a parte que os auditores verificaram. Eles quebraram algo totalmente diferente! Talvez tenham hackeado o servidor que executa o site, roubado uma senha de um computador na nuvem ou enganado uma ponte que conecta dois mundos digitais diferentes. Todas essas são coisas que estavam fora do escopo da auditoria.
Quando você olha para o dinheiro perdido, o cenário torna-se ainda mais dramático. Os desastres "fora do escopo" representaram 94,4% do total de dinheiro perdido neste grupo. Isso significa que quase todo o dinheiro roubado veio de projetos onde os auditores olharam para a parte errada da máquina.
Para garantir que isso não fosse apenas uma coincidência causada por dois grandes roubos, os pesquisadores fizeram um pequeno truque matemático. Eles removeram os dois maiores roubos (um foi de US$ 292 milhões e o outro de US$ 285 milhões) e analisaram o restante. Mesmo sem esses gigantes, os desastres "fora do escopo" ainda representavam 72,1% das perdas restantes. O padrão se manteve forte: os auditores estavam frequentemente olhando para a coisa errada.
Mas e quanto aos 20 incidentes onde o hacker realmente quebrou a parte que os auditores verificaram? Os pesquisadores descobriram que, para esses casos, a "inspeção" era frequentemente muito antiga. O tempo médio entre a auditoria e o hack foi de 18 meses. No mundo da tecnologia, isso é como um arquiteto verificar uma planta em 2024, mas o edifício só fica pronto em 2026, e, nesse meio tempo, os construtores mudaram a fiação, adicionaram novos cômodos e trocaram as portas. O "adesivo" ainda estava lá, mas o edifício havia mudado.
O artigo também analisou o que foi hackeado. A maior categoria foi "outros protocolos", que é um termo genérico para sistemas complexos e estranhos que não se encaixam em caixas simples como "empréstimos" ou "corretoras". Esses sistemas complexos perderam mais dinheiro, totalizando US$ 392,86 milhões. Pontes (que movem dinheiro entre diferentes redes digitais) e corretoras de futuros perpétuos também foram alvos importantes.
Então, qual é a grande lição? Os autores não estão dizendo que as auditorias são inúteis. Eles estão dizendo que o rótulo "Auditado" é frequentemente tratado como um escudo mágico que cobre todo o projeto, quando, na realidade, é mais como um recibo específico para um trabalho específico realizado em um momento específico. Se um projeto diz "Fomos auditados", não significa que todo o sistema é seguro; significa apenas que alguma parte foi verificada em algum momento.
Os pesquisadores sugerem que precisamos parar de olhar para o rótulo "Auditado" como uma garantia. Em vez disso, precisamos perguntar: "Eles verificaram exatamente o código que foi hackeado?" e "Há quanto tempo essa verificação foi feita?". Porque na cidade de DeFi, que se move rapidamente, uma verificação de segurança de um ano atrás pode não protegê-lo de um novo tipo de ladrão hoje. A lição é clara: só porque o inspetor assinou o papel, não significa que a casa inteira esteja segura contra os bandidos.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.