Em janeiro de 2026, a indústria de criptomoedas registou perdas superiores a 400 milhões de dólares devido a vulnerabilidades de segurança, atingindo um recorde mensal. A CertiK documentou 40 incidentes, incluindo um único caso de phishing em 16 de janeiro que resultou numa perda de 284 milhões de dólares (71% do total do mês). Os atacantes, fingindo ser o suporte oficial da Trezor, enganaram as vítimas para obter as frases de recuperação, roubando 1.459 BTC e 2,05 milhões de LTC.
O maior caso de phishing da história: 284 milhões de dólares evaporaram num instante
(Origem: Certik)
No mês de janeiro de 2026, um dos incidentes mais chocantes foi um ataque de engenharia social dirigido a carteiras de hardware. Em 16 de janeiro, um investidor perdeu 284 milhões de dólares devido a um ataque de phishing, representando cerca de 71% do prejuízo total ajustado do mês, tornando-se o maior incidente de phishing em termos de perdas na história das criptomoedas.
A técnica dos atacantes parecia simples, mas era extremamente eficaz. Eles se passaram por funcionários do suporte oficial da carteira de hardware Trezor, enviando e-mails ou mensagens de phishing aos alvos, alegando que suas contas tinham problemas de segurança que precisavam de verificação. Com um discurso de engenharia social cuidadosamente elaborado, as vítimas foram induzidas a revelar as frases de recuperação. Assim que os atacantes obtinham as 12 ou 24 palavras, tinham controle total sobre a carteira, sem necessidade de qualquer quebra técnica.
Este roubo resultou na transferência imediata de 1.459 BTC e 2,05 milhões de LTC. Com os preços de mercado na altura, as perdas em BTC foram aproximadamente 123 milhões de dólares (considerando 84.000 dólares por BTC), e em LTC cerca de 161 milhões de dólares (considerando 78 dólares por LTC). Este incidente revela que as vítimas podem ter sido investidores iniciais ou instituições com grandes quantidades de ativos criptográficos.
Após o incidente, os ativos roubados foram rapidamente transferidos para Monero (XMR). Monero é uma criptomoeda focada na privacidade, capaz de esconder o histórico das transações, dificultando o rastreamento do dinheiro. Essa grande movimentação de fundos provocou um aumento anormal no preço do Monero, evidenciando os desafios contínuos que as autoridades enfrentam ao tentar combater a utilização de moedas de privacidade para evasão de capitais ilícitos e lavagem de dinheiro.
Este caso ensina uma lição profunda: mesmo as carteiras de hardware mais seguras podem ser ineficazes se a segurança ao nível do utilizador for comprometida. A tecnologia de criptografia da Trezor não foi quebrada; o problema reside no facto de os utilizadores entregarem as informações mais sensíveis — as frases de recuperação — aos atacantes. Isto evidencia a importância do fator humano nos roubos de criptomoedas: por mais avançada que seja a tecnologia, ela não consegue impedir que os próprios utilizadores divulguem as chaves.
Step Finance e Truebit sofrem graves perdas
Além do caso de phishing da Trezor, em janeiro ocorreram vários ataques de vulnerabilidades em contratos inteligentes. Em 31 de janeiro, a Step Finance, com sede em Solana, foi alvo de um ataque de 30 milhões de dólares, onde os atacantes exploraram uma “vulnerabilidade conhecida” para esvaziar vários cofres e carteiras de taxas, transferindo 261.854 SOL.
A Step Finance é uma plataforma DeFi importante no ecossistema Solana, oferecendo ferramentas de gestão e análise de ativos. Este ataque ocorreu num momento sensível, pois o ecossistema Solana tinha acabado de passar por um período de crescimento acelerado, com grande fluxo de fundos. Os atacantes aproveitaram essa oportunidade, claramente atraídos pelo volume de ativos acumulados na plataforma.
A expressão “vulnerabilidade conhecida” tem um tom irónico. Indica que a falha na segurança da Step Finance não era uma zero-day ainda não descoberta, mas uma vulnerabilidade amplamente conhecida na comunidade de segurança. Isso torna a perda ainda mais lamentável, pois poderia ter sido evitada com auditorias de segurança oportunas e correções.
A Truebit reportou uma perda de 26,6 milhões de dólares devido a uma vulnerabilidade de estouro de valor, sendo o maior ataque direto ao código do protocolo naquele mês. Vulnerabilidades de estouro são uma fraqueza clássica em contratos inteligentes, ocorrendo quando um valor excede o limite de armazenamento de uma variável, levando a comportamentos anormais. Os atacantes podem explorar essa falha para criar tokens em excesso, contornar verificações de saldo ou realizar transferências não autorizadas.
Principais perdas em roubos de criptomoedas em janeiro
-
Caso de phishing da Trezor: 284 milhões de dólares (71%)
-
Step Finance: 30 milhões de dólares
-
Truebit: 26,6 milhões de dólares
-
Swapnet: 13 milhões de dólares
-
Saga: 6,2 milhões de dólares
-
Makina Finance: 4,2 milhões de dólares
Estes números revelam uma realidade preocupante: seja por ataques de engenharia social ou por vulnerabilidades técnicas, as técnicas de roubo de criptomoedas continuam a evoluir, e as defesas muitas vezes ficam atrás.
Erro humano e divulgação de chaves privadas representam os maiores riscos
Dados da CertiK indicam que 40 incidentes registados de roubos de criptomoedas causaram perdas de aproximadamente 370 milhões de dólares. Estes eventos demonstram que erros humanos e a divulgação de chaves privadas continuam a ser os maiores riscos financeiros na indústria emergente. Em comparação com ataques a protocolos complexos, as fraudes de engenharia social e phishing, que exploram fraquezas humanas, são mais difíceis de prevenir.
Os incidentes deste mês não resultaram de ataques técnicos sofisticados, mas de fraudes de engenharia social de grande impacto. Esta tendência deve ser encarada com atenção, pois mostra que os atacantes perceberam que, em vez de gastar recursos a tentar quebrar a criptografia, é mais fácil enganar os utilizadores para que entreguem as chaves. Estes ataques têm um custo baixo, uma taxa de sucesso elevada e são difíceis de rastrear ou processar judicialmente.
A Swapnet perdeu 13 milhões de dólares, enquanto os protocolos DeFi Saga e Makina Finance sofreram perdas de 6,2 milhões e 4,2 milhões de dólares, respetivamente. Embora sejam valores inferiores aos da Trezor, estes incidentes dispersos por diferentes plataformas e protocolos demonstram que a ameaça de roubo de criptomoedas é sistémica, não um caso isolado.
Do ponto de vista técnico, as vulnerabilidades em contratos inteligentes continuam a causar impacto significativo no mercado. Exploits de estouro, ataques de reentrada, contornos de autorização — fraquezas clássicas — continuam a ser exploradas, indicando que muitos projetos não investem suficientemente em auditorias de segurança. Ainda mais preocupante é que contratos auditados podem esconder vulnerabilidades não detectadas em lógicas complexas de interação.
À medida que a indústria avança para fevereiro, estes dados reforçam a ideia de que, mesmo a criptografia de hardware mais robusta, se a segurança ao nível do utilizador for comprometida, é inútil. O caso da Trezor prova isso: a segurança do hardware é sólida, mas uma vez que o utilizador entrega a frase de recuperação ao atacante, toda a proteção técnica se torna inútil.
Medidas essenciais para prevenir roubos de criptomoedas
Diante do aumento das ameaças de roubo, tanto utilizadores como plataformas devem adotar medidas de segurança mais rigorosas. Para os utilizadores, a regra mais importante é nunca revelar as frases de recuperação ou chaves privadas a ninguém, independentemente de quem diga ser. Os suportes oficiais nunca solicitarão essas informações; qualquer pedido nesse sentido deve ser considerado uma tentativa de fraude.
Para as plataformas, auditorias regulares de segurança e programas de recompensas por vulnerabilidades são essenciais. O ataque à Step Finance, com uma “vulnerabilidade conhecida”, poderia ter sido evitado com inspeções de segurança oportunas. Muitas plataformas de sucesso criaram mecanismos de monitorização contínua, colaborando com comunidades de hackers éticos para descobrir vulnerabilidades antes que os atacantes o façam.
A utilização de moedas de privacidade, como Monero, para lavagem de dinheiro também levanta preocupações regulatórias. Embora a privacidade seja um valor central no universo cripto, quando usada para encobrir atividades ilícitas, atrai a atenção das autoridades. Encontrar um equilíbrio entre proteger a privacidade legítima e combater crimes é um desafio que a indústria de criptomoedas deve enfrentar.
