Um novo estudo mostra que auditorias de segurança em protocolos DeFi podem estar dando uma falsa sensação de proteção: US$ 885 milhões foram perdidos em ataques que ocorreram completamente fora do escopo das revisões contratadas.
Segundo a CryptoSlate, uma pesquisa pré-publicada associada ao grupo ack3 revelou que a grande maioria das perdas sofridas por protocolos DeFi auditados não decorreu de falhas encontráveis nas auditorias contratadas — mas sim de vetores de ataque que jamais foram cobertos por esses processos. A fatia fora do escopo chegou a 72,1% do total, mesmo após a exclusão de dois casos atípicos registrados no primeiro semestre de 2026.
O dado coloca em xeque uma das premissas mais repetidas no ecossistema descentralizado: a de que passar por uma auditoria de código é garantia suficiente de segurança. Na prática, projetos que exibem selos de auditoria continuam sendo alvos bem-sucedidos — e as razões para isso vão muito além do código em si.
Leia tambem: o que e DeFi e como funciona.
O que está fora do escopo das auditorias?
As auditorias de smart contracts tradicionais focam no código submetido pelo protocolo — e apenas nele. Isso significa que riscos relacionados a infraestrutura operacional, chaves administrativas, integrações externas, oráculos de preço e governança on-chain ficam, na maioria das vezes, fora do escopo formal da revisão.
Os incidentes registrados em agosto de 2026, citados pelo estudo como contexto operacional adicional, reforçam esse padrão. Ataques exploraram pontos de falha que não constavam nos relatórios de auditoria divulgados pelos próprios projetos — e os fundos dos usuários pagaram a conta.
A maioria das perdas veio de vetores não cobertos pelas auditorias formais contratadas pelos protocolos.
Total acumulado em ataques contra protocolos que já haviam passado por pelo menos uma auditoria de segurança.
Chaves admin, integrações externas e oráculos de preço figuram entre os principais pontos de falha não auditados.
Mesmo removendo dois casos atípicos do primeiro semestre, a fatia fora de escopo permanece dominante nos dados.
A auditoria como marcador de confiança — e seus limites
No mercado, a presença de auditorias funciona como um sinal de credibilidade para investidores e usuários. Projetos costumam exibir os logotipos das firmas auditoras em destaque em seus sites. O problema, apontam os pesquisadores, é que esse sinal pode ser interpretado de forma mais ampla do que o documento de auditoria realmente cobre.
Uma auditoria de smart contract revisa o código entregue — geralmente uma versão específica, em um momento específico. Qualquer atualização posterior, novo módulo integrado ou componente externo fica fora da análise anterior. Em um setor em que protocolos são atualizados constantemente e novas integrações são adicionadas com frequência, essa defasagem cria janelas de risco invisíveis.
O que dizem os pesquisadores
O estudo, associado ao grupo ack3 e publicado em formato de preprint, argumenta que o setor precisa evoluir para modelos de segurança contínua — indo além das auditorias pontuais de código. A análise sugere que monitoramento em tempo real, revisão de governança e cobertura de infraestrutura operacional são componentes que hoje ficam sistematicamente de fora dos processos formais de auditoria na maioria dos protocolos DeFi.
O debate não é novo, mas os números do estudo dão escala ao problema. Enquanto o setor amadurece e atrai volumes maiores de capital, a expectativa é que a pressão por modelos de segurança mais abrangentes aumente — tanto por parte de usuários quanto de reguladores que acompanham o ecossistema descentralizado.
📌 Nota editorial
O estudo citado nesta reportagem foi publicado em formato de preprint, ou seja, ainda não passou por revisão formal de pares. Os dados apresentados refletem a análise dos autores associados ao grupo ack3, conforme reportado pela CryptoSlate. O KriptoHoje reproduz as informações com fins jornalísticos e informativos.
Importante: não damos recomendação de investimento
Este conteúdo tem caráter exclusivamente informativo e educacional. O KriptoHoje não é consultor de investimentos e não recomenda a compra, venda ou manutenção de qualquer ativo. Investimento em criptoativos envolve risco elevado de perda total.
Segurança começa pela custódia dos seus ativos
A KriptoBR, integrante do mesmo grupo do KriptoHoje, é a maior e mais antiga revenda oficial de hardware wallets do mundo. Trezor, Ledger, SecuX, Yubico e Key-ID.
Mais de 600 mil clientes atendidos em 32 países. Envio direto do Brasil, garantia do fabricante, suporte técnico em português.
Leituras relacionadas
🛡️ Hardware wallet: por que guardar cripto fora das exchangesCustódia própria é o primeiro passo para proteger seus ativos digitais de ataques e falências.
📊 Hacks em cripto: os maiores roubos da história do setorUm panorama dos ataques mais expressivos e o que eles revelam sobre as vulnerabilidades do mercado.
Este conteúdo é de caráter informativo e não constitui recomendação de investimento. Criptomoedas são ativos voláteis; consulte um profissional antes de investir.
As notícias que movem o mercado, sem ruído
Um resumo do que realmente importou em cripto e economia, direto no seu e-mail. Sem hype e sem recomendação de investimento.