CEO da Immunefi alerta: ’Negligência deliberada’ abre caminho para ataques de US$ 27 milhões contra a Web3

O ecossistema Web3 sofre outro golpe massivo - e a culpa, segundo especialistas, recai sobre falhas básicas que poderiam ter sido evitadas.

Negligência Estruturada

Não se trata de hackers superinteligentes explorando falhas de zero-day. O padrão que emerge é mais mundano e mais frustrante: protocolos que ignoram auditorias de segurança conhecidas, implementam atualizações sem testes adequados ou reutilizam código vulnerável de projetos anteriores. É o equivalente digital a deixar a chave sob o tapete e se surpreender quando alguém entra.

O Custo da Pressa

A corrida para lançar o próximo grande projeto, capturar liquidez e alcançar valuation estratosférico criou uma cultura de 'lançar agora, corrigir depois'. Enquanto os fundos de venture capital fluem e os tokens disparam para novas máximas históricas (ATHs), a segurança muitas vezes se torna uma reflexão tardia - um luxo caro em um mercado que recompensa a velocidade acima de tudo. (Afinal, quem precisa de um auditor caro quando você pode simplesmente colocar 'rug pull proof' no whitepaper?)

O Remédio é Simples (mas Ninguém Quer Pagar)

A solução não é misteriosa. Auditorias rigorosas por múltiplas firmas, programas de bug bounty robustos como o da Immunefi, e uma mudança cultural que coloca a segurança do usuário à frente do hype de marketing. Exige desacelerar. Exige gastar capital que poderia ir para uma campanha de influenciadores. No fim, trata-se de priorização.

Enquanto a indústria celebrar inovação desenfreada e punir a prudência como 'perda de oportunidade de mercado', os ataques de oito e nove dígitos continuarão sendo uma linha item regular no balanço da Web3. A próxima grande falha de segurança já está sendo escrita, linha por linha de código negligente, em algum repositório GitHub privado.

A Web3 e o setor de criptomoedas estão mais uma vez enfrentando falhas de segurança profundas. Isso depois que uma carteira multisig ligada a uma baleia foi esvaziada em aproximadamente US$ 27,3 milhões após um comprometimento da chave privada. O ataque aconteceu na manhã desta quinta-feira (18/12).

De acordo com a PeckShield, o invasor já lavou cerca de US$ 12,6 milhões, aproximadamente 4.100 ETH. E ainda mantém cerca de US$ 2 milhões em ativos líquidos.

A empresa de segurança mostra que o invasor encaminhou grande parte do dinheiro roubado através do Tornado Cash, um misturador de privacidade frequentemente usado para quebrar links de transações.

Violação de US$ 27,3 milhões em carteiras multisig expõe riscos operacionais

O incidente teve origem em uma chave privada comprometida vinculada à carteira multisig de um grande investidor. Em suma, isso permitiu que os invasores desviassem cerca de US$ 27,3 milhões.

As carteiras multisignature são amplamente consideradas um padrão de segurança de nível institucional.

Por isso, essa violação mostra como as fraquezas operacionais — em vez de falhas em contratos inteligentes — continuam sendo um dos vetores de ataque mais perigosos do ecossistema.

O gerenciamento inadequado de chaves privadas, phishing e riscos internos continuam a comprometer até mesmo estruturas de custódia sofisticadas.

Saber a criptomoeda que pode explodir pode alavancar o retorno da sua carteira cripto. Descubra os tokens com maior potencial!

Perdas com criptomoedas se aproximam de US$ 90 bilhões

Após mais de 15 anos de esforços de segurança, o setor de criptomoedas já perdeu quase US$ 90 bilhões com hacks e explorações. O ritmo dos roubos acelerou drasticamente nos últimos meses, relata a Immunefi.

Somente em novembro, mais de US$ 276 milhões foram roubados, elevando as perdas totais para 2025 para mais de US$ 9,1 bilhões.

Isso significa que aproximadamente 10% de todas as perdas históricas de criptomoedas ocorreram nos últimos 12 meses, destacando um cenário de ameaças em rápida deterioração.

O CEO da Immunefi afirma que a ‘negligência deliberada’ alimenta os ataques à Web3
Mitchell Amador, fundador e CEO da Immunefi, disse que a maior vulnerabilidade do setor não é a complexidade técnica, mas a negligência intencional. A Immunefi é uma plataforma de segurança colaborativa que protege mais de US$ 180 bilhões em ativos digitais.

‘As criptomoedas estão enfrentando um acerto de contas em termos de segurança’, disse Amador. ‘À medida que os ecossistemas crescem, o aumento da atividade na rede colide com a redução dos orçamentos de segurança pós-implantação e uma superfície de ataque em expansão e em rápida evolução.’

Amador observa que 99% dos projetos Web3 operam sem firewalls básicos. Enquanto menos de 10% implantam ferramentas de segurança modernas baseadas em IA, deixando a maioria dos protocolos perigosamente expostos após o lançamento.

Vulnerabilidades pós-lançamento impulsionam os maiores hacks de 2025

De acordo com Amador, a maioria dos ataques de alto impacto deste ano não resultou de auditorias falhas.

‘A maioria dos hacks deste ano não ocorreu devido a auditorias deficientes’, disse ele. ‘Eles aconteceram após o lançamento, durante atualizações de protocolo ou por meio de vulnerabilidades de integração — pontos cegos que as auditorias por si só não conseguem detectar.’

Padrão reflete mudança mais ampla no comportamento dos hackers

Por que a segurança do ciclo de vida em tempo real deve substituir os modelos apenas de auditoria? Amador argumenta que o setor deve abandonar as abordagens de segurança estáticas e centradas em auditorias. Isso em favor da segurança contínua e automatizada do ciclo de vida.

‘A segurança na rede simplesmente não é madura o suficiente’, disse. ‘Ela ainda se baseia em revisões manuais e sistemas fragmentados que impedem as organizações de adaptar sua postura de segurança em tempo real.’

Embora as soluções técnicas já existam, Amador explica que a adoção tem sido lenta. Uma lacuna que continua a expor bilhões de dólares em fundos de usuários e instituições.

À medida que a criptografia se torna parte do mainstream financeiro, a última violação multisig de US$ 27 milhões pode servir menos como um incidente isolado e mais como um aviso.

Sem uma mudança fundamental na cultura de segurança, é provável que as perdas continuem aumentando mais rapidamente do que as defesas do setor podem evoluir.

A crypto whale lost about $27.3M after a private key compromise let an attacker drain its multisig wallet and start laundering the funds on-chain.#Multisig #DeFi https://t.co/tk40Vshhbm