Protocolos DeFi auditados perderam US$ 885 milhões em ataques fora do escopo de auditoria no 1º semestre de 2026

A equipe de pesquisa ack3 descobriu que protocolos DeFi auditados perderam US$ 885 milhões em ataques ocorridos inteiramente fora do escopo de suas auditorias durante o primeiro semestre de 2026, o que representa 72,1% de todas as perdas sofridas por protocolos auditados no conjunto de dados. O estudo cruzou dados de exploits on-chain com relatórios de auditoria publicados, exigindo que cada protocolo tivesse pelo menos uma auditoria concluída por uma empresa reconhecida. O período analisado cobriu incidentes de 1º de janeiro a 30 de junho de 2026, com incidentes adicionais incluídos em agosto de 2026 para contexto operacional.

Os pesquisadores excluíram dois incidentes atípicos do primeiro semestre de 2026 com perdas superiores a US$ 200 milhões cada, que teriam elevado o percentual fora do escopo para acima de 80% e distorcido as estatísticas agregadas. Ambos os casos atípicos foram ataques fora do escopo, portanto sua exclusão fornece uma estimativa mais conservadora da lacuna de cobertura.

A maior categoria de ataques envolveu camadas de integração, em que protocolos se conectavam a primitivas DeFi externas, como mercados de empréstimo, pools de liquidez ou pontes cross-chain, e a vulnerabilidade residia na lógica de integração, e não nos contratos auditados do próprio protocolo. Uma segunda categoria cobriu ataques de governança direcionados à execução de propostas, mecanismos de timelock ou infraestrutura de votação que os auditores não haviam revisado.

O preprint recomenda que os auditores expandam seu escopo padrão para incluir camadas de integração, infraestrutura de governança e dependências de oráculos, e que os protocolos realizem exercícios de modelagem de ameaças antes de definir o escopo da auditoria. A equipe da ack3 planeja publicar um estudo complementar nomeando protocolos e firmas de auditoria específicos, sujeito aos prazos de divulgação responsável.