Relatório de Segurança Cripto — Julho de 2026: perdas somam US$ 97 milhões e ataques a pontes cross-chain disparam

A edição mensal do "Security Incident Roundup" da Zero Hour Tech aponta que, em julho de 2026, o cenário de segurança cripto foi marcado por uma rápida mudança dos vetores de ataque, com a infraestrutura off-chain assumindo o papel de principal alvo. As perdas totais no mês ficaram em cerca de US$ 97 milhões: aproximadamente US$ 94 milhões associados a ataques hackers e falhas/vulnerabilidades em contratos inteligentes e US$ 3 milhões ligados a phishing. Foram registrados mais de 14 incidentes relevantes envolvendo protocolos, bem abaixo dos 67 de junho, mas com forte aumento no prejuízo médio por caso. Na comparação mensal, as perdas subiram cerca de 18,7% frente aos US$ 81,73 milhões de junho. Pontes cross-chain continuaram no topo da lista de alvos. Ataques sucessivos — incluindo AFX Trade, Verus e B² Network — ocorreram em sequência de poucas horas e, juntos, superaram US$ 35 milhões em prejuízos. O relatório destaca uma migração acelerada dos ataques: menos foco em bugs de código e mais em métodos não relacionados ao código, como comprometimento de infraestrutura off-chain, exposição de chaves de assinatura e manipulação de governança. Principais ataques hackers (7 casos) 1) Ostium — comprometimento de privilégio em oráculo off-chain Data: 15 de julho Perda: ~US$ 23,75 milhões Ostium, protocolo de perpétuos de RWA no ecossistema Arbitrum, foi atacado após o invasor obter acesso ao sistema off-chain de assinatura de preços. Com isso, fabricou dados de BTC/USD, derrubou o preço do BTC para cerca de US$ 5.000 e retirou aproximadamente US$ 23,75 milhões em USDC do pool de liquidez OLP por meio de abertura e fechamento circular de posições. A equipe afirmou que o caso não decorreu de falha em contrato inteligente nem de comprometimento do multisig de governança, mas de violação na infraestrutura off-chain de assinatura de preços. As margens dos usuários não foram afetadas. As negociações foram retomadas em 23 de julho. 2) AFX Trade — ataque por comprometimento da chave de verificação do validador da ponte cross-chain Data: 22 de julho Perda: ~US$ 24,15 milhões A ponte cross-chain operada pela AFX Trade, DEX de perpétuos no ecossistema Arbitrum, foi comprometida após o atacante acessar a chave privada de assinatura dos nós validadores e usá-la para autorizar saques. Como o contrato validava as assinaturas corretamente e liberava os fundos conforme o desenho, não houve exploração no nível do contrato. Cerca de 24,15 milhões de USDC foram bridged de Arbitrum para Ethereum e trocados por 12.467,5 ETH a um preço médio de US$ 1.937, consolidando os recursos em uma única carteira. A ponte nativa do Arbitrum não foi afetada. AFX suspendeu a ponte comprometida e ofereceu uma recompensa de 30% ao atacante para recuperar os fundos. 3) BonkDAO — manipulação de votação de governança explorando fragilidade de controle de acesso Data: 6 de julho Perda: ~US$ 20 milhões O invasor gastou cerca de US$ 4 milhões para comprar BONK suficiente e explorar uma característica do Solana Realms, em que propostas podem passar com apenas 1% de quórum/limiar de votação. Uma proposta maliciosa foi submetida e aprovada. Após a aprovação em 6 de julho, o atacante transferiu aproximadamente 44,26 bilhões de BONK (cerca de US$ 20 milhões) do tesouro da BonkDAO. Não houve exploração de vulnerabilidade em contratos inteligentes; o problema esteve nas regras e no desenho do mecanismo de governança. A Immunefi classificou o caso como exemplo clássico do padrão mais severo de 2026: perdas causadas por governança e regras mal desenhadas, não por defeitos de contrato. 4) Bonzo Lend — manipulação de oráculo Data: 11 de julho Perda: ~US$ 9,05 milhões Bonzo Lend, maior protocolo de empréstimos no ecossistema Hedera, sofreu manipulação de oráculo. O atacante explorou uma vulnerabilidade de validação de assinatura na Supra, provedora terceirizada de oráculos, para injetar preços manipulados do token SAUCE. Com a valorização artificial do colateral, tomou empréstimos acima do valor real antes de o oráculo corrigir os dados, gerando perdas de cerca de US$ 9,05 milhões. O protocolo suspendeu todas as atividades, e Bonzo Labs e a Bonzo Finance Foundation coordenam recuperação e correções. 5) Verus — segundo ataque à ponte cross-chain com Ethereum Data: 23 de julho Perda: ~US$ 7,55 milhões A ponte Verus–Ethereum voltou a ser atacada, com perdas aproximadas de US$ 7,55 milhões. O incidente explorou o mesmo caminho de contrato e a mesma classe de falha do ataque de maio, evidenciando como vulnerabilidades não corrigidas e fundos redepositados abrem espaço para ataques secundários. A exploração se enquadra em bypass de verificação de ponte cross-chain, com desvio de recursos pelo mesmo ponto de entrada. 6) B² Network — abuso de permissão de upgrade em contrato de staking Data: 23 de julho Perda: ~US$ 3,86 milhões Um atacante assumiu o controle da autoridade de upgrade do contrato de staking da B² Network na BNB Chain, resultando no desvio de cerca de 8,591 milhões de tokens B2 (aprox. US$ 3,86 milhões). Os tokens foram trocados por 5.409 WBNB (aprox. US$ 3,11 milhões) e bridged para Ethereum; atualmente o invasor estaria usando NEAR Intents para transferir os fundos para Zcash. O caso reforça que chaves e permissões comprometidas — e não a criptografia em si — seguem como principal causa de grandes roubos no setor. A equipe suspendeu o staking e contatou o atacante on-chain, afirmando que, se ao menos 10% dos fundos forem devolvidos em 24 horas, não haverá ação legal. 7) Summer.fi — ataque por vulnerabilidade de configuração em vault Data: 6 de julho Perda: ~US$ 6,04 milhões O vault FleetCommander do protocolo de rendimento DeFi Summer.fi, em Ethereum, foi comprometido. A falha veio de como o totalAssets() era calculado: a conta incluía componentes de estratégia com limites de depósito e já programados para desativação, mas ainda não removidos do conjunto ativo. A discrepância permitiu acumular ativos e sacar rendimentos em excesso. A Summer.fi, antes conhecida como Oasis.app, foi lançada em 2019 para usuários da MakerDAO e migrou, no início de 2026, para uma camada de otimização automatizada de rendimentos com uso de IA. Rug pull / golpes de phishing (4 casos) 1) 9 de julho — phishing de aprovação de token no Ethereum Vítimas com endereços iniciados em 0x8c94 assinaram uma aprovação maliciosa, com perda de US$ 999.999 em USDT. 2) 24 de julho — phishing via multicall no Ethereum Perda: US$ 340.463 Linha do tempo: 06:51:47 UTC — a vítima assinou um multicall() no contrato do token alphaUSDCDeltaV2, contendo approve() com permissão ilimitada. 06:52:23 UTC — 36 segundos depois, 332.787 alphaUSDCDeltaV2 (~US$ 340 mil) foram drenados via transferFrom. 3) Aplicativo móvel falso imitando SecondFi Perda: ~US$ 14,2 milhões Em 12 de julho, uma plataforma global de monitoramento de segurança cripto divulgou três ataques de alta gravidade contra ativos digitais. O primeiro envolveu phishing por aplicativos móveis falsos se passando por SecondFi, com foco principalmente em desenvolvedores. Os três casos ocorreram em uma janela de 24 horas, atingindo desenvolvedores, varejo e grandes detentores, sinalizando vulnerabilidades sistêmicas no ecossistema Web3. 4) Golpe de phishing via carta física se passando pela Ledger Perda: ~US$ 960.000 Entre 3 e 7 de julho (período de pico), um grupo enviou cartas falsas para endereços de usuários, com logo oficial da Ledger, assinatura do CTO e menção a uma atualização de segurança ligada à criptografia pós-quântica. O material orientava a escanear um QR code que levava a um site de phishing muito convincente, induzindo vítimas a inserir a frase de recuperação, o que resultou no roubo de ativos. A Polícia de Queensland confirmou que, apenas nesse período, as perdas reportadas superaram AUD 1,47 milhão. As autoridades reforçam: a Ledger nunca solicita a frase de recuperação por carta ou telefone. Resumo Os incidentes de julho de 2026 podem ser descritos por três eixos: mudança de vetores, recorrência de comprometimentos em pontes cross-chain e aumento do risco em governança. O relatório conclui que a superfície de ataque está migrando para métodos não ligados ao código — comprometimento de infraestrutura off-chain, vazamento de chaves de assinatura e manipulação de votos — em ritmo acelerado. O caso AFX Trade mostra que a posse de uma chave pode bastar para sacar US$ 24,15 milhões. Ostium expôs que controles de acesso off-chain frequentemente não têm proteções equivalentes às garantias de multisig on-chain. BonkDAO demonstrou que mecanismos de governança podem virar porta de entrada. Em phishing, ganhou força um padrão: "comprometer contas de alto perfil + promover tokens falsos", convertendo confiança de marca em ferramenta de fraude. O phishing baseado em autorização evoluiu de golpes pontuais para um processo replicável e automatizado de drenagem. Recomendações da equipe de segurança da Zero Time Technology • Usuários: desconfiar de promoções "oficiais" repentinas de tokens na Plataforma X; evitar links desconhecidos e assinaturas sem verificação; revogar autorizações da carteira com frequência; separar ativos de alto valor em carteiras distintas para isolar risco. • Projetos: controles de acesso off-chain devem seguir o mesmo padrão de segurança de multisig on-chain; chaves de validadores precisam de multisig combinado com assinatura via hardware; propostas de governança devem exigir limiares maiores e time locks; implantar monitoramento 24/7 e mecanismos de "circuit breaker"; auditorias devem cobrir toda a cadeia de armazenamento de chaves, permissões e regras de governança. • Indústria: criar padrões setoriais para gestão de chaves de pontes cross-chain; incentivar padronização de auditorias de segurança off-chain; ampliar o compartilhamento de inteligência contra APTs e o desenvolvimento de bases de blacklist; recomendar programas de bug bounty.