Perdas em DeFi atingem $600M em abril — O pior mês na história da segurança em criptomoedas

Abril de 2026 agora é confirmado como o mês mais destrutivo na história das finanças descentralizadas. O DeFiLlama registrou de 28 a 30 incidentes de exploração separados com perdas superiores a 635 milhões de dólares, enquanto o relatório mensal final da CertiK estimou o total em aproximadamente 651 milhões de dólares, a pior cifra desde março de 2022, quando a indústria perdeu cerca de 715 milhões de dólares. Este único mês eliminou 3,7 vezes o total do primeiro trimestre de 2026, de aproximadamente 164 milhões de dólares, e representou um aumento impressionante de 1.140% em relação às perdas de março, de 52,2 milhões de dólares. A hashtag #DeFiLossesTop600MInApril é confirmada, uma realidade verificada por dados.

Duas Megahacks Responsabilizaram 93% das Perdas de Abril

Protocolo Drift (1º de abril): aproximadamente 285 milhões de dólares roubados. A TRM Labs rastreou o ataque até o grupo norte-coreano UNC4736 (Citrine Sleet), que passou seis meses social engineering os membros da equipe do Drift na Solana. O atacante obteve controle de uma chave de assinatura privilegiada da AWS, cunhou quase 80 milhões de tokens USR contra um colateral mínimo e drenou USDC, JLP, SOL e outros ativos de pools de armazenamento.

KelpDAO (18 de abril): aproximadamente 293 milhões de dólares roubados. A causa raiz foi uma configuração catastrófica de uma Rede Verificadora Descentralizada (DVN) 1-de-1 na ponte LayerZero V2 do KelpDAO. O atacante, atribuído ao Lazarus Group (TraderTraitor), acessou dois nós verificadores, injetou mensagens falsas de cadeia cruzada e lançou um ataque DDoS contra nós RPC legítimos para forçar a troca para infraestrutura controlada pelo atacante. Eles drenaram 116.500 rsETH. A LayerZero confirmou que uma configuração multi-DVN teria evitado completamente isso. Juntos, esses dois ataques representaram 93% das perdas totais em dólares de abril e ambos entraram no top 10 dos maiores hacks de criptomoedas desde 2021.

A Cascata Aave: $13B Compressão de TVL em DeFi em 48 Horas

O atacante do KelpDAO depositou 249,7 milhões de dólares em rsETH roubados como garantia no Aave V3 e V4 na Ethereum e Arbitrum, tomando emprestado 83.427 WETH e wstETH (~228,2 milhões de dólares em ativos reais) contra tokens não garantidos. Isso criou aproximadamente 196 milhões de dólares em dívidas ruins no Aave. O Aave congelou os mercados de rsETH em questão de horas, mas o pânico se espalhou: 8,45 bilhões de dólares em depósitos fugiram do Aave em 48 horas, levando a uma queda de 13% no TVL total de DeFi, de 99,497 bilhões para 86,286 bilhões de dólares, uma compressão de 13% em dois dias. O token AAVE caiu 16%. A Ethereum viu saídas de DeFi de 1,6 bilhão de dólares apenas em 24 de abril.

Coreia do Norte: 76% de Todas as Perdas de Hack de Criptomoedas em 2026

A TRM Labs relata que hackers apoiados pelo estado norte-coreano representam 76% de todas as perdas por hacks e golpes em criptomoedas em 2026, com 575 milhões de dólares roubados em apenas 18 dias do Drift e KelpDAO. Seus roubos totais desde 2017 ultrapassam 6 bilhões de dólares. O vice-CISO da BeyondTrust afirmou: "A Coreia do Norte roubou 575 milhões de dólares em 18 dias porque a infraestrutura tinha pontos únicos de confiança, sem validação de proveniência e estruturas de governança que não podiam responder na velocidade do ataque."

Mudança na Metodologia de Ataque e Complicações na Recuperação

As explorações de abril revelam uma mudança de bugs em contratos inteligentes para ameaças de múltiplas camadas, combinando engenharia social, spoofing de ponte e comprometimento de infraestrutura. Quatro explorações menores também visaram componentes de ponte. Pontes de cadeia cruzada comercializadas como descentralizadas permanecem pontos únicos de falha. A recuperação enfrenta novos obstáculos: o investigador on-chain ZachXBT expôs que o escritório de advocacia Gerstein Harrow LLP apresentou reivindicações fraudulentas de mais de 71 milhões de dólares em ETH congelados do KelpDAO, tentando priorizar um julgamento de 2015 sobre as vítimas reais do hack de 2026. Suspeita-se que o Lazarus Group esteja movendo $175M em ETH, apesar do Arbitrum ter congelado 71 milhões de dólares.

Abril de 2026 provou três coisas: configurações de ponte de DVN único são superfícies de ataque catastróficas, tokens de restaking líquido como garantia criam risco sistêmico que pode comprimir o TVL de $13B em 48 horas, e atacantes de estados-nação agora operam com meses de engenharia social combinados com exploits técnicos em escala de infraestrutura. Configurações multi-DVN, validação de proveniência e auditoria contínua alimentada por IA são requisitos mínimos de sobrevivência. As perdas são verificadas. As vulnerabilidades estruturais estão documentadas. A menos que o DeFi reengenhe fundamentalmente sua segurança

DRIFT-0,35%

Ver original

Esta página pode conter conteúdo de terceiros, que é fornecido apenas para fins informativos (não para representações/garantias) e não deve ser considerada como um endosso de suas opiniões pela Gate nem como aconselhamento financeiro ou profissional. Consulte a Isenção de responsabilidade para obter detalhes.

1 Curtidas