Instituições vão além das auditorias para avaliar riscos em criptomoedas, diz Hacken

Segundo Hacken, os investidores institucionais estão olhando além das auditorias de contratos inteligentes, uma vez que os sinais de confiança tradicionais, como auditorias anteriores e histórico operacional, não conseguiram prever quais projetos de criptomoedas seriam explorados.

Em seu Relatório de Segurança e Conformidade do 2º trimestre de 2026, a Hacken afirmou que apenas 9% dos 1.427 projetos monitorados contavam com monitoramento de terceiros, enquanto 4% combinavam monitoramento com um programa ativo de recompensas por bugs e uma auditoria de segurança. O relatório destacou que chaves, assinaturas e infraestrutura comprometidas foram responsáveis ​​por 88,3% dos aproximadamente US$ 764 milhões roubados durante o trimestre. 

Hacken afirmou que projetos incapazes de fornecer evidências contínuas de segurança operacional podem enfrentar maior percepção de risco, redução de investimentos e maior dificuldade de acesso a seguros ou contrapartes. 

Entre os colaboradores do relatório estava Federico Bagiotti, chefe do grupo de gestão de riscos da Abraxas Capital, que afirmou que a “segurança inadequada em relação ao capital em risco” era o sinal que mais frequentemente levava a empresa a rejeitar uma posição que, de outra forma, seria atraente. Rajeev Bamra, chefe de estratégia de economia digital da Moody's Ratings, disse que a resiliência operacional se tornou “a lente prática” através da qual as instituições avaliam segurança, conformidade e governança.

Controles de segurança entre os analisados. Fonte: Hacken

A segurança operacional torna-se um teste de alocação

O relatório afirmou que a due diligence institucional está começando a incluir alterações nos conjuntos de signatários, garantias, dependências de terceiros, prontidão para resposta a incidentes e o escopo e a atualidade das auditorias. A Abraxas afirmou que agora verifica explicitamente bloqueios temporais, listas de permissão de endereços de saque, controles multipartidários e dependências de chave única ou verificador único.

Essa mudança também se refletiu no escrutínio regulatório e do setor. Em uma reportagem do Cointelegraph de 10 de julho, a diretora de operações da BitGo, Jody Mettler, afirmou que os clientes institucionais começaram a fazer perguntas mais detalhadas sobre os controles de acesso, a resposta a incidentes e a continuidade dos negócios dos provedores de custódia, à medida que os reguladores europeus examinavam a resiliência operacional sob a Lei de Resiliência Operacional Digital (DORA).

Hacken afirmou que 14 projetos explorados no segundo trimestre já haviam sido auditados anteriormente. No entanto, a maior parte das perdas decorreu de áreas fora do escopo das revisões convencionais de contratos inteligentes. As superfícies afetadas incluíam dispositivos de assinatura, validadores de ponte, infraestrutura de back-end, chaves de administrador e contratos antigos que permaneceram ativos apesar de terem sido desativados. 

O conjunto de dados abrangeu 1.427 projetos com capitalização de mercado acima de US$ 1 milhão, extraídos de ativos listados nas 50 principais corretoras centralizadas, de acordo com a pontuação de confiança da CoinGecko. A Hacken excluiu ativos encapsulados, stablecoins e ativos do mundo real tokenizados. Seus dados se basearam em controles publicamente observáveis ​​e divulgados, o que significa que acordos privados podem não ter sido capturados.