Relatório da Blockaid aponta US$ 287 milhões roubados em 2026 fora de alcance e só 0,8% devolvido às vítimas

Um relatório da Blockaid, empresa que vende ferramentas de triagem de transações em blockchain, mostra que o dinheiro roubado em grandes ataques de 2026 começou a sair em minutos e, em grande parte, não pode ser bloqueado.

Os números do levantamento

A Blockaid analisou 60 ataques relevantes entre janeiro e agosto de 2026, que somaram US$ 1,18 bilhão em fundos roubados.

Até 2 de setembro de 2026, data de corte do relatório, apenas US$ 9,8 milhões (0,8%) tinham voltado às vítimas, e outros US$ 81,4 milhões estavam congelados, mas ainda não devolvidos.

Somente cinco dos 60 incidentes tiveram algum valor congelado ou recuperado.

Os US$ 287,1 milhões ainda visíveis estão distribuídos em 16 incidentes, e cerca de US$ 229 milhões deles vêm do ataque à Drift Protocol, em abril de 2026.

Por que o dinheiro escapa

A maior parte desse valor está em ativos sem um emissor central capaz de bloquear transferências de um endereço, como ETH, bitcoin, tokens empacotados e tokens de staking líquido.

A mediana de tempo para o dinheiro começar a se mover foi de 17 minutos após cada ataque, e em 68% dos casos ele saiu em até uma hora.

Em 13 casos, equivalentes a 22% da amostra, o dinheiro saiu no primeiro minuto, o que deixa pouca margem para a equipe de segurança detectar o ataque e identificar o destino.

A própria Blockaid chama esse intervalo de janela incrivelmente curta para qualquer equipe de segurança detectar um ataque, identificar o destino dos fundos e coordenar uma resposta.

Quem conseguiu congelar

Dos US$ 91,2 milhões congelados ou devolvidos, US$ 90,4 milhões (99,1%) foram garantidos por controles de protocolos, órgãos de governança ou validadores.

Nesse total entram cerca de US$ 71 milhões congelados pelo Conselho de Segurança da Arbitrum no caso da KelpDAO e cerca de US$ 9 milhões na Syscoin, onde tokens não autorizados foram queimados.

Já as listas de bloqueio de emissores de stablecoins e os bloqueios de corretoras não recuperaram nenhum valor nos 60 casos, segundo a análise do The Defiant sobre o mesmo relatório.

Nos casos avaliados, o emissor de stablecoin tinha como bloquear o endereço em 16 incidentes e não usou essa possibilidade em nenhum deles.

O que a empresa recomenda

A Blockaid recomenda que protocolos e instituições definam antes quem tem autoridade para congelar fundos e qual evidência essa decisão exige.

A empresa também sugere monitorar os endereços comprometidos depois do ataque.

Para a Blockaid, as organizações precisam bloquear transações perigosas antes que os fundos sejam roubados, e não depois.

O que isso significa para a perícia

Para a perícia digital, o levantamento mostra que a janela útil para rastrear e congelar fundos costuma ser curta, medida em minutos e não em horas.

O rastreamento só vira recuperação quando existe um ponto de bloqueio, como uma corretora, um emissor de stablecoin ou um controle do próprio protocolo.

O relatório é de uma empresa que vende ferramentas de triagem de transações, por isso os números devem ser lidos como estimativas da própria análise, e não como dados de um órgão oficial.

Os próprios números do relatório variam de fonte para fonte quanto ao período analisado, que aparece como janeiro a agosto em algumas reportagens e como 5 de janeiro a 5 de agosto em outra.