Panorama da crise de segurança do ecossistema blockchain Web3 em 2025

Hackers, scams, and exit scams are occurring frequently. The security landscape of blockchain in 2025 has its ups and downs.

Prefácio

2025 está chegando ao fim, e este ano foi cheio de desafios para todo o ecossistema Web3 e blockchain. Segundo dados de monitoramento de segurança confiáveis, as perdas globais causadas por diversos incidentes de segurança ultrapassaram novamente números astronômicos, mas também observamos algumas mudanças positivas — a conscientização dos usuários sobre prevenção está aumentando, e a segurança do setor está sendo fortalecida. Este artigo compila dados-chave e eventos típicos na área de segurança de blockchain em 2025, com o objetivo de ajudar profissionais e usuários a entender melhor as ameaças atuais e como enfrentá-las de forma mais eficaz.

Números que falam: dados surpreendentes sobre a segurança de blockchain em 2025

Situação geral: perdas de 33,75 bilhões de yuan em um ano

De acordo com plataformas de monitoramento de segurança especializadas, em 2025, o ecossistema Web3 sofreu perdas acumuladas de 3,375 bilhões de dólares devido a ataques de hackers, scams e saídas de projetos. Este número evidencia a gravidade do problema.

Mais especificamente:

• Ataques de hackers mais agressivos: 191 incidentes, com perdas de até 3,187 bilhões de dólares, um aumento de 77,85% em relação a 2024
• Risco de scams em queda: 113 incidentes, perdas de 177 milhões de dólares, uma redução de 69,15% em relação ao ano anterior
• Melhora nas saídas de projetos: perdas de 1,15 milhões de dólares por saídas de projetos, uma queda de 92,21% em relação a 2024

Esses dados refletem um fenômeno interessante: métodos tradicionais de scam e saída de projetos estão sendo substituídos por ataques de hackers mais sofisticados. Os alvos dos atacantes estão mudando de investidores individuais para objetivos de maior valor — exchanges e grandes protocolos DeFi.

Características sazonais marcantes

As perdas no primeiro trimestre de 2025 foram as mais severas, principalmente devido a um ataque de cadeia de suprimentos a uma grande exchange, que resultou em prejuízo de 1,44 bilhão de dólares. Depois disso, as perdas diminuíram trimestre a trimestre, indicando que o ecossistema está fortalecendo suas defesas progressivamente.

Mapa de riscos de blockchain: quais projetos estão mais vulneráveis

Exchanges se tornaram o alvo preferido dos hackers

Nove ataques direcionados a exchanges centralizadas resultaram em perdas de 1,765 bilhões de dólares, representando 52,30% do total de perdas do ano. Isso mostra que os hackers estão focando em grandes alvos como exchanges. Um ataque de cadeia de suprimentos a uma grande exchange causou prejuízo de 1,44 bilhão de dólares, e outras exchanges também sofreram diferentes níveis de roubo.

Por que as exchanges são os principais alvos? A resposta é simples — elas gerenciam ativos de usuários de forma centralizada, e um ataque bem-sucedido pode render lucros enormes, muito mais vantajoso do que atacar projetos DeFi individualmente.

Projetos DeFi: maior frequência de ataques, mas perdas por incidente menores que as de exchanges

91 ataques a projetos DeFi causaram perdas de 621 milhões de dólares. O caso mais impactante foi o roubo de 224 milhões de dólares do Cetus Protocol, representando 36,07% das perdas de DeFi. Em seguida, vem a perda de 116 milhões de dólares na Balancer.

Isso mostra que, embora os projetos DeFi enfrentem o maior número de ataques, sua dispersão ecológica faz com que as perdas por incidente sejam menores do que as de exchanges. Ainda assim, a exploração de vulnerabilidades em contratos inteligentes continua sendo uma tática eficaz.

Outras ameaças também não podem ser ignoradas

Carteiras, navegadores, pacotes de código de terceiros, robôs MEV e outras infraestruturas também estão se tornando alvos de ataques, indicando uma expansão no escopo das ações dos hackers e uma evolução na lógica dos ataques.

Ranking de segurança das blockchains públicas: Ethereum ainda é o “foco principal”

Entre todas as blockchains públicas, Ethereum lidera em número de incidentes de segurança, com 170 casos que causaram perdas de 2,254 bilhões de dólares, representando 66,79% do total anual. Isso reflete a importância do ecossistema Ethereum (alta concentração de ativos) e também revela os riscos que enfrenta.

A BNB Chain ocupa o segundo lugar, com 64 incidentes e perdas de 89,83 milhões de dólares, um aumento alarmante de 110,87% em relação a 2024.

Base e Solana vêm logo atrás, com 20 e 19 incidentes, respectivamente, indicando que as novas blockchains também estão enfrentando problemas de segurança emergentes.

Evolução das táticas de ataque: de vulnerabilidades tradicionais a falhas complexas de lógica

Exploração de vulnerabilidades em contratos ainda é o método predominante

Dos 191 ataques, 62 envolveram exploração de vulnerabilidades em contratos, representando 32,46%. Entre elas, as falhas na lógica de negócios foram as mais graves, causando perdas de 464 milhões de dólares. Isso demonstra que, mesmo com auditorias de segurança cada vez mais avançadas, as falhas na lógica de contratos continuam sendo uma porta de entrada preferida para hackers.

Ataques de cadeia de suprimentos se tornaram uma nova tendência

O prejuízo de 1,44 bilhão de dólares a uma grande exchange veio de um ataque de cadeia de suprimentos, representando 42,67% do total de perdas. Essa abordagem está se consolidando como uma nova arma dos hackers — eles não atacam diretamente o produto final, mas os componentes upstream, como bibliotecas dependentes e ferramentas.

Risco de vazamento de chaves privadas diminui

Este ano, ocorreram 20 vazamentos de chaves privadas, com perdas totais de 180 milhões de dólares, uma redução significativa em relação ao ano passado. Isso indica que a gestão de chaves privadas está sendo mais valorizada na indústria, e a conscientização dos usuários também está aumentando.

Análise de dois casos emblemáticos

Caso 1: O desastre de 2,24 bilhões de dólares do Cetus Protocol

Na ecologia Sui, o DEX Cetus Protocol sofreu um grande golpe em maio de 2025. A vulnerabilidade estava relacionada a um erro na implementação de operações de deslocamento à esquerda em uma biblioteca de código aberto.

Versão simplificada do ataque:

1. O hacker tomou emprestado 10 milhões de haSUI via flash loan
2. Criou uma posição de liquidez, com intervalo de preço entre [300000, 300200]
3. Com apenas uma unidade de haSUI, obteve um valor de liquidez astronômico (nível 10^28)
4. Removeu rapidamente a liquidez, esvaziando o pool
5. Reembolsou o flash loan, obtendo lucro de aproximadamente 5,7 milhões de SUI

Causa raiz: A verificação de estouro na função checked_shlw é ineficaz. Entradas abaixo de um limite específico podem passar despercebidas, e ao deslocar bits para a esquerda, ainda há risco de estouro. A operação de deslocamento à esquerda na linguagem Move não interrompe automaticamente ao ocorrer estouro, o que permite que hackers explorem essa vulnerabilidade — trocando uma quantidade mínima de tokens por ativos de valor elevado.

Caso 2: Colapso sistêmico de 1,16 bilhões de dólares na Balancer

Em novembro de 2025, o protocolo Balancer v2 e suas versões fork foram saqueados em várias cadeias, totalizando perdas de 1,16 bilhão de dólares.

Cadeia de ataque:

1. Hackers trocaram em massa, usando BPT para trocar por tokens de liquidez
2. Os reserves de tokens de liquidez nos pools foram severamente reduzidos
3. Realizaram troca osETH/WETH
4. Trocaram os tokens de liquidez de volta por BPT
5. Repetiram operações em múltiplos pools, finalizando com saques lucrativos

Natureza da vulnerabilidade: Os pools ComposableStablePools usam a fórmula de invariantes do Curve StableSwap. No entanto, erros de precisão na operação de escalonamento podem afetar o cálculo do invariantes, levando a subestimações que favorecem ataques. A função mulDown, que realiza arredondamento para baixo, amplifica ainda mais esse erro.

Perspectiva de combate à lavagem de dinheiro: o “truque do desaparecimento” de ativos roubados

Caso do grande cartel de lavagem de dinheiro com criptomoedas

Foi revelada uma rede de lavagem de dinheiro operada por um chefe de uma gangue de tráfico de drogas. Eles contrabandeavam cocaína pela Colômbia e México, usando criptomoedas para lavar os lucros ilegais. Três endereços relacionados movimentaram um total de 266 milhões de USDT. Embora parte dos ativos tenha sido congelada pelas autoridades, a maior parte foi transferida por meio de negociações frequentes e transferências em múltiplas etapas para várias exchanges.

Este caso demonstra que: hackers ou criminosos utilizam DeFi, pontes cross-chain, exchanges e outros mecanismos para confundir o fluxo de fundos e evitar rastreamento policial.

Perda de 40 milhões de dólares na GMX

Em julho de 2025, a GMX foi atacada por uma vulnerabilidade de reentrada, com hackers lucrando 42 milhões de dólares. O rastreamento revelou:

• Os atacantes converteram várias moedas em ETH e USDC via protocolos DEX
• Utilizaram protocolos cross-chain para dispersar os ativos na Ethereum
• 32 milhões de dólares em ETH foram dispersos em 4 endereços
• 10 milhões de dólares foram transferidos para Arbitrum

Lição principal: Os ativos roubados “desaparecem” em etapas — primeiro transferidos na cadeia original para confundir, depois dispersos entre várias cadeias, e finalmente armazenados em diferentes endereços. Essa sequência já virou o padrão dos hackers.

Reflexões e perspectivas: os alertas de 2025 para nós

Sinais positivos começam a aparecer

Em comparação com 2024, as perdas por scams e saídas de projetos diminuíram significativamente, indicando que:

• A conscientização dos usuários está crescendo
• Os projetos estão dando mais atenção às auditorias de segurança
• O setor está fortalecendo suas defesas
• Há uma atitude de aprender com vulnerabilidades passadas

Por outro lado, novas ameaças surgem

• Ataques de cadeia de suprimentos se tornaram o principal risco: de bibliotecas dependentes a ferramentas, hackers estão atacando os elos upstream
• Aumento de ataques de engenharia social e phishing: entre as 10 maiores ameaças, duas envolveram perdas significativas por usuários individuais, muitas por engenharia social
• Falhas complexas de lógica de protocolos: os hackers evoluíram de vulnerabilidades simples para falhas de design de protocolos
• Implantação multi-chain amplia a superfície de ataque: projetos que operam em várias cadeias têm mais pontos vulneráveis

Ameaças aos usuários individuais também aumentam

Ataques de phishing, sequestros e extorsões físicas estão crescendo. Muitas fraudes de pequeno valor não são divulgadas, subestimando os dados, mas as perdas para as vítimas são reais.

Recomendações para 2026 e além

1. Para os projetos: segurança na cadeia de suprimentos deve ser prioridade, com monitoramento contínuo e avaliação de ameaças às dependências
2. Para plataformas: aprimorar sistemas de defesa contra engenharia social, com barreiras técnicas e colaboração comunitária
3. Para usuários: aumentar a conscientização, proteger informações pessoais e evitar exposição excessiva de ativos
4. Para o setor: construir uma ecologia de defesa dinâmica, envolvendo conscientização individual, tecnologia e cooperação com autoridades

Conclusão

Os desafios de segurança em Web3 e blockchain em 2025 são sem precedentes, mas também representam uma oportunidade de reflexão e avanço. As táticas dos hackers estão evoluindo, e as soluções de proteção precisam acompanhar essa evolução. Desde a segurança na cadeia de suprimentos até a defesa contra engenharia social, passando por auditorias técnicas e educação dos usuários, cada etapa é fundamental.

O futuro da segurança não depende de uma única tecnologia, mas da capacidade coletiva do ecossistema — projetos, empresas de segurança, plataformas de troca, usuários e reguladores — de trabalharem juntos. O futuro da tecnologia blockchain depende de nossa habilidade de construir defesas sólidas e duradouras desde hoje.