Segundo Hacken, os investidores institucionais estão olhando além das auditorias de contratos inteligentes, uma vez que os sinais de confiança tradicionais, como auditorias anteriores e histórico operacional, não conseguiram prever quais projetos de criptomoedas seriam explorados.
Em seu Relatório de Segurança e Conformidade do 2º trimestre de 2026, a Hacken afirmou que apenas 9% dos 1.427 projetos monitorados contavam com monitoramento de terceiros, enquanto 4% combinavam monitoramento com um programa ativo de recompensas por bugs e uma auditoria de segurança. O relatório destacou que chaves, assinaturas e infraestrutura comprometidas foram responsáveis por 88,3% dos aproximadamente US$ 764 milhões roubados durante o trimestre.
Hacken afirmou que projetos incapazes de fornecer evidências contínuas de segurança operacional podem enfrentar maior percepção de risco, redução de investimentos e maior dificuldade de acesso a seguros ou contrapartes.
Entre os colaboradores do relatório estava Federico Bagiotti, chefe do grupo de gestão de riscos da Abraxas Capital, que afirmou que a “segurança inadequada em relação ao capital em risco” era o sinal que mais frequentemente levava a empresa a rejeitar uma posição que, de outra forma, seria atraente. Rajeev Bamra, chefe de estratégia de economia digital da Moody's Ratings, disse que a resiliência operacional se tornou “a lente prática” através da qual as instituições avaliam segurança, conformidade e governança.
Controles de segurança entre os analisados. Fonte: Hacken
A segurança operacional torna-se um teste de alocação
O relatório afirmou que a due diligence institucional está começando a incluir alterações nos conjuntos de signatários, garantias, dependências de terceiros, prontidão para resposta a incidentes e o escopo e a atualidade das auditorias. A Abraxas afirmou que agora verifica explicitamente bloqueios temporais, listas de permissão de endereços de saque, controles multipartidários e dependências de chave única ou verificador único.
Essa mudança também se refletiu no escrutínio regulatório e do setor. Em uma reportagem do Cointelegraph de 10 de julho, a diretora de operações da BitGo, Jody Mettler, afirmou que os clientes institucionais começaram a fazer perguntas mais detalhadas sobre os controles de acesso, a resposta a incidentes e a continuidade dos negócios dos provedores de custódia, à medida que os reguladores europeus examinavam a resiliência operacional sob a Lei de Resiliência Operacional Digital (DORA).
Hacken afirmou que 14 projetos explorados no segundo trimestre já haviam sido auditados anteriormente. No entanto, a maior parte das perdas decorreu de áreas fora do escopo das revisões convencionais de contratos inteligentes. As superfícies afetadas incluíam dispositivos de assinatura, validadores de ponte, infraestrutura de back-end, chaves de administrador e contratos antigos que permaneceram ativos apesar de terem sido desativados.
O conjunto de dados abrangeu 1.427 projetos com capitalização de mercado acima de US$ 1 milhão, extraídos de ativos listados nas 50 principais corretoras centralizadas, de acordo com a pontuação de confiança da CoinGecko. A Hacken excluiu ativos encapsulados, stablecoins e ativos do mundo real tokenizados. Seus dados se basearam em controles publicamente observáveis e divulgados, o que significa que acordos privados podem não ter sido capturados.