Em abril de 2026, o setor DeFi enfrentou a crise de confiança mais severa dos últimos anos. Segundo instituições como CertiK, as perdas de segurança causadas por ataques de hackers, exploração de vulnerabilidades, etc., totalizaram aproximadamente 634 a 651 milhões de dólares no mês, um crescimento explosivo de mais de dez vezes em relação aos 59,5 milhões de dólares de março, atingindo o maior recorde de perdas mensais desde março de 2022. Ainda mais alarmante, ocorreram 31 ataques independentes no mês, quase um por dia, tanto em termos de valor perdido quanto na frequência de ataques, batendo recordes históricos no DeFi.

Duas grandes operações no centro dessa tempestade — KelpDAO e Drift Protocol — responderam por mais de 90% dos ativos roubados naquele mês. KelpDAO foi explorada devido a uma vulnerabilidade no verificador único da ponte cross-chain, permitindo que o atacante bypassasse o mecanismo de segurança, criando do nada tokens rsETH no valor de 292 milhões de dólares, e usando esses tokens como garantia para emprestar Ethereum real em plataformas de empréstimo como Aave. Essa operação não só colocou Aave em risco de inadimplência de quase 200 milhões de dólares, como também provocou a retirada de mais de 80 bilhões de dólares em 24 horas, com o TVL caindo cerca de 32%. Logo após, o incidente do Drift Protocol também foi alarmante: o atacante, após seis meses de infiltração de informações, conseguiu roubar a chave do administrador e transferir aproximadamente 285 milhões de dólares em ativos. Ambos os casos foram atribuídos ao grupo Lazarus, com base na Coreia do Norte, cuja atividade na cadeia apresentou características altamente consistentes nessas séries de ataques.

Essa rodada de crise de segurança não foi por acaso, mas uma explosão concentrada do modo de desenvolvimento do DeFi, que prioriza a eficiência há muito tempo. Ela expôs fundamentalmente três níveis de risco sistêmico: primeiro, a falha fatal no mecanismo de verificação das pontes cross-chain, onde uma arquitetura de verificador único coloca milhões de dólares sob a segurança de uma única chave privada, uma vulnerabilidade que já havia sido alertada pelo incidente na ponte Ronin em 2022, mas que foi ignorada coletivamente pelo setor. Segundo, ataques de engenharia social e infiltrações de longo prazo estão se tornando novas ameaças principais, com métodos que evoluíram de vulnerabilidades de código para infiltrações que exploram permissões de pessoal e falhas de processos. Terceiro, a composibilidade do DeFi, ao ampliar os ganhos, também aumenta os riscos — uma brecha em um protocolo pode rapidamente se transformar em uma cadeia de impacto envolvendo múltiplos protocolos, através de garantias.

As reações em cadeia no mercado também foram intensas. O setor DeFi perdeu cerca de 13 bilhões de dólares em TVL em curto prazo, com uma queda de 38% nos depósitos na Aave e uma redução de 15% a 21% no token AAVE. Os fundos claramente migraram de protocolos de alto risco para plataformas de empréstimo mais maduras ou soluções de custódia centralizadas. O impacto mais profundo é a perda de confiança das instituições: o JPMorgan destacou que as falhas de segurança contínuas e o crescimento estagnado do TVL estão severamente limitando a atratividade do DeFi para investidores institucionais. Ao mesmo tempo, o Standard Chartered, embora mantenha uma visão otimista sobre o mercado de RWA (ativos do mundo real), reconhece que é necessário um upgrade estrutural nos riscos de cross-chain como pré-requisito.