Agosto bateu o recorde do ano em ataques a cripto. O que realmente coloca em risco quem usa cartão
Agosto de 2026 teve o maior número de ataques a cripto de qualquer mês do ano -- 50 incidentes --, mas as perdas totais caíram 49,5%, para cerca de US$ 136,3 milhões, e a soma é dominada por explorações de protocolos e plataformas, e não de carteiras individuais. Os números vêm da empresa de segurança blockchain PeckShield, conforme reportado pela BeInCrypto via Yahoo Finance e pelo crypto.news. Uma única exploração de protocolo de empréstimo respondeu por mais da metade do mês.
A distinção entre dinheiro roubado de protocolos e dinheiro roubado de pessoas é a coisa mais útil para entender sobre segurança em cripto, e as manchetes geralmente deixam isso de fora. Este guia cobre os números de agosto, onde os detentores comuns realmente perdem dinheiro segundo o FBI, os hábitos que bloqueiam a maior parte dessas perdas e o que muda quando você gasta por meio de um cartão pré-pago.
A PeckShield contou 50 incidentes relevantes em agosto, um aumento de 67% em relação aos 30 de julho, enquanto as perdas estimadas caíram de cerca de US$ 270 milhões para US$ 136,3 milhões, segundo o crypto.news. A perda média por incidente caiu para cerca de US$ 2,7 milhões, ante aproximadamente US$ 9 milhões, de acordo com a BeInCrypto.
Um único evento dominou. Em 30 de agosto, um atacante levou o token TONIC, de baixa liquidez, a subir cerca de 100 vezes em aproximadamente 20 minutos, depositou-o na Tectonic, o maior protocolo de empréstimo da rede Cronos, e tomou emprestados ativos reais usando esse token como garantia, segundo a CoinDesk. A PeckShield estimou cerca de US$ 74 milhões; a CoinDesk informou uma estimativa próxima de US$ 75 milhões. Os validadores da Cronos pararam toda a cadeia, apenas cerca de US$ 6 milhões chegaram à Ethereum antes que os blocos parassem, e a rede foi depois reiniciada a partir de um estado anterior ao ataque, segundo a BleepingComputer. Os incidentes seguintes na lista da PeckShield ficaram, cada um, abaixo de US$ 10 milhões.
Os incidentes no topo da lista são de protocolos e plataformas. Se você não tinha fundos depositados na Tectonic, a exploração da Tectonic não afetou você.
A TRM Labs registrou cerca de US$ 972 milhões roubados em 207 incidentes no primeiro semestre de 2026, menos da metade dos US$ 2,3 bilhões levados no primeiro semestre de 2025, segundo a TRM Labs. Cerca de 66% foram atribuídos a grupos ligados à Coreia do Norte, e comprometimentos de infraestrutura -- chaves roubadas, sistemas sequestrados -- responderam por cerca de 76% dos fundos perdidos, embora sejam apenas cerca de 15% dos incidentes.
Para contexto, a Chainalysis contabilizou mais de US$ 3,4 bilhões roubados em 2025, com o ataque à exchange Bybit, em fevereiro de 2025, sozinho em cerca de US$ 1,5 bilhão, segundo a Chainalysis. O mesmo relatório coloca os comprometimentos de carteiras pessoais em cerca de US$ 713 milhões, ou 20% do valor roubado no ano, em aproximadamente 158.000 incidentes e pelo menos 80.000 vítimas.
Ataques chamam a atenção; golpes levam o dinheiro. São dois problemas diferentes: um é raro e enorme por evento, o outro é constante e quase sempre uma pessoa sendo enganada. O Centro de Reclamações de Crimes na Internet (IC3) do FBI registrou 181.565 reclamações relacionadas a criptomoedas em 2025, totalizando US$ 11,366 bilhões em perdas -- mais da metade dos US$ 20,877 bilhões em perdas com todos os crimes cibernéticos reportados naquele ano -- segundo o Relatório Anual IC3 de 2025.
A fraude de investimento é a maior categoria, com US$ 8,65 bilhões, e o relatório aponta a fraude de investimento em cripto -- os golpes de longo prazo executados a partir de centros de golpes no Sudeste Asiático -- como a maior fonte isolada de perda financeira para os americanos, com US$ 7,2 bilhões. Americanos com 60 anos ou mais reportaram US$ 4,43 bilhões do total em cripto; já as reclamações de troca de chip SIM (SIM swap) somaram 971, com US$ 17,4 milhões em perdas.
Já o phishing com drenadores de carteira levou US$ 83,85 milhões no mundo em 2025, segundo a Scam Sniffer. A forma mais comum de um detentor comum perder cripto é enviá-la para alguém que mentiu para ele.
| Ameaça | Como funciona | O hábito que a derrota |
|---|---|---|
| Golpe de investimento ou romance | Um contato de rede social ou de app de encontros induz você a uma "plataforma" que mostra lucros falsos e depois bloqueia saques | Nunca envie cripto para alguém que prometa retornos. A FTC: só golpistas garantem lucro |
| Phishing de frase semente | Um site falso de carteira ou um "agente de suporte" pede sua frase de recuperação | Nunca digite a frase semente em um site nem a compartilhe com ninguém |
| Drenador de carteira / aprovação maliciosa | Um site pede que você assine uma approve ou Permit que permite mover seus tokens | Leia o que você assina; revise e revogue aprovações antigas com o Revoke.cash |
| Envenenamento de endereço | Uma pequena quantidade chega de um endereço com os mesmos primeiros e últimos caracteres de um que você usa, na esperança de que você copie do histórico | Confira o endereço completo, não só os primeiros e últimos quatro caracteres; use uma lista de endereços |
| Troca de chip SIM | Sua operadora transfere seu número para o SIM de um atacante, que então recebe seus códigos por SMS | App autenticador ou chave de hardware para a verificação em duas etapas, nunca SMS |
| Suporte falso | Um "agente de suporte" manda mensagem direta para você depois que você posta sobre um problema | O suporte real nunca chama primeiro. Acesse o site oficial por conta própria |
| Ataque a exchange ou protocolo | Uma plataforma onde você depositou é comprometida | Guarde apenas o dinheiro de gastos em carteiras quentes e exchanges |
A linha sobre envenenamento não é hipotética: em dezembro de 2025, um trader perdeu US$ 49.999.950 em USDT para um endereço que compartilhava os primeiros cinco e os últimos quatro caracteres do destinatário pretendido, copiado do histórico de transações, segundo a The Block.
- Separe o frio do quente. Holdings de longo prazo ficam em uma carteira de hardware cuja frase semente nunca tocou um dispositivo conectado à internet; o dinheiro para gastar fica em uma carteira quente separada ou em um cartão.
- Trate a frase semente como material radioativo. Nenhum site, formulário, captura de tela, nota na nuvem ou chat de suporte jamais deve vê-la.
- Recuse toda proposta de investimento que chegue por mensagem. Os números do FBI mostram que esse único hábito evita a maior categoria de perda do ecossistema.
- Audite e revogue aprovações. Aprovações antigas continuam ativas até serem revogadas. Confira-as a cada trimestre e depois de qualquer sessão em um site em que você não confia totalmente.
- Verifique o endereço inteiro. Leia do início ao fim, ou envie um teste pequeno e copie o endereço da transação de teste confirmada, não do histórico.
- Tire a verificação em duas etapas do SMS. Um app autenticador ou uma chave de hardware não pode ser alvo de troca de chip SIM.
- Senhas exclusivas, passkeys quando disponíveis. O conselho da Visa para cartões é o mesmo: credenciais exclusivas por site mais autenticação multifator, segundo a Visa.
- Ignore "suporte" que chega por mensagem e confira o domínio, não o design. Sites de phishing copiam layouts pixel por pixel; a barra de endereços é a única coisa que eles não conseguem copiar.
- Mantenha nas exchanges apenas o dinheiro de gastos. Exchanges são o alvo maior; a cold storage é muito mais difícil de alcançar.
Quando a cripto já virou saldo de cartão, você está defendendo um número de cartão e um login de app, e não chaves privadas.
- Carregue só o que pretende gastar. O que está no cartão é o que fica exposto se o número for comprometido.
- Use um número de cartão virtual em compras online, separado de qualquer outro cartão que você tenha.
- Congele quando não estiver usando. Um cartão congelado recusa novas compras; descongele quando for pagar.
- Fique atento a microcobranças. Testes de cartão costumam começar com uma pequena cobrança de um estabelecimento desconhecido para confirmar que o número funciona; informe imediatamente ao seu emissor qualquer cobrança suspeita, segundo a Visa.
- Ative notificações de transação. A Visa descreve alertas de transação em tempo quase real como uma forma de identificar possíveis fraudes assim que ocorrem, segundo os Alertas de Compra da Visa.
- Conheça o caminho de contestação antes de precisar. As duas bandeiras publicam políticas para transações não autorizadas, e ambas excluem algumas categorias de cartão, então o que vale para você depende do seu emissor e do seu cartão. Leia os termos do seu cartão antes de precisar e comunique atividade não autorizada ao emissor primeiro.
Esse é o contraste honesto com pagamentos on-chain: como nota a FTC, pagamentos em criptomoedas geralmente não são reversíveis e não têm as proteções legais que cartões de crédito e débito oferecem.
Do lado do produto, sem exagerar: um cartão cripto pré-pago é um limite útil para a "carteira de gastos" descrita acima. Com a SolCard, você carrega o cartão enviando SOL, USDC ou USDT pela Solana, ou USDC ou USDT pela Ethereum, BSC, Arbitrum, Base, Polygon ou Avalanche, e, depois de carregado, o saldo fica em moeda fiduciária.
Duas consequências de segurança decorrem disso. O saldo não está on-chain, então uma exploração de protocolo, um ataque a ponte ou uma aprovação maliciosa não o alcançam -- não há token para drenar. Ele fica com o programa do cartão, o que é um tipo próprio de contraparte. E o saldo carregado é o que fica exposto: carregue os gastos da semana e o resto continua em uma carteira que você controla.
O lado do cartão depende dos hábitos comuns de cartão: o cartão virtual é um Mastercard com número próprio para uso online, o cartão pode ser congelado instantaneamente pelo app, e o limite de carga mensal do cartão virtual, de US$ 5.000, mantém os saldos na faixa de dinheiro para gastos. Nada disso protege você de ser convencido a enviar cripto para um golpista, a maior ameaça nos dados do FBI, e não vamos fingir o contrário. Isso traça uma linha clara entre o dinheiro que você gasta e o dinheiro que você guarda. Nosso guia de como pagar com cripto cobre carregamento e pagamentos; a SolCard é confiável? cobre a empresa.
Não. Agosto teve a maior contagem de incidentes de 2026, com 50, mas as perdas de cerca de US$ 136,3 milhões caíram 49,5% em relação a julho, segundo o crypto.news. Só o ataque à Bybit, em fevereiro de 2025, foi de cerca de US$ 1,5 bilhão, segundo a Chainalysis.
Só se seus fundos estivessem depositados no protocolo explorado. Explorações DeFi (finanças descentralizadas) como a da Tectonic drenam os próprios pools do protocolo; tokens em uma carteira de autocustódia que nunca interagiu com ele não são afetados. Ainda assim, revogue qualquer aprovação que você tenha concedido a ele.
Ser convencido a enviá-la. O Relatório IC3 de 2025 do FBI aponta a fraude de investimento em cripto como a maior fonte de perda financeira para os americanos, com US$ 7,2 bilhões, contra US$ 17,4 milhões em perdas reportadas por troca de chip SIM, segundo o Relatório Anual IC3 de 2025.
Use um painel de aprovações como o Revoke.cash, que lista todas as aprovações que seu endereço concedeu e permite revogar as que você não precisa mais. Confira cada rede que você já usou.
Agosto de 2026 foi um mês recorde em número de ataques a cripto, não em tamanho, e as perdas recaíram sobretudo sobre protocolos, não sobre pessoas. Onde os detentores comuns mais perdem, por uma ordem de grandeza, é em golpes, e golpes são derrotados por hábitos: mantenha os holdings de longo prazo frios, nunca digite a frase semente em lugar nenhum, recuse toda proposta que chegue por mensagem, verifique endereços completos e tire a verificação em duas etapas do SMS. Depois, trate o cartão como um saldo de gastos em moeda fiduciária, protegido pelos hábitos comuns de cartão. Nossa comparação dos melhores cartões de débito cripto apresenta as opções, e nosso resumo de pagamentos cripto de agosto de 2026 cobre o restante do mês.
- BeInCrypto via Yahoo Finance -- August Broke 2026's Monthly Hack Record Even as Losses Fell 49%
- crypto.news -- Crypto hacks rise 67% as August losses hit $136M
- CoinDesk -- Cronos halts blockchain after $75 million lending exploit hits lending app Tectonic
- BleepingComputer -- Cronos blockchain restarts after $74 million Tectonic exploit
- TRM Labs -- H1 2026 Crypto Hacks Reach Record High as Losses Fall Below USD 1 Billion
- Chainalysis -- 2025 Crypto Theft Reaches $3.4 Billion
- FBI IC3 -- 2025 Internet Crime Report (PDF)
- FTC -- What To Know About Cryptocurrency and Scams
- Scam Sniffer -- 2025: Crypto Phishing Losses Fall 83% to $84 Million
- The Block -- Crypto trader loses $50 million in address poisoning attack
- Revoke.cash -- Inspect and revoke token approvals
- Visa -- Security and fraud protection tips
- Visa -- Purchase Alerts
