Engenharia social é perigo maior para cripto hoje do que computação quântica, diz especialista

As discussões sobre a possibilidade da computação quântica quebrar a criptografia dos blockchains ganharam força em 2026 após um relatório do Google afirmar que isso pode ocorrer mais cedo do que se previa. No entanto, Abner Sena, especialista em segurança ofensiva da Tempest Security Intelligence, empresa de cibersegurança do grupo Embraer, considera que há riscos mais imediatos a enfrentar.

De acordo com Sena, o que está drenando as carteiras de criptomoedas hoje é muito mais simples do que qualquer supermáquina. São práticas como engenharia social, assinatura cega e cadeia de suprimentos. Vale lembrar que a engenharia social nada mais é do que a manipulação de pessoas para fazê-las revelar informações confidenciais ou transferir ativos para criminosos.

“Computação quântica não é um perigo operacional para hoje, porque não existe computador quântico remotamente próximo de quebrar as curvas elípticas que o Bitcoin usa, e as estimativas sérias falam em milhares de qubits lógicos com correção de erro, o que está muito distante do hardware atual”, explica o especialista.

Além disso, Sena lembra que o Nist, órgão dos Estados Unidos que cria padrões e guias de cibersegurança, está finalizando os primeiros padrões pós-quânticos, de modo que a comunidade cripto só precisa atingir um consenso para aplicar essa tecnologia.

Engenharia social e phishing em criptoativos

Engenharia social, por outro lado, é um problema que já está provocando o roubo de grandes quantias de moedas digitais. O especialista destaca que apenas no primeiro trimestre de 2026, US$ 464,5 milhões (mais de R$ 2 bilhões) foram perdidos em projetos de Web3 por meio de golpes, sendo a maioria ataques de phishing (golpe digital em que criminosos se passam por empresas confiáveis para roubar senhas e dados pessoais) e engenharia social, segundo dados da Hacken.

“Na porta de entrada, o vetor dominante hoje é a engenharia social direcionada a quem tem acesso”, resume Sena. Logo em seguida, o especialista diz que o grande risco é a chamada assinatura cega, que ocorre quando o atacante não rouba chave nenhuma e simplesmente faz com que o signatário legítimo autorize a transação errada, geralmente comprometendo, de modo que a tela mostra uma coisa e o dispositivo assina outra.

Sena diz que as empresas do setor de cripto e blockchain precisam contratar funcionários para treinamentos recorrentes e direcionados para os times mais vulneráveis a ataques desse tipo.

“E cabe uma observação sobre como se mede esse programa, porque taxa de clique é indicador fraco e leva a empresa a comemorar o número errado. O que realmente importa é o tempo médio até o reporte. Para isso, a cultura precisa ser livre de punição, já que quem acha que caiu precisa avisar em cinco minutos e não esconder por vergonha até o fim do expediente”, defende.

Controles técnicos além da educação

Para quando a conscientização não é o bastante, Sena diz que é importante investir em controles técnicos, como autenticação multifator (MFA) resistente a phishing com chave FIDO2, um dispositivo físico de autenticação que protege contas online sem a necessidade de senhas ou códigos enviados para celular via SMS. “SMS e código de seis dígitos são interceptáveis em tempo real”, aponta o especialista.

É importante, na opinião de Sena, que a construção dos sistemas tenha espaço para admitir a própria falha, com estudos sobre o que fazer para impedir que a perda se torne catastrófica quando houver falhas. “É daí que saem timelock em upgrade [período de espera obrigatório entre a proposta e a execução de uma atualização de código], limite de saque, lista de destinos autorizados, circuit breaker, monitoramento on-chain com gatilho automático e quórum distribuído entre pessoas, dispositivos e locais diferentes.”

Outro ponto para o qual Sena chama a atenção é que blockchain e contratos inteligentes foram desenvolvidos para garantir a integridade e imutabilidade dos registros, mas isso não garante que os sistemas construídos sobre eles sejam seguros. “A rede pode ser extremamente resistente a fraudes e, ainda assim, o código que executa uma operação ter uma vulnerabilidade”, resume.

Assim, Sena diz que em blockchain uma empresa não pode pensar primeiro em colocar em produção e depois verificar a segurança. “Quando existe um ativo financeiro dentro daquele contrato, o custo de descobrir uma vulnerabilidade depois do lançamento pode ser muito maior, porque talvez o atacante já tenha explorado o problema.”