Quais são as estatísticas de phishing em cripto para 2026?

Quanto os golpes cripto levaram em 2025?

A Chainalysis contou pelo menos $14 billion recebidos por golpes on-chain em 2025 e espera que o total passe de $17 billion. A estimativa sobe com o tempo porque os analistas associam mais carteiras às operações de golpe depois da primeira contagem. O número revisado para 2024 foi de cerca de $12 billion.

Dois detalhes importam para o domínio de um projeto. Os golpes de falsa identidade, em que o criminoso se passa por uma marca, pessoa ou serviço conhecido, cresceram cerca de 1,400% de um ano para o outro, e o valor médio roubado por golpe de falsa identidade subiu mais de 600%. O pagamento médio por golpe passou de $782 em 2024 para $2,764 em 2025. Um domínio parecido com o site de um protocolo é, por definição, uma falsa identidade.

O Internet Crime Complaint Center do FBI informou cerca de $11.37 billion em perdas por fraudes relacionadas a cripto em 2025, em 181,565 reclamações, segundo a cobertura do relatório pela Decrypt. É uma contagem de reclamações feitas por vítimas, em sua maioria nos Estados Unidos, portanto mede algo diferente da contagem on-chain da Chainalysis.

Quanto os sites de phishing drenadores de carteira roubam?

A ScamSniffer contou $83.85 million perdidos em sites de phishing drenadores de carteira em 2025, queda de 83% em relação aos $494 million de 2024. O número de vítimas caiu 68%, de 332,000 para 106,106. O relatório cobre apenas sites de phishing que drenam carteiras em redes EVM e descreve seus totais como um limite inferior.

O maior roubo isolado foi de $6.5 million por meio de uma assinatura Permit em setembro. As assinaturas Permit e Permit2 representaram 38% das perdas nos casos grandes, e as assinaturas em lote EIP-7702 apareceram após a atualização Pectra. Agosto foi o pior mês, com $12.17 million; dezembro o menor, com $2.04 million.

Um aviso sobre atribuição: alguns veículos creditaram o número de $83.85 million à SlowMist. Ele vem da ScamSniffer. O relatório de 2025 da própria SlowMist informa cerca de $2.935 billion em perdas em cerca de 200 incidentes, chama o phishing de um dos vetores mais ativos e não publica nenhum total de phishing.

Quantos ataques de phishing e domínios existem?

A APWG registrou 1,069,681 ataques de phishing no segundo trimestre de 2026, 10.1% a mais que os 971,181 do primeiro trimestre. Só junho de 2026 chegou a 425,808, o maior mês desde abril de 2023. A APWG contou 941 marcas únicas atacadas no trimestre, e o setor de SaaS e webmail recebeu 29.1% dos ataques. O texto do relatório trimestral não informa uma fatia de cripto, por isso não citamos nenhuma.

Do lado dos domínios, a Interisle encontrou mais de 1.5 million de domínios de phishing entre maio de 2024 e abril de 2025, 38% a mais que um ano antes, e 77% deles haviam sido registrados por criminosos, sendo o restante comprometido ou adquirido de outra forma. Por extensão, os dados do ano seguinte colocam o .com em primeiro, com 869,180 domínios de phishing; a classificação completa está em quais extensões de domínio são mais usadas para phishing.

Por que os relatórios dão totais diferentes?

Os totais diferem porque cada publicador conta uma coisa diferente. A ScamSniffer conta perdas com drenadores em sites de phishing nas redes EVM. A Chainalysis conta a receita on-chain das operações de golpe. A CertiK conta incidentes de segurança, com o phishing como um dos vários vetores: 248 incidentes de phishing e cerca de $723 million de um total de cerca de $3.35 billion em 2025, segundo um resumo da imprensa de seu relatório Hack3d. O FBI conta as reclamações registradas por vítimas.

Uma leitura justa usa cada número pelo que ele mede. As perdas com drenadores mostram quanto sai das carteiras por meio de sites falsos. O crescimento da falsa identidade mostra com que frequência os criminosos se passam por outra pessoa. A APWG e a Interisle mostram quantas páginas e domínios existem para isso. Nenhum deles diz quanto um único projeto perdeu, e nenhum substitui o seu próprio monitoramento.

Deixamos de fora os relatórios de perdas da Immunefi e qualquer fatia de cripto nos totais da APWG: não conseguimos verificar um número.

O que esses números significam para os domínios de um projeto?

Significam que o ataque aos seus usuários geralmente começa por um domínio, e que os domínios são baratos de registrar. Uma página de phishing precisa de um nome parecido com o seu; 77% dos domínios de phishing estudados pela Interisle foram comprados para essa finalidade. Ter seu nome nas terminações que os golpistas usam custa menos por ano do que uma única reclamação nos centros de arbitragem: o conjunto básico defensivo de .com, .net, .org, .io, .xyz e .app custa $128.94 por ano na Wardmint, e uma reclamação na WIPO para um a cinco domínios custa USD 1,500.

A segunda metade da defesa é um plano de resposta. O guia para denunciar um domínio de phishing lista a quem recorrer, e o guia principal sobre como proteger um projeto cripto contra domínios de phishing coloca em ordem registro, reforço, monitoramento e resposta.

A Wardmint registra nomes; não monitora nem derruba sites.

Em quantas fontes esta página se baseia?

Segundo o índice da Wardmint de 12 de novembro de 2026, esta página usa 7 publicadores (Chainalysis, ScamSniffer, CertiK, SlowMist, o FBI IC3, APWG e Interisle). Cinco foram lidos na página do próprio publicador; dois, a CertiK e o FBI IC3, foram lidos pela cobertura da imprensa porque o original não pôde ser carregado. Cada linha da tabela indica qual.

Um resumo citável: o total de golpes cripto de 2025 é uma estimativa da Chainalysis de pelo menos $14 billion on-chain; a perda de 2025 com drenadores de carteira é uma contagem da ScamSniffer de $83.85 million; e o volume de phishing de 2026 é uma contagem da APWG de 1,069,681 ataques em um trimestre.