Autópsias de protocolos: o post-mortem como ritual da cripto

Quando um banco europeu entra em colapso, seguem-se meses de silêncio, uma comissão de inquérito e, anos mais tarde, um relatório que quase ninguém lê. Quando um protocolo cripto é drenado, o guião é outro: em poucas horas surge uma linha de transações pública, uma mensagem on-chain endereçada ao atacante, uma empresa forense a divulgar conclusões preliminares e uma comunidade inteira a dissecar cada bloco. O setor fez do desastre um género próprio, com regras, estética e uma espécie de liturgia. Chama-se post-mortem, ou autópsia de protocolo, e é hoje um dos artefactos culturais mais reveladores da cripto.

O ano de 2026 traz uma efeméride incómoda. Passaram dez anos sobre o ataque a The DAO, o momento em que a indústria percebeu que o código pode falhar de forma catastrófica e que documentar essa falha em público seria, dali em diante, quase obrigatório. Uma década depois, o primeiro semestre fechou com 207 incidentes e cerca de 850 milhões de euros roubados, segundo a TRM Labs. A prática da autópsia amadureceu; a hemorragia, nem por isso.

A autópsia como género nativo da cripto

Em junho de 2016, um atacante explorou uma falha de reentrância no contrato de The DAO e desviou 3,6 milhões de ETH, cerca de um terço do fundo e algo como 44 milhões de euros à cotação de então. A resposta partiu a comunidade ao meio: uns defenderam a imutabilidade absoluta da blockchain, outros exigiram intervir. Venceu o hard fork, executado no bloco 1.920.000, que reescreveu o histórico e devolveu os fundos, dando origem à cisão entre Ethereum e Ethereum Classic. Foi o episódio que tornou a segurança uma prioridade existencial para o setor.

Mais do que um hard fork, The DAO inaugurou a autópsia como género. A partir dali, cada colapso passou a exigir uma narrativa pública: o que correu mal, quando, quem e o que se aprende. Dez anos depois, a Ethereum Foundation lançou um fundo de segurança dotado de mais de 75.000 ETH em staking, uns 114 milhões de euros, cujo rendimento anual financia auditorias e investigação, segundo o The Block. «Estivemos num impasse durante os últimos seis anos», resumiu Griff Green, antigo gestor de comunidade de The DAO. Marcin Kazmierczak, da RedStone, foi mais afiado: um fundo destes «não elimina a confiança, apenas a desloca».

Rekt.news e a arte do obituário on-chain

Se The DAO deu à autópsia o seu propósito, foi a Rekt.news que lhe deu estética. O site publica os seus relatos em tom de obituário noir, autor anónimo, prosa cortante, e mantém uma leaderboard que funciona como memória coletiva do setor: uma tabela de honra e de vergonha onde cada protocolo drenado fica registado por montante e por método. A lista não é apenas jornalismo; é cânone. Ser «rekt» tornou-se um verbo, e figurar no topo da tabela é um epitáfio que nenhuma equipa quer para si.

Esta função de arquivo importa mais do que parece. Numa indústria sem regulador único e sem banco central, a memória institucional vive em bases de dados abertas, threads e relatórios forenses. O obituário on-chain é, à falta de melhor, o registo público de responsabilidade, o lugar onde a comunidade decide o que aconteceu antes de qualquer tribunal se pronunciar.

Bybit: quando o forense virou transmissão em direto

O caso que redefiniu o padrão aconteceu a 21 de fevereiro de 2025. A Bybit, casa de câmbio sediada no Dubai, perdeu cerca de 1,3 mil milhões de euros em Ethereum, o maior roubo da história da cripto, mais tarde atribuído pelo FBI ao Lazarus Group da Coreia do Norte, segundo a Bloomberg. O vetor não foi um bug de smart contract: os atacantes comprometeram a interface do Safe{Wallet}, substituindo um ficheiro JavaScript por código malicioso que alterava o destino das transferências assinadas na carteira fria multi-assinatura.

O que marcou a cultura não foi o valor, foi a reação. O CEO Ben Zhou transformou a resposta numa transmissão quase em direto: atualizações ao minuto, uma garantia pública de solvência e, sobretudo, a divulgação dos relatórios forenses preliminares da Sygnia e da Verichains poucos dias após o ataque. A Bybit lançou ainda um programa de recompensas de cerca de 123 milhões de euros para rastrear e congelar os fundos, noticiado pela TechCrunch. Ao abrir as entranhas do incidente enquanto ele ainda decorria, a Bybit estabeleceu um novo teto de transparência: esconder passou a custar mais à reputação do que expor.

Cartas ao ladrão: a negociação on-chain

Há um subgénero dentro da autópsia que não tem equivalente nas finanças tradicionais: a correspondência pública com o atacante. Em março de 2023, a Euler Finance foi drenada em quase 175 milhões de euros através de uma série de flash loans. Seguiu-se uma troca de mensagens gravadas na própria blockchain. «Queremos facilitar isto a todos os afetados. Não temos intenção de ficar com o que não é nosso», escreveu o atacante. A Euler ofereceu uma recompensa de 10%, cerca de 17 milhões de euros, e ameaçou com um prémio por informação caso o restante não regressasse.

Funcionou. Semanas depois, o atacante devolveu a totalidade dos fundos recuperáveis, um desfecho documentado pelo The Block. A negociação on-chain, com as suas cartas abertas, prazos e ultimatos, tornou-se parte do ritual. Onde não há tribunal com jurisdição clara, negoceia-se à vista de todos, e a transcrição fica gravada para sempre no livro-razão.

Safe Harbor: institucionalizar o resgate

O passo seguinte foi transformar o improviso em moldura legal. A Security Alliance (SEAL) criou o Whitehat Safe Harbor, uma oferta unilateral e juridicamente vinculativa que um protocolo publica de antemão: um whitehat que intervenha durante um ataque ativo para pôr fundos a salvo fica protegido, desde que os devolva num prazo de 72 horas e cumpra as regras. A recompensa fixa-se em 10% do recuperado, com um teto de cerca de 880 mil euros, e exige verificação KYC e conformidade com listas de sanções.

É a institucionalização do resgate. Segundo a SEAL, o acordo já cobre mais de 60 mil milhões de euros em ativos, em mais de vinte protocolos, entre eles nomes como Uniswap, Aave e PancakeSwap. O whitehat, antes uma figura ambígua a meio caminho entre o herói e o suspeito, ganhou um estatuto codificado. A autópsia deixou de terminar no diagnóstico e passou a incluir um protocolo de emergência com regras conhecidas por todos.

Anatomia comparada: seis autópsias que fizeram cultura

Nem todos os post-mortem são iguais. Cada caso legou à cultura uma marca própria, do precedente jurídico à referência de engenharia. A tabela abaixo resume seis autópsias que moldaram o género.

Repare-se no arco. The DAO e Mango levaram a autópsia ao terreno filosófico e jurídico; o caso Mango chegou mesmo a tribunal, mas as condenações de Avraham Eisenberg foram anuladas em maio de 2025 por questões de foro, reabrindo o debate sobre se manipular um protocolo é crime ou apenas um «trade rentável». A UwU Lend, pelo contrário, ficou como monumento de engenharia: a dissecação da SlowMist é leitura obrigatória sobre como um oráculo que confia num único preço de baixa liquidez pode ser virado do avesso com um flash loan.

2026 em números: menos código, mais chaves

Os dados do primeiro semestre de 2026 contam uma mudança de fundo. Dos 207 incidentes contabilizados pela TRM Labs, 125 foram explorações de smart contract, a maioria em número. Mas o dinheiro conta outra história: os compromissos de infraestrutura e de chaves privadas representaram apenas cerca de 15% dos casos e, ainda assim, quase 76% do valor roubado. O maior ataque do semestre, à KelpDAO, custou 256 milhões de euros; o segundo, à Drift Protocol, uns 250 milhões. Grupos ligados à Coreia do Norte responderam por cerca de 565 milhões de euros, dois terços do total.

A leitura é desconfortável para a velha cultura da autópsia. Durante anos, o post-mortem foi um exercício de Solidity: reentrâncias, oráculos, erros de arredondamento. Hoje, o desastre médio (a perda mediana rondou os 192 mil euros) nasce cada vez mais de phishing, chaves roubadas e engenharia social, muitas vezes com recurso a vídeo e voz gerados por IA. A Chainalysis estimou em quase 3 mil milhões de euros o total roubado em 2025. A autópsia do futuro terá menos de auditoria de contrato e mais de investigação criminal.

MiCA, a CMVM e o post-mortem como último recurso

Para o leitor português, a pergunta prática é simples: e se for a minha carteira? A resposta depende de onde o dinheiro estava. Numa casa de câmbio centralizada abrangida pelo MiCA, há um responsável identificável, e a supervisão reparte-se entre a CMVM, no plano da conduta de mercado, e o Banco de Portugal, no registo de prestadores e nas stablecoins. O período transitório para os antigos VASP nacionais se autorizarem como CASP expirou a 1 de julho de 2026, poucos dias antes destas linhas, ao abrigo da Lei n.º 69/2025, em vigor desde 27 de dezembro de 2025.

O problema é que a maioria das autópsias deste artigo não envolve casas de câmbio, mas protocolos DeFi sem intermediário. E aí o MiCA cala-se: exclui expressamente a DeFi totalmente descentralizada do seu perímetro. Um utilizador português apanhado num exploit à Euler ou à KelpDAO não tem CASP a quem reclamar, nem queixa a apresentar na CMVM, nem fundo de garantia que o cubra. Nesse vazio, o post-mortem público, a negociação on-chain e as normas whitehat não são um extra jornalístico: são, literalmente, o único recurso disponível. Bruxelas só deverá abordar a DeFi numa segunda fase, previsivelmente entre 2027 e 2028.

O que separa uma autópsia honesta de um comunicado

Dez anos de prática deixaram critérios razoavelmente claros sobre o que distingue um post-mortem a sério de um comunicado de gestão de danos. Os melhores partilham quatro traços:

• Velocidade e franqueza: conclusões preliminares em horas ou dias, mesmo incompletas, em vez de silêncio até a narrativa estar polida.
• Causa-raiz sem álibi: identificar o erro técnico e a decisão humana que o permitiu, sem o diluir em «circunstâncias externas».
• Prova verificável: cronologia ao bloco, endereços e hashes de transação, para que qualquer pessoa possa refazer a investigação.
• Seguimento: correções, auditorias e, quando possível, compensação, com estado público até ao fim do processo.

Um comunicado faz o oposto: fala em «incidente de segurança», omite montantes, atribui culpas ao éter e desaparece. A diferença não é cosmética. Num setor sem credor de última instância, a transparência é o único balanço que resta, e o post-mortem é o instrumento que a torna executável. Como avisou Kazmierczak, a confiança não desaparece; muda de sítio. A autópsia bem feita é o que decide para onde.

Dez anos depois de The DAO, a cripto não resolveu o problema das falhas catastróficas, mas construiu à sua volta uma cultura de prestação de contas que quase nenhuma outra indústria tem: pública, rápida, verificável e, muitas vezes, incómoda. Enquanto os fundos continuarem a desaparecer aos milhões, o género continuará a escrever-se. A pergunta que fica não é se haverá mais autópsias, mas se as leremos a tempo de a próxima ser mais curta.

Por João Ferreira, editor sénior da HOGE Wire, edição portuguesa.