Depois do post-mortem: quem sobrevive ao hack e quem desaparece

Depois do post-mortem, a pergunta que ninguém faz

A cripto transformou o colapso catastrófico num género público próprio. Documentos de autópsia publicados horas depois de um exploit, negociações on-chain com atacantes anónimos, leaderboards de vergonha coletiva. Esse ritual já foi analisado à exaustão, incluindo nesta publicação. O que raramente se conta é o que acontece depois de o post-mortem ser publicado, quando as luzes da imprensa se apagam e o protocolo fica sozinho a decidir se continua a existir.

A resposta não é óbvia nem previsível a partir do tamanho do roubo. A Ronin Network perdeu mais de 600 milhões de dólares em 2022 e hoje é uma das cadeias de jogos mais ativas da indústria. A Bunni perdeu menos de 10 milhões de dólares em 2025 e fechou portas para sempre poucas semanas depois. Entre estes dois extremos há uma dezena de casos que, olhados em conjunto, revelam um padrão bastante mais consistente do que o valor em dólares do exploit: o que separa quem sobrevive de quem desaparece tem muito mais a ver com o que acontece nas primeiras 72 horas e nos meses seguintes do que com a gravidade do próprio hack.

Para quem tem capital exposto a protocolos DeFi, seja diretamente, seja através de produtos que investem neles, esta distinção importa mais do que o próprio post-mortem. Um documento de transparência bem escrito não paga a ninguém; a capacidade e a vontade de reconstruir, sim. E essa capacidade revela-se muito antes de qualquer relançamento oficial, nas primeiras decisões que uma equipa toma depois de descobrir que foi roubada.

O que significa, na prática, sobreviver a um hack

Sobreviver, para efeitos deste artigo, significa três coisas ao mesmo tempo: o protocolo mantém ou recupera uma fração relevante da atividade que tinha antes do incidente, a equipa continua a desenvolver o produto (ou um sucessor direto dele) e o público em geral continua a mencioná-lo como um projeto ativo, não como um caso de estudo arquivado. Desaparecer cobre um espetro mais amplo do que o encerramento formal: inclui «cadeias zombie» que tecnicamente ainda existem mas perderam toda a relevância prática, e inclui também protocolos cujo próprio post-mortem nunca chegou a ser escrito porque não sobrou ninguém para o escrever.

O mesmo padrão aplica-se, aliás, fora do universo dos protocolos descentralizados. Quando a Bybit sofreu o maior hack de sempre em fevereiro de 2025, cerca de 1,5 mil milhões de dólares (1,3 mil M€) atribuídos a hackers norte-coreanos, o CEO Ben Zhou optou por publicar atualizações ao vivo e relatórios forenses preliminares dias depois do ataque, dizendo que «a nossa resposta passa, acima de tudo, por manter a transparência». A Bybit continua, hoje, entre as maiores exchanges do mundo. Este artigo foca-se em protocolos descentralizados, não em exchanges centralizadas, mas o paralelo é útil: a transparência imediata parece pesar tanto ou mais do que a dimensão do problema.

Os dez casos escolhidos para este artigo cobrem um intervalo de cinco anos, entre 2021 e 2026, e tipos de protocolo muito diferentes entre si: pontes cross-chain, plataformas de lending, um exchange descentralizado e até uma stablecoin algorítmica. Nem todos encaixam perfeitamente numa categoria binária de sobreviveu ou morreu, e essa ambiguidade é, em si, parte da resposta: a linha entre os dois destinos é normalmente mais desfocada do que os títulos de imprensa sugerem no dia do próprio hack.

• Ronin Network: 625 M$ roubados em 2022, sobreviveu e cresceu
• Euler Finance: 197 M$ roubados em 2023, sobreviveu depois de mais de um ano de silêncio
• Mango Markets: 110 M$ roubados em 2022, morreu lentamente ao longo de dois anos e meio
• Bunni: 8,4 M$ roubados em 2025, morreu em semanas

As secções seguintes percorrem estes e outros casos concretos, para depois isolar os fatores que realmente parecem pesar na balança entre sobreviver e desaparecer.

Ronin: o reembolso total que devolveu a confiança ao gaming on-chain

Em março de 2022, atacantes ligados à Coreia do Norte comprometeram validadores suficientes da Ronin Network, a sidechain criada pela Sky Mavis para o jogo Axie Infinity, para aprovar levantamentos fraudulentos que somaram cerca de 625 milhões de dólares (548 M€) em ETH e USDC. Foi, na altura, o maior hack da história da cripto, e só foi descoberto seis dias depois, quando um jogador reportou um levantamento falhado.

O ataque, atribuído por investigadores e pelas autoridades norte-americanas ao grupo Lazarus, tornou-se um dos pontos mais citados do post-mortem do próprio incidente: quanto mais tempo passa entre o ataque e a descoberta, mais difícil é conter o dano e mais caro se torna o eventual reembolso. Ainda assim, a resposta da Sky Mavis definiu o padrão que os casos seguintes deste artigo tentam replicar. A empresa suspendeu a bridge de imediato e anunciou publicamente o compromisso de tornar os utilizadores inteiros. Aleksander Larsen, diretor de operações da Sky Mavis, disse na altura que «estamos totalmente empenhados em reembolsar os nossos jogadores o mais rapidamente possível». Semanas depois, a empresa fechou uma ronda de 150 milhões de dólares liderada pela Binance, combinada com fundos de tesouraria, para cobrir a totalidade do buraco.

A Ronin Bridge reabriu em junho de 2022 como Ronin Bridge V2, com um conjunto de validadores alargado e novos limites de segurança. Em 2026, a Ronin continua ativa como infraestrutura de jogos on-chain, muito para além do Axie Infinity que lhe deu origem, o que a torna o exemplo mais citado de recuperação total depois de um hack de nove dígitos.

Wormhole: o backstop que chegou no próprio dia

A 2 de fevereiro de 2022, um erro na verificação de assinaturas da bridge Wormhole, que liga Solana a Ethereum e a outras redes, permitiu a um atacante cunhar cerca de 320 milhões de dólares (281 M€) em wETH sem o colateral correspondente. Foi um dos maiores hacks de sempre em pontes cross-chain, mas o desfecho ficou decidido em menos de 24 horas.

A Jump Crypto, unidade de ativos digitais da gigante de trading Jump Trading e apoiante da Wormhole, substituiu a totalidade dos fundos roubados praticamente no dia seguinte, sem esperar por uma investigação forense completa nem por uma votação de governança. Nem todos os protocolos têm este luxo: a maioria, sobretudo os mais pequenos ou os que se orgulham de não ter uma entidade central por trás, simplesmente não tem a quem recorrer numa emergência desta escala. Essa ausência de um «backstop» central é, em parte, o preço da descentralização.

Um ano depois, em fevereiro de 2023, a Jump Crypto e a plataforma Oasis.app foram ainda mais longe: com uma ordem do Tribunal Superior de Inglaterra e País de Gales, recuperaram cerca de 225 milhões de dólares (197 M€) que o atacante original tinha deixado em posições de colateral abertas noutros protocolos DeFi, devolvendo esse valor a carteiras seguras. A Wormhole continua, em 2026, entre as infraestruturas de mensagens cross-chain mais usadas da indústria.

Euler Finance: o relançamento mais estudado da indústria DeFi

Em março de 2023, um atacante explorou uma falha no mecanismo de liquidação da Euler Finance através de uma sequência de flash loans e doações de tokens, drenando cerca de 197 milhões de dólares (173 M€) do protocolo. Ao contrário da Ronin ou da Wormhole, a Euler não tinha um investidor disposto a cobrir o buraco no imediato, e a equipa suspendeu toda a atividade.

O que se seguiu foi um dos episódios de negociação on-chain mais citados da história cripto: o atacante devolveu progressivamente quase a totalidade dos fundos ao longo de duas semanas, acompanhando as transferências com a mensagem «No intention of keeping what is not ours». Mas a devolução do dinheiro não significou o regresso imediato do protocolo. A Euler Labs ficou mais de um ano sem lançar produto novo, reconstruindo a base de código do zero.

Michael Bentley, CEO da Euler Labs, resumiu o ceticismo que a equipa enfrentou nesse período: «muita gente escreveu-nos como acabados e disse que seria perfeitamente normal terminarmos o projeto ali mesmo». Em vez disso, a Euler v2 estreou-se na mainnet Ethereum em setembro de 2024, depois de passar por 31 auditorias independentes, quase um ano e meio depois do ataque. A cautela extrema fez parte da estratégia deliberada de reconstrução de confiança: quando finalmente lançou incentivos em EUL para atrair liquidez, usou um orçamento modesto, da ordem dos poucos milhões de dólares, numa altura em que protocolos concorrentes ofereciam dezenas de milhões para atrair os mesmos utilizadores. Bentley atribuiu a maior parte do crescimento seguinte não aos incentivos, mas ao ajuste do produto às necessidades reais do mercado.

A aposta compensou. Em abril de 2026, a Euler v2 tinha cerca de 890 milhões de dólares (781 M€) em valor total bloqueado, repartidos por cofres de stablecoins, ativos de staking líquido e colateral do mundo real, tornando-a o exemplo de referência sempre que se discute se um protocolo DeFi consegue reconstruir credibilidade depois de um hack de nove dígitos.

Curve Finance: sobreviver sem voltar ao pico

A 30 de julho de 2023, várias pools da Curve Finance foram exploradas através de uma falha no compilador Vyper que afetava o bloqueio de reentrância em certas versões da linguagem, permitindo ataques de reentrância cruzada entre funções. As estimativas de perdas variam entre 50 e 70 milhões de dólares (44 a 61 M€) consoante a metodologia.

O incidente gerou receios adicionais porque várias pools da Curve funcionam como base de liquidez para stablecoins amplamente usadas noutros protocolos; uma perda de confiança nessas pools teria efeitos em cascata muito para além da própria Curve, o que ajuda a explicar porque é que boa parte da indústria DeFi acompanhou a resposta em tempo real, incluindo contribuições voluntárias de outros protocolos para ajudar a cobrir o défice. A Curve teve ainda um fator que faltou à maioria dos outros casos: um exploiter devolveu voluntariamente cerca de 12,7 milhões de dólares (11 M€) menos de uma semana depois do ataque, e a governança da Curve aprovou um plano que usou 71.768.597,75 CRV do fundo comunitário para compensar utilizadores afetados, distribuídos ao longo de um ano.

A recuperação, no entanto, não foi total. O valor total bloqueado da Curve, que tinha chegado a um pico de vários milhares de milhões de dólares antes do ataque, caiu abruptamente. Dados mais recentes sugerem uma recuperação parcial, com volumes de negociação diários a bater máximos históricos em 2026, ainda que o valor total bloqueado continue abaixo do pico pré-hack. A Curve é talvez o caso mais interessante deste artigo precisamente porque não encaixa perfeitamente em nenhuma das duas categorias: não morreu, mas também nunca voltou a ser o que era.

Dez casos, dois destinos

A tabela seguinte resume dez casos que ilustram bem o espetro completo, desde o regresso quase total até ao desaparecimento sem sequer um post-mortem formal.

Um padrão salta à vista assim que se olha para a coluna do valor roubado ao lado da coluna do estado atual: não há correlação direta. A Ronin perdeu mais do que qualquer outro caso da lista e está entre os que melhor recuperaram; a Bunni perdeu menos do que qualquer outro caso e é o único encerramento definitivo por falta de capital, não por falta de vontade.

O caso da Bunni merece um parêntesis, por ser o mais recente e o mais claro exemplo de morte por falta de meios. O exploit de 8,4 milhões de dólares (7,4 M€), em setembro de 2025, explorou um erro de arredondamento que a auditora Trail of Bits já tinha sinalizado anos antes, sem que a correção da equipa cobrisse exatamente aquele cenário. A correção técnica do problema não foi o obstáculo: a equipa encerrou permanentemente no outono de 2025 porque não conseguiu angariar o orçamento, da ordem de seis a sete dígitos, necessário para financiar um programa de segurança à altura de um relançamento credível. Já analisámos este caso em detalhe, incluindo o contraste entre o fim da Bunni e a sobrevivência da própria Trail of Bits enquanto auditora, neste artigo sobre os limites dos audits.

Mango Markets: a morte lenta por inviabilidade económica

O exploit da Mango Markets, executado por Avraham Eisenberg em outubro de 2022 através da manipulação do preço do token MNGO, drenou cerca de 110 milhões de dólares (96 M€) e terminou com a DAO a votar deixar o atacante ficar com aproximadamente 47 milhões de dólares em troca da devolução do resto. O desfecho judicial desse caso, incluindo a condenação de Eisenberg em 2024 e a reviravolta que anulou todas as condenações em 2025, já foi amplamente documentado e é uma história por si só.

O que aconteceu à própria Mango Markets depois disso é uma história separada, e menos citada. Em setembro de 2024, a Mango DAO chegou a acordo com a SEC (Securities and Exchange Commission dos EUA), que alegava venda de valores mobiliários não registados: a DAO concordou destruir os tokens MNGO, remover a listagem em exchanges e pagar 700 mil dólares (614 mil €) em coimas. A esse desgaste juntaram-se disputas internas sobre tokens MNGO detidos pela massa falida da FTX, e vários colaboradores manifestaram publicamente vontade de abandonar o projeto.

A 13 de janeiro de 2025, a própria DAO e a equipa de desenvolvimento aprovaram alterações às taxas de juro e requisitos de colateral que tornaram o empréstimo na plataforma economicamente inviável, um encerramento de facto sem um anúncio dramático. Não houve um momento único de morte, como na Bunni; houve um desgaste de dois anos e meio até já não haver negócio nenhum para continuar.

Terra/LUNA: a cadeia zombie e o fim do caso Do Kwon

O colapso da Terra, em maio de 2022, não foi um hack no sentido técnico deste artigo, não houve exploração de uma falha de código, mas gerou uma cultura de post-mortem tão intensa como qualquer exploit de contrato inteligente, porque apagou cerca de 40 mil milhões de dólares (35 mil milhões de euros) em valor de mercado em poucos dias, quando a stablecoin algorítmica TerraUSD perdeu a paridade com o dólar e arrastou o token LUNA consigo. O colapso teve efeitos muito para além da própria Terra: ajudou a desencadear a falência em cadeia de mutuárias como a Three Arrows Capital, a Celsius e a Voyager, todas fortemente expostas ao ecossistema, um efeito de contágio que tornou 2022 no pior ano da história recente da indústria em termos de confiança.

Do Kwon propôs um hard fork, batizado Terra 2.0, que distribuiu novo LUNA aos detentores da cadeia original, renomeada Terra Classic. Nenhuma das duas cadeias resultantes recuperou uma fração relevante da relevância que a Terra tinha antes do colapso; ambas sobrevivem tecnicamente, mas na periferia da indústria, o exemplo mais claro deste artigo do que significa uma «cadeia zombie».

O capítulo judicial só se fechou em 2026. Do Kwon declarou-se culpado de duas acusações de conspiração para cometer fraude e fraude eletrónica, evitando um julgamento que estava marcado para janeiro de 2026. A sentença está agendada para 11 de dezembro de 2026, com o acordo de culpa a limitar a pena máxima a 12 anos, quando o limite legal seria 25. Para quem quiser acompanhar como os tribunais têm lidado com outros protagonistas de exploits cripto, incluindo o próprio Eisenberg e os fundadores da Tornado Cash, este outro artigo reúne os casos mais relevantes.

Multichain: o colapso que nunca teve post-mortem

A Multichain, uma das maiores infraestruturas de pontes cross-chain da indústria, não morreu por causa de um exploit de código. Morreu porque, a 21 de maio de 2023, a polícia chinesa deteve o CEO da empresa, conhecido como Zhaojun, que controlava pessoalmente as chaves dos servidores MPC que operavam a bridge. A irmã de Zhaojun foi detida a 13 de julho.

Entre 6 e 7 de julho de 2023, cerca de 265 milhões de dólares (232 M€) saíram da Multichain em circunstâncias nunca totalmente esclarecidas, sem que ficasse claro se se tratou de um exploit externo ou de uma ação interna. A Circle e a Tether conseguiram congelar cerca de 65,82 milhões de dólares (58 M€) em stablecoins associadas às saídas, mas o resto nunca foi recuperado. O colapso teve ainda um efeito em cadeia sobre as redes que dependiam da Multichain para conectividade cross-chain, sobretudo a Fantom, que via boa parte da sua liquidez circular através das suas pontes e ficou subitamente isolada de outros ecossistemas.

A 14 de julho de 2023, a Multichain anunciou o encerramento permanente das operações, citando a impossibilidade de continuar sem acesso às chaves nem fundos operacionais. É o caso mais extremo deste artigo precisamente porque nunca produziu um post-mortem formal no sentido em que esta publicação normalmente usa o termo: não houve equipa disponível para escrever um documento de transparência, votar uma compensação ou negociar com um atacante, porque não ficou ninguém do lado de dentro para o fazer. Quem hoje segue os movimentos de fundos ligados a este tipo de colapsos sabe que boa parte do rasto da Multichain continua, anos depois, por explicar.

Nomad: relançado, mas nunca ressuscitado

A 1 de agosto de 2022, uma atualização de rotina introduziu uma falha na bridge Nomad que permitia a qualquer pessoa replicar a transação de exploração original, substituindo apenas o endereço de destino. O resultado foi o que a imprensa da altura chamou de «saque caótico»: em vez de um único atacante sofisticado, centenas de carteiras diferentes participaram, copiando literalmente a transação de outros utilizadores, num total de cerca de 190 milhões de dólares (167 M€) retirados.

A equipa ofereceu um bounty de 10% a quem devolvesse fundos de boa fé, e recuperou cerca de 20% do total, uns 37 milhões de dólares (32 M€), nas duas semanas seguintes. A bridge reabriu em dezembro de 2022 com um contrato corrigido, mas nunca recuperou tração: o endereço de recuperação chegou a ter apenas cerca de 1 milhão de dólares (877 mil €) em depósitos no início de 2025, uma fração residual do que a bridge movia antes do ataque.

O capítulo mais recente da história da Nomad nem sequer veio da comunidade cripto. Em dezembro de 2025, a empresa responsável pela Nomad, a Illusory Systems, chegou a acordo com a FTC (Federal Trade Commission dos EUA), a agência de proteção ao consumidor, depois de esta alegar «práticas de segurança injustas»: a ausência de mecanismos de interrupção automática, os chamados «circuit breakers» ou «kill switches», e código insuficientemente testado. O acordo obriga a empresa a implementar um novo programa de segurança da informação e a devolver qualquer criptomoeda recuperada que ainda detenha.

A reação da indústria foi imediata. Quatro associações do setor cripto e a Consensys, empresa por trás da carteira MetaMask, contestaram os termos do acordo, argumentando que exigir um «kill switch» não é uma prática padrão da indústria e implicaria um grau de controlo centralizado incompatível com o desenho de protocolos descentralizados. Para o resto da indústria, o caso é um aviso: a responsabilização por um hack pode já não se limitar a auditores, tribunais criminais ou votos de DAO. Reguladores de proteção ao consumidor, historicamente distantes da cripto, começam a testar se as suas competências tradicionais se aplicam também a código publicado sem intermediário.

O que separa quem sobrevive de quem desaparece

Olhando para os dez casos em conjunto emergem cinco fatores que parecem pesar mais do que qualquer outro na sobrevivência de um protocolo.

Nenhum destes fatores, isoladamente, garante nada. A Curve teve comunicação rápida e reembolso parcial e ainda assim não recuperou o pico. Mas os casos que reúnem três ou mais destes fatores em simultâneo, Ronin, Wormhole e Euler, são também os três exemplos mais citados de recuperação total nesta lista. Vale ainda notar que nenhum destes fatores depende de o protocolo ser mais ou menos descentralizado no papel: a Euler tem uma equipa identificável, a Curve tem uma DAO com processo de voto público, e ambas conseguiram agir depressa. A verdadeira variável parece ser a existência de um ponto de decisão claro, seja uma empresa, seja uma DAO funcional, capaz de comprometer capital rapidamente.

Seguros on-chain e tesourarias: a rede de segurança que ainda é pequena

Uma parte do que separa os sobreviventes dos casos que desapareceram é, no fundo, uma questão de capital disponível no momento certo. A Sky Mavis tinha investidores dispostos a financiar uma ronda de emergência; a Jump Crypto tinha balanço próprio para cobrir a Wormhole; a Curve tinha um fundo comunitário em CRV. Protocolos mais pequenos ou mais novos raramente têm qualquer uma destas opções.

Existem tentativas de institucionalizar essa rede de segurança. Fundos de seguro on-chain como a Nexus Mutual, ou plataformas mais recentes como a Chainproof, prometem pagamentos de sinistros em poucas semanas a partir de dados on-chain. Este tipo de mecanismo tem paralelos com o debate sobre seguro em cascata que já existe no restaking, onde a pergunta de fundo é a mesma: quem paga quando vários protocolos falham ao mesmo tempo.

Na prática, porém, os valores pagos continuam pequenos face à escala das perdas do setor. Os hacks de protocolos cripto somaram cerca de 972 milhões de dólares (850 M€) apenas no primeiro semestre de 2026, segundo a TRM Labs, e a generalidade das apólices de seguro on-chain pagou, em casos individuais recentes, valores da ordem das centenas de milhares de dólares, não milhões. A forma como uma tesouraria própria é gerida, um tema que já explorámos em detalhe a propósito das tesourarias corporativas cripto, continua a pesar mais do que qualquer apólice de seguro disponível hoje no mercado.

O que isto significa para quem investe a partir de Portugal

Para um investidor de retalho em Portugal, a distinção entre sobreviver e desaparecer tem uma implicação prática direta: o MiCA, o Regulamento dos Mercados de Criptoativos, que entrou em vigor por completo em toda a UE a 1 de julho de 2026 para os prestadores de serviços portugueses, regula prestadores de serviços de criptoativos (CASP), como exchanges e custodiantes, supervisionados em Portugal pela CMVM e pelo Banco de Portugal. O regulamento não chega aos protocolos verdadeiramente descentralizados como a Euler, a Curve ou a Mango Markets: se o exploit acontece num contrato inteligente sem operador central, não há CASP para reclamar nem processo de queixa junto do regulador nacional.

O caso da Nomad, descrito acima, mostra que também não existe ainda, na União Europeia, um equivalente direto à exigência da FTC norte-americana de mecanismos de interrupção obrigatórios no código. Na prática, quem investe em protocolos descentralizados a partir de Portugal está exposto ao mesmo espetro de desfechos descrito neste artigo, sem rede de proteção regulatória adicional. O melhor indicador disponível, à falta de garantias legais, continua a ser o comportamento do próprio protocolo nas primeiras horas depois de um incidente, um ponto que os próprios limites das auditorias já tornam evidente.

Na ausência de garantias legais equivalentes às de uma conta bancária, alguns sinais práticos ajudam a antecipar se um protocolo tem hipóteses de sobreviver a um incidente:

• Velocidade e clareza da primeira comunicação pública, idealmente nas primeiras 24 a 48 horas
• Existência de tesouraria própria ou investidores dispostos a financiar uma resposta de emergência
• Manutenção da equipa fundadora ou técnica em vez da sua dispersão imediata
• Histórico de auditorias contínuas, não apenas uma auditoria única antes do lançamento
• Precedentes de reembolso total ou parcial noutros incidentes anteriores da mesma equipa

Perguntas Frequentes

O que é um post-mortem de protocolo cripto?

Um post-mortem de protocolo cripto é um documento técnico, geralmente publicado dias ou semanas depois de um hack ou exploit, que explica a causa raiz do incidente, o valor perdido, as medidas tomadas para conter os danos e os passos seguintes, incluindo eventuais planos de compensação. Tornou-se uma prática quase universal na indústria desde casos como o da DAO em 2016, funcionando como o principal mecanismo de prestação de contas num setor onde raramente existe um regulador central a investigar.

Porque é que alguns protocolos cripto recuperam de um hack e outros desaparecem para sempre?

Os casos analisados neste artigo sugerem que o fator mais determinante não é o valor roubado, mas a combinação de reembolso rápido aos utilizadores, comunicação transparente nas primeiras 72 horas, uma equipa que se mantém unida em vez de se dispersar, e acesso a capital de reserva, seja tesouraria própria, investidores ou fundo comunitário do token, para financiar a resposta imediata e um eventual relançamento.

Os utilizadores recuperam sempre o dinheiro depois de um hack cripto?

Não. Casos como a Ronin Network e a Wormhole mostram reembolsos totais ou quase totais, muitas vezes em dias; outros, como a Nomad ou a Multichain, deixaram a maioria das vítimas sem qualquer compensação. Ao contrário do setor financeiro tradicional, a maioria dos protocolos DeFi não tem um fundo de garantia de depósitos nem um regulador que force a compensação, pelo que o resultado depende quase inteiramente da vontade e da capacidade financeira de cada equipa.

O que aconteceu ao dinheiro roubado na Ronin Network e na Wormhole?

Na Ronin, a Sky Mavis reembolsou os utilizadores combinando uma ronda de financiamento de 150 milhões de dólares liderada pela Binance com fundos de tesouraria própria. Na Wormhole, a Jump Crypto substituiu a totalidade dos cerca de 320 milhões de dólares roubados praticamente no dia seguinte ao ataque, e em 2023 ainda recuperou mais 225 milhões de dólares de posições que o atacante tinha deixado abertas noutros protocolos.

Existe proteção legal para vítimas de hacks em protocolos DeFi na União Europeia?

O MiCA regula prestadores de serviços de criptoativos centralizados, como exchanges e custodiantes, supervisionados em Portugal pela CMVM e pelo Banco de Portugal, mas não abrange protocolos verdadeiramente descentralizados. Uma vítima de um exploit num protocolo DeFi sem operador central não tem, hoje, um mecanismo de queixa junto de um regulador europeu equivalente ao que existe para uma exchange licenciada; o recurso disponível seria, quando muito, uma ação penal ou civil autónoma.

Marcus Okafor é jornalista da HOGE Wire, especializado em cultura e segurança cripto.