Anatomia de um post-mortem: quando a falha já não é código

«A carteira estava em ordem. O contrato tinha sido auditado. E o dinheiro saiu à mesma.» A frase resume o ano de 2026 na segurança da cripto melhor do que qualquer gráfico. Os maiores roubos do primeiro semestre não nasceram de um erro numa linha de código, mas de uma assinatura que um humano deu sem perceber, de uma chave que se desfez peça a peça, de um verificador único que ninguém questionou.

O post-mortem, o documento que um protocolo publica depois de ser esvaziado, mudou de forma para acompanhar essa viragem. Durante anos foi um exercício de engenharia: aqui está o bug, aqui está a linha, aqui está a correção. Em 2026, a autópsia tem de explicar coisas mais incómodas, como alguém convenceu um signatário legítimo a assinar, ou por que motivo um só nó tinha poder para libertar 116 500 tokens.

Este texto é um guia para ler esse documento: o que uma autópsia séria contém, o que as omissões escondem e por que razão o número gigante no topo raramente conta a história toda. Servem de espécimes a vaga de 2026 (Drift, Kelp DAO, THORChain, Resolv, Wasabi) e o precedente que reorganizou tudo, o assalto à Bybit em 2025.

O ano em que a autópsia deixou de falar de código

No primeiro semestre de 2026, a TRM Labs contou 207 incidentes e cerca de 972 milhões de dólares (à volta de 842 milhões de euros) roubados, o maior número de incidentes de sempre num semestre, ainda que com perdas 58% abaixo dos 2,3 mil milhões de dólares do mesmo período de 2025. O dado que interessa não é o total, é a distribuição. Os exploits de contratos inteligentes foram 125 dos 207 casos (61%), mas representaram uma fração pequena do valor; os comprometimentos de infraestrutura e de operações, cerca de 15% dos incidentes, levaram perto de 76% de todo o dinheiro.

Traduzindo: a maioria dos ataques continua a mirar o código, mas o dinheiro grande saiu por chaves, assinaturas e pessoas. É esta viragem que muda o que um post-mortem tem de explicar e, do outro lado, o que o leitor tem de exigir. As conversões para euro nesta peça usam a cotação de agosto de 2026, à volta de 1,15 dólares por euro, segundo a Trading Economics.

O que é um post-mortem, e de onde veio o hábito

Na origem, um post-mortem é uma prática importada da engenharia de fiabilidade, a cultura blameless dos SRE, com raízes na aviação e na medicina: reconstituir um incidente sem caçar um bode expiatório, para que a organização aprenda. Na cripto, o género herdou também o vocabulário do software livre e dos videojogos. Assenta em quatro promessas: uma cronologia honesta, uma causa-raiz técnica, um plano de remediação e, quando há dinheiro de utilizadores em jogo, um plano de reembolso.

A diferença é que, onde o blameless clássico existe para proteger o engenheiro, na cripto o post-mortem virou também peça de relações públicas, de defesa jurídica e, por vezes, de gestão do preço do token. Ler bem uma autópsia é, por isso, separar a engenharia da encenação. A mesma frase pode ser um mea culpa técnico ou um comunicado de crise, consoante quem segura na caneta.

As sete secções de uma autópsia que se leva a sério

Antes de olhar para os casos, convém fixar a grelha. Um post-mortem credível tem quase sempre as mesmas sete secções; a ausência de qualquer uma delas é, por si só, informação.

Nenhuma destas secções é decorativa. A cronologia é o que permite distinguir um ataque relâmpago de uma hemorragia lenta que passou dias despercebida; a causa-raiz separa o azar do descuido; e o reembolso, quase sempre a última linha, é o que transforma um desastre técnico num problema de confiança. Um post-mortem que falha três destas sete secções não é uma autópsia, é um comunicado.

A vaga que vamos dissecar, num relance (perdas aproximadas, à cotação de agosto de 2026):

Drift: engenharia social, nonces duráveis e uma assinatura que ninguém leu

A 1 de abril de 2026, às 16h05 UTC, um atacante drenou cerca de 285 milhões de dólares (perto de 247 milhões de euros) da Drift, mais de metade do valor bloqueado, em cerca de duas horas e meia, segundo a Chainalysis. O post-mortem não fala de um bug. Fala de meses de preparação. Os atacantes fizeram-se passar por uma empresa de trading quantitativo, depositaram mais de um milhão de dólares para ganhar credibilidade e cultivaram relações com contribuidores do protocolo desde o outono de 2025.

Depois vieram os passos técnicos. Criaram um token de colateral falso, o CVT, controlaram cerca de 80% da oferta e manipularam-lhe o preço para perto de um dólar através de negociação circular. Em seguida, usando os durable nonces da Solana (um mecanismo que permite pré-assinar transações para execução posterior), obtiveram de membros do conselho de segurança assinaturas antecipadas em transações que, afinal, entregavam o controlo administrativo do protocolo. Como descreve a Chainalysis, o atacante conseguiu que signatários legítimos pré-aprovassem o ataque sem darem por isso.

O detalhe do token falso merece uma pausa. Ao fabricar um ativo, controlar-lhe a oferta e simular-lhe um preço próximo de um dólar, os atacantes não exploraram uma falha de código; exploraram a confiança que o protocolo depositava nos seus próprios oráculos e listas de garantias. Um colateral só vale o que vale a fonte que lhe fixa o preço, e essa fonte raramente cabe no âmbito de uma auditoria de contrato.

Com o controlo na mão, depositaram 500 milhões de CVT como garantia e levaram 285 milhões em 18 ativos diferentes, incluindo 71,4 milhões em USDC e 159,3 milhões no token de liquidez JLP. Pelo menos 20 protocolos sentiram o efeito de contágio. A atribuição aponta para atores ligados à Coreia do Norte, ainda sem confirmação formal. Repare no essencial: o conselho de segurança, esse órgão que na prática decide quem pode mover fundos, foi o ponto de falha, e não o contrato. É exatamente o tipo de estrutura de poder que analisámos a propósito da governação comunitária das DAO.

Kelp DAO: 292 milhões, zero bugs encontrados

A 18 de abril de 2026, às 17h35 UTC, o OFTAdapter da Kelp libertou 116 500 rsETH (cerca de 292 milhões de dólares, à volta de 253 milhões de euros) em resposta a uma mensagem cross-chain que dizia vir da Unichain, mas que nenhuma transação na Unichain alguma vez emitiu, segundo a CoinDesk. Foi o maior exploit de DeFi de 2026, e não havia contrato para culpar.

A configuração da bridge dependia de um verificador único (um esquema de 1-de-1), com a LayerZero Labs como único validador das mensagens, ao contrário do modelo de redundância multi-DVN que a própria rede recomenda. O atacante forjou uma mensagem, cunhou rsETH sem lastro e usou-o como garantia para levar cerca de 236 milhões de dólares em WETH da Aave; a Aave, a SparkLend e a Fluid congelaram os mercados de rsETH para conter a dívida incobrável. O título da análise da OpenZeppelin é o resumo perfeito desta era: 292 milhões perdidos, zero bugs encontrados.

Houve ainda um efeito colateral pouco intuitivo. Como o rsETH cunhado sem lastro circulou por várias redes antes de ser convertido, parte do valor ficou encalhada em pontes e mercados espalhados por cerca de 20 blockchains, o que complicou qualquer tentativa de recuperação ordenada. Para quem detinha rsETH de boa-fé, a lição foi dura: um token sintético vale a integridade do mecanismo que o emite, e basta um verificador comprometido para que deixe de ter cobertura.

Seguiu-se um duelo de responsabilidade. A Kelp alegou que a configuração fora aprovada; a LayerZero respondeu que o esquema de 1-de-1 contrariava as suas recomendações expressas. Para o leitor, a lição está menos em quem tem razão e mais no facto de a superfície de ataque ser uma opção de configuração, não uma linha de código. Este congelamento em cascata de mercados de crédito é precisamente o risco de contágio que descrevemos a propósito do crédito on-chain e do risco dos curadores, e confirma por que razão as bridges continuam a ser o elo mais fraco da DeFi.

THORChain: quando a chave se desfaz peça a peça

A 15 de maio de 2026, a THORChain perdeu cerca de 10,7 milhões de dólares (à volta de 9,3 milhões de euros) de um dos seus cinco cofres, segundo o relatório da própria rede e a análise da QuillAudits. Não houve contrato explorado. Um nó malicioso entrou no conjunto de validadores a 13 de maio, financiado por Monero para esconder o rasto, com cerca de 635 000 RUNE depositados como garantia, e passou dois dias em cerimónias de assinatura de rotina.

A cada ronda, foi recolhendo fragmentos do material da chave. A falha estava numa biblioteca de assinatura por limiar (TSS, na sigla inglesa) da família GG20, três anos atrasada em atualizações de segurança e sem as provas que teriam tornado a fuga impossível. Recolhidos fragmentos suficientes, o atacante reconstruiu offline a chave privada de um cofre Asgard e passou a forjar assinaturas sem passar pelo quórum. O lado bom da autópsia é a resposta: o sistema automático de solvência detetou o desvio quando as perdas ultrapassaram o limiar de 1% e travou a assinatura em toda a rede em 52 minutos.

O caso reacendeu o debate sobre a segurança das carteiras de computação multipartidária (MPC), a tecnologia que reparte uma chave por vários intervenientes para que nenhum a detenha sozinho. A promessa é eliminar o ponto único de falha; a realidade da THORChain mostrou que uma implementação desatualizada da matemática subjacente pode transformar essa mesma repartição numa fuga lenta. A defesa não estava em confiar mais nos nós, mas em manter a biblioteca criptográfica a par das correções já conhecidas.

O paralelo com a falha de cinco anos da Coldcard é inevitável: uma biblioteca esquecida, uma dívida técnica que ninguém pagou a tempo, um problema que não estava na linha revista mas no processo que nunca foi revisto. A criptografia estava correta na teoria; a implementação, com anos de atraso, deixou uma porta aberta que só se vê quando alguém a atravessa.

Resolv e Wasabi: o documento, lido linha a linha

O post-mortem da Resolv sobre o incidente de 22 de março de 2026 é um bom exemplo do género bem feito. A infraestrutura off-chain foi comprometida, cunharam-se 80 milhões de tokens USR e saíram cerca de 25 milhões de dólares (à volta de 21,6 milhões de euros) em ETH. O documento organiza-se em fases (Fase 1: compromisso inicial; Fase 2: movimento lateral; Fase 3: execução), admite que o exploit não resultou de uma única vulnerabilidade, detalha a resposta e a recuperação, e compromete-se com reembolso de 1:1 aos detentores de USR, com a maioria já processada.

Também mostra os limites saudáveis da transparência. Parte da remediação fica reservada para não sobreexpor a infraestrutura interna, e a atribuição é retida para não comprometer a recuperação. É a diferença entre esconder para disfarçar e reservar para proteger, e um leitor atento distingue as duas coisas. A causa-raiz, refira-se, foi tão humana quanto tudo o resto em 2026: as credenciais de um contratante, retidas de um projeto anterior, abriram a primeira porta.

No polo oposto está a Wasabi, drenada em cerca de 4,5 milhões de dólares a 30 de abril por um aparente comprometimento de chave de administração, segundo a CoinDesk. É o post-mortem mínimo: um roubo de chave deixa pouco espaço para narrativa técnica e muito para perguntas sobre gestão de acessos. A diferença entre os dois documentos não está no tamanho da perda; está em quanto cada um se atreve a dizer.

Bybit, o precedente de 2025: a maior autópsia de sempre

A referência que reorganizou as expectativas foi a Bybit. A 21 de fevereiro de 2025, mais de 400 000 ETH e stETH (cerca de 1,5 mil milhões de dólares, à volta de 1,3 mil milhões de euros) saíram da carteira fria da exchange. O post-mortem, publicado pela Safe com apoio forense da Mandiant, não descreveu um bug de contrato. Um ficheiro JavaScript legítimo da interface do Safe foi substituído por código malicioso a 19 de fevereiro, à espera da transação seguinte da Bybit, e os atacantes tinham entrado por tokens de sessão AWS de um programador, contornando a autenticação multifator.

O CEO da Bybit, Ben Zhou, comunicou dias depois que cerca de 77% dos fundos (à volta de 1,07 mil milhões de dólares, ou 925 milhões de euros) continuavam rastreáveis on-chain e que perto de 280 milhões tinham desaparecido do radar, segundo a FinTech Weekly. O FBI e vários investigadores atribuíram o ataque ao grupo Lazarus. A Bybit foi o momento em que a indústria percebeu que a maior perda da sua história não fora um problema de Solidity, mas de cadeia de fornecimento e de assinatura. Reordenou o que um post-mortem tem de responder, e é por isso que abre a nossa tabela, mesmo sendo de 2025.

O que fez de Bybit um marco não foi só a dimensão, foi a velocidade e o detalhe da divulgação. Em poucos dias havia uma cronologia ao minuto, uma causa-raiz identificada na cadeia de fornecimento e um valor público de fundos ainda rastreáveis, tudo enquanto a caça on-chain decorria. Ficou fixada uma fasquia: depois de fevereiro de 2025, um protocolo que demorasse semanas a explicar-se, ou que escondesse a origem do ataque, passou a parecer, no mínimo, negligente.

Porque a média mente: a estatística que engana

O primeiro reflexo ao ler um post-mortem é olhar para o número grande. É o pior reflexo. Segundo a TRM, no primeiro semestre de 2026 o roubo mediano ficou-se por 219 000 dólares (à volta de 190 000 euros), enquanto a média disparou para 4,7 milhões. Um punhado de mega-incidentes puxa a média para longe da realidade típica, e quem confunde as duas medidas lê o ano ao contrário.

Pior ainda, contadores diferentes contam de forma diferente. A TRM soma 972 milhões em 207 incidentes; a CertiK soma 1,315 mil milhões de dólares (à volta de 1,14 mil milhões de euros) em 344 incidentes, porque inclui categorias como o phishing e os esquemas de saída. A própria CertiK avisa que a queda homóloga das perdas é enganadora: se retirarmos o assalto único de 1,45 mil milhões à Bybit em 2025, o semestre de 2026 aparece cerca de 28% acima.

Há ainda uma camada que os totais escondem: a autoria. Segundo a TRM, atores ligados à Coreia do Norte responderam por cerca de 643 milhões de dólares no primeiro semestre, dois terços de todas as perdas, com a Drift e a Kelp a somarem sozinhas perto de 577 milhões. Quando um punhado de operações estatais domina a contabilidade, a média deixa de descrever o risco do utilizador comum e passa a descrever a atividade de um adversário específico. Ler o post-mortem é também perguntar quem estava do outro lado.

Ler um post-mortem exige a mesma disciplina que ler qualquer número on-chain: saber o que está e o que não está a ser contado, e desconfiar do total redondo antes de perceber o método. É a mesma armadilha que descrevemos em volume não é liquidez, onde um indicador impressionante escondia uma realidade bem mais frágil.

Chaves, não código: a superfície de ataque virou-se

A conclusão que atravessa a vaga de 2026 tem nome e voz. Ronghui Gu, cofundador e presidente executivo da CertiK, resumiu-a à Forbes: «A protocol can pass a flawless code audit and still lose millions» (um protocolo pode passar numa auditoria de código impecável e à mesma perder milhões). O que o marcou, disse, foi «the shape of the losses», a forma das perdas, mais do que o seu tamanho.

Os números da CertiK dão corpo à frase: o comprometimento de carteiras custou mais de 444 milhões de dólares no semestre, com uma média de 13 milhões por evento, contra 151,6 milhões distribuídos por 204 incidentes de bugs de código, os mais comuns e, ao mesmo tempo, os mais baratos. Ido Sofer, fundador da Sodot, uma empresa de gestão de chaves, apontou o alvo concreto na mesma peça: «developer credentials, deployment keys, API keys that are being stolen», ou seja, credenciais de programadores, chaves de deployment e chaves de API roubadas. A tabela abaixo resume a viragem.

Auditado e à mesma hackeado: os limites da auditoria

A frase de Gu não é um ataque às auditorias; é um mapa dos seus limites. Uma auditoria de código verifica o código. Não verifica quem tem as chaves, como se guardam, quem pode aprovar uma transação, se um contratante ainda tem credenciais de um projeto anterior (o caso Resolv), se um nó novo pode extrair material de chave (o caso THORChain) ou se um verificador único é suficiente (o caso Kelp).

A superfície que rebentou em 2026 fica quase toda fora do âmbito de uma auditoria clássica: segurança operacional, gestão de segredos, engenharia social, configuração de bridges. É por isso que «auditado» deixou de ser sinónimo de «seguro». O selo de uma auditoria diz que o código foi revisto num dado momento; não diz nada sobre a pessoa que, seis meses depois, aprova uma transação a partir de um portátil comprometido. Quando um post-mortem só fala do contrato, muitas vezes é porque o problema real, o processo, dá mau aspeto a quem o desenhou.

Quem paga a conta: reembolsos, war rooms e o padrão-ouro Euler

A parte do post-mortem que os utilizadores leem primeiro é, quase sempre, a última: quem paga? As respostas de 2026 variam. A Resolv prometeu reembolso de 1:1 e processou a maioria; a Kelp geriu dívida incobrável espalhada por 20 cadeias e migrou de infraestrutura. O padrão-ouro, porém, continua a ser um caso de 2023, a Euler Finance.

Explorada a 13 de março de 2023 por cerca de 197 milhões de dólares (à volta de 171 milhões de euros) num ataque de flash loan, a equipa negociou publicamente com o atacante, ofereceu uma janela para devolução e acabou por recuperar cerca de 240 milhões, mais do que fora roubado, porque parte dos fundos, convertidos em ETH, valorizou entretanto, segundo o relato da própria Euler. O atacante devolveu quase tudo e pediu desculpa por mensagens encriptadas. A lição não é que os assaltantes têm consciência; é que uma resposta rápida, transparente e negociada muda o desfecho.

A contenção também conta. Jonathan Han, CEO da Euler Labs, notou à Forbes que, num dos incidentes de 2026, o protocolo foi afetado «but it didn’t spread out to other unrelated markets», ou seja, o dano não alastrou a mercados sem relação. O reverso deste padrão, os protocolos que publicam três parágrafos e desaparecem, também faz parte do género, e é o desfecho mais comum longe dos holofotes.

Como ler um post-mortem sem se deixar enganar: o guia

Reduzida à prática, a leitura crítica de uma autópsia cabe em duas listas. Comece pelas bandeiras verdes, os sinais de que o documento foi escrito para informar.

• Cronologia ao minuto, em UTC, do primeiro sinal à contenção.
• Causa-raiz com o mecanismo exato, e não «um atacante sofisticado».
• Distinção clara entre código, chave, infraestrutura e pessoa.
• Tempo de deteção e de contenção declarado sem rodeios.
• Remediação com prazos e, de preferência, verificação externa.
• Base de cálculo do reembolso e origem dos fundos.
• Reconhecimento honesto do que ainda não se sabe.

E depois as bandeiras vermelhas, os sinais de que o documento foi escrito para tranquilizar.

• Voz passiva sem sujeito: «foram comprometidos fundos».
• «Um agente malicioso sofisticado» sem qualquer detalhe técnico.
• Salto direto do problema para a solução, sem explicar o meio.
• Número redondo único, sem repartição por ativo.
• Silêncio sobre quanto tempo o ataque durou.
• Promessas de reembolso sem calendário nem base de cálculo.
• Atribuição precipitada a um bode expiatório para fechar o caso.

O ângulo europeu: CMVM, MiCA e a resiliência operacional

Se a superfície de ataque passou das linhas de código para a operação, a regulação europeia foi, por uma vez, na mesma direção. Desde 17 de janeiro de 2025, o Regulamento da Resiliência Operacional Digital (DORA) obriga as entidades financeiras da UE, incluindo os prestadores de serviços de criptoativos autorizados ao abrigo do MiCA, a gerir o risco das suas tecnologias, a testar a resiliência e a reportar incidentes graves às autoridades competentes.

Em Portugal, essa autoridade é a CMVM, designada entidade competente para o MiCA. Na prática, para um prestador regulado, um post-mortem deixou de ser só um gesto de boa vontade para a comunidade: o incidente que outrora se resolvia num fio de mensagens passa a ter um canal formal de reporte e prazos definidos. Para o investidor de retalho português, isto muda a forma de ler a autópsia. Além do documento público, existe, em teoria, um dossier regulatório por trás.

A ressalva é grande e honesta: a maioria dos protocolos DeFi que rebentou em 2026 não é um prestador europeu autorizado, e nenhum regulador devolve fundos roubados. O que a moldura europeia dá é uma vara de medir, uma expectativa mínima de reporte e responsabilização que a comunidade cripto, sozinha, nunca conseguiu impor de forma consistente. Nada disto substitui a diligência de quem investe: cada protocolo continua a merecer uma leitura fria dos seus riscos antes de qualquer depósito.

O que vem a seguir: agentes de IA e a próxima autópsia

Gu deixou também um aviso sobre o próximo capítulo: «an AI agent with wallet access is essentially a new kind of privileged key holder», isto é, um agente de IA com acesso a uma carteira é, no fundo, um novo tipo de detentor de chave privilegiada. Se a viragem de 2026 foi das chaves humanas para os processos, a de 2027 pode ser das chaves entregues a agentes autónomos, que assinam transações sem um humano no circuito.

O post-mortem terá de aprender a explicar não só quem tinha a chave, mas que software a tinha, com que instruções e com que salvaguardas. As perguntas de fundo, porém, não mudam desde a primeira autópsia de protocolo: quem podia mover o dinheiro, quem verificou, em quanto tempo se travou e quem paga. Um leitor que saiba fazer estas quatro perguntas está mais protegido do que qualquer selo de auditoria, e lê a próxima vaga com a mesma frieza com que se lê qualquer alvo de preço: o número no topo é o princípio da análise, nunca o fim.

Perguntas Frequentes

O que é um post-mortem em cripto?

É o relatório que um protocolo publica depois de um ataque ou falha grave, a reconstituir o que aconteceu: a cronologia, a causa-raiz técnica, a resposta, o que vai mudar e, quando há fundos de utilizadores envolvidos, como serão reembolsados. A ideia vem da cultura de engenharia, que analisa incidentes sem procurar culpados, mas na cripto serve também de comunicação pública e de defesa jurídica.

Qual foi o maior hack de cripto em 2026?

O maior exploit de DeFi de 2026 foi o da Kelp DAO, a 18 de abril, com cerca de 292 milhões de dólares (à volta de 253 milhões de euros). A maior perda de sempre continua a ser o assalto à Bybit, em fevereiro de 2025, com cerca de 1,5 mil milhões de dólares. Muitos dos maiores casos de 2026 foram atribuídos a atores ligados à Coreia do Norte.

Porque é que protocolos auditados continuam a ser hackeados?

Porque uma auditoria verifica o código, não a operação. Em 2026, a maioria do dinheiro saiu por chaves comprometidas, engenharia social e má configuração de infraestrutura, tudo fora do âmbito de uma auditoria clássica. Como resumiu o CEO da CertiK, um protocolo pode passar numa auditoria impecável e à mesma perder milhões.

Um post-mortem garante o reembolso do dinheiro?

Não. Alguns protocolos reembolsam na totalidade, como a Resolv (1:1), e há casos raros de recuperação quase total, como a Euler em 2023. Outros publicam um relatório curto e desaparecem. O plano de reembolso, com base de cálculo e calendário, é uma das partes mais reveladoras da autópsia.

Como saber se um post-mortem é credível?

Procure uma cronologia ao minuto, uma causa-raiz com o mecanismo técnico concreto, o tempo de deteção e de resposta, e um plano de reembolso com base de cálculo. Desconfie de voz passiva sem sujeito, de números redondos sem repartição e de atribuições precipitadas que servem para fechar o assunto depressa.

Marcus Okafor é editor sénior da HOGE Wire e acompanha segurança, cultura e mercados de criptoativos.