Do cockpit ao contrato: a autópsia que a cripto copiou pela metade

A 21 de fevereiro de 2025, três signatários da Bybit olharam para os seus ecrãs e aprovaram o que parecia uma transferência interna de rotina. A transferência que viram não era a transferência que assinaram, e cerca de 1,5 mil milhões de dólares (à volta de 1,3 mil milhões de euros, o maior desvio da história da cripto segundo o FBI) mudaram de dono em minutos. Semanas depois chegaram os relatórios. A culpa, diziam, estava no processo, numa infraestrutura comprometida, numa cadeia de fornecimento. Ninguém tinha falhado. O processo é que tinha falhado.

Aquela frase, «o processo falhou», é a assinatura de um género. O post-mortem cripto, a autópsia pública que uma equipa publica depois de um ataque, endureceu numa forma com convenções fixas: voz passiva, enquadramento sistémico, um autor que se dissolve na máquina. Essa forma não foi inventada pela cripto. Foi herdada, quase intacta, da aviação e da engenharia de fiabilidade de sistemas. A tese deste texto é simples: a cripto copiou o género pela metade. Ficou com o vocabulário do relatório sem culpados e deixou de fora as quatro condições que o tornavam honesto.

A frase que apaga o autor

Leia dez post-mortems seguidos e uma gramática comum salta à vista. «O contrato foi explorado.» «Uma transação maliciosa foi assinada.» «O oráculo foi induzido em erro.» «Fundos foram desviados.» Em cada frase, o verbo está na passiva e o sujeito desapareceu. Não há ninguém a explorar, a assinar, a induzir ou a desviar; há apenas coisas que acontecem a sistemas. A voz passiva é a ferramenta central do género, e não é neutra. É uma decisão sobre quem recebe um nome.

O que a passiva esconde, quase sempre, é uma pessoa a olhar para um ecrã. Nos casos que percorremos a seguir, alguém abriu um ficheiro, alguém confiou numa interface, alguém carregou em aprovar. A engenharia dirá, com razão, que castigar essa pessoa não previne o próximo incidente. Mas há uma diferença entre não a castigar e fingir que ela não existiu. O género cripto colapsa as duas coisas numa só, e o resultado é um documento que descreve com precisão o mecanismo e emudece sobre a decisão.

Ao lado da passiva vive o clichê. «Levamos a segurança muito a sério.» «Estamos a trabalhar com as autoridades.» «Nenhum fundo de utilizador foi afetado», uma frase que muitas vezes é tecnicamente verdadeira para o tesouro do protocolo enquanto os utilizadores perdem tudo. São fórmulas de conforto, escritas para o momento em que ninguém sabe ainda o que aconteceu, e que sobrevivem no texto final muito depois de já se saber. O leitor treinado aprende a ver estas frases como aquilo que são: espaço reservado onde devia estar informação.

Um exercício simples mostra o que está em jogo. Pegue-se numa frase típica, «uma transação maliciosa foi assinada», e ponha-se na ativa: quem a assinou, o que viu no ecrã, em que confiou para clicar. A versão ativa não acusa ninguém de má-fé; apenas devolve o agente à história. É a diferença entre um relatório que diz que choveu e um que diz que alguém deixou a janela aberta. A doutrina de origem pedia a primeira frase para proteger as pessoas; o género cripto usa-a, demasiadas vezes, para proteger a marca.

De onde veio a autópsia sem culpados

O relatório sem culpados não nasceu no Ethereum. Nasceu em setores onde a falha mata: aviação, saúde, energia nuclear. Investigadores dessas três áreas chegaram, de forma independente, à mesma conclusão. Quando uma organização castiga indivíduos por falhas em sistemas complexos, obtém menos informação, não mais. As pessoas escondem o erro, e o próximo desastre chega sem aviso porque ninguém quis ser o portador da má notícia.

Os exemplos são concretos. Na medicina, as reuniões de morbilidade e mortalidade juntam a equipa para dissecar um caso que correu mal sem transformar o médico em arguido. Na aviação, o gravador de voz da cabine existe para reconstruir a sequência, não para humilhar quem pilotava. Em ambos os casos a regra é a mesma: se a única forma de descobrir o que aconteceu for prometer que ninguém será linchado, então promete-se, porque a informação vale mais do que a vingança. Foi esta troca, informação por imunidade, que o software herdou.

O nome mais associado a esta ideia é o de Sidney Dekker, professor de segurança com passado na aviação. Na sua formulação, resumida no seu Field Guide to Understanding Human Error, por baixo de cada história simples e óbvia sobre erro humano existe sempre uma história mais profunda e complexa sobre a organização. Dekker chama-lhe a segunda história: o rótulo «erro humano» é onde a investigação preguiçosa termina e onde a séria começa. A cultura que ele defende chama-se justa, não porque ilibe toda a gente, mas porque separa o erro honesto da negligência e do dolo.

O software adotou a doutrina há mais de uma década. Em 2012, John Allspaw, então diretor de tecnologia da Etsy, publicou um texto fundador chamado Blameless PostMortems and a Just Culture, importando Dekker para a engenharia. Pouco depois, a Google canonizou a prática no seu manual de fiabilidade de sistemas. O capítulo sobre cultura de post-mortem é explícito: para ser verdadeiramente sem culpados, um post-mortem tem de se focar em identificar as causas contribuintes do incidente sem incriminar nenhum indivíduo ou equipa. E remata com a linha que se tornou palavra de ordem: não se conserta pessoas, mas podem consertar-se sistemas e processos para as apoiar a decidir melhor.

No seu habitat, a lógica é impecável. Uma equipa de fiabilidade que gere o seu próprio tempo de atividade, sem ninguém a atacá-la de propósito, ganha honestidade ao renunciar à culpa. A doutrina compra verdade. O problema começa quando se transplanta a forma para um terreno onde faltam as raízes.

As condições que a aviação tinha e a cripto não

O relatório sem culpados funciona quando quatro condições se verificam ao mesmo tempo. A cripto adotou o relatório sem verificar nenhuma delas por inteiro.

A primeira é uma organização com fronteira. Na aviação, a companhia, o fabricante e o regulador são conhecidos e o incidente acontece dentro de um sistema fechado. Num hack cripto, a falha atravessa organizações que não se controlam: a Bybit, o fornecedor de carteira Safe, a nuvem onde a Safe corria, o grupo que atacou. Quem escreve o relatório sem culpados quando o desastre pertence a quatro partes, e cada uma tem incentivo para apontar para a seguinte?

A segunda é a ausência de adversário. Um avião não é sabotado a meio do voo por alguém com fins lucrativos; o sistema falha sozinho, por fadiga do metal, por uma lista de verificação mal desenhada. Na cripto, a causa é uma pessoa a tentar ativamente roubar. Sem culpados perante quem? O atacante não é um processo a corrigir; é um inimigo. Aplicar-lhe a compaixão sistémica da doutrina é uma categoria errada.

A terceira é a natureza da perda. A aviação perde tempo de atividade e, tragicamente, vidas, mas o dinheiro está segurado e o registo não é reescrito. A cripto perde o dinheiro dos utilizadores, de forma irreversível, na cadeia. Quando a perda é final e financeira, «vamos melhorar o processo» é um consolo frio para quem ficou sem a poupança.

A quarta é o investigador independente. A aviação tem organismos como o NTSB americano, com poder para intimar e para escrever o relatório que a companhia preferia não ver. A cripto, até 2025, não tinha ninguém: a parte ferida escrevia a sua própria autópsia, juiz e réu no mesmo parágrafo. Só agora, com a chegada de reguladores europeus a este espaço, aparece um terceiro com poder de exigir a versão que não sai sozinha.

A ironia é geométrica. A cripto importou a forma sem culpados, sistémica e passiva, precisamente para o ambiente onde as suas condições estão ausentes. Sem fronteira, sem inocência do sistema, com perda final e sem investigador, o mesmo texto que na Google produz aprendizagem produz, no Ethereum, apagamento de responsabilidade com uma nota de rodapé a citar o manual de SRE.

Bybit: o maior assalto e o relatório mais limpo

Volte-se ao caso de abertura. A 21 de fevereiro de 2025, o grupo norte-coreano Lazarus comprometeu a máquina de um programador da Safe e adulterou o código da interface, de modo que os signatários da Bybit viam uma transferência legítima enquanto assinavam outra, que entregava o controlo da carteira ao atacante. O prejuízo, cerca de 1,5 mil milhões de dólares (à volta de 1,3 mil milhões de euros), é o número um da tabela de perdas da rekt.news, à frente da Ronin e da Wormhole.

O trabalho forense foi exemplar. A Bybit contratou investigadores externos, as autópsias preliminares localizaram a origem na infraestrutura de nuvem da Safe, e uma revisão independente concluiu que não havia vulnerabilidade nos contratos inteligentes da Safe nem no código-fonte dos seus serviços. O diretor executivo Ben Zhou, depois de o FBI atribuir formalmente o ataque à Coreia do Norte, declarou uma «war against Lazarus», uma guerra contra o Lazarus, e a exchange abriu um programa de recompensas para rastrear os fundos.

E, no entanto, leia-se o relatório como género. Tecnicamente irrepreensível, ele desloca o centro de gravidade narrativo para fora: para a infraestrutura da Safe, para a cadeia de fornecimento, para o Lazarus. Tudo verdadeiro. O que fica em voz baixa é que o próprio processo de assinatura da Bybit confiava cegamente numa interface que não conseguia verificar de forma independente. Os signatários aprovaram aquilo que não podiam confirmar. O enquadramento sem culpados é rigoroso quanto ao mecanismo e discreto quanto à decisão de desenhar um processo em que humanos assinam o que não conseguem ver.

Vale a pena separar a virtude do vício. A rapidez com que a Bybit publicou autópsias preliminares, contratou forenses externos e mostrou o rasto do dinheiro é exatamente o que o setor devia imitar; poucas empresas tradicionais abririam assim as entranhas em dias. O problema não é o que o relatório diz, é o que a sua gramática deixa de fora. Um leitor sai a saber tudo sobre a infraestrutura da Safe e quase nada sobre por que motivo uma exchange desta dimensão desenhou um fluxo de assinatura em que o humano é o último a saber o que está a autorizar.

Radiant: o PDF, os três programadores e a assinatura cega

Se Bybit foi o maior, a Radiant Capital foi o mais didático. A 16 de outubro de 2024, o protocolo de empréstimo cross-chain perdeu cerca de 50 milhões de dólares (à volta de 43 milhões de euros). A porta de entrada foi um ficheiro PDF, enviado por um suposto antigo colaborador que, segundo a própria Radiant, era na verdade um agente norte-coreano. O PDF instalava uma porta traseira em macOS enquanto mostrava um documento de aparência legítima. As máquinas de três programadores foram usadas para assinar uma transação fraudulenta durante um ajuste de rotina, e a interface da carteira mostrava dados corretos enquanto o malicioso corria por baixo. A investigação da Mandiant ligou o ataque a um grupo alinhado com a Coreia do Norte.

A atualização de incidente da Radiant é invulgarmente franca e, ainda assim, estruturalmente sem culpados. O réu nomeado é a assinatura cega, o hábito de aprovar transações que a interface não permite verificar linha a linha. Os humanos que abriram o PDF e passaram pelas verificações são, corretamente segundo a doutrina de SRE, poupados. Mas isto era um protocolo de crédito cujos utilizadores perderam dinheiro que não pôde ser devolvido. A 1 de junho de 2026, sem conseguir recuperar do golpe, a Radiant anunciou o encerramento. Para esses utilizadores, «o processo falhou» e «não culpámos os engenheiros» são a mesma frase, e essa colagem é o problema que a fronteira difícil do empréstimo on-chain torna impossível de esconder: quando o colateral é dos utilizadores, a autópsia é sempre também um balanço de quem pagou a conta.

Euler: quando a autópsia vira negociação pública

Há uma variante do género que só a cripto podia ter inventado: a autópsia que é, ao mesmo tempo, uma negociação de resgate, escrita à vista de todos no registo público. A 13 de março de 2023, a Euler Finance, um protocolo de crédito, sofreu um ataque de flash loan de cerca de 197 milhões de dólares (à volta de 170 milhões de euros), o maior daquele ano. Nos dias seguintes, a equipa e o atacante falaram por mensagens na cadeia. O atacante, que se identificou como Jacob, começou indiferente e acabou arrependido, devolvendo lotes de fundos com uma mensagem que dizia, em inglês, «I messed with others’ money, others’ jobs, others’ lives. I’m sorry». Mexi no dinheiro dos outros, nos empregos dos outros, nas vidas dos outros; peço desculpa. Quase todos os fundos recuperáveis regressaram.

Como artefacto cultural, isto é fascinante. A confissão, o pedido de desculpa e o reembolso partilham o mesmo canal, e qualquer pessoa pode ler o fio. É a versão mais saudável do género, porque a perda foi revertida, e a mais confusa, porque a responsabilização se tornou um espetáculo. Num protocolo de crédito, onde a disputa é sempre sobre quem fica com o juro, a autópsia passou a incluir uma cena rara: o ladrão e a vítima a acertar contas em direto. O post-mortem deixou de ser um documento e passou a ser uma performance, com as virtudes e os vícios de tudo o que é encenado para uma plateia.

O mecanismo, despido de jargão, foi uma falha de verificação que permitiu ao atacante empurrar a sua própria posição para o vermelho e depois liquidá-la em proveito próprio, com dinheiro emprestado e devolvido no mesmo bloco. Mas o que ficou na memória do setor não foi a matemática; foi o precedente do canal. A partir de Euler, a negociação na cadeia tornou-se um passo esperado do guião: oferecer ao atacante uma percentagem como recompensa de chapéu branco, apelar à consciência, ameaçar com a análise forense. A autópsia deixou de terminar no diagnóstico e passou a incluir a barganha.

Cetus: o post-mortem que foi, afinal, um fork

A 22 de maio de 2025, a Cetus, a maior exchange descentralizada da rede Sui, foi drenada em cerca de 220 milhões de dólares (à volta de 190 milhões de euros) através de um erro na matemática de liquidez, explorado com tokens falsos que enganaram o cálculo de preços. O que aconteceu a seguir tornou a autópsia inseparável de uma decisão de governação. Os validadores da Sui congelaram cerca de 162 milhões de dólares antes de saírem da rede, enviaram uma mensagem de negociação na cadeia e, numa votação com mais de 90 por cento do stake, decidiram efetivamente recusar as transações do atacante e devolver os fundos aos donos.

Aqui, o post-mortem foi um voto sobre a imutabilidade. A frase «os fundos foram restaurados» esconde a decisão real: os validadores escolheram restaurá-los. Quem tem o poder de congelar dinheiro numa cadeia, e a pedido de quem, é uma pergunta cultural que nenhum verbo passivo consegue responder. A recuperação salvou os utilizadores e, ao mesmo tempo, mostrou que a promessa de que ninguém pode reescrever o registo tem um asterisco do tamanho de uma maioria de validadores. O relatório que descreve isto como um passo técnico neutro está a esconder a escolha mais importante da história inteira.

Não é a primeira vez que o setor enfrenta esta escolha. Em 2016, o roubo ao fundo The DAO dividiu o Ethereum entre os que quiseram reverter o registo e os que consideraram a reversão uma traição ao princípio de que o código é lei; dessa fratura nasceram duas cadeias. Cetus mostrou que, quase uma década depois, a pergunta continua sem resposta consensual, apenas mais rápida de executar: uma votação de validadores em dias, não um cisma de meses. A diferença é que hoje quase ninguém finge que a imutabilidade é absoluta, e o post-mortem que não admite isto está a mentir por omissão.

Term: o relatório que nunca chegou

O post-mortem mais comum da cripto é aquele que nunca é escrito. A 23 de agosto de 2026, o protocolo de crédito Term Finance perdeu cerca de 8,5 milhões de dólares (à volta de 7 milhões de euros) num ataque de governação que drenou perto de 68 por cento dos seus cofres, de um total bloqueado de cerca de 25,8 milhões de dólares. À data do relato, não havia autópsia técnica, nem divulgação de que função de governação foi chamada, nem lista de contratos afetados, nem processo de reembolso anunciado. Um ano antes, em abril de 2025, um oráculo mal configurado já lhe custara mais de um milhão.

O silêncio é também uma convenção do género. O reconhecimento inicial, aquele tweet a dizer que se está a investigar, é muitas vezes a última palavra. A ausência protege a responsabilidade legal melhor do que qualquer frase passiva, porque não se pode processar ninguém por uma linha que não foi publicada. Ler o que não foi dito é, por isso, metade do trabalho, e é o mesmo exercício de ler a entrevista que nunca houve: o vazio no lugar do relatório é, ele próprio, uma declaração. Term junta-se a uma longa fila de protocolos onde a memória institucional do setor simplesmente não foi escrita, e o próximo a cometer o mesmo erro não terá onde o ler.

A cronologia mentirosa: quando o primeiro rascunho vence

Há uma razão estrutural para os post-mortems cripto envelhecerem mal. O primeiro rascunho, publicado a quente nas horas seguintes ao ataque, é escrito quando quem escreve ainda não sabe o que aconteceu. E, no entanto, é esse rascunho que fixa a narrativa. A imprensa cita-o, a comunidade partilha-o, e a versão corrigida que chega semanas depois já não apaga a primeira impressão. O erro do rascunho inicial ancora tudo o que vem a seguir.

Isto cria um incentivo perverso. A equipa que publica cedo parece transparente e ganha o benefício da dúvida, mesmo que o texto esteja errado; a equipa que espera para ter a certeza parece estar a esconder algo. O género recompensa a velocidade sobre a exatidão, exatamente o contrário do que uma autópsia devia fazer. A obrigação regulatória de reportar em horas, que veremos a seguir, resolve isto só em parte: acelera o primeiro rascunho, mas não garante que o último seja escrito, nem lido. A memória coletiva da cripto está cheia de primeiras versões que ninguém voltou a corrigir.

A voz passiva encontra o regulador

2026 muda a matemática do silêncio. Ao abrigo do regulamento MiCA, as prestadoras de serviços de criptoativos passaram a ser entidades financeiras para efeitos do DORA, o regulamento europeu de resiliência operacional digital em vigor desde janeiro de 2025. Isso significa que um incidente informático classificado como grave tem de ser comunicado à autoridade competente, que em Portugal é a CMVM, num calendário rígido. Segundo a leitura das obrigações do DORA, há uma notificação inicial dentro de quatro horas após a classificação como grave (e nunca depois de 24 horas da deteção), um relatório intermédio em 72 horas e um relatório final até um mês, com causa-raiz e plano de remediação.

É uma colisão de géneros. O post-mortem voluntário, confessional e sem culpados encontra um relatório obrigatório, atribuível e com prazo. O regulador quer exatamente a frase que a voz passiva foi construída para evitar: quem, que função, que correção, até quando. Isto revela algo que a doutrina raramente admite. A passiva não é só estilo; tem sido, em parte, gestão de responsabilidade legal. Indivíduos com nome são potenciais réus com nome, e por isso o texto público dissolve-os. O DORA não aceita «o processo falhou» como causa-raiz, e essa recusa vai forçar, dentro das empresas, a existência da versão nomeada que o texto público sempre elidiu, mesmo que essa versão nunca chegue ao leitor comum.

Para o utilizador português e europeu, a mudança é mais subtil do que um relatório público melhor. Os reportes ao supervisor são privados, e a CMVM não vai publicar a autópsia de cada incidente. O que muda é que passa a existir, algures, uma versão com nomes, funções e prazos, sujeita a inspeção, que a empresa não pode fingir que nunca escreveu. É uma rede de segurança institucional, não um exercício de transparência para o público. A distância entre o que o supervisor sabe e o que o utilizador lê continua a ser, muitas vezes, a distância entre a verdade e o comunicado.

Quem aparece quando arde: a outra cultura

Seria injusto reduzir o setor à sua má autópsia, porque a cripto também produziu a melhor versão da cultura justa, só que na resposta, não no relatório. A Security Alliance, ou SEAL, fundada pelo investigador samczsun, responsável de segurança na Paradigm, nasceu da sala de guerra do hack da ponte Nomad, em agosto de 2022, quando cerca de 190 milhões de dólares (à volta de 165 milhões de euros) foram drenados numa espécie de saque coletivo. A pergunta que ficou daquela noite, no relato da própria SEAL, foi por que razão pessoas anónimas se sentiam à vontade para roubar da ponte enquanto os hackers de chapéu branco sentiam ser demasiado arriscado intervir.

A resposta foi construir instituições. A SEAL 911 é uma linha aberta 24 horas por dia onde qualquer pessoa afetada por um ataque pode pedir ajuda em tempo real; a aliança corre simulações de incidente e publicou um acordo de porto seguro para proteger de ação judicial quem intervém de boa-fé. É a cultura justa a funcionar como foi desenhada: ajuda mútua, salas de guerra partilhadas, a norma de que aparecer para acudir é seguro. A crítica deste texto nunca foi à ausência de culpa; foi ao uso da linguagem sem culpados como escudo em vez de bisturi. Onde a doutrina serve a resposta, salva dinheiro e pessoas; onde serve o comunicado, protege a instituição.

Ler um post-mortem com ceticismo

O leitor não precisa de ser auditor para separar uma autópsia genuína de um exercício de relações públicas. Precisa de uma grelha e de paciência para a aplicar. A tabela seguinte resume os sinais que devem levantar suspeita e os que merecem mais confiança.

A grelha importa porque os números importam. Em 2025, foram roubados cerca de 3,4 mil milhões de dólares (à volta de 3 mil milhões de euros) em todo o mundo, e a Coreia do Norte foi responsável por cerca de 2,02 mil milhões, segundo a Chainalysis. O ritmo de 2026 não abrandou, com protocolos de restaking entre as maiores vítimas do ano na tabela da rekt.news, um lembrete de que a subida que engana no restaking também é uma superfície de ataque em expansão. Neste volume, o post-mortem não é uma curiosidade de nicho; é o principal canal de memória institucional que o setor tem. Ler mal esse canal é condenar-se a repetir o que ele descreve.

O custo humano da autópsia

Há uma última ironia na voz passiva. As pessoas que ela apaga são também as que sofrem ao escrevê-la. Fundadores redigem a certidão de óbito da própria empresa; equipas pequenas passam 72 horas sem dormir a reconstruir uma cronologia; o programador que abriu o PDF carrega esse peso muito depois de o relatório sair. A doutrina sem culpados foi criada precisamente para proteger estas pessoas do bode expiatório, e no seu melhor consegue-o. Proteger o engenheiro do linchamento é justo, e a indústria faria bem em lembrar-se disso quando o próximo erro chegar.

A crítica deste texto é estreita e cirúrgica. Proteger o indivíduo da culpa é uma coisa; proteger a instituição da responsabilização, pedindo emprestada a mesma linguagem, é outra. O género cripto confunde as duas de propósito, e essa confusão tem um preço que já conhecemos de outro lado. O custo humano do culto do builder mede-se em esgotamento e em vidas partidas; o custo humano da autópsia mede-se na diferença entre um documento que ajuda a próxima equipa a não morrer e um documento escrito para o advogado ler. Quando o segundo vence o primeiro, quem paga são as pessoas, dos dois lados do teclado.

O que uma boa autópsia faz diferente

Uma boa autópsia cripto serve duas plateias ao mesmo tempo e não as confunde. A primeira são os engenheiros, que precisam do relato sistémico e sem culpados para aprender a mecânica da falha. A segunda são os utilizadores e os reguladores, que precisam do relato atribuível para confiar e para cumprir a lei. O truque não é escolher entre os dois; é ser sem culpados quanto ao indivíduo e responsável quanto à instituição, na mesma página.

Na prática, isso tem uma forma reconhecível. Nomeia a função e a correção, não só o fornecedor. Divulga a cronologia com carimbos temporais, para que outros possam reconstruí-la. Atribui cada ação de remediação a um responsável e a um prazo. Reconhece a própria parte na cadeia antes de apontar para fora. Trata o atacante como adversário, não como um fator contribuinte neutro. E, sobretudo, existe: o relatório final é escrito, mesmo quando é embaraçoso, mesmo um mês depois, porque num campo em que os mesmos erros regressam ano após ano, o relatório é o único ativo que compõe juros a favor da segurança.

Alguns exemplos aproximam-se do padrão. As melhores autópsias apontam o commit exato, a linha alterada, o pedido de integração que introduziu o defeito, e publicam a correção antes de qualquer elogio a si próprias. Descrevem a resposta hora a hora, incluindo os becos sem saída e as decisões erradas tomadas sob pressão. E, quando a recuperação envolveu uma escolha de governação, dizem-no em voz ativa: nós, os validadores, decidimos congelar. Não é heroísmo; é contabilidade honesta. O leitor sai a saber não só o que partiu, mas quem consertou, como, e o que fica por consertar.

A cripto tinha uma boa ideia à mão e importou-lhe a metade errada. Ficou com a compaixão pelo sistema e deixou para trás as condições que tornavam essa compaixão honesta: a fronteira, a inocência do sistema, a perda recuperável, o investigador independente. O caminho para a frente não é abandonar a cultura sem culpados; é devolver-lhe o que a viagem da cabine para o contrato deixou pelo caminho. Escrever a segunda história de Dekker por inteiro, e não parar na primeira frase confortável em que ninguém, afinal, carregou no botão.

Perguntas frequentes

O que é um post-mortem em cripto?

É a autópsia pública que uma equipa publica depois de um ataque ou falha grave, descrevendo o que aconteceu, como e o que se vai mudar. Herdou a forma dos relatórios sem culpados da aviação e da engenharia de fiabilidade de sistemas, mas na cripto acumula uma segunda função: gerir a responsabilidade e a narrativa perante utilizadores que perderam dinheiro irreversível.

Qual foi o maior hack cripto de sempre?

O assalto à Bybit, a 21 de fevereiro de 2025, com cerca de 1,5 mil milhões de dólares (à volta de 1,3 mil milhões de euros) desviados. O FBI atribuiu-o ao grupo norte-coreano Lazarus, que adulterou a interface de uma carteira multisig para que os signatários aprovassem uma transação maliciosa a pensar que era interna.

A DORA obriga as exchanges a publicar post-mortems?

Não a publicá-los ao público, mas a comunicá-los ao regulador. Sob o DORA, uma prestadora de serviços de criptoativos tem de reportar um incidente grave à autoridade competente (em Portugal, a CMVM), com notificação inicial em poucas horas, relatório intermédio em 72 horas e relatório final até um mês, incluindo causa-raiz e remediação. É um relato atribuível, não a versão passiva do comunicado público.

O que significa um post-mortem sem culpados?

Vem da doutrina blameless da engenharia: focar as causas sistémicas sem incriminar indivíduos, porque castigar pessoas leva-as a esconder informação. Funciona bem numa organização fechada sem adversário. Na cripto, onde há um atacante ativo e a perda é dos utilizadores, o mesmo enquadramento arrisca-se a apagar a responsabilidade em vez de gerar aprendizagem.

Como saber se um post-mortem é bom?

Procure uma causa-raiz nomeada com a função concreta, uma cronologia reproduzível com carimbos temporais, ações de remediação com responsável e prazo, o reconhecimento da própria parte na cadeia e um relatório final publicado, mesmo que tarde. Desconfie da voz passiva pura, do clichê de que nenhum fundo foi afetado, da culpa atirada só para o fornecedor e do silêncio depois do primeiro anúncio.

Por Rui Bastos, editor de segurança e cultura da HOGE Wire.