Governação mínima: a DAO que vota para deixar de governar

No dia 27 de outubro de 2026, a Ethereum Name Service fez aquilo que a governação comunitária passou uma década a prometer que nunca faria: votou para mandar menos. A proposta de ativação da ENSv2 passou com 1,69 milhões de votos a favor, vindos de 62 carteiras, contra uns simbólicos 24,94 votos de um único endereço, segundo o apuramento reportado pela imprensa cripto. O que esse voto aprovou não foi uma funcionalidade nova nem um orçamento: foi a entrega das chaves. A ENS Labs comprometeu-se a passar para a DAO todos os poderes de administração da versão 2 e a tornar imutável, até ao início de 2027, o serviço que ainda controla. No fundo, uma comunidade decidiu que a melhor coisa que podia fazer pelo protocolo era deixar de lhe poder mexer.

O voto que serve para deixar de votar

Convém perceber o que ficou decidido, porque a mecânica diz tudo. A votação fechou a 25 de outubro, por volta das 06:01 UTC, com o quórum de um milhão de ENS largamente ultrapassado, e a execução ficou agendada para cerca das 06:00 UTC de 27 de outubro. A partir desse momento, as novas inscrições de nomes .eth na versão 1 param em definitivo; os nomes já existentes continuam a renovar-se, sem migração forçada, mas o registo antigo fecha a porta a novos inquilinos, como a equipa explicou à comunidade.

A parte que interessa a este texto é outra. A ENS Labs, a empresa que construiu o protocolo, declarou que entregaria à DAO todos os papéis de administração da ENSv2 depois de concluída a transição, e que o serviço intermediário que ainda gere os contratos de conta passaria a imutável no quarto trimestre de 2026 ou no primeiro de 2027. Está até prevista uma proposta de seguimento, cerca de um mês após o arranque, só para remover os poderes que forem mais amplos do que o estritamente necessário a longo prazo. Por outras palavras: o roteiro não termina quando a comunidade ganha o controlo, termina quando já não há controlo nenhum para exercer.

Para um setor habituado a tratar o voto on-chain como o auge da democracia digital, isto é quase contraintuitivo. O evento de governação mais celebrado do outono não foi uma eleição disputada nem um orçamento aprovado à tangente: foi uma decisão deliberada de reduzir a margem de manobra de quem vota. A ENS não é um caso isolado. É a face mais visível de uma mudança de mentalidade que atravessa a cripto em 2026 e que tem um nome técnico pouco sedutor: governação mínima.

O que é «governação mínima»

A expressão «governação mínima» (governance minimization) não nasceu este ano. Foi cunhada por Fred Ehrsam, cofundador da Coinbase e da Paradigm, num ensaio de novembro de 2020. A tese é simples de enunciar e desconfortável de aceitar: os protocolos mais adotados serão aqueles que minimizam aquilo que a governação pode mudar. Dito de outro modo, cada parâmetro que se deixa em aberto para votação é menos uma garantia e mais uma superfície de ataque.

A ideia encaixa numa outra, mais antiga, de Vitalik Buterin. No ensaio «Credible Neutrality As A Guiding Principle», de janeiro de 2020, Buterin defendeu que um sistema de alto risco (uma política pública, uma rede social ou uma blockchain) não deve apenas ser neutro, deve ser visivelmente neutro, de forma que qualquer observador consiga confirmá-lo. Para lá chegar, propôs quatro regras: não escrever pessoas ou resultados específicos nas regras do mecanismo; abrir o código e tornar a execução verificável; manter tudo simples; e, a mais importante para esta história, mudar as regras o menos possível.

Um glossário técnico do setor define governação mínima como uma filosofia de desenho que reduz o número de parâmetros que os detentores de tokens podem alterar, tratando cada alavanca governável como um potencial vetor de ataque. A forma de o conseguir é quase sempre a mesma: gravar as regras em código imutável em vez de as deixar à mercê de votações ponderadas por tokens. Quando a oferta de um token não pode ser alterada, nenhuma votação a consegue inflacionar para resolver um problema ou racionalizar uma extração. A neutralidade credível de uma moeda como o Bitcoin, cujo limite de 21 milhões não está sujeito a voto algum, é o exemplo extremo que todos citam, e um dos pilares de qualquer debate sobre o piso de preço do ativo.

De «quem decide» para «ninguém decide»

Durante quase dez anos, a pergunta central da governação on-chain foi «quem decide». A resposta que se queria ouvir era «a comunidade», e a resposta que os dados devolviam era outra. Um estudo da Chainalysis mostrou que, em dez das maiores DAO, menos de 1% dos detentores controla cerca de 90% do poder de voto. A promessa era a democracia; a entrega foi a plutocracia, a apatia e, em muitos casos, um mercado de votos.

A governação mínima é, antes de tudo, uma resposta a esse diagnóstico. Se a participação é baixa, se os quóruns se atingem com um punhado de carteiras e se quem tem capital tem voz desproporcionada, então cada decisão importante que passa pelo voto é uma oportunidade de captura. A cura proposta não é melhorar o voto, é reduzir o que há para votar. Em vez de perguntar «como tornamos a votação mais justa», os engenheiros de 2026 perguntam «que decisões podemos remover por completo da votação».

O contraexemplo vivo deste ano ajuda a perceber o apelo da ideia. A Aave, o maior protocolo de crédito de DeFi, passou meses a destruir-se numa guerra civil de governação sem que houvesse um único hack ou roubo pelo meio: foi tudo poder de voto, concentração e desconfiança. Para muitos, a lição não foi «é preciso governar melhor», foi «talvez não devesse haver tanto para governar». Quanto mais uma DAO tem para decidir, mais tem por onde ser capturada, dividida ou paralisada.

O espetro: de Bitcoin a Aave

Nem toda a governação mínima é igual. Vale a pena olhar para os protocolos como pontos de um espetro, entre o que não tem governação nenhuma e o que coloca quase tudo a votos. O Bitcoin fica num extremo, sem qualquer mecanismo de governação on-chain. A Aave e a Compound ficam no outro, com votações que podem alterar parâmetros críticos. No meio, uma lista cada vez maior de projetos que fixou o núcleo em código imutável e deixou apenas as pontas para a comunidade decidir.

O detalhe a reter é que a posição no espetro não é um acidente, é uma escolha de desenho, e cada vez mais projetos escolhem deslizar da direita para a esquerda da tabela com o tempo. A isso chama-se, no jargão, ossificação: à medida que os parâmetros estabilizam, gravam-se em código e os poderes de governação são revogados um a um.

Os puristas da «ungovernance»

Há quem leve a ideia ao limite lógico. A Reflexer Labs, criadora da stablecoin não indexada RAI, fez da chamada «ungovernance» um valor fundador: revogar progressivamente as permissões privilegiadas sobre o protocolo até não sobrar nenhuma. O token FLX foi desenhado em parte para facilitar precisamente a remoção das capacidades de governação do sistema. A lógica, defendem, é que quanto mais interação humana existir, maior é o número de pontos de falha.

O modelo que a Reflexer cita como destino é a Liquity, cujos contratos da primeira versão são imutáveis e funcionam sem governação nem chaves de administração: ninguém, nem a equipa fundadora, pode alterar as regras depois de implementadas. Para os puristas, isto não é uma limitação, é a característica principal. Um protocolo que ninguém pode mudar é também um protocolo que ninguém pode subornar, pressionar ou capturar. É a neutralidade credível de Buterin levada à letra: as regras mudam o menos possível porque, pura e simplesmente, não podem mudar.

O custo desta pureza é óbvio e os próprios defensores não o escondem: se houver um erro no código, não há botão para o corrigir. A aposta é que um núcleo pequeno, simples e muito auditado tem menos probabilidade de falhar do que um sistema complexo e mutável onde cada atualização é uma nova oportunidade de introduzir bugs ou abusos. É uma troca entre o risco de ficar preso a uma regra má e o risco de ser atacado através da própria capacidade de mudar as regras.

Uniswap: a governação que fez uma coisa e calou-se

Entre o purismo da Liquity e o voto permanente da Aave, a Uniswap oferece um meio-termo instrutivo. O núcleo da versão 3 do protocolo é imutável: as pools de liquidez funcionam sem que nenhuma votação lhes possa tocar. Durante anos, a crítica foi que o token UNI servia para pouco, e que a governação era sobretudo teatro, com uma taxa de protocolo (o fee switch) eternamente por ligar.

Em dezembro de 2025, isso mudou. A proposta conhecida por UNIfication passou com mais de 125 milhões de UNI a favor e apenas 742 contra, ligou finalmente o mecanismo de taxas e desencadeou a queima de 100 milhões de UNI. Foi a maior decisão da história da DAO. E a leitura interessante é que foi, precisamente, uma decisão de arrumar a casa: fixar como o protocolo capta valor e, feito isso, ter muito menos para discutir no futuro.

É o modelo «fazer uma coisa grande e depois calar-se». A governação não desaparece, mas o seu papel encolhe para um conjunto estreito de alavancas, de preferência acionadas poucas vezes. A própria UNIfication foi apresentada pelos seus proponentes como o alinhamento final entre o protocolo, o token e a comunidade, e não como o início de uma era de microgestão por voto.

Morpho contra Aave: duas filosofias no mesmo mercado

Não é preciso teorizar para ver as duas visões a competir, porque elas disputam o mesmo mercado. A Aave e a Morpho são dois dos maiores protocolos de crédito de DeFi e encarnam filosofias opostas de governação. A Aave construiu-se sobre uma governação ampla, em que o voto pode ajustar taxas, colaterais, limites e módulos inteiros. A Morpho fez o contrário: o seu núcleo de contratos de crédito é imutável por desenho, e sobre ele qualquer pessoa pode criar mercados isolados sem pedir autorização a uma assembleia.

A diferença deixou de ser académica em 2026. Enquanto a Aave consumia meses numa guerra interna entre a sua fundação, os prestadores de serviços e os maiores detentores, o núcleo da Morpho não tinha nada equivalente para disputar: os mercados já criados não podiam ser alterados por voto, porque estavam gravados em código. Onde a governação da Aave era o campo de batalha, na Morpho quase não havia campo de batalha, porque quase não havia nada para governar no sítio onde o dinheiro estava guardado.

A lição não é que um modelo seja melhor em absoluto. A flexibilidade da Aave permite-lhe reagir depressa quando um colateral se deteriora ou quando é preciso apertar um limite de risco, algo que um mercado imutável da Morpho não consegue fazer sozinho; quem usa esses mercados tem de migrar para outro se as condições mudarem. Mas, do ponto de vista da neutralidade credível e da resistência à captura, o contraste é eloquente: a parte do sistema que não se governa é também a parte que não se pode sequestrar.

Menos poder, menos alvo

A razão mais forte a favor da governação mínima é a segurança, e a história recente da DeFi está cheia de exemplos. Em 2022, a Beanstalk perdeu cerca de 182 milhões de dólares (à volta de 168 milhões de euros à altura) quando um atacante usou um empréstimo-relâmpago para obter uma supermaioria momentânea e executar uma proposta maliciosa pela via de emergência, que contornava o atraso normal. Em 2023, alguém assumiu o controlo da DAO da Tornado Cash ao atribuir a si próprio cerca de 1,2 milhões de votos através de código escondido numa proposta, drenando perto de dois milhões de dólares antes de devolver o controlo.

Nem todos os ataques são roubos. Em 2024, os chamados Golden Boys fizeram passar na Compound a Proposta 289, que desviava 499.000 COMP (dezenas de milhões de euros) para um cofre que controlariam, com 682.191 votos contra 633.636, sobre a oposição de boa parte da comunidade; a proposta só foi anulada depois de uma trégua negociada. O ponto comum é este: em todos os casos, o vetor de ataque foi a própria capacidade de a governação mudar o sistema.

É aqui que a lógica da minimização se torna uma estratégia de defesa. A firma de capital de risco a16z resumiu-a numa espécie de equação: um ataque compensa quando o valor que se extrai supera o custo de adquirir votos e de o executar. Reduzir o que a governação pode fazer reduz o prémio de qualquer ataque. Miles Jennings, conselheiro-geral e responsável pela descentralização da a16z crypto, defende que «a DAO can safeguard its credible neutrality by ‘pushing’ many governance decisions to the client layer and/or third-party layer», ou seja, empurrar as decisões para fora do núcleo votável. Na prática, a governação mínima costuma atacar em três frentes:

• Fixar em código imutável tudo o que já estabilizou e não precisa de voltar a mudar.
• Empurrar as decisões restantes para camadas de cliente ou de terceiros, em competição, em vez de as centralizar num voto único.
• Manter atrasos (timelocks) e direitos de saída para o pouco que sobra, de modo a dar tempo a quem discorda de sair antes de uma mudança entrar em vigor.

O que se ganha e o que se perde

Nenhuma destas escolhas é gratuita. Tirar poder à governação resolve uns problemas e cria outros, e a tabela seguinte resume as trocas principais entre um protocolo de governação ativa e um de governação mínima ou imutável.

A coluna da direita parece quase sempre mais atraente, até se chegar à primeira linha. A impossibilidade de corrigir é o reverso incómodo de toda a imutabilidade, e é por aí que a história se complica.

Imutável também quer dizer indefeso

A cripto tem uma cicatriz fundadora que mostra os limites do dogma da imutabilidade: The DAO, em 2016. Quando um atacante começou a drenar o que valia dezenas de milhões, a comunidade da Ethereum não se resignou à ideia de que «o código é lei». Decidiu, por consenso social, reverter o roubo com um hard fork, partindo a cadeia em duas (Ethereum e Ethereum Classic). A lição foi desconfortável: a imutabilidade só é absoluta até ao dia em que o prejuízo é grande demais para a aceitar.

O problema do ossificar cedo demais é real e os próprios defensores da minimização avisam para ele. Gravar um parâmetro em pedra antes de ele estar certo significa ficar preso a uma regra má para sempre. É por isso que a melhor prática que emerge em 2026 não é tornar tudo imutável de um dia para o outro, mas fazê-lo como estado final de um processo deliberado: deixar a governação iterar enquanto o sistema é jovem e revogar poderes à medida que cada peça prova estar bem calibrada. A ENS segue esse guião quase à risca, com a sua proposta de seguimento para remover poderes excessivos só depois de o novo sistema estar a rodar.

E depois há o paradoxo da Beanstalk. A via de emergência de que o atacante abusou existia precisamente para a governação poder agir depressa num momento de crise. Ou seja, a mesma capacidade que torna um protocolo defensável contra uns ataques torna-o vulnerável a outros. Não há saída limpa: a mutabilidade é uma superfície de ataque, a imutabilidade é uma fragilidade. A governação mínima não elimina o risco, escolhe que risco prefere correr.

Demitir-se ou abdicar?

Há uma pergunta política por baixo de tudo isto. Votar para retirar poder a si próprio é um ato de maturidade democrática ou uma abdicação? Quando uma comunidade entrega as chaves, quem fica a beneficiar do estado em que o protocolo foi congelado? A crítica mais afiada à governação mínima é que ela pode ser usada como cobertura: uma equipa fundadora fixa o sistema numa configuração que lhe convém, atira as chaves fora e passa a poder dizer, com cara séria, que o protocolo é «descentralizado» e que já não controla nada.

A chamada «descentralização suficiente» corre esse risco de se tornar teatro, tal como o voto que veio substituir. A diferença é subtil mas importa: minimizar a governação só é legítimo se o ponto de partida já for justo e neutro. Congelar um sistema capturado não o torna neutro, torna a captura permanente.

Dito isto, há um argumento a favor difícil de rebater. Um protocolo imutável não depende de ninguém estar por perto para o manter. Numa altura em que a cripto vê boa parte do seu talento de engenharia a ser atraído pela inteligência artificial, um sistema que corre sozinho, sem precisar de uma equipa viva nem de uma assembleia participativa, é uma forma de resiliência. A governação mínima é, entre outras coisas, um seguro contra o dia em que já não houver humanos interessados em governar.

Há também uma perda difícil de medir, e esta é cultural. A governação comunitária, apesar de todos os seus defeitos, criou identidade: fóruns, delegados, debates intermináveis, a sensação de pertencer a algo que se decide em conjunto. Um protocolo imutável não precisa de nada disso e, por isso, não o alimenta. Quando as chaves são atiradas fora, a comunidade que girava à volta do voto arrisca-se a transformar-se numa plateia, que observa um sistema que já não lhe pede opinião. A pergunta que fica é se o movimento comunitário da cripto sobrevive à sua própria maturidade, ou se a governação mínima é, no fundo, o epitáfio educado da ideia de que uma multidão pode gerir uma infraestrutura.

A jogada jurídica: menos governação, menos culpados

Há ainda uma razão menos nobre, e muito prática, para minimizar a governação: a lei. Quanto mais uma DAO se comporta como uma organização que decide coisas, mais se parece com uma empresa, ou pior, com uma sociedade em nome coletivo em que cada membro votante pode responder pelas dívidas de todos. Foi essa a leitura que levou a CFTC, nos Estados Unidos, a tratar a Ooki DAO como uma «unincorporated association» e uma «pessoa» para efeitos legais, aplicando-lhe uma sanção de 643.542 dólares. Votar passou a ter consequências.

Vista por este prisma, a governação mínima é também uma armadura jurídica. Um protocolo sem controlador, sem chaves de administração e sem decisões ativas é um protocolo onde é difícil apontar o dedo a alguém. Não há um órgão a quem intimar, não há uma assembleia cujos votantes se possam arrastar para tribunal. Não é por acaso que a mesma a16z que promove a minimização por razões de segurança a defende também por razões regulatórias: menos governação significa menos pontos de contacto com a responsabilidade legal. O reverso é que essa blindagem é exatamente o que assusta quem tem de atribuir responsabilidades quando algo corre mal.

É uma inversão perversa do princípio democrático. A participação, que devia ser a virtude da governação comunitária, transforma-se num risco pessoal; e a passividade, antes um defeito, passa a ser uma proteção. Em 2026, há projetos que minimizam a governação não porque acreditam na neutralidade credível, mas porque os seus advogados lhes disseram que é mais seguro assim.

A CMVM, o Banco de Portugal e o protocolo sem dono

Para o leitor português, a questão aterra num enquadramento concreto. Desde 1 de julho de 2026 está em pleno vigor a Lei 69/2025, que reparte a supervisão cripto entre o Banco de Portugal, para as matérias prudenciais e as stablecoins, e a CMVM, para a conduta de mercado e o abuso de mercado, com coimas que podem chegar aos cinco milhões de euros. Acima disso, aplica-se o regulamento europeu MiCA.

O detalhe decisivo é que tanto a MiCA como a lei portuguesa regulam prestadores de serviços e emitentes, não o código em si. A MiCA chega a admitir, no seu considerando 22, que um serviço prestado de forma totalmente descentralizada, sem qualquer intermediário, pode cair fora do seu âmbito. É exatamente esse o espaço que a governação mínima procura: um protocolo verdadeiramente imutável e sem controlador não tem um emitente a quem a CMVM ou o Banco de Portugal possam pedir contas.

Aqui mora a tensão central de 2026. O regulador quer alguém responsável, um nome numa licença, uma morada para onde enviar a coima. A governação mínima foi desenhada, em parte, para garantir que esse alguém não existe. Não é um bug, é a intenção: a mesma imutabilidade que protege a neutralidade do protocolo é a que esvazia a capacidade do supervisor de agir. O choque entre as duas lógicas ainda mal começou.

O que isto quer dizer para 2026

A governação mínima não é o fim das DAO, é a sua idade adulta. Durante anos, a cripto confundiu ter uma votação com ter legitimidade, e encheu os protocolos de alavancas que quase ninguém usava e que os atacantes adoravam. O que a ENS fez a 27 de outubro, o que a Uniswap fez em dezembro passado e o que a Liquity faz desde o primeiro dia aponta tudo para o mesmo sítio: a melhor governação pode ser a governação de que já não se precisa.

Mas o entusiasmo convém ser temperado. Reduzir o poder de voto não é neutro por magia, e pode ser abuso disfarçado de virtude. Para distinguir uma coisa da outra, há algumas perguntas que vale a pena fazer a qualquer projeto que anuncie que vai entregar as chaves:

• O estado em que o protocolo vai ficar congelado é justo, ou apenas conveniente para quem o construiu?
• A imutabilidade chega como fim de um processo testado, ou como atalho para fugir à responsabilidade?
• O que acontece se aparecer um bug grave depois de as chaves serem atiradas fora?
• A minimização reduz mesmo a captura, ou apenas a torna permanente?

Dez anos depois de a governação on-chain ter prometido devolver o poder às comunidades, a conclusão mais honesta talvez seja esta: o poder que não se consegue exercer com justiça é melhor não existir de todo. Em 2026, a pergunta deixou de ser quem decide e passou a ser o que é que ninguém devia poder decidir. A ENS respondeu com um voto. Resta ver quantos protocolos a seguem antes de o próprio ato de votar se tornar a exceção, e não a regra.

Perguntas frequentes

O que é a governação mínima (governance minimization)?

É uma filosofia de desenho de protocolos que procura reduzir ao mínimo o número de decisões e de parâmetros que podem ser alterados por votação. A ideia, cunhada por Fred Ehrsam em 2020, é que cada alavanca governável é também um vetor de ataque, pelo que os protocolos mais robustos são os que gravam o máximo possível das suas regras em código imutável.

Governação mínima é o mesmo que uma DAO sem governação nenhuma?

Não exatamente. A governação mínima é um espetro: vai desde reduzir o voto a um punhado de alavancas (como a Uniswap) até à ausência total de governação e de chaves de administração (como a Liquity ou a «ungovernance» da RAI). A maioria dos projetos fica algures no meio, com um núcleo imutável e apenas a periferia sujeita a voto.

Porque é que a ENS votou para se tornar imutável?

A proposta de ativação da ENSv2, aprovada a 25 de outubro de 2026 e executada a 27, transfere para a DAO os poderes de administração e prevê tornar imutável, até ao início de 2027, o serviço que ainda controla os contratos. O objetivo é retirar pontos de controlo que poderiam ser capturados ou usados indevidamente, aproximando a ENS da neutralidade credível de infraestruturas como o próprio Bitcoin.

Tornar um protocolo imutável é seguro?

É uma troca. Um núcleo imutável não pode ser capturado, subornado nem alterado por um atacante, mas também não pode ser corrigido se tiver um erro. O caso da The DAO, em 2016, mostrou que a comunidade da Ethereum estava disposta a reverter a imutabilidade perante um prejuízo grande demais. Por isso, a boa prática é ossificar como estado final de um processo testado, não como atalho.

A governação mínima isenta os protocolos da CMVM e da MiCA?

Não automaticamente, mas é essa a aposta de alguns projetos. A MiCA e a Lei 69/2025 regulam prestadores de serviços e emitentes, não o código, e a MiCA admite que um serviço totalmente descentralizado, sem intermediário, possa cair fora do seu âmbito. Um protocolo imutável e sem controlador procura exatamente esse espaço, o que gera tensão com reguladores como a CMVM e o Banco de Portugal, que querem um responsável identificável.

Por Marcus Okafor, editor de Cultura e Longas-Leituras da HOGE Wire.