O botão de emergência: o travão que decide o post-mortem cripto

No dia 1 de outubro de 2026, a NEAR Intents, um protocolo de negociação entre cadeias, detetou que alguém estava a fabricar fundos fantasma a partir de depósitos que nunca tinham chegado. A equipa fez uma coisa simples e brutal: carregou no botão. Suspendeu depósitos e levantamentos em onze redes ao mesmo tempo e deixou o resto do sistema a arrefecer enquanto reparava a falha. Menos de dois dias depois, o atacante devolveu a totalidade do que tinha levado, cerca de 3,9 milhões de dólares (perto de 3,4 milhões de euros), e todos os utilizadores afetados foram ressarcidos. O gestor-geral da NEAR Intents, Alex Shevchenko, confirmou que o valor integral regressou e que a investigação ficou encerrada, segundo a Crypto Briefing e a Crowdfund Insider.

Compare-se com o que acontece quando um utilizador perde a seed phrase de uma carteira de hardware comprometida. Não há botão nenhum. Não há equipa para avisar, não há contrato para pausar, não há produção de blocos para travar. O dinheiro sai e não volta. Entre esses dois extremos vive toda a cultura do post-mortem cripto de 2026, e a tese deste artigo é desconfortável para quem cresceu a ouvir que o código é imparável: o melhor indicador de se as vítimas de um exploit recuperam o dinheiro não é a qualidade do código nem o número de auditorias. É se a equipa tinha um interruptor de emergência a funcionar e se o carregou depressa.

É uma afirmação que vai contra o mito fundador. «Code is law», dizia-se, o código é lei, imparável, inalterável, sem dono. Mas quando entram centenas de milhões de euros, a mesma indústria que celebra a imutabilidade passou a medir o sucesso de uma resposta a incidentes pela velocidade com que consegue parar o seu próprio sistema. O botão de pausa tornou-se a infraestrutura mais importante que um protocolo pode ter e, como veremos, também a mais perigosa.

Os números do ano explicam a urgência. Segundo o balanço trimestral da CertiK, o terceiro trimestre de 2026 levou cerca de 1,26 mil milhões de dólares (à volta de 1,12 mil milhões de euros) em 247 incidentes, uma subida de quase 54 por cento face ao trimestre anterior; o acumulado do ano já ia em 2,68 mil milhões de dólares. Um único caso, o roubo à exchange Bitget, representou perto de um terço do trimestre. Com estes montantes, a pergunta deixou de ser «o código estava auditado?» e passou a ser «quanto tempo demoraram a desligar?».

A secção que ninguém lia é a que decide tudo

Um post-mortem de protocolo tem uma anatomia reconhecível, herdada em parte da cultura de engenharia do Silicon Valley e da aviação: resumo, cronologia ao minuto, causa-raiz, impacto e o que mudou depois. Durante anos, a atenção concentrou-se na causa-raiz, a parte técnica saborosa, o bug de reentrância, o erro de arredondamento, o oráculo manipulado. A cronologia, a lista aborrecida de carimbos temporais, era quase decorativa.

Em 2026 essa hierarquia inverteu-se. A cronologia passou a ser a parte que decide quem fica inteiro. Entre o instante em que o ataque começa e o instante em que a equipa consegue travar o sistema, cada bloco que passa é dinheiro que sai. Dois protocolos com o mesmo bug e o mesmo valor em risco terminam em sítios opostos consoante um deles tenha detetado e desligado em dez minutos e o outro em dez horas. A causa-raiz explica porque é que o incidente aconteceu; a cronologia da resposta explica porque é que um sobreviveu e o outro não.

Isto mudou a forma de ler o género. Quando hoje se abre uma autópsia, a primeira pergunta útil não é qual foi o bug: é quanto tempo passou entre a deteção e o corte, e que mecanismo permitiu esse corte. Foi essa pergunta que separou os desfechos felizes dos desastres durante todo o ano.

Cinco tipos de botão, cinco donos diferentes

«Botão de pausa» é uma simplificação. Na prática existem pelo menos cinco mecanismos diferentes, com donos diferentes, graus diferentes de centralização e consequências diferentes quando falham. Vale a pena distingui-los, porque cada post-mortem de 2026 depende de qual destes existia e de quem tinha a chave.

A lista desce de cima para baixo numa escala de centralização. Uma pausa de contrato vive dentro do código e pode, em teoria, estar nas mãos de um multisig distribuído; um congelamento fora da cadeia depende de uma empresa com um painel de administração e uma morada fiscal. Quanto mais eficaz é o travão, mais se parece com um ponto único de controlo, e é exatamente aí que mora o paradoxo a que voltaremos. Primeiro, os casos em que o botão salvou o dia.

Quando o botão funcionou

O exemplo mais limpo do ano é pequeno em euros e enorme em lições. A 1 de junho, a Gnosis Pay, a infraestrutura de cartões de pagamento do ecossistema Gnosis, foi atingida por uma falha de validação de assinaturas (ERC-1271) que estava adormecida no código desde outubro de 2023. O ataque começou, a equipa detetou-o às 06:17 UTC, identificou a causa-raiz em cerca de duas horas e pausou os módulos afetados. Foram drenados perto de 1,5 milhões de dólares (cerca de 1,3 milhões de euros) de 5.281 carteiras, mas a empresa absorveu a perda e restituiu 99 por cento dos fundos em poucos dias, deixando os clientes sem prejuízo, como documentou a crypto.news. Causa-raiz em duas horas, pausa, utilizadores inteiros: é o manual.

A 18 de agosto, o Maya Protocol mostrou a versão agressiva do mesmo reflexo. Uma única mensagem de depósito com 23 instruções desencadeou uma cascata de seis bugs que cunhou cerca de 49 milhões de CACAO fantasma e fez o token afundar perto de 88 por cento. O fundador, conhecido como Aaluxx Myth, declarou uma paragem global da MAYAChain e manteve a rede em baixo até os seis bugs estarem corrigidos. O corte limitou o prejuízo direto a cerca de 1,7 milhões de dólares (perto de 1,5 milhões de euros), uma fração do que aquela cascata poderia ter custado numa rede a funcionar, segundo a CoinDesk e a crypto.news.

Cinco dias depois, a Term Finance deu uma aula de precisão cirúrgica. Depois de um atacante conquistar o controlo da votação da DAO para esvaziar cofres, a equipa não parou tudo: revogou os papéis de governação comprometidos, fechou os depósitos no cofre afetado e deixou os levantamentos abertos, para que os utilizadores legítimos pudessem sair. O prejuízo ficou em cerca de 8,5 milhões de dólares (à volta de 7,6 milhões de euros), de acordo com o Crypto Times. Este é o ideal técnico do interruptor: tão fino que isola o atacante sem prender os clientes lá dentro.

Quando é a própria cadeia a congelar

Os três casos acima partilham um detalhe: havia uma equipa com uma chave de administração. Sobe-se um nível de drama quando o travão não está num contrato mas na própria cadeia, nas mãos dos validadores. O caso paradigmático é anterior a 2026 mas continua a definir o debate: em maio de 2025, a Cetus, a maior exchange descentralizada da rede Sui, perdeu cerca de 223 milhões de dólares (perto de 198 milhões de euros) por causa de um erro de verificação de overflow numa biblioteca de terceiros. O que aconteceu a seguir foi invulgar: cerca de 114 validadores da Sui, com a Mysten Labs, congelaram aproximadamente 162 milhões de dólares dos fundos roubados recusando-se a processar as transações do atacante, e só depois submeteram a decisão a uma votação on-chain, que passou com 90,9 por cento do stake, como explicaram a Cyfrin e a Cointelegraph.

Recuperaram-se as moedas, mas abriu-se uma ferida filosófica. Se pouco mais de uma centena de validadores pode decidir não processar certas transações, então a resistência à censura, a propriedade que supostamente distingue estas redes de um banco, é condicional. A pausa não removeu a confiança do sistema; deslocou-a dos programadores para um clube de validadores. É uma decisão que se parece cada vez mais com um voto de governação e, quando a governação cripto vira mercado, quem controla esse voto controla o botão. Em outubro de 2026, a cadeia Cronos deu a versão mais seca do mesmo mecanismo ao parar a produção de blocos na sequência de uma tentativa de exploit avaliada em cerca de 75 milhões de dólares, travando o ataque antes de ele consumar a maior parte do estrago, noticiou a Yahoo Finance.