O builder que não existe: o impostor que a cripto contratou

Em agosto de 2026, no palco da DEF CON 34, em Las Vegas, três investigadores de segurança contaram como tinham montado uma startup de DeFi que nunca deveria ter existido. Mauro Eldritch, Heiner García e a equipa da ANY.RUN inventaram uma empresa, publicaram vagas para programadores e esperaram. Poucas semanas depois tinham três «builders» na folha de pagamentos, todos suspeitos de trabalharem para a Coreia do Norte, todos recrutados através de uma cadeia de recomendações que começava numa conta de GitHub e acabava num «amigo» que garantia por eles. A empresa era falsa. Os construtores também. O mais incómodo é que a experiência não foi difícil de montar.

E não foi um caso isolado. No mesmo ano, um projeto financiado pela própria Ethereum Foundation, através do programa ETH Rangers, identificou cerca de 100 operacionais norte-coreanos infiltrados em 53 projetos de cripto, escondidos atrás de nomes fabricados como «Hiroto Iwaki» e «Motoki Masuo», de fotografias geradas por IA e de documentos de identidade japoneses forjados; o esforço recuperou ou congelou mais de 5,8 milhões de dólares (cerca de 5 milhões de euros). A instituição que existe para financiar quem constrói o Ethereum descobriu que, em dezenas de casos, quem estava a construir não era quem dizia ser.

Esta secção já dedicou muitas páginas ao retrato do builder: quem constrói a cripto, quem paga a fatura, quem se esconde por opção e o que a inteligência artificial está a fazer ao ofício. Falta a pergunta mais desconfortável de todas. E se o builder que o retrato celebra não existe, não é uma pessoa só, ou existe precisamente para roubar? Em 2026, isto deixou de ser uma questão filosófica e passou a ser a maior fonte de perdas da indústria.

O ponto cego do retrato do builder

O género do retrato do builder tem uma gramática previsível. Mede talento, através dos commits no GitHub e dos contratos em produção. Mede visão, através da tese e do «porquê». Mede tração, através do total value locked, dos utilizadores e da mindshare no X. O que quase nunca mede é a identidade. O retrato assume, sem verificar, três coisas ao mesmo tempo: que a pessoa retratada existe, que é uma pessoa só, e que é quem afirma ser.

São três pressupostos, e em 2026 os três ruíram em simultâneo. No fundo, um retrato é uma encenação de confiança, o mesmo mecanismo que dissecámos a propósito do figurino do génio: a foto, a linguagem, o histórico e os apoiantes servem para nos convencer antes de qualquer verificação. O problema é que todos esses sinais são fabricáveis, e quem os fabrica melhor não é o construtor honesto, é o impostor.

Convém separar isto de duas figuras vizinhas. Não estamos a falar do builder anónimo, aquele que esconde por opção um rosto real por trás de um pseudónimo, herdeiro da tradição cypherpunk e cuja obra é genuína. Nem estamos a falar do fundador sintético, o deepfake que encena um rosto de marketing sobre um projeto que, esse, existe. O impostor de que aqui tratamos é uma categoria adversarial: a pessoa retratada pode ser fabricada (não há rosto real por trás nenhum), pode ser plural (um coletivo a usar um só nome, ou uma só pessoa a usar muitos), ou pode ser hostil (contratada precisamente para obter acesso e depois desaparecer com o cofre).

Três perguntas que o retrato nunca faz

Se reduzirmos o problema ao essencial, o retrato do builder falha em três verificações básicas, e cada uma delas corresponde a um tipo distinto de fraude que a indústria viu explodir nos últimos dois anos:

• Existe? A pessoa por trás da conta é real, ou é uma identidade sintética montada com fotos geradas por IA e documentos forjados? É o builder que não existe.
• É um só? Aquele «ecossistema vibrante» de programadores é mesmo composto por muitas mãos independentes, ou é uma pessoa a usar muitas máscaras? É o builder que são muitos, o problema das contas-fantoche e dos ataques Sybil.
• É quem diz ser? O colaborador qualificado que foi contratado quer mesmo construir, ou aceitou o cargo para chegar às chaves? É o builder hostil, o infiltrado que transforma a contratação em vetor de ataque.

O resto deste artigo segue estas três perguntas. Todas têm hoje respostas documentadas, com nomes, datas e cifras, e todas convergem no mesmo sítio incómodo: o adversário mais eficaz de 2026 não arromba a porta, entra por ela, muitas vezes com contrato assinado.

A Coreia do Norte entrou pela folha de pagamentos

Os números emolduram tudo o resto. Segundo a Chainalysis, foram roubados mais de 3,4 mil milhões de dólares em cripto entre janeiro e o início de dezembro de 2025 (cerca de 2,95 mil milhões de euros), e atores ligados à Coreia do Norte responderam por 2,02 mil milhões de dólares desse total (perto de 1,75 mil milhões de euros), uma subida de 51% face ao ano anterior e cerca de 60% de tudo o que foi roubado. A estimativa acumulada para o regime ronda os 6,75 mil milhões de dólares desde 2017. Só o ataque à Bybit, em fevereiro de 2025, valeu 1,5 mil milhões de dólares (cerca de 1,3 mil milhões de euros), o maior assalto de sempre.

O detalhe que muda o enquadramento cultural é este: uma fatia crescente destas perdas não vem de bugs em Solidity, vem de pessoas. A própria Chainalysis descreve como o regime obtém resultados desproporcionados ao colocar trabalhadores de TI dentro dos próprios serviços de cripto para ganhar acesso privilegiado, e trata os infiltrados como um dos seus principais vetores de ataque. Por outras palavras, o infiltrado é contratado, recebe salário e, no primeiro dia, ganha exatamente aquilo que um atacante externo passaria meses a tentar roubar: as permissões de escrita no repositório, um lugar na multisig, uma chave.

O alvo final é sempre o acesso, e o acesso mora na custódia, o mesmo terreno que seguimos quando a maior baleia de 2026 afinal era um depositário. Investigadores independentes estimam que existam centenas de postos de trabalho em cripto ocupados por operacionais ligados à Coreia do Norte, pagos em stablecoins que depois financiam o programa de armamento do regime. O retrato do builder, ao celebrar o mérito visível e ignorar a identidade, transformou-se sem querer no melhor manual de recrutamento do adversário.

A mecânica: fábricas de portáteis, VPNs e entrevistas assistidas

A infraestrutura por trás desta infiltração é industrial, não artesanal. A unidade de threat intelligence da Google (herdeira da Mandiant) publicou o manual da operação: empresas de fachada, facilitadores locais que alojam portáteis, lavam salários e emprestam identidades roubadas, dispositivos IP-KVM para dar a impressão de que a máquina está no país certo, software de acesso remoto como o AnyDesk ou o Chrome Remote Desktop, a VPN Astrill para esconder a origem, e até «mouse jigglers» que simulam atividade para o mesmo operacional conseguir manter vários empregos ao mesmo tempo. Os perfis de LinkedIn são construídos com fotos de executivos reais roubadas, e o candidato mantém-se sistematicamente arredio à câmara.

Quando a câmara é inevitável, entra a encenação em direto. No caso mais citado, a Kraken apanhou um candidato cuja voz mudava a meio da entrevista, sinal de que estava a ser guiado em tempo real por terceiros. A camada de IA torna isto pior: as fotografias de perfil são geradas, os documentos são fabricados, e as respostas técnicas podem ser sopradas por uma segunda pessoa fora do enquadramento. É a versão adversarial e assalariada da mesma tecnologia que discutimos quando a IA encontrou o bug primeiro.

A dimensão do esquema já produziu condenações pesadas. Nos Estados Unidos, Christina Chapman, do Arizona, foi condenada a 102 meses de prisão (cerca de oito anos e meio) em julho de 2025 por operar uma fábrica de portáteis ao serviço de mais de 300 empresas americanas, num esquema que gerou mais de 17 milhões de dólares (mais de 14 milhões de euros). Numa só operação em 2025, o Departamento de Justiça desmantelou dezenas de fábricas de portáteis espalhadas por vários estados. E, em 2026, os operacionais já não se limitam a candidatar-se: passaram a fazer-se passar por recrutadores de empresas web3 e de IA, montando processos de contratação falsos cujo «teste técnico» serve para colher credenciais, código-fonte e acessos de VPN.

Quando o construtor É o buraco: Munchables e Drift

A forma mais pura deste ataque é aquela em que o próprio código que o builder escreve é a arma. Em março de 2024, o Munchables, um jogo com NFT na L2 Blast, contratou um programador que se apresentava sob a alcunha «Werewolves0943» (uma de quatro personas que, na prática, eram provavelmente uma só pessoa). Esse programador escreveu vulnerabilidades para dentro dos próprios contratos do jogo que estava a ser pago para construir e depois atribuiu-se a si mesmo o direito de drenar o cofre, levando cerca de 17 400 ETH, na altura mais de 62 milhões de dólares (cerca de 54 milhões de euros). A chamada veio de dentro do repositório. Curiosamente, depois de negociações, os fundos acabaram por ser devolvidos.

O caso Drift, em abril de 2026, mostra a versão mais sofisticada e paciente. Os atacantes não plantaram código; construíram confiança. Fizeram-se passar por uma empresa de trading quantitativo, cruzaram-se com contribuidores do protocolo em conferências e cultivaram a relação durante cerca de seis meses. Depois exploraram os durable nonces da Solana para levar dois de cinco membros do conselho de segurança do protocolo a assinar antecipadamente, às cegas, transações dormentes que entregavam o controlo administrativo. O resultado foram cerca de 285 milhões de dólares (perto de 247 milhões de euros), mais de metade do valor bloqueado no protocolo.

A lição que a Chainalysis extraiu do caso serve de moral para toda esta categoria: «the greatest risks are no longer just in smart contracts, but in the systems, and people, that surround them» (os maiores riscos já não estão apenas nos smart contracts, mas nos sistemas, e nas pessoas, que os rodeiam). Nenhuma auditoria de código teria apanhado isto, porque o problema não estava no código, estava na cadeira ao lado.

A entrevista que apanha o impostor: Kraken e a Ballena Azul

Se o retrato falha porque celebra sem verificar, a defesa começa por inverter esse instinto. Em maio de 2025, a Kraken deixou um candidato suspeito avançar deliberadamente no processo até uma entrevista final de «química», conduzida pelo diretor de segurança Nick Percoco. Pediram-lhe coisas simples e impossíveis de encenar sem preparação: que confirmasse a localização, que mostrasse o documento de identidade à câmara, que nomeasse restaurantes locais. O candidato falhou. A frase que Percoco tirou do episódio tornou-se lema: «Don’t trust, verify. This core crypto principle is more relevant than ever in the digital age.» (Não confies, verifica. Este princípio central da cripto é mais relevante do que nunca na era digital.)

É o mesmo princípio que os investigadores da Ballena Azul levaram ao extremo, ao construir uma empresa-armadilha para observar os operacionais a candidatarem-se. Os sinais de alarme eram consistentes: moradas, bancos e documentos que não batiam certo entre estados, fotos processadas por IA, e uma pressa de reconhecimento no primeiro dia (comandos para inventariar o sistema, acesso remoto imediato). O que estas duas histórias têm em comum é a inversão da lógica do retrato: em vez de perguntar «o que é que este builder já construiu?», perguntam «este builder é sequer uma pessoa real, aqui, agora?».

Essa inversão tem um custo cultural. A cripto foi construída sobre a promessa de que o mérito não precisa de credenciais, de que um pseudónimo com bom código vale mais do que um diploma. Verificar identidades soa a traição desse ideal. Mas a alternativa, como 2026 demonstrou, é financiar involuntariamente quem nos quer roubar.

O builder que são muitos: sock puppets e ecossistemas de mentira

Nem todos os impostores são hostis à partida; alguns limitam-se a mentir sobre a escala. O caso arquetípico é o de Ian Macalinao, apelidado de «mestre dos anónimos». Para inflacionar o valor bloqueado no ecossistema Solana, Macalinao operou 11 identidades de programador falsas (Surya Khosla, 0xGhostchain e outras), cada uma «responsável» por um protocolo diferente, empilhados de forma a que, nas suas próprias palavras, «a dollar could be counted several times» (um dólar podia ser contado várias vezes). O motivo que ele próprio confessou é revelador para quem estuda o culto do builder: um ecossistema construído por poucas pessoas, escreveu, «does not look as authentic» (não parece autêntico).

Esta é a mecânica das contas-fantoche aplicada à reputação. O retrato do builder adora a imagem de uma «comunidade vibrante» de programadores independentes a convergir para uma mesma stack. Mas essa aparência de multidão é trivial de fabricar: bastam handles, avatares e alguns commits cruzados. O ataque Sybil, em que uma entidade se faz passar por muitas, é o mesmo problema visto do lado dos incentivos, e é por isso que os grandes airdrops de 2024 e 2025 tiveram de desqualificar percentagens enormes de candidatos identificados como fazendas de carteiras controladas por uma só mão.

O efeito líquido é que a métrica preferida do retrato, «olhem quantas pessoas estão a construir aqui», é precisamente a mais fácil de falsificar. Um número de programadores ativos, um gráfico de commits, uma lista de projetos no ecossistema: nada disto prova pluralidade real. Prova apenas que alguém sabe encenar pluralidade.

O impostor mais paciente: o ataque à cadeia de fornecimento

Há uma versão deste jogo que se joga em câmara lenta, ao longo de anos, e é talvez a mais assustadora porque não visa uma empresa, visa a infraestrutura de que todos dependem. O caso XZ Utils, revelado em março de 2024, tornou-se o seu exemplo definitivo. Uma conta chamada «Jia Tan» (JiaT75, criada em 2021) passou quase três anos a contribuir de forma aparentemente exemplar para uma biblioteca de compressão usada em praticamente todo o Linux. Contas-fantoche com nomes como «Jigar Kumar» e «Dennis Ens» pressionaram o mantenedor original, esgotado e sem apoio, a aceitar um coautor. Esse coautor foi Jia Tan, que assim recebeu as chaves do projeto.

Só então, entre milhares de contribuições legítimas, Jia Tan inseriu um backdoor (CVE-2024-3094) que permitia execução remota de código via OpenSSH e que chegou a propagar-se para cerca de 30 000 pacotes Debian e Ubuntu. O desastre só foi evitado porque um engenheiro da Microsoft reparou, por acaso, num atraso de cerca de meio segundo num processo de arranque. Foi o retrato do builder perfeito, prestável, incansável, tecnicamente competente, a servir de disfarce a um ataque à cadeia de fornecimento.

Isto importa à cripto porque quase tudo em cripto assenta em software de código aberto mantido por voluntários mal pagos, exatamente o perfil que o culto do builder venera mas raramente protege. O mesmo ideal que faz de um mantenedor anónimo um herói faz dele um alvo, e faz da confiança que lhe damos uma vulnerabilidade. O impostor paciente não rouba a reputação de um builder: constrói uma, com trabalho real, até ao dia em que a usa.

Cinco arquétipos do builder falso

Vale a pena arrumar as categorias, porque cada arquétipo exige uma defesa diferente e porque o retrato tende a tratá-los a todos como o mesmo herói de camisola preta. A tabela abaixo resume as cinco variantes que dominaram os casos de 2024 a 2026.

Porque os sinais falham

Chegamos ao coração cultural do problema. Todos os sinais em que o retrato do builder confia são, por definição, públicos e reutilizáveis, e portanto forjáveis. Um histórico de commits pode ser comprado ou copiado. Uma aparição numa conferência prova presença física naquele dia, não identidade continuada. O apoio de um fundo de capital de risco de topo prova que alguém acreditou numa tese, não que fez due diligence sobre quem escreve o código. Até uma auditoria «passada» valida o comportamento do contrato, nunca a lealdade de quem o escreveu.

Some-se a isto a componente humana, que é a mais teimosa. Queremos acreditar no builder brilhante, e essa vontade é parte da mecânica da confiança que já explorámos ao mostrar como o crente é coautor da figura do fundador. O impostor não precisa de enganar um sistema de verificação; precisa apenas de nos dar aquilo que já queríamos ver. Consultoras de tecnologia já projetam que uma fatia significativa das candidaturas a emprego passará a incluir elementos de identidade falsos, e que os candidatos fraudulentos se tornaram uma das maiores ameaças à contratação. A tecnologia de deepfake em vídeo, ainda imperfeita mas a melhorar depressa, remove o último sinal em que confiávamos: um rosto do outro lado do ecrã.

Há aqui uma tensão que a cripto tem de encarar de frente. Balaji Srinivasan, ex-diretor de tecnologia da Coinbase, defende há anos que «pseudonymity is as important as decentralization» (o pseudonimato é tão importante como a descentralização), e tem razão: a mesma propriedade que permite a um cypherpunk honesto construir sob um pseudónimo é a que protege o infiltrado. Não há como manter uma sem expor a outra. A resposta não é abolir o anonimato, é parar de o confundir com verificação.

Sinal versus verificação

A distinção prática que falta à cultura do builder é entre um sinal (algo que sugere confiança e que se pode encenar) e um controlo (algo que a comprova e que é caro de falsificar). A tabela seguinte contrapõe o que o retrato costuma mostrar ao que uma equipa séria verifica.

O muro europeu: MiCA, DORA e sanções que tornam contratar um risco

Para um prestador europeu, e português em particular, isto deixou de ser apenas um problema de segurança e passou a ser um problema de conformidade. As medidas restritivas da União Europeia contra a Coreia do Norte, que transpõem as resoluções do Conselho de Segurança das Nações Unidas, aplicam-se diretamente em Portugal. Isso significa que pagar salário a um operacional sancionado pode constituir uma infração mesmo quando a empresa não sabia com quem estava a lidar, num regime que se aproxima da responsabilidade objetiva. A ignorância não é defesa.

A camada MiCA acrescenta deveres de governação: os prestadores de serviços de criptoativos têm de demonstrar que os seus responsáveis são idóneos e que existem controlos internos adequados, sob supervisão da CMVM quanto à conduta e do Banco de Portugal quanto ao registo e às stablecoins. A DORA, por seu lado, obriga à gestão do risco associado a terceiros que fornecem serviços de tecnologia, e um programador remoto infiltrado é, à letra, um risco de terceiros com acesso a sistemas críticos. Neste enquadramento, contratar passou a ser uma superfície de risco tão a sério gerida como o risco de crédito on-chain.

Some-se ainda a pressão sobre o anonimato operacional. O pacote antibranqueamento da UE proíbe contas anónimas e moedas de privacidade ao nível dos prestadores regulados a partir de 2027, e a Travel Rule já obriga a identificar quem envia e quem recebe transferências. Um pseudónimo pode continuar a escrever código e a guardar as suas próprias chaves; o que não pode é operar uma rampa de acesso regulada sem rosto. Para quem constrói dentro das fronteiras europeias, a era da identidade não verificada está a fechar-se por lei, não apenas por prudência.

O construtor que se deixa verificar

Há um antídoto, e é quase aborrecido de tão simples: o builder que se deixa verificar. O ecossistema lusófono tem um exemplo à mão. A Utrust, fundada em Portugal e hoje reencarnada como xMoney depois da aquisição pela MultiversX, construiu-se em torno de figuras públicas e verificáveis como Nuno Correia, no setor desde 2011, e opera com registo junto do Banco de Portugal. Não é uma história glamorosa de pseudónimo genial; é uma história de gente com nome, morada fiscal e responsabilidade legal. Lisboa, que recebe a ETHGlobal e volta a acolher o Web Summit em novembro de 2026, é hoje um polo de construção precisamente porque junta talento a instituições que sabem quem é quem.

Nada disto exige matar o ethos cripto. O anonimato continua a ser legítimo e, em muitos contextos, saudável. O que 2026 tornou insustentável é a preguiça de tratar reputação como se fosse identidade. Um retrato que celebra a obra sem nunca perguntar quem a fez, quantos a fizeram e a favor de quem, não é jornalismo de cultura; é um convite. O padrão editorial novo, tanto para quem escreve o retrato como para quem contrata o retratado, é o lema da Kraken levado a sério: não confies, verifica.

Da próxima vez que um perfil o convencer de que conheceu um génio, faça as três perguntas que o género esquece. Existe? É um só? É quem diz ser? Se a resposta a qualquer uma delas for «não sei», então o que tem à frente não é um builder. É um espaço em branco com uma boa fotografia, e em cripto os espaços em branco custam caro.

Frequently Asked Questions

O que é um builder falso ou impostor na cripto?

É um programador cuja identidade não corresponde à pessoa retratada: pode ser uma identidade sintética que não existe, uma só pessoa a operar sob vários nomes (ou várias pessoas sob um só), ou um infiltrado hostil contratado para obter acesso e depois roubar. Distingue-se do builder anónimo, que apenas esconde por opção um rosto real e não pretende enganar sobre quem faz o trabalho.

Como é que a Coreia do Norte infiltra empresas de cripto?

Os operacionais candidatam-se a vagas remotas com currículos polidos, fotografias geradas por IA e documentos forjados, muitas vezes com facilitadores locais que alojam portáteis e recebem os salários. Depois de contratados, ganham acesso privilegiado a repositórios, chaves e sistemas internos. Um projeto financiado pela Ethereum Foundation chegou a identificar cerca de 100 destes operacionais em 53 projetos de cripto.

Quanto é que a Coreia do Norte roubou em cripto?

Segundo a Chainalysis, atores ligados à Coreia do Norte roubaram cerca de 2,02 mil milhões de dólares (perto de 1,75 mil milhões de euros) em 2025, uma subida de 51% face ao ano anterior, e a estimativa acumulada ronda os 6,75 mil milhões de dólares. Só o ataque à Bybit, em fevereiro de 2025, valeu 1,5 mil milhões de dólares.

Como verificar se um builder cripto é real?

A verificação séria não olha só para o portefólio: exige prova de vida em direto com câmara ligada, documento de identidade confirmado de forma independente, verificação da localização e do número de série do portátil, e atenção a sinais como acesso remoto, VPNs de ocultação ou respostas assistidas. Uma auditoria valida o código, não a lealdade de quem o escreveu.

Contratar um programador norte-coreano sem saber é crime na União Europeia?

As medidas restritivas da UE contra a Coreia do Norte aplicam-se diretamente em Portugal, por isso pagar a um operacional sancionado pode constituir uma infração mesmo sem intenção, num regime próximo da responsabilidade objetiva. Além disso, as regras de governação da MiCA e a resiliência operacional exigida pela DORA tornam a contratação e a gestão de acessos uma superfície de conformidade fiscalizada pela CMVM e pelo Banco de Portugal.

Marcus Okafor escreve sobre cultura e segurança cripto na HOGE Wire.