Governação comunitária: o plano B para quando o voto encrava

Na quinta-feira, 22 de outubro, os delegados da Arbitrum não votam sobre dinheiro, nem sobre um fundador, nem sobre mais uma guerra de tesouraria. Votam sobre o que deve acontecer se a própria máquina de votar deixar de funcionar. A proposta chama-se Sistema de Recuperação de Votação na L1 e assume em público um cenário que durante anos foi quase tabu: e se os contratos de governação congelarem, se a criação de propostas partir, se a passagem de mensagens entre camadas falhar, e a DAO ficar trancada do lado de fora da sua própria casa?

A resposta que a Arbitrum propõe é um plano B gravado na Ethereum. Se a camada 2 encravar, os delegados poderão iniciar, votar, pôr em fila e executar propostas diretamente nos contratos da camada base, em L1, segundo o resumo publicado na véspera da votação (NullTX). É, no fundo, um gerador de emergência para a democracia on-chain.

E é o símbolo mais claro de uma viragem que define a governação comunitária em 2026. Esta casa já contou o lado político da história, o da apatia, das baleias e dos mercados de voto, em o voto cripto virou mercado. Aqui olhamos para o outro lado, o da engenharia: durante uma década, a pergunta foi quem deve ganhar a votação; agora, nos protocolos mais sérios, a pergunta passou a ser o que acontece quando a votação falha. A governação deixou de ser tratada como política e começou a ser tratada como um sistema distribuído, com modos de falha, redundância e planos de recuperação.

22 de outubro: a Arbitrum vota um gerador de emergência

Em funcionamento normal, a Arbitrum executa as decisões da DAO na sua própria camada 2. O problema é que isso cria um ponto único de falha: basta um defeito nos contratos de L2, uma paragem na execução de transações ou uma rutura na comunicação entre cadeias para que toda a capacidade de governar fique bloqueada. O Sistema de Recuperação de Votação na L1 existe para esse dia mau. Mantém o poder de voto ancorado nos registos de delegação de ARB, mas permite verificá-los e agir a partir da Ethereum quando a camada 2 está indisponível.

O mecanismo tem uma subtileza importante. A Arbitrum já tem um conselho de segurança, um multisig de emergência que pode intervir em crises. Mas depender só dele durante uma falha prolongada significaria entregar o protocolo a um punhado de signatários por tempo indeterminado, exatamente o oposto do que uma DAO promete. O caminho de recuperação na L1 é a alternativa: um trajeto autorizado que devolve a decisão aos delegados sem passar permanentemente pelo conselho (NullTX). Chumbar a proposta, avisam os proponentes, deixa a DAO exposta ao cenário de ponto único de falha.

Não é um ponto isolado da agenda. No mesmo boletim, os delegados decidem ajustes técnicos à adaptação da rede ao próximo upgrade da Ethereum, transferências de receita do sequenciador na ordem dos milhares de ETH e um programa de incentivos de 100 milhões de ARB para um ecossistema de stablecoin (NullTX). Mas é o gerador de emergência que conta a história de fundo: uma comunidade a gastar o seu bem mais escasso, a atenção dos delegados, não para escolher um vencedor, mas para comprar um seguro.

De política a engenharia: a pergunta mudou

Para perceber a dimensão da viragem, convém lembrar a promessa original. As DAO nasceram como uma crítica às hierarquias: código em vez de chefes, regras transparentes em vez de decisões de bastidores, «um token, um voto». A política era o inimigo, e a votação, a cura. Dez anos depois, quase tudo o que correu mal correu mal na política: a apatia esvaziou as urnas, o capital comprou maiorias, os fundadores recapturaram o leme e surgiram mercados onde se aluga poder de voto ao quilo.

A reação de 2026 não é mais um remédio político. É uma mudança de disciplina. Os melhores construtores pararam de tratar a governação como uma assembleia e começaram a tratá-la como infraestrutura crítica, com a mentalidade de quem mantém um banco ou uma rede elétrica no ar: parte-se do princípio de que tudo falha, e projeta-se para isso. A pergunta de engenharia não é utópica, é pessimista por profissão. O que acontece se ninguém aparecer para votar? Se um atacante comprar a maioria por uma tarde? Se a proposta aprovada esconder código malicioso? Se a infraestrutura que executa o voto simplesmente cair?

As respostas a essas perguntas, timelocks, failover, direitos de saída, conselhos de emergência e invólucros legais, são as peças de um novo sistema de fiabilidade. Nenhuma é glamorosa. Todas partem de uma humildade que faltou à primeira vaga: a de que a votação é uma máquina frágil e, como qualquer máquina, precisa de travões, de redundância e de um plano para o dia em que avaria.

Os modos de falha de uma votação

Um engenheiro de fiabilidade começa sempre pela mesma pergunta: de quantas maneiras é que isto se parte? Aplicada à governação, a lista é desconfortavelmente longa. Há a falha por ausência, quando ninguém vota; a falha por excesso, quando o capital compra a decisão; a falha por paralisia, quando o processo encrava; a falha por sabotagem, quando a proposta mente sobre o que faz; e a falha por infraestrutura, quando a máquina que conta os votos deixa de responder. A tabela resume estes modos de falha e a resposta que a indústria foi montando até 2026.

Cada linha desta tabela já custou dinheiro a alguém, e cada resposta nasceu de um enterro. A primeira delas, a mais antiga e a mais incompreendida, é o timelock.

O timelock, que é mais paywall do que fechadura

Um timelock é um atraso programado entre o momento em que uma proposta é aprovada e o momento em que é executada. Parece burocracia; é, na verdade, a peça de segurança mais importante de uma DAO. Nas bibliotecas de referência, como as da OpenZeppelin, o padrão separa o contrato que decide (o Governor) do contrato que detém os fundos e espera (o TimelockController), precisamente para que ninguém possa aprovar e esvaziar o tesouro na mesma transação. Durante o atraso, quem discorda tem tempo para reagir, protestar ou sair.

Mas um timelock não é uma fechadura, e convém não o confundir com uma. Vitalik Buterin resumiu a limitação numa frase que ficou conhecida: os timelocks parecem-se mais com «a barreira de pagamento de um site de jornal» do que com «uma fechadura com chave» (vitalik.eth.limo). Um atacante com votos suficientes e paciência pode simplesmente esperar que o relógio corra. O atraso não impede o ataque; compra tempo para que humanos, conselhos ou outros detentores façam alguma coisa com esse tempo. Se ninguém estiver a olhar, a barreira de pagamento não defende nada.

A Beanstalk mostrou o lado negro desta história. Em abril de 2022, o atacante não esperou por relógio nenhum: usou uma função de emergência do próprio módulo de governação para saltar o ciclo normal da proposta e executar o saque assim que atingiu a supermaioria comprada com flash loans (CertiK). O timelock existia, mas havia uma porta ao lado sem atraso nenhum. A lição de engenharia foi brutal e repete-se em cada tabela desde então: um caminho de emergência que salta o atraso é, ele próprio, uma superfície de ataque.

O contraste positivo veio da Uniswap. Quando a UNIfication foi aprovada, no final de dezembro de 2025, a destruição de 100 milhões de UNI não aconteceu no dia do voto. Esperou pelo timelock de cerca de dois dias e só então os contratos executaram a queima, no valor de 596 milhões de dólares, à volta de 531 milhões de euros (The Block). O atraso foi a janela de consentimento: a última oportunidade para alguém dizer que não antes de uma decisão irreversível.

Failover: recuperar uma DAO a partir da Ethereum

Quem desenha centros de dados conhece de cor a expressão «ponto único de falha»: o componente cuja avaria leva o sistema inteiro atrás. A solução clássica é a redundância, ter um segundo caminho que entra em ação quando o primeiro cai, aquilo a que a engenharia chama failover. O Sistema de Recuperação de Votação na L1 da Arbitrum é, palavra a palavra, essa ideia aplicada à democracia de um protocolo.

O detalhe mais inteligente é que a recuperação não inventa um novo poder. O direito de voto continua a vir dos mesmos registos de delegação de ARB; muda apenas o sítio onde esses registos são verificados e onde as decisões passam a ser executadas, agora na Ethereum, a camada base, quando a camada 2 está em baixo (NullTX). É o mesmo eleitorado, com um recinto de votação alternativo. Um banco chamar-lhe-ia um «cold site»; a Arbitrum chama-lhe recuperação constitucional.

Por baixo da mecânica, há uma admissão filosófica que vale a pena sublinhar. A camada 2 é aquilo que torna a Arbitrum rápida e barata, mas, para efeitos de governação, é também uma dependência frágil. Ao gravar um caminho de recuperação na Ethereum, a comunidade reconhece que a sua soberania última não vive na rede que ela própria gere, e sim na cadeia por baixo. A base volta a ser o tribunal de última instância.

Nem tudo são vantagens, e os bons engenheiros são os primeiros a dizê-lo. Um segundo caminho de execução é também uma segunda superfície de ataque, e a redundância acrescenta complexidade a um sistema que já era difícil de auditar. Cada travão que se instala é mais uma coisa que pode falhar ou ser abusada, um problema a que voltaremos quando falarmos dos conselhos de segurança. A diferença, em 2026, é que estes custos são discutidos à cabeça, em vez de descobertos num post-mortem.

ENSv2: quando governar é fazer deploy

Se a Arbitrum representa o failover, o Ethereum Name Service encarna a outra metade da engenharia de fiabilidade: a entrega segura. A 19 de outubro, a DAO do ENS abriu uma votação on-chain para ativar a ENSv2 na mainnet da Ethereum, com encerramento marcado para 25 de outubro (The Defiant). Não é uma campanha política; é uma lista de verificação de lançamento transformada em proposta.

Os detalhes confirmam-no. A proposta é uma única transação que agrupa quinze chamadas; nela, a ENS Labs renuncia aos papéis de administração que ainda detém sobre os contratos da versão 2 e entrega-os ao timelock da DAO. As novas inscrições na ENSv1 param, mas os nomes .eth existentes continuam a poder renovar-se indefinidamente, sem migração obrigatória e sem data-limite (Unchained). É uma migração desenhada para não partir nada a ninguém, com a versão nova a trazer registos hierárquicos, permissões flexíveis e direitos de resolução que se atribuem sem transferir a propriedade do domínio.

Repare-se no padrão da votação: quase unânime, com um punhado de carteiras a votar e ainda a caminho do quórum de um milhão de ENS. Lido pela lente política, esse consenso esmagador cheira a apatia ou a carimbo automático. Lido pela lente de engenharia, parece outra coisa: um processo de gestão de mudança bem conduzido, em que a discussão aconteceu a montante, nos fóruns e nas auditorias, e o voto on-chain é apenas o botão de deploy. As duas leituras são verdadeiras ao mesmo tempo. A maturidade de 2026 está em saber qual delas aplicar a cada caso.

Quando o voto devolve dinheiro: o caso Kelp DAO

A prova mais vívida de que a governação virou ferramenta operacional, e não clube de debate, chegou em maio de 2026. A DAO da Arbitrum votou libertar cerca de 30 766 ETH, avaliados em perto de 71 milhões de dólares (à volta de 63 milhões de euros) na altura, que estavam congelados na sua rede, canalizando-os para um esforço coordenado de recuperação a favor das vítimas do exploit de rsETH da Kelp DAO. A proposta passou com cerca de 90,96% dos votos a favor (Cointelegraph). O ETH seguiria para um multisig gerido por Aave Labs, Kelp DAO, Certora e EtherFi, integrado numa operação batizada «DeFi United» que juntou mais de 300 milhões de dólares (Unchained).

O pano de fundo é instrutivo. O ataque atingiu o rsETH, um token de restaking, precisamente o canto do mercado cuja concentração e fragilidade já aqui dissecámos em a base do restaking encolheu e concentrou-se em dois operadores. Que a recuperação tenha sido coordenada pelos mesmos nomes que dominam esse segmento diz muito sobre quem, na prática, segura as rédeas quando algo corre mal.

E é aqui que o voto on-chain embate na aresta dura do mundo real. A 1 de maio, um aviso de penhora apresentado no tribunal federal do distrito sul de Nova Iorque veio complicar tudo: autores com sentenças por pagar contra a Coreia do Norte alegam que o ETH congelado é propriedade do regime e, como tal, passível de apreensão (Unchained). De repente, a maioria dos delegados deixa de ser a última palavra. Um tribunal e o regime de sanções entram na sala.

O contraste cultural é enorme. Uma DAO de 2020 teria discutido durante semanas se sequer devia tocar nos fundos, entre invocações de «code is law» e de «o problema não é nosso». A DAO de 2026 tratou o assunto como uma resposta a incidente: congelar, coordenar com os pares, votar, encaminhar para um multisig controlado e preparar-se para o processo judicial. A votação deixou de ser um fim em si mesma e passou a ser um instrumento de recuperação.

Saída em vez de voz: o direito de fugir

O economista Albert Hirschman descreveu há meio século as duas reações de qualquer membro de uma organização que o desilude: a voz (protestar, votar) e a saída (ir-se embora). As DAO apostaram tudo na voz. A revolução silenciosa de 2026 foi formalizar a saída, dando-lhe contratos e garantias em vez de a deixar ao sabor de uma venda em pânico.

O exemplo mais trabalhado é a dupla governação da Lido, em funcionamento na Ethereum desde julho de 2025. Os detentores de stETH podem depositar fichas num contrato de escrow imutável para sinalizar desacordo: atingido 1% do stETH em circulação, o processo entra em «veto signalling» e atrasa qualquer proposta entre 5 e 45 dias; atingidos 10%, dispara-se o «rage quit», que bloqueia toda a governação até que quem quer sair tenha retirado o seu ETH (Unchained). O token de governação continua a decidir, mas o utilizador passa a ter um travão e uma porta.

O precedente extremo tinha sido a Nouns, em setembro de 2023, quando cerca de 56% dos membros fizeram fork e levaram consigo 16 757 ETH, dezenas de milhões de euros, para uma nova organização (CoinDesk). Um fork é a saída ao nível da organização inteira: se não ganhas a votação, vais-te embora e levas a tua parte.

A leitura de engenharia é elegante. Direitos de saída transformam a governação de uma luta em que o vencedor leva tudo em algo mais parecido com um mercado com política de devolução. Não é preciso confiar na maioria se for sempre possível reaver o que é nosso. E essa única escolha de desenho desarma uma classe inteira de ataques de esvaziamento de tesouro: drenar o cofre deixa de compensar se os dissidentes conseguem retirar a sua quota-parte primeiro.

Nem tudo deve ir a votação

A técnica de fiabilidade mais contraintuitiva é também a mais simples: reduzir aquilo que pode falhar. Se uma decisão nunca chega às urnas, ninguém a pode capturar, bloquear ou comprar. A chamada minimização da governação parte daqui, e em 2026 deixou de ser heresia para passar a ser conselho de bom senso.

A proposta que a Arbitrum Foundation apresentou em 2025, para se atribuir, a si e à Offchain Labs, um «veto suave» sobre o que chega ao fórum, foi defendida exatamente nestes termos. Steven Goldfeder, presidente executivo da Offchain Labs, argumentou que a DAO não devia «votar diretamente na marca de papel higiénico usada nos eventos da Arbitrum» (DL News). A provocação esconde um ponto sério: a largura de banda dos delegados é escassa e deve gastar-se no que importa. A reação contrária foi igualmente genuína; o delegado pseudónimo PaperImperium lamentou que «a Arbitrum era um dos poucos bastiões do domínio dos detentores de token» (DL News). A minimização troca sempre voz comunitária por fiabilidade.

A UNIfication da Uniswap é a forma mais pura desta ideia. Em vez de um debate interminável sobre se e como ligar o fee switch, a DAO gravou uma regra, as comissões alimentam a queima do token, e removeu a decisão recorrente da mesa. O voto fechou com 125 342 017 UNI a favor e 742 contra, numa participação acima de 20%, das mais altas da história do protocolo (CoinDesk). Menos decisões vivas significam menos modos de falha.

Ali Yahya, sócio da a16z crypto, resumiu o estado de espírito da indústria: «Passámos os últimos dez anos a redescobrir, da pior maneira, que a democracia direta é uma má ideia» (Fortune). O consenso de 2026 não é contra a governação; é contra governar tudo.

O conselho de segurança e o paradoxo do travão

Todo o sistema fiável tem um grande botão vermelho, e as DAO não são exceção. Os conselhos de segurança, o multisig eleito da Arbitrum, a estrutura equivalente da Optimism, são o disjuntor humano: um grupo pequeno e identificável que pode agir em horas quando o código ou o voto não conseguem. Com um ataque a drenar fundos em tempo real, um timelock de dois dias não serve de nada; um conselho serve.

Só que esse botão é o objeto mais perigoso do edifício, e esta casa já lhe dedicou uma análise inteira em o botão de emergência: o travão que decide o post-mortem. O problema é um paradoxo de legitimidade: um punhado de pessoas com poder para anular aquilo que a votação decidiu é, precisamente, a hierarquia que as DAO se propunham abolir. Quem guarda os guardiões?

É por isto que o plano de recuperação na L1 da Arbitrum é mais do que um detalhe técnico. Não é um conselho. É uma forma de reduzir a dependência do conselho: se a governação se consegue recuperar a si própria pela Ethereum, deixa de ser preciso entregar as chaves ao multisig por tempo indeterminado durante uma avaria. O ofício de 2026 está em dispor os travões em camadas, de modo a que nenhum deles, nem o conselho, nem o timelock, nem o fork, carregue sozinho o peso todo.

Os especialistas em segurança têm um nome para isto: defesa em profundidade. Nenhum controlo é confiável de forma isolada; empilham-se controlos independentes para que a falha de um não signifique a falha de todos. A governação chegou tarde a este princípio, mas chegou.

O último plano B é o tribunal

Há um travão que nenhum smart contract consegue programar: o Estado. Quando tudo o resto falha, ou quando uma DAO faz algo lesivo, o sistema legal é o plano B derradeiro, e também a responsabilidade derradeira. Ignorá-lo foi um luxo da primeira vaga que 2026 já não pode pagar.

O caso Ooki DAO fixou a questão nos Estados Unidos. Um tribunal federal aplicou uma sentença à revelia de cerca de 643 542 dólares (perto de 574 mil euros) e considerou que uma DAO é uma «associação não incorporada» e uma «pessoa» para efeitos da lei das mercadorias (CFTC). Traduzindo: «ninguém é responsável» não é um estatuto jurídico. Há sempre alguém; e um conjunto de membros que vota com tokens pode ser esse alguém, coletivamente.

É por isto que os invólucros legais, a DUNA no Wyoming, as fundações nas Caimão ou nas Ilhas Marshall, se espalharam em 2025 e 2026. Um invólucro é, ele próprio, um travão: dá à DAO forma de assinar contratos, pagar impostos e limitar a responsabilidade dos membros, para que uma única votação infeliz não exponha cada participante a um risco pessoal ilimitado. É engenharia de fiabilidade aplicada à camada jurídica, não só à camada do contrato inteligente.

A recuperação da Kelp DAO mostra as duas camadas a colidir. Uma maioria on-chain votou mover os fundos, mas o aviso de penhora de um tribunal de Nova Iorque, sobre alegada propriedade norte-coreana, pode sobrepor-se a esse voto. A finalidade on-chain não é finalidade legal. Explorámos uma colisão paralela, a de uma ação na cadeia a chegar ao banco dos réus, em MEV em julgamento. A lição repete-se: a blockchain não é uma jurisdição em si mesma.

Portugal e a UE: quem responde quando a DAO decide

Para quem lê a partir de Portugal, a pergunta natural é direta: quem responde quando uma DAO decide? A resposta honesta é que o direito europeu ainda não tem uma limpa. O MiCA, o regime cripto da União Europeia, regula emitentes e prestadores de serviços de criptoativos (os CASP), não a DAO nem o protocolo em si. Pressupõe que existe uma pessoa jurídica identificável a quem dar licença, e uma DAO genuinamente sem líder encaixa mal nesse molde.

Portugal transpôs o MiCA pela Lei n.º 69/2025, em vigor desde 1 de julho de 2026, com um modelo de «twin peaks»: o Banco de Portugal como supervisor prudencial (autorização de CASP, stablecoins e os respetivos mecanismos de governação) e a CMVM como supervisor de conduta de mercado (emissão de criptoativos que não stablecoins, abuso de mercado e a forma como os CASP tratam os clientes), com coimas que podem chegar a 5 milhões de euros (Jornal de Negócios; Diário da República).

A consequência prática é clara. Se uma DAO toca em utilizadores portugueses através de um CASP, é o CASP a parte responsável, e a sua governação interna está, de forma explícita, no âmbito do Banco de Portugal. A DAO por detrás continua numa zona cinzenta. É a versão regulatória do problema do ponto único de falha: a lei quer uma única garganta para apertar, e uma DAO resiliente e distribuída foi desenhada, precisamente, para não ter nenhuma.

Por isso a mentalidade dos travões e a mentalidade do regulador estão a convergir. Conselhos de segurança, fundações com nome, invólucros legais, CASP com KYC: cada um é um ponto em que um sistema sem rosto ganha um rosto, para o bem (responsabilidade, recuperação) e para o mal (centralização). A CMVM não regula um voto; regula as pessoas que estão por trás dele.

O que vigiar a seguir

Duas datas enquadram o curto prazo. A 22 de outubro, a Arbitrum decide se constrói o seu failover na L1. A 25 de outubro, o ENS fecha a votação que entrega ao timelock da DAO as chaves de administração que ainda restam à equipa fundadora. Nenhum destes momentos é dramático; ambos são estruturais. O que importa vigiar é se as primitivas de recuperação e de autorreparação deixam de ser exclusivo das DAO de topo e passam para a cauda longa de projetos que não têm equipas de engenharia dedicadas.

Vigie também o pano de fundo macro. A engenharia de resiliência custa dinheiro e atenção, e ambos são cíclicos, como recordámos em Outubro deu e tirou. Numa queda de mercado, as DAO mantêm o trabalho aborrecido de segurança ou cortam-no primeiro? A resposta vai separar os protocolos que levaram a sério a lição desta década dos que apenas a recitam.

Fica um aviso antes das perguntas. O risco é que os travões se tornem a nova centralização: cada mecanismo de emergência é uma alavanca que alguém segura. A versão honesta desta história não é «as DAO consertaram a governação»; é «as DAO deixaram de fingir que o voto bastava e começaram a construir em torno das suas falhas», aceitando um pouco mais de estrutura em troca de muito mais capacidade de sobreviver. Se isso é maturidade ou recentralização discreta será a discussão da próxima década.

Perguntas frequentes

O que é o Sistema de Recuperação de Votação na L1 da Arbitrum?

É um travão constitucional: se os contratos de governação da Arbitrum na camada 2 congelarem ou partirem, os delegados podem criar, votar e executar propostas diretamente na camada base da Ethereum, usando os mesmos registos de delegação de ARB. A votação encerra a 22 de outubro de 2026. O objetivo é eliminar o ponto único de falha e reduzir a dependência permanente do conselho de segurança.

O que muda com a ativação da ENSv2?

A votação on-chain, que encerra a 25 de outubro de 2026, ativa a ENSv2 na mainnet da Ethereum através de quinze chamadas agrupadas, transfere para o timelock da DAO os papéis de administração que a ENS Labs ainda detém e trava as novas inscrições na ENSv1. Os nomes .eth existentes continuam a funcionar e a poder renovar-se, sem migração obrigatória e sem data-limite.

O que é o rage quit numa DAO?

O rage quit é um mecanismo que permite a membros em desacordo sair e retirar a sua quota-parte quando uma decisão contestada avança. Na dupla governação da Lido, depositar 10% do stETH em escrow dispara o rage quit, que bloqueia a governação até que quem quer sair tenha retirado o seu ETH; 1% apenas atrasa as propostas entre 5 e 45 dias.

Uma DAO pode ser responsabilizada legalmente?

Pode. No caso Ooki DAO, a CFTC obteve uma sentença à revelia de cerca de 643 542 dólares e um tribunal norte-americano tratou a DAO como uma associação não incorporada e uma pessoa jurídica. Na União Europeia e em Portugal, o MiCA regula os CASP e os emitentes, supervisionados pelo Banco de Portugal e pela CMVM, e não a DAO em si, mas um prestador que toque em utilizadores continua responsável. Invólucros legais como a DUNA existem para limitar a responsabilidade dos membros.

Porque é que tantas votações cripto são quase unânimes?

Votações quase unânimes, como a da ENSv2 ou a UNIfication da Uniswap, podem significar duas coisas: apatia e poder de voto concentrado (a Chainalysis estima que menos de 1% dos detentores controla cerca de 90% dos votos), ou um processo bem conduzido em que o debate aconteceu a montante e o voto on-chain é só o passo de execução. Muitas vezes aplicam-se as duas leituras, e é o contexto que decide qual pesa mais.

Marcus Okafor escreve sobre cultura, poder e tecnologia on-chain na HOGE Wire.