Oráculos e pontes: o crédito malparado da DeFi em 2026

Às 8 horas (UTC) de 25 de agosto de 2026, alguém precisou apenas de uma janela de quinze minutos para provocar 36,39 milhões de dólares (perto de 31 milhões de euros) em liquidações num mercado de crédito construído sobre a Morpho. Nenhum smart contract foi violado. Nenhuma chave privada foi roubada. O atacante limitou-se a comprar um token de rendimento de forma agressiva, empurrou um oráculo pouco vigiado durante o tempo suficiente e deixou que o próprio protocolo fizesse o resto: marcou uma posição saudável como insolvente e liquidou-a.

Este é o padrão de 2026. O maior ataque à DeFi registado este ano drenou 292 milhões de dólares de um protocolo de restaking através de uma ponte, e acabou por deixar cerca de 200 milhões de dólares de dívida incobrável na Aave, o protocolo mais conservador do setor. Em março, a Resolv perdeu 25 milhões por causa de uma chave na nuvem. Em novembro, a Stream Finance evaporou 93 milhões fora da cadeia e contaminou o ecossistema em até 285 milhões. Em nenhum destes casos o código-base falhou uma auditoria. O que cedeu foi o perímetro: o oráculo, a ponte, a chave, a configuração.

Para o aforrador português, habituado à rede do Fundo de Garantia de Depósitos, a lição é desconfortável. O crédito on-chain não tem essa rede, e o risco migrou precisamente para o sítio onde as auditorias não olham. Este artigo reconstrói a anatomia das dívidas incobráveis de 2026, do exploit da semana passada na Morpho ao rombo de abril na Aave, e explica onde é que o dinheiro de quem empresta se pode perder, mesmo quando cada linha de código faz exatamente o que estava escrito.

A janela de quinze minutos que abalou a Morpho

O ativo no centro do ataque de 25 de agosto era a reUSD, uma stablecoin geradora de rendimento do ecossistema re.xyz. Como acontece nos mercados de taxa fixa da Pendle, a reUSD pode ser dividida em duas metades: o principal token (PT-reUSD), que representa o capital resgatável na maturidade, e o yield token (YT-reUSD), que captura o rendimento variável até lá. As duas metades negoceiam em mercado secundário, e o preço de uma implica mecanicamente o preço da outra: se o mercado passa a exigir mais rendimento, o YT sobe e o PT desce.

Segundo a reconstrução da CryptoTimes, o atacante (a carteira 0x854e) começou por comprar YT-reUSD de forma concentrada, empurrando a taxa implícita para cerca de 20%. Pela relação entre as duas metades, isso desvalorizou o PT-reUSD que servia de colateral. O mercado Morpho em causa avaliava esse colateral através de um oráculo TWAP (preço médio ponderado no tempo) com uma janela de apenas quinze minutos. Uma janela curta é fácil de mover com pressão de compra sustentada, e foi o que aconteceu: o preço lido pelo oráculo caiu, um mutuário (a carteira 0xaa34) que estava a 90,9% do rácio de loan-to-value ficou subitamente abaixo do limite, e o motor de liquidação disparou.

No total, foram apreendidos 11,7 milhões de PT-reUSD e desencadeadas liquidações de 36,39 milhões de dólares, com um lucro direto para o atacante estimado em cerca de 360 mil dólares, além de posições ainda em aberto. Um detalhe é decisivo para perceber quem é responsável: não se tratava de um mercado oficial da Morpho, mas de um mercado de terceiros construído sobre a infraestrutura. A equipa do protocolo Re foi a única a pronunciar-se: «Um movimento de preço de mercado no oráculo Pendle PT-reUSD, usado por um mercado Morpho de terceiros, desencadeou liquidações», garantindo que a reUSD permaneceu intacta e sem dívida incobrável. A Morpho, cujo modelo de banco invisível do crédito on-chain já dissecámos em detalhe, não emitiu qualquer comunicado oficial.

Porque é que quinze minutos chegaram? Porque um oráculo TWAP é seguro na exata medida da sua janela. Uma média longa dilui qualquer negócio isolado e obriga o atacante a manter o preço distorcido durante muito tempo, o que sai caro. Uma média de quinze minutos, num mercado de PT com pouca profundidade, custa relativamente pouco de mover e devolve muito: bastou o atacante suportar o custo do desvio durante um par de blocos para colher milhões em colateral liquidado a desconto. O erro não foi do TWAP enquanto ferramenta; foi da calibragem, uma decisão de configuração tomada por quem montou aquele mercado.

Anatomia de um empréstimo on-chain: colateral, LLTV e oráculo

Para entender a mecânica, convém recordar como funciona um mercado de crédito on-chain. De um lado estão os fornecedores de liquidez, que depositam uma stablecoin ou outro ativo e recebem juros. Do outro estão os mutuários, que entregam colateral e pedem emprestado até um limite chamado LLTV (liquidation loan-to-value). A taxa de juro não é fixada por ninguém: sobe e desce ao longo de uma curva em função da utilização do mercado, ou seja, da proporção do que foi depositado que está efetivamente emprestada. O crédito é hoje a maior categoria da DeFi, com cerca de 49 mil milhões de dólares distribuídos por mais de 500 protocolos, segundo a DefiLlama.

A saúde de cada posição resume-se a um número, o health factor. Enquanto o valor do colateral, multiplicado pelo limite de liquidação, exceder a dívida, a posição está segura. Quando cai abaixo desse limiar, qualquer pessoa pode liquidá-la: paga parte da dívida e leva o colateral com um desconto (o prémio de liquidação). Este mecanismo é o que mantém o sistema solvente sem um gestor humano. O looping recursivo, em que o mesmo colateral é reemprestado para amplificar a exposição, e que já explicámos a propósito do colateral de reserva da DeFi, empilha várias destas posições umas sobre as outras, o que torna cada uma mais sensível a um erro de preço.

O elo que sustenta tudo isto é o oráculo. É ele que diz ao protocolo quanto vale o colateral a cada instante. O health factor, a decisão de liquidar, o montante do prémio: tudo depende desse único número. Manipular o número é, na prática, manipular a solvência aparente de toda a gente no mercado. Uma posição sólida pode ser marcada como insolvente e liquidada à força (foi o caso da Morpho a 25 de agosto), ou uma posição podre pode continuar a parecer sã enquanto drena o cofre (foi o caso da Stream e da Resolv). O oráculo não é um detalhe técnico: é o ponto único de confiança de todo o edifício.

Três sabores de oráculo, três formas de partir

Nem todos os oráculos são iguais, e cada família tem uma forma característica de ceder. O preço de mercado à vista (spot) lê diretamente uma cotação de uma bolsa ou pool no momento; é rápido e barato, mas trivial de manipular em mercados pouco líquidos, como mostraram os ataques clássicos de flash loan à bZx, à Harvest e à Mango Markets. O TWAP suaviza esse preço numa média ao longo de uma janela temporal; resiste à manipulação de um único bloco, mas, se a janela for curta, uma compra sustentada consegue movê-lo, exatamente como no caso da Morpho. E o preço codificado em rígido (hardcoded) fixa um valor no contrato (por exemplo, um dólar para uma stablecoin, ou 1,13 dólares para um token derivado); é o mais barato de todos e nunca é manipulável por compra, mas também nunca reavalia, o que é catastrófico quando o ativo perde a paridade.

Há aqui um compromisso que nenhum protocolo consegue contornar. Quanto mais rápido e barato é o oráculo, mais fácil é manipulá-lo; quanto mais robusto, mais lento a refletir a realidade e mais caro de operar. Um TWAP longo protege contra o atacante, mas atrasa a liquidação de uma posição que se deteriora de verdade, o que pode gerar dívida incobrável por atraso em vez de por manipulação. A escolha da janela é, portanto, uma aposta sobre qual dos dois riscos é maior naquele mercado concreto. Errar essa aposta foi o que custou 36 milhões à Morpho.

O modelo de curadores: quem define o risco

Quem escolhe o oráculo, a janela do TWAP e o LLTV de um mercado? Na arquitetura modular que domina o crédito on-chain em 2026, não é o protocolo. A Morpho Blue é um núcleo mínimo e imutável: cada mercado define-se por cinco parâmetros (o colateral, o ativo emprestado, o LLTV, o oráculo e o modelo de taxa de juro), e o protocolo cobra zero e não escolhe nada. Quem escolhe é o curador. É ele que constrói o cofre, define os parâmetros e capta os depósitos, funcionando como um gestor de fundos on-chain. A tese da modularização separou a infraestrutura da gestão de risco, e entregou esta segunda a operadores externos.

O problema é uma assimetria de incentivos. O curador cobra uma comissão sobre os depósitos que atrai, mas não suporta a dívida incobrável quando um dos seus mercados rebenta: essa perda recai sobre os depositantes. Foi um curador terceiro, com um oráculo TWAP de quinze minutos, que abriu a porta ao ataque de 25 de agosto. E a captação está altamente concentrada. Segundo o relatório da Chorus One, o capital sob gestão dos curadores saltou de cerca de 300 milhões para 7 mil milhões de dólares em menos de um ano (uma subida de 2.200%), com os cinco maiores a controlarem perto de 43% do total.

Stream e Resolv: o precedente que já conhecíamos

O ataque à Morpho não surgiu do nada. Foi apenas a versão mais recente de um padrão que 2026 tornou familiar. A 4 de novembro de 2025, a Stream Finance revelou uma perda de cerca de 93 milhões de dólares numa estratégia gerida fora da cadeia; a sua stablecoin xUSD perdeu cerca de três quartos do valor em 24 horas. Como o xUSD estava a ser reemprestado como colateral avaliado a um dólar fixo, o rombo propagou-se por vários protocolos, chegando a uma exposição de até 285 milhões de dólares em todo o ecossistema, segundo o levantamento reunido pela Protos.

A Resolv seguiu-se a 22 de março de 2026. Aqui o vetor foi uma chave de serviço comprometida na infraestrutura de nuvem (uma SERVICE_ROLE key da AWS KMS), que permitiu cunhar 80 milhões de USR e transformar poucas centenas de milhares de dólares em cerca de 25 milhões em minutos. O detalhe que interessa a este artigo é o oráculo: o token wstUSR estava avaliado em rígido a 1,13 dólares quando era negociado a cerca de 0,63 no mercado. «O oráculo está codificado em rígido e, por isso, nunca é reavaliado; o wstUSR estava avaliado a 1,13 dólares enquanto era negociado a cerca de 0,63 dólares nos mercados secundários», resumiu Omer Goldberg, fundador da Chaos Labs. A autópsia completa deste modelo de curadores, com o detalhe das ações judiciais e da cadeia de contágio, fica reservada para outro texto; aqui interessa a lição comum.

E a lição comum tem um lado positivo que costuma perder-se no ruído: no caso da Stream, o isolamento da Morpho funcionou. De mais de 320 cofres, apenas um (gerido pela MEV Capital) tinha exposição direta ao xUSD, com cerca de 700 mil dólares de dívida incobrável. O contágio existiu, mas ficou contido a quem tinha escolhido aquele mercado. Guardem esta ideia: ela reaparece quando compararmos a forma como a Aave e a Morpho encaixam um prejuízo.

Quatro oráculos codificados em catorze meses

O preço codificado em rígido é o pecado recorrente do crédito on-chain. É tentador porque é simples e barato: em vez de manter um oráculo vivo para um ativo que deveria valer sempre um dólar, escreve-se o valor no contrato. O problema é que os ativos que deveriam valer sempre um dólar são exatamente os que colapsam. Segundo a The Defiant, a Resolv foi a quarta falha deste tipo em catorze meses. Repete-se porque a economia convida a repeti-la: um oráculo dinâmico custa dinheiro e trabalho, e enquanto a paridade se mantém ninguém dá pela diferença.

O ataque de 25 de agosto à Morpho é a variante seguinte deste tema. Não usou um preço fixo, mas um TWAP com uma janela demasiado curta; o resultado prático é o mesmo, um oráculo que descreve uma realidade que não corresponde ao mercado no momento em que mais importa. Muda o mecanismo, mantém-se o pecado: confiar num número que alguém consegue afastar da verdade.

KelpDAO: quando a ponte derruba o banco mais conservador

Se o exploit da Morpho é o mais recente e o da Stream o mais mediático, o maior de todos em 2026 atingiu precisamente o protocolo que costuma ser apresentado como o mais prudente. A 18 de abril, um atacante extraiu cerca de 292 milhões de dólares (perto de 250 milhões de euros) em rsETH da KelpDAO, e o rombo acabou por deixar cerca de 200 milhões de dólares de dívida incobrável na Aave, segundo o NewsBTC.

O mecanismo nada teve a ver com o código dos empréstimos. A ponte de rsETH da KelpDAO estava configurada com um único verificador (uma DVN «um-de-um» da LayerZero), em vez do conjunto redundante de verificadores recomendado. Segundo a análise da OpenZeppelin, os atacantes comprometeram os nós RPC de que esse verificador dependia, substituindo o software por versões maliciosas, e lançaram ataques de negação de serviço contra os restantes para forçar o tráfego pela infraestrutura envenenada. Com o verificador sob controlo, injetaram uma mensagem inter-cadeia forjada que afirmava que 116.500 rsETH tinham sido bloqueados na cadeia de origem, quando não existia qualquer transação real. O OFTAdapter da KelpDAO libertou todo esse montante do escrow.

O passo seguinte foi trivial e devastador. O atacante depositou o rsETH forjado como colateral na Aave V3, que o tinha listado como colateral legítimo e não tinha forma de rejeitar os depósitos em tempo real, e esvaziou os pools de WETH até a utilização atingir 100%. A Aave perdeu cerca de 6,6 mil milhões de dólares de valor total bloqueado e o token AAVE caiu 23% nos dias seguintes. A dívida incobrável ficou algures entre 123 e 230 milhões de dólares, consoante a forma de socialização, com cerca de 200 milhões como estimativa central.

Este é o caso que desmonta a narrativa fácil de «curadores da Morpho maus, Aave boa». A Aave não delega o risco a curadores externos: os parâmetros são definidos pela governação do seu DAO, com consultores de risco como a Gauntlet e a Chaos Labs. É o modelo integrado e prudente por excelência. E mesmo assim sangrou 200 milhões de dólares, a partir de um colateral que ela própria tinha aprovado, por causa de uma falha de configuração numa ponte que não controlava. Os contratos do rsETH funcionaram como estava previsto; o problema foi a configuração «um-de-um», não o código.

Auditado e, ainda assim, pirateado

Há um fio comum a todos estes episódios que devia incomodar qualquer pessoa que confie numa auditoria como selo de segurança: todos os protocolos envolvidos tinham sido auditados, e em todos eles o código fez exatamente aquilo para que foi escrito. O contrato do rsETH libertou o escrow porque recebeu uma mensagem válida (embora forjada). O oráculo codificado em rígido devolveu o preço codificado em rígido. O TWAP da Morpho calculou a média de negócios reais. Nenhuma destas execuções foi um erro de programação no sentido clássico.

É esse o alcance limitado de uma auditoria de código. «Uma única auditoria de smart contract não revê nenhuma destas categorias de forma holística», sublinhou a OpenZeppelin na sua análise do ataque à KelpDAO, referindo-se à configuração de integração, às dependências de infraestrutura e aos pressupostos de confiança da arquitetura. A auditoria examina o contrato; as perdas de 2026 vieram de tudo o que rodeia o contrato. É uma distinção que o marketing de «protocolo auditado» tende a apagar, e que o depositante paga quando a distinção volta a importar. Uma revisão que cobrisse a configuração da ponte, a dependência dos nós RPC ou a calibragem da janela do oráculo teria apanhado o que o exame do código deixou passar; simplesmente, quase ninguém encomenda esse tipo de revisão.

Quem paga a conta: socializado ou isolado

Quando o colateral liquidado não chega para cobrir a dívida, alguém tem de comer a diferença. É aqui que as duas grandes arquiteturas do crédito on-chain divergem de forma decisiva, e é aqui que a escolha do utilizador tem consequências concretas. A cascata de liquidações que se segue a um choque de preço, e que já descrevemos a propósito do posicionamento em derivados, é apenas o primeiro andar; o segundo é saber sobre quem recai a dívida que sobra.

No modelo da Aave, o risco é socializado. Os depósitos de um mesmo ativo estão num pool partilhado, por isso uma dívida incobrável num mercado é absorvida por todos os fornecedores desse ativo, ou por um mecanismo de reserva do próprio protocolo (o Umbrella, que substituiu o antigo módulo de segurança). A vantagem é a liquidez profunda e unificada; a desvantagem é que um único mercado tóxico, como o rsETH em abril, pode manchar o pool inteiro. No modelo da Morpho, o risco é isolado: cada mercado é um silo, e a dívida incobrável fica-se pelos fornecedores daquele mercado. Foi por isso que a Stream só atingiu um cofre e não os outros trezentos e tal. A vantagem é a contenção do contágio; a desvantagem é a fragmentação da liquidez, e o facto de que, se escolheu o cofre errado, ninguém partilha a sua perda.

O paradoxo do valor: Aave e Morpho valem quase o mesmo

Há um enigma de mercado escondido nestes números. A Aave tem cerca do dobro dos depósitos da Morpho e, no entanto, as capitalizações de mercado dos dois tokens são quase idênticas. A 26 de agosto de 2026, segundo a CoinGecko, o AAVE valia 105,56 euros, com uma capitalização de cerca de 1,63 mil milhões de euros; o MORPHO valia 2,12 euros, com uma capitalização de cerca de 1,39 mil milhões. Como pode um protocolo com metade do negócio valer quase o mesmo?

A resposta está em como cada token capta valor. O AAVE tem um mecanismo de recompra: a Aavenomics encaminha a receita do protocolo para comprar AAVE no mercado, o que dá ao token um direito indireto sobre os fluxos de caixa. O MORPHO, pelo contrário, é um token de governação puro: o protocolo cobra zero e o token não tem qualquer direito sobre receitas. O mercado está, portanto, a comparar o fluxo de caixa presente da Aave com a opção de crescimento da Morpho, o mesmo exercício de reprecificação que fizemos ao mapear os alvos de preço para 2026. Vale a pena reparar num pormenor: apesar de todos os episódios de dívida incobrável, os dois tokens subiram na semana (o AAVE 35% em sete dias, o MORPHO perto de 19%). O mercado separa o risco do token do protocolo do risco de quem deposita num cofre; são coisas diferentes, e convém não as confundir.

O perímetro, não o protocolo

Junte-se tudo e desenha-se a tese de 2026. A superfície de ataque do crédito on-chain deslocou-se do contrato para o perímetro. O contrato ficou robusto: anos de auditorias, núcleos mínimos e imutáveis, milhares de milhões em bug bounties. Por isso os atacantes deixaram de atacar o contrato e passaram a atacar aquilo que o rodeia: a janela do oráculo (Morpho), a configuração da ponte (KelpDAO), a chave na nuvem (Resolv), o rácio de embrulho de um token (os ataques de doação a cofres ERC-4626), o fundo gerido fora da cadeia (Stream). Em cada caso, o código-base fez o que devia; a decisão humana à volta dele é que foi o alvo fácil.

O relatório da Chorus One capta bem esta dualidade. «A arquitetura da DeFi é resiliente: o isolamento funcionou, as perdas foram contidas, a liquidez regressou. O sistema dobrou-se, mas não partiu», escrevem os autores. «A cultura de risco da DeFi não é resiliente: os curadores avaliaram mal o colateral, dimensionaram mal as posições e trataram ativos de crédito como se fossem stablecoins.» A engenharia está madura; o julgamento de quem opera não está. E como o julgamento não se audita, é ele que continua a falhar.

O acerto de contas: reformas depois do prejuízo

Cada rombo trouxe a sua correção. Depois do ataque ao rsETH, a Aave reviu as suas normas de listagem de colateral, exigindo critérios mais duros aos ativos que dependem de pontes e de infraestrutura externa. A LayerZero deixou de suportar a configuração de verificador «um-de-um» que esteve na origem do problema. Do lado dos oráculos, a direção é clara: janelas de TWAP mais longas, disjuntores (circuit breakers) que suspendem liquidações perante movimentos anómalos, limites ao crescimento de rácios derivados e o abandono progressivo de preços codificados em rígido para ativos que podem perder a paridade.

Do lado dos curadores, discutem-se sistemas de notação (ratings), períodos de bloqueio (timelocks) antes de qualquer alteração de parâmetros, e a exigência de que o curador tenha capital próprio em risco, o tal skin in the game que hoje não existe. Empresas de monitorização de risco, como a Chaos Labs e a Gauntlet, vendem vigilância em tempo real dos parâmetros e da liquidez. Nada disto é uma bala de prata. As reformas são reativas por natureza: cada correção fecha o último buraco, e o próximo ataque procura o seguinte. É o custo de operar num sistema onde a inovação corre à frente da gestão de risco.

A DeFi não é um banco: MiCA, CMVM e a ausência de rede

A diferença mais importante entre um cofre de crédito on-chain e um depósito bancário não é a taxa de juro: é a rede de segurança que existe por baixo. Um depósito num banco português está coberto, até 100 mil euros por titular e por instituição, pelo Fundo de Garantia de Depósitos. Um depósito num cofre da Morpho ou da Aave não está coberto por nada. Não há garantia de depósitos, não há credor de último recurso, e a dívida incobrável recai sobre quem forneceu a liquidez. Quando o rsETH ou o xUSD implodem, ninguém reembolsa o depositante por decreto. É um contraste que vale a pena ter presente quando a taxa anunciada parece boa demais: a rentabilidade extra é, em boa parte, o preço dessa ausência de rede.

Do ponto de vista regulatório, o vazio é intencional. O regulamento europeu MiCA supervisiona os prestadores de serviços de criptoativos (os CASP) e os emitentes de stablecoins, mas não os protocolos autónomos: interagir diretamente com um smart contract, sem intermediário, cai fora do seu âmbito. O relatório conjunto da EBA e da ESMA previsto no artigo 142 classificou a DeFi como um nicho do valor cripto global, e a Comissão Europeia não colocou as regras específicas para a DeFi entre as prioridades imediatas; a consulta de revisão do MiCA decorre com respostas até 31 de agosto de 2026.

Em Portugal, a CMVM supervisiona a conduta de mercado e o Banco de Portugal trata do registo dos CASP e das stablecoins, ao abrigo da Lei n.º 69/2025, em vigor desde 27 de dezembro de 2025, cujo regime transitório para os antigos VASP terminou a 1 de julho de 2026. Convém ainda lembrar que instrumentos como os PT e YT, por serem derivados de rendimento, tendem a cair sob a alçada da DMIF II (MiFID II) e não do MiCA. Para o investidor de retalho, a conclusão prática é simples: nenhum destes regimes lhe devolve o dinheiro se o cofre onde depositou ficar com dívida incobrável.

Como ler um oráculo antes de depositar

Nenhum depositante consegue auditar um contrato, mas qualquer pessoa consegue fazer as perguntas certas antes de colocar capital num cofre. Depois do ano que o crédito on-chain teve, esta é a lista mínima.

• Que tipo de oráculo usa o mercado? Fuja de preços codificados em rígido para qualquer ativo que possa perder a paridade.
• Se for um TWAP, qual é a janela? Uma janela de quinze minutos num mercado pouco líquido, como o de um PT, é um sinal de alarme.
• Quem é o curador? Qual é o seu historial e que fatia do mercado concentra?
• O mercado é isolado ou a dívida incobrável socializa-se pelo pool inteiro?
• O colateral tem liquidez suficiente para ser liquidado num crash sem deixar buraco?
• A auditoria cobriu apenas o código, ou também a configuração, a infraestrutura e os pressupostos de confiança?
• Existe uma reserva que absorva perdas (como o Umbrella), ou o depositante é a única rede?

Nenhuma destas perguntas elimina o risco. Juntas, distinguem quem entende onde está o perigo de quem se deixou seduzir por uma taxa de juro atraente e por um selo de «auditado». Em 2026, essa distinção valeu centenas de milhões de dólares.

Perguntas frequentes

O que aconteceu à Morpho a 25 de agosto de 2026?

Um atacante manipulou o oráculo TWAP de quinze minutos de um mercado Morpho de terceiros, comprando YT-reUSD para fazer disparar a taxa implícita e desvalorizar o colateral PT-reUSD. Isso desencadeou 36,39 milhões de dólares em liquidações e um lucro de cerca de 360 mil para o atacante. O mercado era de um curador terceiro, e o protocolo Re garantiu que a stablecoin reUSD não sofreu dívida incobrável.

A DeFi tem garantia de depósitos como um banco?

Não. Ao contrário de um depósito bancário, coberto em Portugal até 100 mil euros pelo Fundo de Garantia de Depósitos, um depósito num protocolo de crédito on-chain não tem garantia, nem credor de último recurso. Se um mercado acumular dívida incobrável, a perda recai sobre quem forneceu a liquidez, e nem o MiCA nem a CMVM obrigam a qualquer reembolso.

Porque é que os oráculos de preço fixo são tão perigosos?

Um oráculo codificado em rígido escreve um preço no contrato e nunca o reavalia. Enquanto o ativo mantém a paridade, parece funcionar; quando o ativo colapsa, o protocolo continua a avaliá-lo ao valor antigo, permitindo empréstimos contra um colateral que já não vale nada. Foi o que aconteceu com o xUSD da Stream e o wstUSR da Resolv, avaliado a 1,13 dólares quando valia 0,63.

O que é um curador e porque é que importa?

Um curador é quem constrói e gere um mercado ou cofre num protocolo modular como a Morpho, escolhendo o colateral, o oráculo e os limites de risco, e captando depósitos em troca de uma comissão. Importa porque é o curador, e não o protocolo, que define o risco a que o seu dinheiro fica exposto; e porque, hoje, o curador cobra a comissão mas não suporta a dívida incobrável, que recai sobre o depositante.

A Aave é mais segura do que a Morpho?

São modelos diferentes, não necessariamente um mais seguro do que o outro. A Aave concentra o risco num pool partilhado com uma reserva de segurança, mas um único ativo mau pode manchar todo o pool, como mostrou o rsETH em abril, que deixou cerca de 200 milhões de dólares de dívida incobrável. A Morpho isola cada mercado, o que contém o contágio, mas deixa o depositante de um cofre específico sem ninguém com quem partilhar a perda. A segurança depende mais do mercado concreto e do seu oráculo do que da marca do protocolo.

Por Yuki Tanaka, editor de crédito on-chain na HOGE Wire.