Post-mortem S.A.: o negócio de mil milhões da autópsia cripto

Quando as carteiras de hardware Coldcard começaram a perder Bitcoin a 30 de julho, o cadáver teve leitores em poucas horas. A TRM Labs publicou a sua análise do caso poucos dias depois; Tom Robinson, cofundador da Elliptic, disse à TechCrunch que o total corrente, já acima de 130 milhões de dólares (perto de 112 milhões de euros), estava «grosso modo correto»; a Galaxy Research contou pelo menos uma dúzia de grupos a correr atrás dos mesmos endereços; e o investigador pseudónimo ZachXBT seguiu o rasto da lavagem. Nenhum destes leitores era um amador de fim de semana.

É esta a história que quase nunca se conta sobre a cultura do post-mortem. O relato público de um colapso, aquilo que a cripto trata como o seu ritual mais honesto e comunitário, tornou-se em silêncio numa das suas indústrias mais lucrativas. Ler o cadáver de um protocolo é hoje um negócio medido em mil milhões, financiado por Wall Street, comprado por governos e em plena vaga de fusões e aquisições. Este artigo não disseca mais um hack: segue o dinheiro que se ganha a dissecá-los.

Do obituário comunitário à classe de ativos

A autópsia cripto nasceu de baixo para cima. O site rekt.news deu-lhe um tom de obituário noir e uma tabela de classificação que funciona como muro da vergonha coletivo; ZachXBT construiu uma reputação a rastrear fundos roubados a partir de um portátil, sem crachá nem cartão de visita; e comunidades inteiras votaram, em assembleia de DAO, se pagavam uma recompensa ao atacante ou se assumiam a perda em nome dos utilizadores. Esse impulso, o de transformar o desastre num documento público em vez de o esconder, continua a ser a marca cultural do setor e cruza-se com a forma como as comunidades on-chain decidem quem manda mesmo numa DAO.

Há uma razão estrutural para o obituário se ter tornado tão central. Na DeFi verdadeiramente descentralizada não existe um prestador de serviços regulado a quem apresentar queixa: quando um protocolo é esvaziado, não há linha de apoio, fundo de garantia nem supervisor a quem recorrer. A autópsia pública, o rastreio on-chain e a negociação com o atacante passaram a substituir a via judicial que simplesmente não existe. E onde há procura, aparece oferta. Se ler o colapso é a única forma de recuperar dinheiro, alguém acabaria por cobrar para o fazer bem. Foi exatamente o que aconteceu. Em 2026, a leitura do cadáver reparte-se por quatro camadas de negócio muito distintas, que vale a pena separar em vez de tratar como um bloco só de «empresas de segurança».

Os três unicórnios (e ex-unicórnios) da vigilância on-chain

A camada mais visível, e de longe a mais valiosa, é a das empresas de análise de blockchain. São elas que produzem o software com que forças policiais, bancos e exchanges seguem transações, atribuem endereços a entidades reais e escrevem os relatórios que aparecem citados em cada post-mortem sério. Três nomes dominam: a Chainalysis, a TRM Labs e a Elliptic. Em 2026, os três protagonizaram movimentos de capital que dizem muito sobre para onde vai o poder nesta indústria.

A leitura conjunta da tabela é o ponto de partida de tudo o que se segue: a indústria que audita a promessa de descentralização da cripto é financiada, na sua camada mais rica, pelos maiores bancos e fundos do sistema financeiro tradicional, e o seu maior comprador é o Estado. O ritual anti-autoridade acabou vendido à autoridade.

Chainalysis: o líder que o mercado privado reavaliou

Fundada em 2014 por Michael Gronager e Jonathan Levin, a Chainalysis é a decana da categoria e continua a ser a referência por quota de mercado. As suas ferramentas, o Reactor para investigação e o KYT para monitorização de transações, são o padrão de facto em salas de investigação de meio mundo. Foi também a empresa que melhor ilustra o ciclo de euforia e ressaca desta indústria: em 2022, no topo do mercado, levantou 170 milhões de dólares (cerca de 146 milhões de euros) a uma avaliação de 8,6 mil milhões de dólares, segundo o perfil de negócio compilado pela Contrary Research.

Essa avaliação não sobreviveu ao inverno cripto. Em 2023, a empresa despediu pessoal em duas rondas, a segunda das quais cortou cerca de 15% do quadro, num reconhecimento explícito de que a procura do setor privado tinha desabado com os preços. Desde então, o valor atribuído à Chainalysis no mercado secundário caiu de forma acentuada face ao pico de 2022; relatos de 2026 apontam para números bem abaixo desse máximo, na ordem de 1,55 mil milhões de dólares (perto de 1,33 mil milhões de euros). A empresa mantém-se privada, com as suas ações a trocarem de mãos em plataformas de secundário, e a especulação recorrente sobre uma eventual entrada em bolsa é, por si só, um sinal de maturidade de toda a categoria.

O que estabilizou a Chainalysis não foi a cripto, foi o Estado. Ao longo dos últimos anos, os contratos com governos passaram a representar a maior parte das receitas, com clientes como o Departamento de Defesa, o FBI e o IRS dos Estados Unidos. Essa dependência é uma faca de dois gumes: dá previsibilidade de receita, mas concentra o risco político num punhado de orçamentos públicos e transforma a empresa, na prática, em fornecedora de inteligência para agências de segurança. Voltaremos a este ponto, porque é o coração da questão cultural.

TRM Labs: o unicórnio financiado pela banca

Se a Chainalysis é a história da ressaca, a TRM Labs é a da nova subida. Fundada em 2018, a empresa fechou em fevereiro de 2026 uma Série C de 70 milhões de dólares (cerca de 60 milhões de euros) que a catapultou para o estatuto de unicórnio, com uma avaliação de mil milhões de dólares (cerca de 860 milhões de euros) e um total acumulado de 220 milhões de dólares angariados. A ronda foi liderada pela Blockchain Capital, mas a lista de participantes é que conta a história verdadeira, como noticiou a CoinDesk: Goldman Sachs, Citi Ventures, Bessemer, a gestora de private equity Thoma Bravo, a Brevan Howard e a Galaxy.

Olhe-se para essa lista com atenção. A infraestrutura que serve para vigiar a cripto está a ser financiada, em parte, pelos mesmos bancos de investimento que a cripto prometeu tornar obsoletos. Não é ironia menor. E o enquadramento da própria empresa não deixa margem para dúvidas sobre o mercado que persegue: o comunicado da ronda anunciava capital para «escalar soluções de inteligência artificial que desmantelem redes criminosas e enfrentem ameaças à segurança nacional». Ari Redbord, responsável global de política da TRM, sublinhou na altura o crescimento explosivo do problema que a empresa vende resolver, referindo um aumento de cerca de 500% no uso de inteligência artificial em burlas e fraudes. A TRM diz servir forças de segurança e agências de segurança nacional em mais de 50 países e apresenta um crescimento de receita superior a 150% ao ano na última meia década.

Elliptic e a chegada em peso dos bancos europeus

A terceira grande, a Elliptic, fundada em Londres em 2013, completou o quadro em maio de 2026 com uma Série D de 120 milhões de dólares (cerca de 103 milhões de euros) a uma avaliação de 670 milhões (perto de 580 milhões de euros). Segundo o anúncio da própria empresa, a ronda foi liderada pela One Peak, com participação do Nasdaq Ventures, do Deutsche Bank, do British Business Bank e do J.P. Morgan.

Repare-se em quem entrou: um operador de bolsa (Nasdaq) e dois dos maiores bancos do mundo (Deutsche Bank e J.P. Morgan). A Elliptic posiciona-se explicitamente como fornecedora de conformidade para bancos, fintechs e reguladores, e diz analisar mais de 65 blockchains para mais de 700 clientes em 30 países, filtrando acima de mil milhões de transações por semana. Onde a TRM aponta às agências de segurança e a Chainalysis vive dos contratos de defesa, a Elliptic vende sobretudo à banca a capacidade de cumprir as regras anti-branqueamento sem tocar diretamente na cripto. Três empresas, três clientes-âncora diferentes, o mesmo produto de fundo: transformar o rasto público de um colapso em inteligência vendável.

O Estado como cliente-âncora

Chegamos ao ponto que muda a forma de ler qualquer post-mortem. A camada mais rica desta indústria não vive dos protocolos hackeados nem da comunidade cripto: vive do Estado. Quando a Chainalysis reconhece que os contratos governamentais são a maior fatia das suas receitas, ou quando a TRM levanta capital sob a bandeira da «segurança nacional», o que está a ser vendido não é apenas um relatório de autópsia. É infraestrutura de vigilância financeira, e o comprador principal é o mesmo aparelho de Estado que a cripto, no seu mito fundador, se propunha contornar.

Isto tem consequências práticas na cultura do post-mortem. Um relatório forense produzido por uma empresa cujo maior cliente é uma agência de segurança não é um documento neutro escrito para a comunidade: é, em boa parte, um produto orientado para as necessidades probatórias e de inteligência de quem paga a fatura. A atribuição de um roubo à Coreia do Norte, por exemplo, é ao mesmo tempo uma conclusão técnica e uma mensagem comercial dirigida a orçamentos de defesa. Perguntar «quem escreveu esta autópsia e quem lhe paga o ordenado» tornou-se tão importante como perguntar «o que correu mal», da mesma forma que, nos mercados, importa sempre saber quem está mesmo a comprar por trás do fluxo antes de acreditar na narrativa oficial.

Arkham e o mercado do «dox-to-earn»

Abaixo dos gigantes da análise existe uma camada mais crua e mais controversa: a do mercado direto de identidade. A Arkham Intelligence, fundada em 2020 por Miguel Morel e sediada entre Austin e Londres, construiu uma plataforma para associar carteiras a entidades reais e, sobretudo, um mercado, o Intel Exchange, onde utilizadores compram e vendem informação sobre quem está por trás de um endereço, pago no token nativo ARKM. Os críticos batizaram o modelo de «dox-to-earn», ganhar dinheiro a desanonimizar pessoas, e a discussão sobre os seus limites éticos tem sido áspera, como documentou a Protos.

A Arkham lançou recompensas por identificar donos de endereços ligados a casos de grande visibilidade, incluindo programas de grande visibilidade associados à falência da FTX e ao mercado da Wintermute. A empresa é apoiada por nomes do topo do Vale do Silício, de Sam Altman a Peter Thiel, passando por Joe Lonsdale, cofundador da Palantir, e pela Binance Labs, e tem-se defendido em público das acusações de ser um instrumento de vigilância estatal. O que torna a Arkham relevante para a cultura do post-mortem é o que faz ao incentivo: transforma o ato de identificar um atacante, antes um serviço público prestado por gente como ZachXBT por reputação, numa transação com preço de mercado. A autópsia deixa de ser um dever cívico e passa a ser uma commodity com cotação.

Blockaid: vender a autópsia antes da morte

Há uma quarta forma de faturar com o colapso: evitá-lo, e cobrar por isso. A Blockaid, fundada em 2022 por Ido Ben-Natan e Raz Niv, ambos com passado na unidade de ciberdefesa 8200 das forças israelitas, integra-se diretamente em carteiras e aplicações descentralizadas para bloquear transações maliciosas em tempo real. É prevenção como serviço, um modelo de subscrição que vende a análise forense antes de haver cadáver. A empresa levantou 50 milhões de dólares (cerca de 43 milhões de euros) numa Série B liderada pela Ribbit Capital em 2025, segundo a CoinDesk, com participação da GV, da Variant e da Cyberstarts, para um total acumulado na casa dos 83 milhões de dólares (cerca de 71 milhões de euros).

Os números de operação da Blockaid ajudam a perceber a escala do mercado de prevenção: a empresa afirma ter analisado mais de 2,4 mil milhões de transações e bloqueado dezenas de milhões de ataques. Quando algo escapa, é muitas vezes ela a dar o primeiro alerta público. Foi a Blockaid a assinalar em primeira mão o esvaziamento da AFX Trade, na Arbitrum, a 22 de julho (cerca de 24 milhões de dólares, perto de 21 milhões de euros, por comprometimento de chaves de uma ponte), e a explicar o mecanismo de manipulação de oráculo que travou a Ostium em julho. Vale a pena notar como esta camada se cruza com o resto do ecossistema: a Ostium é uma bolsa de perpétuos on-chain, o tipo de mercado que analisámos na guerra dos perp DEX que a Hyperliquid está a vencer, e boa parte do que a Blockaid deteta são precisamente as estratégias de extração e defesa on-chain que definem hoje a segurança da DeFi.

Immunefi e a consolidação das recompensas

Entre a prevenção e a autópsia há ainda o mercado das recompensas por deteção de falhas, o bug bounty, hoje também ele um negócio a concentrar-se. A Immunefi é a maior plataforma do setor e, em maio de 2026, absorveu a Code4rena, a principal rival no modelo de concursos de auditoria, num movimento que The Block descreveu como o fim de uma era para as auditorias em formato de competição. A Immunefi aloja alguns dos maiores prémios da indústria, com pools como os 15,5 milhões de dólares (cerca de 13 milhões de euros) da Uniswap v4, e mantém o recorde do maior pagamento único, os 10 milhões de dólares atribuídos ao investigador satya0x pela descoberta na Wormhole em 2022.

A economia do bug bounty é a face preventiva do post-mortem: paga-se a quem encontra a falha antes do atacante para não ter de se escrever a autópsia depois. Mas mesmo aqui a lição das recompensas convive mal com a das auditorias. Mitchell Amador, fundador e presidente executivo da Immunefi, resumiu numa análise da CoinDesk aquilo que uma década de post-mortems tornou evidente: ter sido auditado nunca significou estar seguro. A consolidação Immunefi-Code4rena é o mesmo padrão das grandes de análise a escala superior: um mercado que começou artesanal, com concursos abertos e caçadores independentes, a agrupar-se em plataformas cada vez maiores.

A camada que não fatura: ZachXBT e a SEAL 911

Contra este pano de fundo comercial sobrevive a camada que deu origem a tudo e que continua a não faturar. ZachXBT trabalha sozinho, sob pseudónimo, financiado por donativos e por campanhas de financiamento coletivo para as suas despesas legais; é dele a maior parte das atribuições que a imprensa cita antes de qualquer relatório corporativo sair. A SEAL 911, braço de resposta rápida da Security Alliance fundada em 2023 por investigadores como samczsun e Pascal Caversaccio, é uma estrutura sem fins lucrativos: um canal de emergência onde voluntários intervêm a meio de um ataque, sem cobrar, com milhares de casos tratados e mais de 50 milhões de dólares recuperados, como a própria organização documenta na página do SEAL 911.

Aqui está a tensão que define a cultura do post-mortem em 2026: a legitimidade continua a residir na camada que não ganha dinheiro, enquanto o poder e o capital migraram para a camada que ganha. A comunidade confia no investigador anónimo e no voluntário que intervém de graça; mas é a empresa com a Goldman Sachs na estrutura acionista e o FBI na carteira de clientes que fica com a maior parte do valor económico. A tabela seguinte resume as quatro camadas e o que cada uma persegue.

A onda de fusões e o fim da fase artesanal

O sinal mais claro de que esta deixou de ser uma cena de nicho é a consolidação. A Chainalysis passou os últimos anos a comprar capacidades em vez de as construir: adquiriu a Hexagate, especialista em segurança Web3, no final de 2024; comprou a israelita Alterya, focada em deteção de fraude com inteligência artificial, em janeiro de 2025, num negócio estimado em cerca de 150 milhões de dólares (perto de 129 milhões de euros); e fechou, a 10 de julho de 2026, a aquisição da Finisterra Labs. Do lado das recompensas, a Immunefi absorveu a Code4rena. Do lado da prevenção, a Blockaid engordou o balanço com capital de risco.

Os compradores e os financiadores contam a mesma história: nomes de private equity como a Thoma Bravo entram na estrutura da TRM, bancos globais entram na Elliptic, e a categoria toda deixa de ser um clube de criptógrafos idealistas para passar a comportar-se como qualquer outro subsetor de software empresarial maduro, com aquisições, rondas de crescimento e conversas de bolsa. A fase artesanal, aquela em que a autópsia era escrita por gente que o fazia por dever ou por diversão intelectual, não acabou, mas deixou de ser onde está o dinheiro.

O problema do vigilante pago: conflitos e incentivos

Quando quem escreve a autópsia tem interesses comerciais, aparecem problemas que a versão comunitária do post-mortem não tinha. O primeiro é a atribuição como marketing. Apontar um roubo à Coreia do Norte tornou-se quase um reflexo, e não é difícil perceber porquê: é a conclusão que melhor vende a orçamentos de segurança nacional. Isso não significa que esteja errada; significa que a confiança na atribuição varia enormemente conforme o caso. No roubo à Bybit, várias fontes independentes convergiram (FBI, peritos forenses contratados e investigadores da comunidade). Noutros casos, a atribuição assenta em «indicadores preliminares» de uma única fonte interessada. Os próprios agregados da indústria não coincidem: os dados de meio ano da TRM Labs apontam para cerca de 972 milhões de dólares roubados em 207 incidentes, com dois terços atribuídos à Coreia do Norte, um retrato que outras firmas contabilizam de forma diferente para o mesmo período.

O segundo problema é mais direto: um mercado como o Intel Exchange da Arkham, que paga a quem revela identidades, cria incentivos para deitar cá para fora informação que talvez devesse ficar privada, e levanta suspeitas quando a mesma entidade que investiga também transaciona tokens ou posições ligadas ao caso. Estas preocupações já foram levantadas em público a propósito de investigações do próprio ZachXBT, incluindo alegações reportadas pela CoinDesk sobre negociação com informação privilegiada em torno de uma das suas apurações. O terceiro problema é o mais estrutural de todos: não existe, em lado nenhum, um organismo que certifique estas empresas ou que fixe um padrão de prova para a atribuição forense. Os seus relatórios podem acabar num tribunal, mas ninguém acredita quem os pode escrever.

O vazio regulatório: nem a CMVM nem o MiCA olham para os forenses

Para o leitor português, a moldura regulatória fecha o argumento. O regulamento MiCA e o regime de resiliência operacional DORA aplicam-se a prestadores de serviços de criptoativos, os CASP, e à forma como eles gerem risco, custódia e incidentes. Uma empresa de análise forense não é um CASP: não custodia fundos de ninguém, não intermedeia negociação, não emite tokens. Fica, por isso, fora do perímetro. A CMVM e o Banco de Portugal supervisionam a conduta e o registo dos CASP ao abrigo da Lei n.º 69/2025, em vigor desde o final de 2025, mas não têm qualquer competência sobre a Chainalysis, a TRM ou a Elliptic.

O contraste é revelador. Um CASP regulado tem obrigações precisas de reporte de incidentes ao abrigo do DORA, com prazos apertados para notificar o supervisor. As empresas que investigam e narram esses incidentes, e cujos relatórios alimentam investigações da Polícia Judiciária e podem pesar num processo-crime em Portugal, não respondem a nenhum supervisor setorial equivalente. Temos, portanto, uma indústria privada, financiada por capital de risco e por bancos, com o Estado como principal cliente, a produzir a prova técnica que sustenta acusações, sem que exista uma autoridade a certificar os seus métodos. É um ângulo morto que estrutura toda a cultura do post-mortem e que nenhum regulador europeu, para já, se propôs preencher.

O que muda na cultura do post-mortem

Nada disto anula o valor do post-mortem. A autópsia pública continua a ser a coisa mais honesta que a cripto faz, e a existência de uma indústria capaz de rastrear fundos em minutos já devolveu centenas de milhões a vítimas que, de outra forma, nada teriam recuperado. O ponto não é que a comercialização seja má; é que ela mudou, discretamente, o significado do ritual. O que começou como um gesto comunitário e anti-autoridade amadureceu numa cadeia de fornecimento que alimenta uma indústria de vigilância e atribuição avaliada em vários milhares de milhões, financiada por Wall Street, comprada por governos e a consolidar-se através de private equity.

A camada de base ainda existe, e é dela que continua a vir a legitimidade cultural, mas o dinheiro e o poder mudaram de andar. A consequência prática para quem lê é simples e vale para toda a informação de mercado, do volume por trás da cotação do Bitcoin às narrativas de segurança: da próxima vez que uma autópsia impecável aparecer horas depois de um colapso, com uma atribuição limpa e uma conclusão conveniente, vale a pena fazer a pergunta que a versão romântica do post-mortem nunca precisou de fazer. Quem escreveu isto, e quem lhe pagou para escrever?

Perguntas frequentes

Porque é que os post-mortems cripto se tornaram um negócio?

Porque na DeFi verdadeiramente descentralizada não existe um CASP regulado a quem reclamar: quando um protocolo é esvaziado, a autópsia pública e o rastreio on-chain são muitas vezes a única via de recuperação. Essa procura criou um mercado, e empresas de análise, prevenção e recompensas passaram a vender o serviço de ler o colapso, hoje uma indústria avaliada em vários milhares de milhões de euros.

Quais são as maiores empresas de análise forense de blockchain?

As três maiores são a Chainalysis (fundada em 2014, líder de mercado com o Estado como principal cliente), a TRM Labs (que atingiu avaliação de mil milhões de dólares numa ronda de 2026 com participação da Goldman Sachs) e a Elliptic (que levantou 120 milhões de dólares em 2026 com o Nasdaq Ventures e o Deutsche Bank). A elas juntam-se a Arkham, a Blockaid e a Immunefi, cada uma noutra camada do mercado.

Quem financia a indústria forense de cripto?

Sobretudo capital de risco e instituições financeiras tradicionais: Goldman Sachs, Citi Ventures, Deutsche Bank, J.P. Morgan e Nasdaq Ventures, além de fundos de private equity como a Thoma Bravo, aparecem nas rondas recentes. O maior comprador dos produtos, porém, é o Estado: agências de segurança, forças policiais e ministérios da defesa.

A CMVM ou o MiCA regulam as empresas forenses de blockchain?

Não. O MiCA e o regime DORA aplicam-se a prestadores de serviços de criptoativos (CASP) e à sua resiliência operacional, não a empresas de análise forense, que não custodiam fundos. A CMVM e o Banco de Portugal não têm competência sobre a Chainalysis ou a TRM, apesar de os relatórios destas empresas poderem alimentar investigações da Polícia Judiciária e processos judiciais.

O que é o modelo «dox-to-earn» da Arkham?

É um mercado onde utilizadores compram e vendem informação sobre a identidade por trás de carteiras, pago no token ARKM. A Arkham lançou recompensas por revelar donos de endereços associados a casos como o da FTX. Os críticos argumentam que transforma a desanonimização numa atividade lucrativa e levanta problemas sérios de privacidade.

Marcus Okafor cobre cultura, segurança e mercados cripto para a HOGE Wire.