Post-mortem sob supervisão: a DORA reescreve a autópsia cripto
O post-mortem cripto deixou de ser uma confissão voluntária para passar a obrigação legal na UE. A DORA, o MiCA e a CMVM redefiniram quem lê a autópsia do próximo grande hack.
Em fevereiro de 2025, quando a Bybit perdeu cerca de 1,3 mil milhões de euros (1,5 mil milhões de dólares) para o grupo norte-coreano Lazarus, o setor cripto fez o que sempre fez depois de um desastre: exigiu a autópsia. Poucos dias depois, o presidente executivo Ben Zhou publicou os relatórios forenses de duas empresas, a Sygnia e a Verichains, e a comunidade dissecou cada transação no ecrã. Foi o ritual do costume, o post-mortem como confissão pública. Só que, desde janeiro de 2025, uma plataforma sediada na União Europeia que sofresse o mesmo ataque teria de escrever um segundo documento, bem menos glamoroso, para entregar ao supervisor.
A autópsia cripto deixou de ser apenas um gesto voluntário de transparência. Passou a ser, em paralelo, uma obrigação legal. Enquanto a cultura do post-mortem nasceu na fronteira entre os hackers de chapéu branco e os investigadores de segurança, o novo Regulamento sobre a Resiliência Operacional Digital (DORA) transformou o relatório de incidente num dever regulatório, com prazos, formulários e uma autoridade a ler do outro lado. Este texto olha para essa colisão: entre a confissão que a comunidade quer ler e o relatório que o regulador exige, e para o que isso muda em Portugal, onde a CMVM e o Banco de Portugal passaram a ter um papel na história.
Dois documentos para o mesmo desastre
Durante uma década, o post-mortem cripto foi um artefacto cultural antes de ser um documento técnico. Depois de um ataque, o protocolo publicava um fio nas redes sociais ou um artigo no seu blogue, reconstruía a cronologia, apontava a causa raiz e prometia correções. O tom oscilava entre a contrição e a autopromoção, mas o formato era reconhecível: cronologia, causa, impacto, mitigação, próximos passos. Era escrito para uma audiência de pares, muitas vezes por engenheiros que sabiam que outros engenheiros iriam verificar cada afirmação contra os dados na blockchain.
A partir de 2025, esse mesmo desastre passou a gerar potencialmente dois textos. O primeiro é o post-mortem público, voluntário, dirigido à comunidade e à reputação. O segundo é o relatório de incidente grave de TIC, confidencial, dirigido à autoridade competente e com valor jurídico. Descrevem o mesmo acontecimento, mas obedecem a incentivos opostos. Um quer contar tudo depressa; o outro tem de contar o suficiente, no prazo certo, sabendo que pode acabar num processo. A tensão entre estes dois documentos é a história nova do post-mortem cripto, e explica por que razão a autópsia de 2026 já não se parece com a de 2020.
De onde vem o post-mortem: a herança blameless
A cripto não inventou o post-mortem. Herdou-o, quase intacto, da engenharia de fiabilidade de sistemas e da investigação de acidentes. O modelo de referência é o da aviação, onde a autoridade que investiga um acidente separa a análise técnica da atribuição de culpa, precisamente para que os intervenientes relatem tudo sem receio. A engenharia de software formalizou essa ideia no chamado post-mortem blameless, descrito em detalhe no manual de Site Reliability Engineering da Google: o objetivo de uma autópsia não é encontrar um culpado, mas encontrar a causa sistémica que permitiu o erro humano, para que a organização aprenda em vez de punir.
Quando essa cultura chegou à cripto, encontrou um terreno peculiar. As blockchains públicas são o que o investigador de segurança samczsun celebrizou como uma floresta escura, um ambiente onde qualquer transação exposta na mempool pode ser observada e antecipada por predadores automáticos. No relato em que resgatou fundos em risco antecipando-se a um atacante, samczsun escreveu que «a possibilidade de as nossas transações serem antecipadas era muito real» e que, no fim, «tínhamos escapado à floresta escura». Nesse mundo, o post-mortem tornou-se um mecanismo de defesa coletiva: partilhar depressa a anatomia de um ataque ajuda todos os outros a fechar a mesma porta antes de serem atingidos. A lógica desse mercado adversarial, onde a ordenação das transações vale dinheiro, é a mesma que explorámos ao analisar o esforço para encriptar o mempool e travar o sandwich.
Mas a herança blameless trazia uma promessa difícil de cumprir na cripto: a de que ninguém seria punido por dizer a verdade. Na aviação, o investigador não é o procurador. Na cripto, o mesmo post-mortem que confessa uma falha pode ser lido por um utilizador furioso, por um advogado de uma ação coletiva e, agora, por um regulador. A cultura importou o formato, mas não conseguiu importar a imunidade.
A anatomia de uma autópsia bem feita
Um bom post-mortem responde sempre às mesmas perguntas, independentemente de ser escrito por uma equipa de DeFi anónima ou por um departamento de conformidade. E, por uma coincidência que não é coincidência nenhuma, essas perguntas coincidem quase linha a linha com aquilo que a DORA passou a exigir por escrito. A regulação europeia estruturou o relatório de incidente em três momentos, uma notificação inicial, um relatório intermédio de progresso e um relatório final com a causa raiz, que são a versão burocrática do fio que a comunidade sempre escreveu à mão.
| Componente | Pergunta a que responde | No post-mortem público | No relatório DORA |
|---|---|---|---|
| Deteção e cronologia | Quando e como se percebeu? | Fio ou artigo com timestamps na blockchain | Notificação inicial em prazo apertado |
| Causa raiz | Que falha permitiu o ataque? | Análise técnica revista pela comunidade | Relatório final de causa raiz |
| Impacto quantificado | Quanto se perdeu e quem foi afetado? | Valor em euros, carteiras, utilizadores | Classificação de gravidade por limiares |
| Mitigação imediata | O que se fez para travar a hemorragia? | Pausas de contrato, congelamentos | Relatório intermédio de progresso |
| Correções (action items) | O que muda para não repetir? | Lista de promessas, muitas vezes sem prazo | Plano de remediação sujeito a supervisão |
A diferença de fundo está na última linha. No post-mortem público, as correções são promessas cuja execução ninguém fiscaliza. No relatório regulatório, a remediação passa a estar sob o olhar de uma autoridade que pode voltar a perguntar. É uma diferença pequena no papel e enorme na prática, como veremos.
Bybit: a transparência como gestão de crise
O caso que definiu o padrão moderno de autópsia foi o maior de sempre. A 21 de fevereiro de 2025, a Bybit detetou movimentos não autorizados numa das suas carteiras frias de Ethereum durante uma transferência de rotina. Em minutos, cerca de 1,3 mil milhões de euros (1,5 mil milhões de dólares) saíram para carteiras controladas pelo atacante. A investigação forense da Sygnia e da Verichains chegou a uma conclusão desconfortável: a infraestrutura da própria Bybit não estava comprometida. O ataque tinha entrado por um terceiro.
Segundo os relatórios partilhados por Ben Zhou, o Lazarus comprometeu a máquina de um programador da Safe{Wallet}, o fornecedor de carteiras multiassinatura usado pela Bybit, e injetou código JavaScript malicioso na interface servida a partir de um bucket de armazenamento na AWS, modificado dois dias antes do ataque. O ecrã mostrava aos signatários da Bybit uma transação de aparência normal, enquanto alterava por baixo a lógica e o destino dos fundos. Foi um caso de manual de assinatura cega, em que quem aprova não consegue verificar o que está realmente a assinar. Como documentou a DL News, o processo de multiassinatura foi subvertido não por uma falha no código dos contratos, mas por uma apresentação enganosa da transação.
A resposta da Bybit tornou-se um estudo de caso de gestão de crise pela transparência. Enquanto a fila de levantamentos crescia, Ben Zhou publicou na rede social X uma mensagem que se tornou célebre: «A Bybit está solvente mesmo que esta perda não seja recuperada, todos os ativos dos clientes estão cobertos numa base de um para um, conseguimos cobrir a perda.» A afirmação está arquivada no seu perfil. A empresa assegurou financiamento de emergência, incluindo cerca de 447 mil ether de firmas como a Galaxy Digital, a FalconX e a Wintermute, e, poucos dias depois, segundo a CNBC, uma auditoria de prova de reservas conduzida pela Hacken confirmou que os fundos tinham sido repostos acima dos 100 por cento. A publicação rápida dos relatórios forenses, disponíveis num segundo fio de Ben Zhou, foi tão importante para a sobrevivência da marca quanto a solvência.
Cetus: quando o post-mortem confessa excesso de confiança
Se a Bybit mostrou a autópsia como defesa reputacional, a Cetus mostrou-a como confissão e, ao mesmo tempo, abriu um debate incómodo sobre poder. A 22 de maio de 2025, a Cetus, a principal exchange descentralizada da blockchain Sui, perdeu cerca de 190 milhões de euros (220 milhões de dólares, com algumas estimativas a apontar valores mais altos) numa questão de minutos. A causa raiz, detalhada num post-mortem publicado a 26 de maio, foi uma falha de overflow na lógica do criador de mercado automático, uma verificação ineficaz dos bits mais significativos dos valores de liquidez que permitiu ao atacante manipular os parâmetros das pools. Para quem quiser entender como estas fórmulas movem a liquidez, vale a pena reler o desenho dos AMM e a matemática que sustenta a bolsa on-chain.
O que distinguiu esta autópsia foi a honestidade da admissão. No seu post-mortem, a Cetus reconheceu que o sucesso passado e a ampla adoção de bibliotecas auditadas tinham criado uma falsa sensação de segurança, uma frase rara num setor que costuma escrever os seus relatórios na defensiva. Confessar excesso de confiança é o oposto da retórica habitual, e ajuda a explicar por que razão o mesmo tipo de erro reaparece: quando o código passou por auditoria, as equipas baixam a guarda perante a matemática que ninguém voltou a questionar.
Depois veio a parte que dividiu a comunidade. Os validadores da rede Sui votaram e congelaram cerca de 160 milhões de dólares em carteiras do atacante, e a rede avançou para devolver os fundos aos utilizadores. Como noticiou a DL News, a decisão de um conjunto relativamente pequeno de validadores poder travar transações levantou dúvidas sérias sobre a descentralização e a resistência à censura da rede. A autópsia, nesse caso, deixou de ser só um relatório e passou a ser o gatilho de uma intervenção de governação, com todos os dilemas que isso levanta sobre quem realmente controla uma cadeia, uma discussão que ecoa a que fizemos sobre a dupla governação por trás do stETH e sobre o drama crescente das DAO entre o assalto e o divórcio.
| Dimensão | Bybit (fev. 2025) | Cetus (maio 2025) |
|---|---|---|
| Perda estimada | Cerca de 1,3 mil milhões de euros | Cerca de 190 milhões de euros |
| Causa raiz | Terceiro comprometido, assinatura cega | Falha de overflow no código do AMM |
| Onde falhou | Fora do contrato, na infraestrutura | Dentro do contrato, na matemática |
| Resposta central | Solvência e prova de reservas | Congelamento por votação de validadores |
| Tensão principal | Confiança em fornecedores externos | Descentralização contra recuperação |
2026: a falha mudou de sítio
Os dois casos apontam para a mesma tendência, e os números de 2026 confirmam-na. O valor total roubado caiu, mas o número de ataques bateu recordes, e o vetor de entrada deslocou-se do código para o ser humano. Segundo a Immunefi, as perdas do primeiro semestre de 2026 caíram abaixo dos mil milhões de dólares, para cerca de 845 milhões de euros (972 milhões de dólares) em 207 incidentes, o maior número de sempre. A CertiK, com uma metodologia diferente, contabilizou cerca de 1,15 mil milhões de euros (1,32 mil milhões de dólares) em 344 incidentes. As contas não batem certo entre trackers, e essa é a primeira lição: até o número de partida de uma autópsia depende de quem a escreve.
| Fonte | Perdas H1 2026 | Incidentes | Observação |
|---|---|---|---|
| Immunefi | Cerca de 845 milhões de euros (972 milhões USD) | 207 | Abaixo dos mil milhões, recorde de ataques |
| CertiK | Cerca de 1,15 mil milhões de euros (1,32 mil milhões USD) | 344 | Cerca de 1,2 mil milhões líquidos após recuperações |
| Vetor dominante | Cerca de 385 milhões de euros (444,5 milhões USD) | 33 | Comprometimento de carteiras, o mais caro por incidente |
O dado mais revelador não é o total, é a distribuição. Cerca de 74 por cento do valor roubado no semestre veio de dispositivos comprometidos, credenciais privilegiadas, chaves privadas, sistemas de assinatura e infraestrutura fora da cadeia, e não de falhas nos contratos inteligentes. O comprometimento de carteiras foi o vetor mais caro, com cerca de 385 milhões de euros (444,5 milhões de dólares) em apenas 33 incidentes. Os atores ligados à Coreia do Norte, sobretudo o Lazarus e o subgrupo TraderTraitor, foram responsáveis por cerca de 560 milhões de euros (643 milhões de dólares), à volta de dois terços de todas as perdas do semestre. O dano estrito da DeFi, aliás, caiu cerca de 74 por cento face ao pico de 2022.
A conclusão é a que mais custa a um setor obcecado por auditorias de código: o problema, cada vez mais, não é o código. É a porta ao lado, aberta por uma pessoa. E, no entanto, muitos post-mortems continuam a terminar com a mesma promessa de sempre, mais auditorias, quando a falha esteve na gestão de chaves, na engenharia social ou num fornecedor. É a mesma miopia que analisámos ao ver como os oráculos e as pontes geraram o crédito malparado da DeFi: o risco vive nas costuras entre sistemas, não no centro de cada um.
Entra a DORA: a autópsia passa a lei
É neste contexto que a Europa formalizou a autópsia. O Regulamento (UE) 2022/2554, conhecido como DORA, entrou em aplicação a 17 de janeiro de 2025 e trata da resiliência operacional digital das entidades financeiras. O ponto crucial para a cripto é este: os prestadores de serviços de criptoativos autorizados na UE ao abrigo do MiCA estão incluídos no âmbito da DORA. Ou seja, a exchange, o emitente de stablecoin ou o custodiante que opere legalmente no espaço europeu deixou de poder tratar o relatório de incidente como um gesto opcional de boa vontade.
A DORA obriga estas entidades a detetar, classificar e comunicar os incidentes graves de TIC às autoridades competentes, contra limiares de materialidade definidos e em prazos apertados. Para os incidentes mais sérios, exige três documentos distintos: um relatório inicial que notifica a autoridade, um relatório intermédio sobre o progresso na resolução e um relatório final que analisa as causas raiz. É difícil não ver aqui o post-mortem de sempre, agora com formulário, prazo e destinatário obrigatório. O calendário desta e de outras peças regulatórias, do MiCA às regras norte-americanas, está mapeado na nossa contagem decrescente do calendário regulatório da cripto até 2027.
A mudança é mais profunda do que parece. Um post-mortem público pode ser escrito com o cuidado de não admitir responsabilidade legal. Um relatório à autoridade tem de ser suficientemente completo para cumprir a lei, o que significa dizer coisas que um advogado preferiria que não fossem ditas. Pela primeira vez, o autor da autópsia escreve para dois leitores com interesses opostos ao mesmo tempo.
Portugal: CMVM, Banco de Portugal e a Lei 69/2025
Para o leitor português, a pergunta prática é quem lê estes relatórios. A resposta envolve duas casas. Com a transposição do MiCA para a ordem jurídica nacional, através da Lei n.º 69/2025, de 22 de dezembro, o país manteve a repartição de competências entre o Banco de Portugal e a Comissão do Mercado de Valores Mobiliários. À CMVM cabe sobretudo a supervisão comportamental e de mercado, incluindo a prevenção do abuso, o tratamento de reclamações e a resolução de conflitos entre entidades e consumidores. Ao Banco de Portugal cabe a vertente prudencial.
No plano dos incidentes de TIC ao abrigo da DORA, a articulação é subtil. A CMVM é uma das entidades que, no setor dos valores mobiliários, recebe comunicações de incidentes graves. Contudo, quando uma entidade financeira está sujeita a vários supervisores, a competência para o reporte, o acompanhamento e a coordenação dos incidentes graves de TIC recai sobre o supervisor prudencial, que em Portugal é o Banco de Portugal. Na prática, um prestador de serviços de criptoativos com incidente relevante em Portugal poderá ter de comunicar ao Banco de Portugal, ainda que a CMVM continue a ser o rosto da supervisão de conduta do mercado cripto. A própria CMVM já respondeu formalmente à ESMA que cumpre a totalidade das orientações do MiCA, sinal de que a fiscalização de conduta não é retórica.
Para um investidor de retalho em Lisboa ou no Porto, isto significa uma coisa concreta: se a plataforma que usa for uma CASP autorizada na UE, o relatório do próximo ataque não vai depender apenas da boa vontade da empresa. Existe agora um dever legal de comunicar, e um supervisor com poder para pedir contas.
O que o regulador já viu: 3.383 incidentes
A DORA não é teoria. O primeiro retrato agregado já saiu, e as suas conclusões são um contraponto útil ao alarmismo do costume. A 3 de junho de 2026, as Autoridades Europeias de Supervisão publicaram o primeiro relatório sobre incidentes graves de TIC comunicados ao abrigo da DORA. Os números surpreendem quem imagina o setor financeiro sob fogo cerrado de hackers: foram reportados 3.383 incidentes graves de TIC pelas entidades financeiras da UE, cerca de 0,18 por entidade, e apenas cerca de 10 por cento envolveram ameaças de cibersegurança. A larga maioria resultou de falhas de sistemas e de eventos externos, não de ataques deliberados.
Cerca de um terço dos incidentes teve impacto transfronteiriço, um dado que as autoridades leram como sinal da crescente interligação e da dimensão sistémica do risco de TIC. As mesmas autoridades sublinharam a importância da gestão de risco de terceiros e da supervisão eficaz dos serviços subcontratados, e alertaram para a necessidade de reforçar as medidas de cibersegurança à medida que as ferramentas apoiadas em inteligência artificial evoluem. O impacto direto sobre clientes e transações, segundo o relatório, foi geralmente limitado.
Há aqui uma lição que a cultura cripto raramente admite: quando se obriga toda a gente a reportar, descobre-se que a maioria das falhas é aborrecida. Não são golpes de génio de atacantes, são sistemas que caem, dependências que falham, atualizações que correm mal. O post-mortem regulatório, por ser exaustivo, dá um retrato menos épico e mais verdadeiro do que costuma correr mal.
O paradoxo do blameless sob juramento
Chegamos ao nó da questão. A cultura do post-mortem blameless assenta numa promessa: conta tudo, ninguém te pune. A obrigação regulatória assenta noutra: conta tudo, porque é a lei. As duas parecem alinhadas, mas puxam em direções opostas quando entra em cena a responsabilidade jurídica. Um relatório completo e honesto, que identifica com clareza a causa raiz e a negligência que a permitiu, é ótimo para a comunidade aprender e péssimo para a defesa numa ação coletiva. O mesmo parágrafo que salva a reputação técnica pode ser exibido em tribunal como admissão de culpa.
É por isso que os departamentos jurídicos existem, e é por isso que os dois documentos tendem a divergir. O post-mortem público será escrito com um filtro reputacional; o relatório à autoridade será escrito com um filtro legal. O risco é que a versão que a comunidade lê passe a ser cada vez mais lavada, mais cuidadosa, menos útil, enquanto a versão verdadeiramente franca desaparece dentro de um envelope confidencial que ninguém fora do supervisor vai ler. A transparência que fez a força do post-mortem cripto pode, ironicamente, sair enfraquecida pela sua própria institucionalização.
E há a questão de quem verifica o verificador. Um post-mortem é uma narrativa contada pela parte interessada. A comunidade cripto sempre teve a blockchain pública como contraprova, qualquer afirmação sobre fluxos de fundos pode ser conferida na cadeia. Mas as afirmações sobre processos internos, sobre quem sabia o quê e quando, ficam por confirmar. É o mesmo problema de fiscalização que levantámos noutro contexto ao perguntar quem fiscaliza o entrevistador: quando o autor do relato é também o protagonista, a verificação independente deixa de ser um luxo e passa a ser condição de credibilidade.
O elo que ninguém audita: os terceiros
Se há um tema em que o post-mortem hacker e o relatório regulatório apontam exatamente para o mesmo lado, é o risco de terceiros. A Bybit não foi hackeada na sua infraestrutura; foi atingida através de um fornecedor de carteiras. As Autoridades Europeias de Supervisão insistiram na gestão de risco de terceiros e na supervisão dos serviços subcontratados. E os números de 2026 confirmam que a infraestrutura fora da cadeia, as dependências, os serviços de assinatura, os buckets de armazenamento, é onde o dinheiro sai.
Esta convergência é significativa porque ataca o ponto cego histórico das auditorias cripto. Auditar um contrato inteligente é verificar código que a equipa escreveu. Mas a dependência que mata é, muitas vezes, a que a equipa não escreveu, a biblioteca de terceiros, o oráculo externo, a interface servida por um fornecedor. A DORA leva esta preocupação ao ponto de prever a supervisão de fornecedores críticos de TIC, reconhecendo que a resiliência de uma entidade financeira depende de uma cadeia de outros que ela não controla. É a tradução regulatória de uma verdade que a cripto aprendeu à força: a segurança é tão forte quanto o elo mais fraco da cadeia de dependências, e esse elo raramente aparece no relatório da auditoria.
SEAL: a resposta que chega antes da autópsia
Enquanto os reguladores europeus construíam o dever de reportar, a comunidade cripto construía a sua própria infraestrutura de resposta, e fê-lo antes e à margem do Estado. O exemplo maior é a Security Alliance, ou SEAL, a organização sem fins lucrativos fundada por samczsun, que entretanto deixou a Paradigm para se dedicar ao projeto. A SEAL opera uma linha de emergência aberta 24 horas por dia, a SEAL 911, que já ajudou a recuperar mais de 43 milhões de euros (50 milhões de dólares) em ataques, e mantém programas de partilha de inteligência, manuais de boas práticas e simulações de incidentes, os chamados wargames.
A peça mais engenhosa é o acordo de porto seguro para hackers de chapéu branco, o Safe Harbor. Ele permite que um investigador intervenha durante um ataque em curso, quando a urgência não deixa tempo para processos formais, com regras claras: os fundos resgatados têm de ser devolvidos em 72 horas, a recompensa é de 10 por cento do valor recuperado, com um teto de cerca de 870 mil euros (1 milhão de dólares), e existe um fundo de defesa jurídica para cobrir os custos legais do investigador. O acordo foi adotado por protocolos como a Uniswap e a Balancer, cobrindo um valor bloqueado acima dos 59 mil milhões de euros (68 mil milhões de dólares). A procura tem crescido: em 2025, a SEAL geriu mais de 1.800 pedidos de apoio, mais do dobro do ano anterior.
O Safe Harbor resolve, na prática, o mesmo paradoxo legal que a DORA levanta: como pedir a alguém que aja com transparência quando qualquer intervenção pode gerar responsabilidade jurídica. A resposta da comunidade foi criar imunidade contratual privada; a resposta do regulador foi criar obrigação com prazos. Ambas tentam resolver a mesma tensão entre agir depressa e agir protegido, por caminhos opostos.
O cemitério das action items e o que muda para Portugal
Há uma frase que aparece em quase todos os post-mortems e que quase nunca é auditada: a lista de correções. Depois de descrever a falha, o protocolo promete rever contratos, reforçar a gestão de chaves, contratar auditorias, adicionar monitorização. Chamam-lhe action items. O problema é que, no modelo voluntário, ninguém volta para verificar se foram cumpridas. Uma década de ataques com as mesmas causas raiz, chaves mal geridas, engenharia social, dependências não verificadas, sugere que muitas dessas promessas foram para o cemitério. O ecossistema tem um historial de repetir os mesmos erros precisamente porque a autópsia terminava na publicação, não na implementação.
É aqui que a obrigação regulatória pode, talvez, acrescentar algo que a cultura sozinha não conseguiu. Um relatório final de causa raiz entregue a um supervisor cria um registo formal, e um supervisor que recebe repetidamente relatórios com a mesma causa raiz tem base para exigir mudanças. A DORA não garante que as correções sejam feitas, mas cria um leitor com memória e com poder, o que é mais do que o post-mortem público alguma vez teve. A dúvida é se a supervisão terá recursos e competência técnica para acompanhar um setor que se move a esta velocidade, um problema recorrente em toda a supervisão financeira.
Para o leitor em Portugal, o balanço prático é este. Primeiro, um bom post-mortem continua a ser o melhor termómetro da saúde de um projeto; uma equipa que publica depressa, com detalhe e sem desculpas, revela uma cultura de segurança. Segundo, a partir de agora, uma plataforma que opere legalmente na UE tem também um dever de reportar, e vale a pena preferir prestadores autorizados sob o MiCA, sabendo que existe uma autoridade, a CMVM na conduta, o Banco de Portugal na coordenação de incidentes, com poder de fiscalização. Terceiro, desconfie do relatório que só fala em código e nunca fala em pessoas, chaves ou fornecedores. Em 2026, é aí que o dinheiro sai. A autópsia amadureceu; falta ver se o setor amadurece com ela.
Perguntas Frequentes
O que é um post-mortem em cripto?
É um relatório de incidente publicado depois de um ataque ou falha, que descreve o que aconteceu, quanto se perdeu e o que vai mudar. Costuma incluir uma cronologia, a causa raiz, o impacto quantificado, as mitigações imediatas e uma lista de correções, as chamadas action items.
A DORA obriga as plataformas de cripto a reportar ataques?
Sim. Desde 17 de janeiro de 2025, o Regulamento (UE) 2022/2554 (DORA) obriga as entidades financeiras, incluindo os prestadores de serviços de criptoativos autorizados na UE, a classificar e comunicar os incidentes graves de TIC às autoridades competentes, através de um relatório inicial, um relatório intermédio e um relatório final com a análise da causa raiz.
Quem supervisiona os criptoativos em Portugal?
A supervisão está repartida. A CMVM é responsável pela supervisão comportamental e de mercado ao abrigo do MiCA, enquanto o Banco de Portugal assume a vertente prudencial. Nos incidentes de TIC ao abrigo da DORA, quando uma entidade tem vários supervisores, a coordenação cabe ao supervisor prudencial, ou seja, ao Banco de Portugal.
Qual foi o maior hack de cripto de sempre?
O ataque à Bybit, a 21 de fevereiro de 2025, com um prejuízo de cerca de 1,3 mil milhões de euros (1,5 mil milhões de dólares), atribuído ao grupo norte-coreano Lazarus. A origem foi o comprometimento da infraestrutura da Safe{Wallet} e a assinatura cega de uma transação manipulada.
O que é um post-mortem blameless?
É uma autópsia que procura a causa sistémica de uma falha sem culpabilizar pessoas concretas, uma prática herdada da engenharia de fiabilidade e da aviação. O objetivo é que as equipas relatem tudo sem receio de sanção, para que a organização aprenda. Em cripto, essa cultura colide com a responsabilidade legal e financeira que costuma seguir-se a um ataque.
Por Marcus Okafor, editor sénior da HOGE Wire.