{"id":190,"date":"2026-07-20T04:42:18","date_gmt":"2026-07-20T04:42:18","guid":{"rendered":"https:\/\/hoge.gg\/pt\/auditado-hackeado-post-mortem-cripto\/"},"modified":"2026-07-20T04:42:18","modified_gmt":"2026-07-20T04:42:18","slug":"auditado-hackeado-post-mortem-cripto","status":"publish","type":"post","link":"https:\/\/hoge.gg\/pt\/auditado-hackeado-post-mortem-cripto\/","title":{"rendered":"Auditado e hackeado: o ponto cego dos post-mortems cripto"},"content":{"rendered":"<p class=\"wp-block-paragraph\">No dia 15 de julho de 2026, a Ostium, uma exchange descentralizada de perp\u00e9tuos sobre ativos do mundo real constru\u00edda em Arbitrum, suspendeu as negocia\u00e7\u00f5es depois de um atacante ter drenado entre cerca de 11,9 e 18 milh\u00f5es de d\u00f3lares (10 a 16 milh\u00f5es de euros) do seu vault principal, quase 28% dos 63 milh\u00f5es de d\u00f3lares (55 milh\u00f5es de euros) em valor total bloqueado que o protocolo tinha nesse momento. O mecanismo do ataque n\u00e3o passou por nenhuma linha do contrato inteligente que tinha sido auditado. O atacante controlava a chave privada de um dos assinantes do or\u00e1culo de pre\u00e7os, o suficiente para submeter relat\u00f3rios com data futura e abrir e fechar posi\u00e7\u00f5es artificialmente lucrativas cerca de vinte vezes seguidas, atrav\u00e9s de um <a href='https:\/\/crypto.news\/blockaid-uncovers-18m-exploit-that-forces-ostium-halt\/'><em>forwarder<\/em> de atualiza\u00e7\u00e3o de pre\u00e7os<\/a> j\u00e1 registado no sistema.<\/p><p class=\"wp-block-paragraph\">A Ostium tinha sido auditada mais do que uma vez e contava com o apoio de fundos como General Catalyst, Jump Crypto, Coinbase Ventures, Wintermute e GSR. Ainda assim, caiu por uma porta que nenhuma dessas auditorias tinha sequer tentado fechar. Este \u00e9 o ponto cego que a cultura do post-mortem cripto raramente confronta de frente: o relat\u00f3rio da aut\u00f3psia costuma detalhar ao minuto a mec\u00e2nica do ataque, mas raramente pergunta, com a mesma persist\u00eancia, quem assinou a auditoria que devia ter apanhado o problema, e o que significa, na pr\u00e1tica, um protocolo ser descrito como \u00abauditado\u00bb. Este artigo olha para essa lacuna atrav\u00e9s de cinco casos de 2025 e 2026 em que protocolos auditados, alguns deles v\u00e1rias vezes, foram esvaziados de qualquer forma, para o que uma auditoria de smart contracts promete legalmente, para a forma como o setor est\u00e1 a reorganizar-se \u00e0 volta desse limite, e para o que a regula\u00e7\u00e3o europeia exige, ou n\u00e3o exige, de quem escreve estes relat\u00f3rios.<\/p><h2 class='wp-block-heading'>Quando a auditoria n\u00e3o chega a tempo: o caso Ostium<\/h2><p class=\"wp-block-paragraph\">A Ostium reagiu como manda o manual mais recente da cultura cripto: parou as negocia\u00e7\u00f5es, congelou posi\u00e7\u00f5es em aberto e publicou uma declara\u00e7\u00e3o a confirmar que \u00aba equipa est\u00e1 a investigar ativamente com especialistas em seguran\u00e7a\u00bb. N\u00e3o houve, nas primeiras horas, qualquer men\u00e7\u00e3o \u00e0s auditorias anteriores do protocolo nem qualquer explica\u00e7\u00e3o sobre porque \u00e9 que nenhuma delas cobria a chave privada que acabou por ser o elo mais fraco. Isso n\u00e3o \u00e9 incomum, \u00e9 a norma.<\/p><p class=\"wp-block-paragraph\">A conta p\u00fablica dos factos, entretanto, j\u00e1 \u00e9 mais rica do que era h\u00e1 alguns anos: empresas de dete\u00e7\u00e3o de amea\u00e7as publicaram uma reconstru\u00e7\u00e3o t\u00e9cnica do ataque poucas horas depois do incidente, muito antes de a pr\u00f3pria Ostium confirmar os n\u00fameros finais. Essa velocidade de resposta \u00e9, em si mesma, um produto da cultura do post-mortem, mas tamb\u00e9m mostra como a investiga\u00e7\u00e3o forense se tornou mais r\u00e1pida do que a auditoria alguma vez foi desenhada para ser.<\/p><p class=\"wp-block-paragraph\">Como acontece cada vez mais depois de um exploit, analistas independentes come\u00e7aram a seguir a carteira do atacante on-chain quase em tempo real, catalogando cada troca e cada ponte usada para tentar dispersar os fundos roubados. \u00c9 o mesmo tipo de vigil\u00e2ncia que, \u00e0 escala do mercado, <a href='https:\/\/hoge.gg\/pt\/whale-alerts-baleias-mercado-cripto\/'>permite interpretar os grandes movimentos das baleias<\/a> muito antes de qualquer comunicado oficial confirmar o que aconteceu. A diferen\u00e7a \u00e9 que, num exploit, essa vigil\u00e2ncia torna-se a \u00fanica fonte fi\u00e1vel de informa\u00e7\u00e3o nas primeiras horas, antes de qualquer post-mortem formal.<\/p><p class=\"wp-block-paragraph\">Vale ainda notar que a Ostium, como a generalidade dos protocolos analisados neste artigo, opera como DeFi n\u00e3o custodiante, sem qualquer prestador de servi\u00e7os sobre criptoativos (CASP) europeu formalmente no meio. Isso significa que, mesmo que tivesse utilizadores em Portugal ou noutro Estado-membro, nenhum regulador nacional teria jurisdi\u00e7\u00e3o direta sobre a qualidade das suas auditorias ou sobre a gest\u00e3o das suas chaves. Voltamos a este ponto mais \u00e0 frente.<\/p><h2 class='wp-block-heading'>O que uma auditoria de smart contracts promete (e o que n\u00e3o promete)<\/h2><p class=\"wp-block-paragraph\">Uma auditoria de smart contracts \u00e9, na pr\u00e1tica, uma revis\u00e3o manual e automatizada de uma base de c\u00f3digo definida \u00e0 partida, feita numa janela de tempo limitada, normalmente entre uma e quatro semanas, que termina num relat\u00f3rio com uma lista de falhas classificadas por gravidade. O que a generalidade dos utilizadores n\u00e3o l\u00ea, porque raramente aparece destacado, \u00e9 a cl\u00e1usula de exclus\u00e3o de responsabilidade que acompanha praticamente todos estes relat\u00f3rios: a empresa de auditoria n\u00e3o garante a aus\u00eancia de vulnerabilidades, n\u00e3o assume responsabilidade por perdas decorrentes do c\u00f3digo revisto e deixa expressamente fora do \u00e2mbito tudo o que n\u00e3o esteja listado como c\u00f3digo \u00abem \u00e2mbito\u00bb.<\/p><p class=\"wp-block-paragraph\">Isto n\u00e3o \u00e9 uma pr\u00e1tica de uma empresa espec\u00edfica, \u00e9 o padr\u00e3o do setor. Um relat\u00f3rio de auditoria \u00e9, formalmente, uma opini\u00e3o t\u00e9cnica sobre um snapshot do c\u00f3digo numa determinada data, n\u00e3o uma ap\u00f3lice de seguro nem uma certifica\u00e7\u00e3o regulat\u00f3ria. Costuma ficar de fora do \u00e2mbito, por exemplo:<\/p><ul class='wp-block-list'><li>A l\u00f3gica econ\u00f3mica e a teoria de jogos por tr\u00e1s de incentivos e tokens;<\/li><li>Infraestrutura fora do pr\u00f3prio contrato, como or\u00e1culos, chaves privadas, servidores e interfaces;<\/li><li>Qualquer altera\u00e7\u00e3o ao c\u00f3digo feita depois da data em que o relat\u00f3rio foi fechado;<\/li><li>Intera\u00e7\u00f5es entre v\u00e1rios protocolos que nenhum deles, isoladamente, cobre na sua pr\u00f3pria auditoria.<\/li><\/ul><p class=\"wp-block-paragraph\">A t\u00edtulo de exemplo do tipo de linguagem que \u00e9 norma no setor, <a href='https:\/\/cantina.xyz\/blog\/understanding-smart-contract-security-review-reports-with-real-examples-from-cantina'>guias especializados em como ler relat\u00f3rios de seguran\u00e7a<\/a>, como o publicado pela Cantina, sublinham que um relat\u00f3rio deve ser lido como uma opini\u00e3o informada num determinado momento, n\u00e3o como uma certifica\u00e7\u00e3o permanente, e que c\u00f3digo fora do \u00e2mbito definido \u00e9, por conven\u00e7\u00e3o, assumido como correto para efeitos da an\u00e1lise, mesmo quando esse c\u00f3digo interage diretamente com o que foi revisto.<\/p><p class=\"wp-block-paragraph\">\u00c9 exatamente aqui que se encaixam os cinco casos seguintes. A chave de or\u00e1culo da Ostium, o patch da GMX, a biblioteca de terceiros da Cetus, ficam todos, tecnicamente, fora do que um relat\u00f3rio \u00ablimpo\u00bb certifica, ainda que os utilizadores tratem a palavra \u00abauditado\u00bb como sin\u00f3nimo de \u00abseguro\u00bb.<\/p><h2 class='wp-block-heading'>Balancer: dez auditorias, o mesmo aviso ignorado<\/h2><p class=\"wp-block-paragraph\">A 3 de novembro de 2025, um atacante drenou cerca de 129 milh\u00f5es de d\u00f3lares (113 milh\u00f5es de euros) da Balancer v2, espalhados por v\u00e1rias redes. O mecanismo combinou uma falha de controlo de acesso na fun\u00e7\u00e3o <code>manageUserBalance<\/code>, que permitia manipular o valor do remetente de uma opera\u00e7\u00e3o, com um erro de arredondamento nos Composable Stable Pools que essa falha tornou poss\u00edvel explorar em escala. A Balancer n\u00e3o era um protocolo pouco escrutinado: tinha sido auditada mais de dez vezes ao longo da sua vida, incluindo pela OpenZeppelin e pela Trail of Bits.<\/p><p class=\"wp-block-paragraph\">\u00c9 aqui que o caso se torna incomum. A <a href='https:\/\/blog.trailofbits.com\/2025\/11\/07\/balancer-hack-analysis-and-guidance-for-the-defi-ecosystem\/'>Trail of Bits publicou a sua pr\u00f3pria retrospetiva<\/a> a assumir o erro: j\u00e1 em 2021 tinha identificado o risco subjacente, catalogado como TOB-BALANCER-004, relativo \u00e0 forma como os Linear Pools consumiam a biblioteca de matem\u00e1tica est\u00e1vel, mas classificou a gravidade como \u00abindeterminada\u00bb na altura, porque a equipa n\u00e3o conseguiu confirmar se era explor\u00e1vel na configura\u00e7\u00e3o real das pools. Em vez de ficar em sil\u00eancio depois do exploit de 2025, a empresa reconheceu publicamente que os modelos de amea\u00e7a de 2021 e 2022 estavam dominados por preocupa\u00e7\u00f5es de controlo de acesso e roubo de chaves, n\u00e3o por casos limite de aritm\u00e9tica.<\/p><p class=\"wp-block-paragraph\">Suhail Kakar, respons\u00e1vel de rela\u00e7\u00f5es com programadores na TAC Blockchain, <a href='https:\/\/www.cointelegraph.com\/news\/balancer-finance-audits-exploit-security'>resumiu o problema de forma direta<\/a>: \u00aba Balancer passou por mais de dez auditorias. O vault foi auditado tr\u00eas vezes separadas por empresas diferentes e mesmo assim foi hackeado em 110 milh\u00f5es de d\u00f3lares. Este setor precisa de aceitar que &#8216;auditado pela empresa X&#8217; n\u00e3o significa quase nada. C\u00f3digo \u00e9 dif\u00edcil, DeFi \u00e9 ainda mais dif\u00edcil.\u00bb<\/p><h2 class='wp-block-heading'>Bunni e o problema da corre\u00e7\u00e3o incompleta<\/h2><p class=\"wp-block-paragraph\">A Bunni, uma exchange descentralizada constru\u00edda sobre o Uniswap v4, sofreu um <a href='https:\/\/www.theblock.co\/post\/369564\/bunni-smart-contract-rounding-error'>exploit a 2 de setembro de 2025<\/a> que lhe custou cerca de 8,4 milh\u00f5es de d\u00f3lares (7,4 milh\u00f5es de euros), repartidos entre Ethereum e Unichain. O atacante usou um empr\u00e9stimo rel\u00e2mpago (flash loan) para executar 44 levantamentos consecutivos de valores muito pequenos, cada um acumulando um erro de arredondamento min\u00fasculo, at\u00e9 o saldo ativo de USDC de uma pool cair 85,7%, apesar de praticamente n\u00e3o terem sido queimadas unidades de liquidez.<\/p><p class=\"wp-block-paragraph\">O que torna este caso relevante para a quest\u00e3o da responsabiliza\u00e7\u00e3o \u00e9 que a falha n\u00e3o era desconhecida. A Trail of Bits tinha sinalizado, numa auditoria anterior, um problema catalogado como TOB-BUNNI-13: a falta de uma abordagem sistem\u00e1tica ao arredondamento e \u00e0 aritm\u00e9tica de precis\u00e3o. A Bunni corrigiu o que foi identificado nessa auditoria, mas a corre\u00e7\u00e3o n\u00e3o cobriu o caso limite espec\u00edfico que acabou por ser explorado. Passar por uma auditoria e corrigir o que ela encontra n\u00e3o \u00e9, por si s\u00f3, garantia de que o problema desapareceu, pode apenas significar que a vers\u00e3o seguinte do mesmo problema ainda n\u00e3o tinha sido imaginada.<\/p><p class=\"wp-block-paragraph\">A consequ\u00eancia mais reveladora n\u00e3o foi o valor roubado, relativamente modesto para os padr\u00f5es do setor, mas o desfecho: a equipa da Bunni encerrou o protocolo de forma permanente no outono de 2025, alegando n\u00e3o ter capacidade para financiar um programa de seguran\u00e7a de seis ou sete d\u00edgitos necess\u00e1rio para relan\u00e7ar em seguran\u00e7a. A Trail of Bits, entretanto, continuou a operar como uma das auditoras mais procuradas do mercado. A assimetria \u00e9 reveladora: o protocolo pagou com a pr\u00f3pria exist\u00eancia, a auditora pagou, na pior das hip\u00f3teses, com um par\u00e1grafo de constrangimento.<\/p><h2 class='wp-block-heading'>GMX V1: o patch que ningu\u00e9m auditou<\/h2><p class=\"wp-block-paragraph\">A GMX \u00e9 uma das maiores exchanges de perp\u00e9tuos on-chain, com um mecanismo de <em>funding<\/em> que ancora o pre\u00e7o dos contratos ao mercado \u00e0 vista e que j\u00e1 foi <a href='https:\/\/hoge.gg\/pt\/funding-perpetuos-guia-2026\/'>explicado em detalhe nesta publica\u00e7\u00e3o<\/a>. A 9 de julho de 2025, a vers\u00e3o V1 do protocolo <a href='https:\/\/www.coindesk.com\/markets\/2025\/07\/11\/gmx-exploiter-return-usd40m-days-after-hack-token-zooms-higher'>perdeu cerca de 42 milh\u00f5es de d\u00f3lares<\/a> (37 milh\u00f5es de euros) atrav\u00e9s de um ataque de reentr\u00e2ncia (reentrancy) na fun\u00e7\u00e3o <code>executeDecreaseOrder<\/code>. O c\u00f3digo assumia, de forma impl\u00edcita, que o par\u00e2metro de conta era sempre uma carteira externa comum, quando na realidade podia ser um contrato inteligente malicioso. O atacante usou isso para distorcer o pre\u00e7o m\u00e9dio de uma posi\u00e7\u00e3o curta em Bitcoin, arrastando-o de cerca de 109.515 d\u00f3lares para cerca de 1.914 d\u00f3lares dentro da contabilidade interna do protocolo.<\/p><p class=\"wp-block-paragraph\">Os fundos foram recuperados na quase totalidade dentro de 48 horas, depois de a equipa negociar com o atacante e pagar um bounty de 5 milh\u00f5es de d\u00f3lares, uma vers\u00e3o mais recente do mesmo ritual de negocia\u00e7\u00e3o on-chain que tornou o caso Euler Finance famoso em 2023. Mas o detalhe mais relevante para este artigo est\u00e1 a montante do ataque: a vulnerabilidade explorada em 2025 tinha sido introduzida por uma corre\u00e7\u00e3o a um problema totalmente diferente, identificado em 2022 atrav\u00e9s de um bug bounty de 1 milh\u00e3o de d\u00f3lares sobre atualiza\u00e7\u00f5es n\u00e3o at\u00f3micas do tamanho global de posi\u00e7\u00f5es curtas. Essa corre\u00e7\u00e3o de 2022, a que acabou por abrir a porta ao exploit de 2025, nunca foi submetida a uma auditoria independente pr\u00f3pria.<\/p><p class=\"wp-block-paragraph\">\u00c9 um padr\u00e3o f\u00e1cil de ignorar quando se fala de auditorias como um selo \u00fanico: o r\u00f3tulo \u00abauditado\u00bb refere-se quase sempre a uma vers\u00e3o espec\u00edfica do c\u00f3digo, n\u00e3o a tudo o que vem depois. Cada patch, cada atualiza\u00e7\u00e3o, cada corre\u00e7\u00e3o de um problema anterior \u00e9, por defini\u00e7\u00e3o, c\u00f3digo novo e n\u00e3o auditado at\u00e9 prova em contr\u00e1rio.<\/p><h2 class='wp-block-heading'>Cetus: quando a auditoria confia demais na linguagem<\/h2><p class=\"wp-block-paragraph\">O maior dos cinco casos aconteceu a 22 de maio de 2025, quando a <a href='https:\/\/www.theblock.co\/post\/355795\/sui-dex-cetus-open-source-library-flaw-smart-contract-223-million-usd-exploit'>Cetus, a maior exchange descentralizada da rede Sui, perdeu cerca de 223 milh\u00f5es de d\u00f3lares<\/a> (196 milh\u00f5es de euros). A causa n\u00e3o estava no c\u00f3digo da pr\u00f3pria Cetus, mas numa biblioteca de terceiros, a integer-mate, usada para verificar overflows aritm\u00e9ticos. A fun\u00e7\u00e3o <code>checked_shlw<\/code> comparava o valor fornecido com o limite errado, o que permitia que certos valores capazes de gerar overflow passassem despercebidos pela verifica\u00e7\u00e3o. O atacante combinou isto com um empr\u00e9stimo rel\u00e2mpago e uma posi\u00e7\u00e3o de liquidez com um intervalo de tick extremamente estreito para for\u00e7ar o c\u00e1lculo do n\u00famero de tokens necess\u00e1rios a resultar em apenas uma unidade, enquanto lhe era atribu\u00edda liquidez muito maior do que a que efetivamente depositou.<\/p><p class=\"wp-block-paragraph\">Cerca de 162 milh\u00f5es de d\u00f3lares ficaram retidos na pr\u00f3pria rede Sui e acabaram por ser recuperados atrav\u00e9s de uma vota\u00e7\u00e3o dos validadores para reverter o estado da cadeia, apoiada por um empr\u00e9stimo da Sui Foundation e por reservas de tesouraria da pr\u00f3pria Cetus; os restantes 60 milh\u00f5es de d\u00f3lares, que j\u00e1 tinham sido transferidos para a Ethereum atrav\u00e9s de pontes, permanecem em grande parte fora de alcance.<\/p><p class=\"wp-block-paragraph\">O que distingue este caso dos anteriores \u00e9 o tipo de suposi\u00e7\u00e3o que falhou. N\u00e3o foi um erro de arredondamento silenciosamente ignorado, foi a confian\u00e7a excessiva na ideia de que uma linguagem desenhada para seguran\u00e7a de mem\u00f3ria, como o Move, torna verifica\u00e7\u00f5es de overflow uma preocupa\u00e7\u00e3o menor. Auditorias tendem a concentrar o escrut\u00ednio mais apertado onde a experi\u00eancia coletiva do setor diz que os bugs costumam viver; quando a suposi\u00e7\u00e3o de partida est\u00e1 errada, mesmo um c\u00f3digo revisto v\u00e1rias vezes pode esconder um erro deste tipo durante meses.<\/p><h2 class='wp-block-heading'>Cinco casos, um padr\u00e3o<\/h2><p class=\"wp-block-paragraph\">Colocados lado a lado, cronologicamente, os cinco casos n\u00e3o parecem aleat\u00f3rios. Todos envolveram protocolos com auditorias formais em dia, todos envolveram um tipo de falha que ficava, de alguma forma, fora do que essa auditoria certificava, e em nenhum dos post-mortems publicados a auditora envolvida foi tratada como parte central da hist\u00f3ria.<\/p><figure class='wp-block-table'><table><thead><tr><th>Protocolo<\/th><th>Data<\/th><th>Perdas aproximadas<\/th><th>O que ficou fora da auditoria<\/th><\/tr><\/thead><tbody><tr><td>Cetus (Sui)<\/td><td>22 mai. 2025<\/td><td>223 M$ (196 M\u20ac)<\/td><td>Overflow numa biblioteca de terceiros, assumida como segura pela linguagem Move<\/td><\/tr><tr><td>GMX V1<\/td><td>9 jul. 2025<\/td><td>42 M$ (37 M\u20ac)<\/td><td>Patch de 2022 nunca submetido a auditoria independente pr\u00f3pria<\/td><\/tr><tr><td>Bunni<\/td><td>2 set. 2025<\/td><td>8,4 M$ (7,4 M\u20ac)<\/td><td>Corre\u00e7\u00e3o de um risco j\u00e1 identificado (TOB-BUNNI-13) que n\u00e3o cobriu o caso limite real<\/td><\/tr><tr><td>Balancer v2<\/td><td>3 nov. 2025<\/td><td>129 M$ (113 M\u20ac)<\/td><td>Risco sinalizado em 2021, classificado como severidade \u00abindeterminada\u00bb<\/td><\/tr><tr><td>Ostium<\/td><td>15 jul. 2026<\/td><td>at\u00e9 18 M$ (16 M\u20ac)<\/td><td>Chave privada de um or\u00e1culo, fora do per\u00edmetro do c\u00f3digo auditado<\/td><\/tr><\/tbody><\/table><\/figure><h2 class='wp-block-heading'>Quem fiscaliza os fiscalizadores?<\/h2><p class=\"wp-block-paragraph\">Nos Estados Unidos, na Uni\u00e3o Europeia ou em qualquer outra jurisdi\u00e7\u00e3o relevante, n\u00e3o existe hoje um regulador que exija ou credencie auditorias de smart contracts. N\u00e3o h\u00e1 equivalente ao PCAOB norte-americano, que supervisiona os auditores de contas de empresas cotadas, nem a nenhum organismo semelhante para quem rev\u00ea c\u00f3digo Solidity, Rust ou Move. Qualquer empresa pode anunciar-se como auditora de seguran\u00e7a cripto sem licen\u00e7a, sem exame de admiss\u00e3o e sem obriga\u00e7\u00e3o de seguro de responsabilidade civil profissional equivalente ao que se exige, por exemplo, a um revisor oficial de contas na Uni\u00e3o Europeia.<\/p><p class=\"wp-block-paragraph\">A qualidade \u00e9 policiada quase inteiramente pela reputa\u00e7\u00e3o. Um relat\u00f3rio mal feito, ou um caso sonado de \u00abauditado e mesmo assim hackeado\u00bb, custa clientes futuros, n\u00e3o custa uma licen\u00e7a, porque n\u00e3o existe licen\u00e7a para perder. Isto cria um incentivo estranho: as auditoras mais visadas em post-mortems p\u00fablicos s\u00e3o, quase sempre, as mais conhecidas, precisamente porque s\u00e3o as mais contratadas, o que significa que o mesmo nome aparece repetidamente associado a exploits sem que isso, por si s\u00f3, afete de forma mensur\u00e1vel o seu volume de contratos seguintes.<\/p><p class=\"wp-block-paragraph\">Isto contrasta com o mundo da auditoria financeira tradicional, onde revisores de contas est\u00e3o sujeitos a regimes de supervis\u00e3o p\u00fablica, obriga\u00e7\u00f5es de seguro e, em casos extremos, processos judiciais e perda de licen\u00e7a. Nenhum desses mecanismos existe, para j\u00e1, no lado dos smart contracts.<\/p><p class=\"wp-block-paragraph\">Mesmo nos Estados Unidos, onde a Securities and Exchange Commission adotou, sob a lideran\u00e7a do atual presidente Paul Atkins, uma postura muito mais permissiva para a cripto, com a <a href='https:\/\/www.sec.gov\/newsroom\/press-releases\/2026-30-sec-clarifies-application-federal-securities-laws-crypto-assets'>ag\u00eancia a declarar publicamente em 2026<\/a> que \u00aba maioria dos criptoativos n\u00e3o s\u00e3o, em si mesmos, valores mobili\u00e1rios\u00bb, o foco regulat\u00f3rio continua a ser a classifica\u00e7\u00e3o de tokens e as regras de oferta, n\u00e3o os padr\u00f5es de revis\u00e3o de c\u00f3digo. Nenhuma das reformas do chamado Project Crypto toca, em qualquer momento, na quest\u00e3o de quem pode chamar-se auditor de smart contracts.<\/p><h2 class='wp-block-heading'>O que isto significa para Portugal e a Uni\u00e3o Europeia<\/h2><p class=\"wp-block-paragraph\">A <a href='https:\/\/www.cmvm.pt\/PInstitucional\/PortalInstitucional'>MiCA (Markets in Crypto-Assets Regulation)<\/a> regula prestadores de servi\u00e7os sobre criptoativos (CASP) que operam na Uni\u00e3o Europeia, obrigando a autoriza\u00e7\u00e3o, capital m\u00ednimo, regras de conduta e, nalguns casos, cust\u00f3dia segregada. Em Portugal, a Lei n.\u00ba 69\/2025, em vigor desde 27 de dezembro de 2025, transp\u00f5e esse quadro, e o per\u00edodo transit\u00f3rio que permitia a antigos VASP continuarem a operar apenas com o registo anterior terminou a 1 de julho de 2026. A partir dessa data, qualquer prestador que sirva utilizadores portugueses precisa de autoriza\u00e7\u00e3o MiCA completa, supervisionada pela CMVM no plano da conduta de mercado e pelo Banco de Portugal no registo de CASP e na supervis\u00e3o de stablecoins.<\/p><p class=\"wp-block-paragraph\">O que a MiCA n\u00e3o faz, em nenhuma das suas partes, \u00e9 exigir uma auditoria de smart contracts como condi\u00e7\u00e3o de autoriza\u00e7\u00e3o, nem credenciar quem as realiza. O <a href='https:\/\/www.eiopa.europa.eu\/digital-operational-resilience-act-dora_en'>DORA (Digital Operational Resilience Act)<\/a>, em aplica\u00e7\u00e3o desde 17 de janeiro de 2025, acrescenta obriga\u00e7\u00f5es de resili\u00eancia operacional digital, gest\u00e3o de risco de TIC e testes de penetra\u00e7\u00e3o avan\u00e7ados \u00e0s entidades financeiras, CASP inclu\u00eddos, mas o seu foco \u00e9 a robustez dos processos internos e dos fornecedores cr\u00edticos de tecnologia, n\u00e3o a revis\u00e3o do c\u00f3digo-fonte de contratos inteligentes.<\/p><p class=\"wp-block-paragraph\">Para os CASP centralizados que ficam dentro do \u00e2mbito da MiCA, como exchanges ou custodiantes que sirvam clientes europeus, a regula\u00e7\u00e3o exige governa\u00e7\u00e3o robusta, salvaguarda de ativos de clientes, planos de continuidade de neg\u00f3cio e comunica\u00e7\u00e3o de incidentes \u00e0s autoridades competentes. S\u00e3o exig\u00eancias reais e, em muitos casos, mais rigorosas do que tudo o que existia antes. Mas nenhuma delas equivale a certificar que o c\u00f3digo por tr\u00e1s de um contrato inteligente foi revisto com um padr\u00e3o m\u00ednimo de qualidade, porque a MiCA foi desenhada para regular intermedi\u00e1rios, n\u00e3o para regular c\u00f3digo.<\/p><p class=\"wp-block-paragraph\">Mais importante ainda para os cinco casos descritos neste artigo: nenhum deles teria, com toda a probabilidade, sequer entrado no \u00e2mbito da MiCA como CASP. S\u00e3o protocolos DeFi n\u00e3o custodiantes, sem entidade emissora central identific\u00e1vel a pedir autoriza\u00e7\u00e3o junto da CMVM. Para um utilizador portugu\u00eas que use este tipo de protocolo, o post-mortem publicado a seguir a um exploit continua a ser, na pr\u00e1tica, o \u00fanico mecanismo de responsabiliza\u00e7\u00e3o dispon\u00edvel, n\u00e3o existe reclama\u00e7\u00e3o a apresentar a um regulador nacional nem fundo de garantia a acionar.<\/p><h2 class='wp-block-heading'>O setor de auditoria cripto em 2026<\/h2><p class=\"wp-block-paragraph\">Apesar dos casos descritos acima, o setor da auditoria n\u00e3o parou de crescer, nem deixou de ser, para a esmagadora maioria dos protocolos, o \u00fanico filtro de seguran\u00e7a que existe antes do lan\u00e7amento. Eis um retrato de algumas das empresas mais citadas em 2026, com as suas especialidades e faixas de pre\u00e7o t\u00edpicas.<\/p><figure class='wp-block-table'><table><thead><tr><th>Empresa<\/th><th>Especialidade<\/th><th>Faixa de pre\u00e7os t\u00edpica<\/th><\/tr><\/thead><tbody><tr><td>Sherlock<\/td><td>Rede de mais de 11 mil investigadores, concursos e cobertura estilo seguro<\/td><td>20.000 a 200.000 $ (modelo de prize pool)<\/td><\/tr><tr><td>OpenZeppelin<\/td><td>Frameworks open-source, mais de 50 mil milh\u00f5es de d\u00f3lares em ativos protegidos<\/td><td>80.000 a 150.000 $+<\/td><\/tr><tr><td>Trail of Bits<\/td><td>Criptografia, ferramentas pr\u00f3prias (Slither, Echidna, Medusa)<\/td><td>80.000 a 150.000 $+<\/td><\/tr><tr><td>Cyfrin<\/td><td>Auditorias privadas, plataforma de concursos CodeHawks<\/td><td>20.000 a 60.000 $<\/td><\/tr><tr><td>Spearbit<\/td><td>Rede de investigadores independentes selecionados por protocolo<\/td><td>20.000 a 60.000 $<\/td><\/tr><tr><td>ChainSecurity<\/td><td>Verifica\u00e7\u00e3o formal, origem acad\u00e9mica (ETH Zurique)<\/td><td>20.000 a 60.000 $<\/td><\/tr><\/tbody><\/table><\/figure><p class=\"wp-block-paragraph\">Segundo dados <a href='https:\/\/sherlock.xyz\/post\/top-10-best-smart-contract-auditing-companies-in-2026'>publicados pela Sherlock<\/a>, o custo de uma auditoria em 2026 varia entre cerca de 5.000 d\u00f3lares para um token simples e mais de 150.000 d\u00f3lares para sistemas complexos, com plataformas de concurso a chegar aos 200.000 d\u00f3lares em modelos de prize pool. \u00c9 uma despesa real, mas continua a ser uma fra\u00e7\u00e3o pequena do valor tipicamente em risco num protocolo DeFi de grande escala, o que ajuda a explicar porque \u00e9 que tantos projetos preferem somar v\u00e1rias auditorias relativamente baratas a investir num \u00fanico programa de seguran\u00e7a cont\u00ednuo.<\/p><h2 class='wp-block-heading'>O tabuleiro est\u00e1 a mudar: concursos, bounties e consolida\u00e7\u00e3o<\/h2><p class=\"wp-block-paragraph\">A intelig\u00eancia artificial est\u00e1 tamb\u00e9m a mudar a forma como estas empresas trabalham. A pr\u00f3pria <a href='https:\/\/blog.trailofbits.com\/2026\/03\/31\/how-we-made-trail-of-bits-ai-native-so-far\/'>Trail of Bits descreveu publicamente, em 2026, uma transi\u00e7\u00e3o interna<\/a> de cerca de 5% para mais de 90% de ado\u00e7\u00e3o de ferramentas de IA em determinados projetos, com um aumento reportado de cerca de 15 para 200 bugs encontrados por semana em certos contratos, sempre com verifica\u00e7\u00e3o humana antes de qualquer publica\u00e7\u00e3o. O objetivo declarado n\u00e3o \u00e9 substituir o auditor humano, mas reduzir o tempo entre a introdu\u00e7\u00e3o de um erro e a sua dete\u00e7\u00e3o, precisamente a janela que os cinco casos analisados neste artigo exploraram.<\/p><p class=\"wp-block-paragraph\">Em maio de 2026, a Code4rena, uma das plataformas pioneiras no modelo de auditoria por concurso (onde investigadores independentes, os \u00abwardens\u00bb, competem para encontrar vulnerabilidades em troca de pr\u00e9mios), <a href='https:\/\/www.theblock.co\/post\/401179\/immufefi-absorb-code4rena-bug-bounty-customers-shutdown-decision'>anunciou o encerramento das suas opera\u00e7\u00f5es<\/a>. A Immunefi, a maior plataforma de bug bounty do setor, absorveu os seus programas, pr\u00e9mios e investigadores, prometendo dar continuidade aos concursos j\u00e1 em curso. O encerramento aconteceu menos de dois anos depois de a pr\u00f3pria Code4rena ter sido adquirida pela Zellic, noutra fase de consolida\u00e7\u00e3o do setor.<\/p><p class=\"wp-block-paragraph\">A Cantina, entretanto, resultou da fus\u00e3o do bra\u00e7o p\u00fablico da Spearbit, e a Sherlock combina concursos com cobertura financeira ao estilo de um seguro para os protocolos participantes. A Immunefi mant\u00e9m os maiores bounties do setor, incluindo um programa da Uniswap v4 com um teto de 15,5 milh\u00f5es de d\u00f3lares e um da LayerZero perto dos 15 milh\u00f5es, embora o maior pagamento individual alguma vez feito continue a ser os 10 milh\u00f5es de d\u00f3lares pagos ao investigador satya0x pela descoberta de uma falha cr\u00edtica na Wormhole, em 2022.<\/p><p class=\"wp-block-paragraph\">Esta reorganiza\u00e7\u00e3o \u00e9, em si mesma, um reconhecimento impl\u00edcito de que uma auditoria pontual n\u00e3o chega. As plataformas que sobrevivem s\u00e3o as que combinam revis\u00e3o inicial de c\u00f3digo com vigil\u00e2ncia cont\u00ednua e recompensas permanentes por encontrar problemas depois do lan\u00e7amento, uma admiss\u00e3o silenciosa de que o momento em que o c\u00f3digo \u00e9 \u00abauditado\u00bb \u00e9 s\u00f3 o in\u00edcio do risco, n\u00e3o o fim.<\/p><h2 class='wp-block-heading'>Quando o problema sai do c\u00f3digo: o fator humano<\/h2><p class=\"wp-block-paragraph\">Alargando a lente para todo o primeiro semestre de 2026, os dados compilados pela CertiK e <a href='https:\/\/www.forbes.com\/sites\/boazsobrado\/2026\/07\/17\/fewer-but-far-more-surgical-crypto-hacks-hit-13-billion-in-2026\/'>reportados pela Forbes<\/a> mostram 1,315 mil milh\u00f5es de d\u00f3lares (1,153 mil milh\u00f5es de euros) perdidos em 344 incidentes. Segundo Ronghui Gu, CEO da CertiK, o comprometimento de carteiras tornou-se a categoria mais cara do per\u00edodo, respons\u00e1vel por mais de 444 milh\u00f5es de d\u00f3lares (389 milh\u00f5es de euros), uma m\u00e9dia de cerca de 13 milh\u00f5es de d\u00f3lares por evento, de longe a mais alta de qualquer categoria. Os bugs de c\u00f3digo continuaram a ser os mais frequentes, 204 incidentes, mas respons\u00e1veis por apenas 151,6 milh\u00f5es de d\u00f3lares (133 milh\u00f5es de euros) no total.<\/p><p class=\"wp-block-paragraph\">Dois dos maiores casos do semestre ilustram bem esta desloca\u00e7\u00e3o. O roubo \u00e0 Bybit em fevereiro de 2025, o maior da hist\u00f3ria da cripto, n\u00e3o teve origem num bug de contrato, mas numa interface comprometida da Safe usada pelos assinantes da carteira multisig da exchange, um ataque \u00e0 cadeia de fornecimento de software, n\u00e3o ao c\u00f3digo on-chain. A KelpDAO perdeu cerca de 291 milh\u00f5es de d\u00f3lares (255 milh\u00f5es de euros) em abril de 2026 atrav\u00e9s de uma mensagem falsificada na ponte LayerZero, na sequ\u00eancia de uma manipula\u00e7\u00e3o de engenharia social a um programador da pr\u00f3pria LayerZero Labs, um epis\u00f3dio que <a href='https:\/\/hoge.gg\/pt\/restaking-2026-colapso-tvl-kelp-aave\/'>marcou de forma decisiva o ano do restaking<\/a>. Nenhuma auditoria de smart contracts, por mais rigorosa que fosse, teria impedido qualquer um dos dois.<\/p><p class=\"wp-block-paragraph\">A quest\u00e3o de quem acaba, na pr\u00e1tica, por cobrir este tipo de perdas, seja a pr\u00f3pria empresa a absorver o preju\u00edzo, seja o pre\u00e7o do token a socializar a perda entre todos os detentores, seja um seguro on-chain a pagar uma fra\u00e7\u00e3o do valor, <a href='https:\/\/hoge.gg\/pt\/conta-post-mortem-quem-paga-hack-cripto\/'>\u00e9 tratada em detalhe numa an\u00e1lise anterior sobre a economia dos post-mortems<\/a>. O que interessa aqui \u00e9 o deslocamento da pergunta: j\u00e1 n\u00e3o se trata de saber se um auditor apanhou ou n\u00e3o um bug, trata-se de saber se a seguran\u00e7a de chaves, de or\u00e1culos e de interfaces alguma vez foi, de forma expl\u00edcita, da responsabilidade de algu\u00e9m.<\/p><h2 class='wp-block-heading'>A reputa\u00e7\u00e3o como \u00fanico tribunal<\/h2><p class=\"wp-block-paragraph\">Na aus\u00eancia de qualquer regime de responsabilidade civil ou supervis\u00e3o regulat\u00f3ria equivalente ao que existe para auditores financeiros tradicionais, o \u00fanico custo real que uma auditora de smart contracts paga por um erro \u00e9 reputacional, e mesmo esse custo \u00e9 surpreendentemente dif\u00edcil de medir. A retrospetiva p\u00fablica da Trail of Bits sobre o caso Balancer continua a ser a exce\u00e7\u00e3o, n\u00e3o a regra: a norma \u00e9 o sil\u00eancio, ou uma nota discreta a atualizar a vers\u00e3o do relat\u00f3rio, sem qualquer reconhecimento p\u00fablico de que a avalia\u00e7\u00e3o original ficou aqu\u00e9m.<\/p><p class=\"wp-block-paragraph\">Dan Guido, cofundador e diretor executivo da Trail of Bits, <a href='https:\/\/decential.io\/articles\/qa-with-trail-of-bits-co-founder-dan-guido'>resumiu numa entrevista<\/a> o incentivo que, na pr\u00e1tica, disciplina o setor mais do que qualquer lei: \u00abnunca quero encontrar o mesmo erro duas vezes\u00bb. \u00c9 uma frase sobre reputa\u00e7\u00e3o profissional, n\u00e3o sobre obriga\u00e7\u00e3o legal, e essa distin\u00e7\u00e3o \u00e9 exatamente o que este artigo tentou mostrar. O post-mortem cripto nasceu como um substituto do recurso judicial para as v\u00edtimas de um exploit, mas raramente se estende \u00e0 pr\u00f3pria cadeia de responsabilidade que devia ter impedido o exploit \u00e0 partida.<\/p><p class=\"wp-block-paragraph\">Isso pode estar a come\u00e7ar a mudar, ainda que lentamente, \u00e0 medida que mais auditoras incorporam ferramentas de intelig\u00eancia artificial nos seus pr\u00f3prios processos internos para encontrar mais bugs, mais depressa, sempre com verifica\u00e7\u00e3o humana antes de qualquer publica\u00e7\u00e3o. Mas nenhuma ferramenta nova resolve o problema estrutural descrito ao longo deste artigo: enquanto a cl\u00e1usula de exclus\u00e3o de responsabilidade continuar a ser a norma em qualquer relat\u00f3rio de auditoria, a palavra \u00abauditado\u00bb vai continuar a significar, sobretudo, que algu\u00e9m olhou para o c\u00f3digo antes de o problema acontecer, n\u00e3o que o problema n\u00e3o vai acontecer.<\/p><h2 class='wp-block-heading'>Perguntas frequentes<\/h2><h3 class='wp-block-heading'>O que \u00e9 um post-mortem de protocolo cripto?<\/h3><p class=\"wp-block-paragraph\">\u00c9 um relat\u00f3rio p\u00fablico, publicado pela equipa de um protocolo ou por investigadores independentes depois de um exploit, que reconstr\u00f3i a cronologia do ataque, identifica a causa t\u00e9cnica, quantifica o valor perdido e descreve as medidas tomadas a seguir. Nasceu adaptado das pr\u00e1ticas de post-mortem sem culpa da engenharia de software e tornou-se, na cripto, o principal substituto p\u00fablico para processos judiciais ou interven\u00e7\u00e3o regulat\u00f3ria, sobretudo em protocolos DeFi que n\u00e3o t\u00eam qualquer entidade central respons\u00e1vel perante um regulador.<\/p><h3 class='wp-block-heading'>Uma auditoria de smart contracts garante que um protocolo n\u00e3o vai ser hackeado?<\/h3><p class=\"wp-block-paragraph\">N\u00e3o. Uma auditoria \u00e9 uma revis\u00e3o de um c\u00f3digo espec\u00edfico, numa data espec\u00edfica, com um \u00e2mbito definido \u00e0 partida, e quase todos os relat\u00f3rios incluem uma cl\u00e1usula que exclui expressamente qualquer garantia de seguran\u00e7a. Os casos da Balancer, da Bunni, da Cetus, da GMX V1 e da Ostium descritos neste artigo foram todos auditados, alguns v\u00e1rias vezes, e mesmo assim perderam, em conjunto, mais de 400 milh\u00f5es de d\u00f3lares entre 2025 e 2026.<\/p><h3 class='wp-block-heading'>Quem \u00e9 responsabilizado quando um protocolo auditado \u00e9 hackeado?<\/h3><p class=\"wp-block-paragraph\">Na pr\u00e1tica, quase ningu\u00e9m, no sentido legal do termo. N\u00e3o existe regulador, nos Estados Unidos ou na Uni\u00e3o Europeia, que credencie auditores de smart contracts ou que os responsabilize formalmente por erros de avalia\u00e7\u00e3o. O custo mais comum \u00e9 reputacional para a auditora e existencial para o protocolo, que pode perder utilizadores, capital ou, como aconteceu com a Bunni, a pr\u00f3pria viabilidade do neg\u00f3cio.<\/p><h3 class='wp-block-heading'>Porque \u00e9 que a Trail of Bits aparece nos post-mortems da Balancer e da Bunni?<\/h3><p class=\"wp-block-paragraph\">Porque foi uma das auditoras envolvidas em ambos os casos e, no caso da Balancer, uma das poucas empresas do setor a publicar uma retrospetiva p\u00fablica a assumir que tinha subestimado, em 2021, a gravidade de um risco que viria a ser explorado em 2025. Essa transpar\u00eancia \u00e9 suficientemente rara para se tornar, ela pr\u00f3pria, parte da not\u00edcia, o que diz muito sobre o padr\u00e3o habitual do setor.<\/p><h3 class='wp-block-heading'>A MiCA ou a DORA obrigam a auditorias de smart contracts na Uni\u00e3o Europeia?<\/h3><p class=\"wp-block-paragraph\">N\u00e3o. A MiCA regula a autoriza\u00e7\u00e3o e a conduta de prestadores de servi\u00e7os sobre criptoativos (CASP) e a DORA regula a resili\u00eancia operacional digital de entidades financeiras, incluindo CASP, mas nenhuma das duas exige uma auditoria de c\u00f3digo a contratos inteligentes nem credencia quem as realiza. Protocolos DeFi totalmente descentralizados, como os cinco analisados neste artigo, ficam tamb\u00e9m fora do \u00e2mbito de autoriza\u00e7\u00e3o da MiCA.<\/p><script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"O que \u00e9 um post-mortem de protocolo cripto?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"\u00c9 um relat\u00f3rio p\u00fablico, publicado pela equipa de um protocolo ou por investigadores independentes depois de um exploit, que reconstr\u00f3i a cronologia do ataque, identifica a causa t\u00e9cnica, quantifica o valor perdido e descreve as medidas tomadas a seguir. Nasceu adaptado das pr\u00e1ticas de post-mortem sem culpa da engenharia de software e tornou-se, na cripto, o principal substituto p\u00fablico para processos judiciais ou interven\u00e7\u00e3o regulat\u00f3ria.\"}},{\"@type\":\"Question\",\"name\":\"Uma auditoria de smart contracts garante que um protocolo n\u00e3o vai ser hackeado?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"N\u00e3o. Uma auditoria \u00e9 uma revis\u00e3o de um c\u00f3digo espec\u00edfico, numa data espec\u00edfica, com um \u00e2mbito definido \u00e0 partida, e quase todos os relat\u00f3rios incluem uma cl\u00e1usula que exclui expressamente qualquer garantia de seguran\u00e7a. Balancer, Bunni, Cetus, GMX V1 e Ostium foram todos auditados, alguns v\u00e1rias vezes, e mesmo assim perderam, em conjunto, mais de 400 milh\u00f5es de d\u00f3lares entre 2025 e 2026.\"}},{\"@type\":\"Question\",\"name\":\"Quem \u00e9 responsabilizado quando um protocolo auditado \u00e9 hackeado?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Na pr\u00e1tica, quase ningu\u00e9m, no sentido legal do termo. N\u00e3o existe regulador, nos Estados Unidos ou na Uni\u00e3o Europeia, que credencie auditores de smart contracts ou que os responsabilize formalmente por erros de avalia\u00e7\u00e3o. O custo mais comum \u00e9 reputacional para a auditora e existencial para o protocolo.\"}},{\"@type\":\"Question\",\"name\":\"Porque \u00e9 que a Trail of Bits aparece nos post-mortems da Balancer e da Bunni?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Porque foi uma das auditoras envolvidas em ambos os casos e, no caso da Balancer, uma das poucas empresas do setor a publicar uma retrospetiva p\u00fablica a assumir que tinha subestimado, em 2021, a gravidade de um risco que viria a ser explorado em 2025.\"}},{\"@type\":\"Question\",\"name\":\"A MiCA ou a DORA obrigam a auditorias de smart contracts na Uni\u00e3o Europeia?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"N\u00e3o. A MiCA regula a autoriza\u00e7\u00e3o e a conduta de prestadores de servi\u00e7os sobre criptoativos e a DORA regula a resili\u00eancia operacional digital de entidades financeiras, mas nenhuma das duas exige uma auditoria de c\u00f3digo a contratos inteligentes nem credencia quem as realiza. Protocolos DeFi totalmente descentralizados ficam tamb\u00e9m fora do \u00e2mbito de autoriza\u00e7\u00e3o da MiCA.\"}}]}<\/script><p class=\"wp-block-paragraph\">Por Marcus Okafor, HOGE Wire.<\/p>","protected":false},"excerpt":{"rendered":"<p>Balancer, Bunni, Cetus, GMX e Ostium foram todos auditados antes de serem hackeados. Os post-mortems cripto raramente perguntam porque a auditoria falhou, ou quem paga por isso.<\/p>\n","protected":false},"author":5,"featured_media":191,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7],"tags":[],"class_list":["post-190","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-culture"],"_links":{"self":[{"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/posts\/190","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/comments?post=190"}],"version-history":[{"count":0,"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/posts\/190\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/media\/191"}],"wp:attachment":[{"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/media?parent=190"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/categories?post=190"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/tags?post=190"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}