{"id":384,"date":"2026-08-27T04:45:29","date_gmt":"2026-08-27T04:45:29","guid":{"rendered":"https:\/\/hoge.gg\/pt\/assalto-divorcio-drama-daos-2026\/"},"modified":"2026-08-27T04:45:29","modified_gmt":"2026-08-27T04:45:29","slug":"assalto-divorcio-drama-daos-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/pt\/assalto-divorcio-drama-daos-2026\/","title":{"rendered":"O assalto e o div\u00f3rcio: o drama das DAO cresceu em 2026"},"content":{"rendered":"

No dia 23 de agosto de 2026, o protocolo de cr\u00e9dito Term Finance perdeu cerca de 7,3 milh\u00f5es de euros (8,5 milh\u00f5es de d\u00f3lares) sem que uma \u00fanica linha de c\u00f3digo fosse quebrada. O atacante n\u00e3o descobriu nenhum bug. Comprou barato a maioria de um token de governa\u00e7\u00e3o pouco distribu\u00eddo, apresentou propostas em nome dessa maioria e mandou os cofres pagarem-lhe a si pr\u00f3prio: 2.843 ETH (cerca de 5,9 milh\u00f5es de euros) e 1,68 milh\u00f5es de USDC, sensivelmente 68% de tudo o que estava depositado nos cofres afetados, segundo a Cointelegraph<\/a>.<\/p>

O detalhe que arrepia n\u00e3o \u00e9 o valor. \u00c9 que a Term Finance n\u00e3o estava desprotegida. Tinha um timelock de sete dias e direito de veto para os fornecedores de liquidez, exatamente o g\u00e9nero de salvaguarda que a ind\u00fastria recomenda. Nada disto travou o assalto, porque um timelock s\u00f3 serve se algu\u00e9m estiver a ver e puder agir a tempo, e desta vez ningu\u00e9m agiu, reportou o Crowdfund Insider<\/a>.<\/p>

No mesmo ver\u00e3o, do lado oposto do espetro, outra DAO vivia um drama sem qualquer atacante. A Aave, o maior protocolo de cr\u00e9dito da DeFi, com mais de 22 mil milh\u00f5es de euros em dep\u00f3sitos, viu sair ao longo de 2026 quase toda a camada de empresas profissionais que a geria de facto: a BGD Labs, a Aave Chan Initiative de Marc Zeller e a gestora de risco Chaos Labs, noticiou a CoinDesk<\/a>.<\/p>

S\u00e3o dois dramas opostos. Um \u00e9 um assalto de segundos; o outro, um div\u00f3rcio arrastado por meses. Mas contam a mesma coisa: em 2026, o drama das DAO deixou de ser a novela amadora de comunidades entusiastas e passou a ter duas caras adultas, uma criminosa e outra corporativa. A assembleia de volunt\u00e1rios morreu. O que ficou no lugar dela \u00e9 ou um alvo, ou um local de trabalho.<\/p>

Do palco \u00e0 esquadra: como o drama cresceu<\/h2>

O drama das DAO \u00e9 t\u00e3o antigo como as pr\u00f3prias DAO. Come\u00e7ou em 2016 com The DAO, o fundo de investimento comunit\u00e1rio que levantou cerca de 150 milh\u00f5es de d\u00f3lares em ETH antes de um atacante drenar perto de 3,6 milh\u00f5es de ETH, quase um ter\u00e7o do fundo, atrav\u00e9s de uma falha de reentr\u00e2ncia. A resposta partiu a Ethereum ao meio: um hard fork em julho de 2016 (no bloco 1.920.000) reverteu o roubo e criou duas cadeias, a Ethereum que hoje conhecemos e a Ethereum Classic de quem recusou reescrever a hist\u00f3ria, como explica a Gemini<\/a>.<\/p>

Durante anos, o g\u00e9nero manteve-se amador e, muitas vezes, c\u00f3mico. Em novembro de 2021, mais de 17.000 pessoas juntaram mais de 40 milh\u00f5es de d\u00f3lares em poucos dias para tentar comprar uma c\u00f3pia original da Constitui\u00e7\u00e3o dos Estados Unidos num leil\u00e3o da Sotheby’s. Perderam para o lance de 43,2 milh\u00f5es de d\u00f3lares do gestor de fundos Ken Griffin e passaram semanas a discutir reembolsos que, descontadas as taxas de g\u00e1s, valiam menos do que muitos tinham colocado, segundo a CNBC<\/a>. A ConstitutionDAO tornou-se um meme; ningu\u00e9m saiu ferido a n\u00e3o ser no orgulho.<\/p>

Em 2026, esse teatro cresceu. Deixou de ser sobre comunidades a trope\u00e7ar em p\u00fablico e dividiu-se em dois g\u00e9neros mais s\u00e9rios: o assalto industrializado por vota\u00e7\u00e3o e o abandono silencioso dos profissionais que, longe dos holofotes, faziam as DAO funcionar. Vale a pena olhar para cada uma destas caras.<\/p>

A primeira cara: o assalto por vota\u00e7\u00e3o<\/h2>

Um ataque de governa\u00e7\u00e3o n\u00e3o parte nada. Segue as regras. O atacante adquire poder de voto suficiente para aprovar uma proposta, escreve uma proposta que transfere a tesouraria para a carteira dele, vota nela com a maioria que comprou e executa. Do ponto de vista do contrato, tudo correu como previsto: houve proposta, houve qu\u00f3rum, houve aprova\u00e7\u00e3o. \u00c9 por isso que estes casos s\u00e3o t\u00e3o dif\u00edceis de classificar como crime, um ponto ao qual voltaremos.<\/p>

A Term Finance \u00e9 o exemplo mais recente e mais limpo. \u00c9 um protocolo de cr\u00e9dito de taxa fixa constru\u00eddo sobre a infraestrutura de cofres da Yearn V3, mas com uma camada de governa\u00e7\u00e3o pr\u00f3pria, feita \u00e0 medida. Foi precisamente essa camada \u00e0 medida que ruiu; a Yearn fez quest\u00e3o de sublinhar que o vetor n\u00e3o se aplica aos cofres Yearn normais<\/a>. O atacante partiu de uma pequena quantia de ETH previamente passada pelo misturador Tornado Cash, comprou a maioria do token de governa\u00e7\u00e3o dos cofres, aprovou as propostas e drenou 68% do que l\u00e1 estava. A Term Labs acabou por desligar de forma irrevers\u00edvel todos os Term Meta Vaults e revogar-lhes os pap\u00e9is de governa\u00e7\u00e3o, garantindo que o protocolo de cr\u00e9dito subjacente n\u00e3o fora afetado.<\/p>

Nada disto \u00e9 exclusivo da Term. O cr\u00e9dito on-chain vive de camadas de confian\u00e7a empilhadas, as mesmas que j\u00e1 transformaram or\u00e1culos e pontes no cr\u00e9dito malparado da DeFi<\/a>; a governa\u00e7\u00e3o \u00e9 apenas mais uma dessas camadas, e talvez a mais barata de atacar.<\/p>

O ver\u00e3o dos golpes: 22 milh\u00f5es em oito semanas<\/h2>

A Term n\u00e3o foi um acidente isolado. Foi o remate de um ver\u00e3o inteiro. Entre 9 de junho e 6 de agosto de 2026, a empresa de seguran\u00e7a Blockaid contou pelo menos sete tomadas de controlo de governa\u00e7\u00e3o em tr\u00eas cadeias diferentes (Ethereum, Solana e Base), que juntas drenaram cerca de 22 milh\u00f5es de d\u00f3lares (aproximadamente 19 milh\u00f5es de euros). Nenhuma delas foi um bug de c\u00f3digo; todas exploraram o pr\u00f3prio sistema de votos, documentou a Blockaid<\/a>.<\/p>

O padr\u00e3o repete-se com uma monotonia quase aborrecida: encontrar um token de governa\u00e7\u00e3o pouco distribu\u00eddo, comprar barato uma maioria, passar a proposta antes que algu\u00e9m repare. O caso mais caricato foi o Token of Power, cujo fornecimento total era de apenas 16.384 tokens; comprar a maioria disso \u00e9 trivial. O caso mais eficiente foi o BonkDAO, onde bastaram sete carteiras a votar para mover 20 milh\u00f5es de d\u00f3lares.<\/p>

Caso<\/th>Data (2026)<\/th>Cadeia<\/th>Drenado<\/th>Vetor<\/th><\/tr><\/thead>
Token of Power (TOP)<\/td>9 jun<\/td>Ethereum<\/td>\u2248 1,4 M\u20ac (1,59 M$)<\/td>S\u00f3 16.384 tokens no total; maioria comprada; proposta criada, aprovada e executada numa \u00fanica transa\u00e7\u00e3o, sem timelock<\/td><\/tr>
BonkDAO<\/td>6 jul<\/td>Solana<\/td>\u2248 17 M\u20ac (20 M$)<\/td>Cerca de 3,8 M\u20ac em BONK para atingir o qu\u00f3rum; sete carteiras votaram; sem atraso entre aprova\u00e7\u00e3o e execu\u00e7\u00e3o<\/td><\/tr>
BarnBridge SMART Yield<\/td>15 jul<\/td>Ethereum<\/td>\u2248 670 mil \u20ac (777 mil $)<\/td>Poder de voto por cerca de 515 \u20ac (32.000 BOND); caminho de upgrade sequestrado<\/td><\/tr>
Term Finance<\/td>23 ago<\/td>Ethereum<\/td>\u2248 7,3 M\u20ac (8,5 M$)<\/td>Token de governa\u00e7\u00e3o pouco distribu\u00eddo; timelock de 7 dias e veto de LP n\u00e3o foram acionados a tempo<\/td><\/tr><\/tbody><\/table>
Fontes: Blockaid (TOP, BonkDAO, BarnBridge) e Cointelegraph (Term Finance).<\/figcaption><\/figure>

Repare-se na coluna da direita. Em nenhum destes casos o problema foi criptografia fraca. Foi aritm\u00e9tica social: poucos tokens, poucos votantes, pouca vigil\u00e2ncia. E note-se a cronologia: a contagem da Blockaid fecha a 6 de agosto, mas a Term veio juntar mais 8,5 milh\u00f5es de d\u00f3lares tr\u00eas semanas depois. O ver\u00e3o nem sequer tinha acabado.<\/p>

Dois ETH, um misturador e um cofre: a economia do golpe<\/h2>

H\u00e1 uma forma simples de perceber porque isto acontece tanto. Os investigadores da a16z crypto descreveram-na como uma equa\u00e7\u00e3o: o lucro de um ataque \u00e9 o valor que se pode roubar menos o custo de adquirir os votos menos o custo de executar. Quando uma tesouraria de milh\u00f5es \u00e9 governada por um token que quase ningu\u00e9m quer, o custo de adquirir os votos desaba e a equa\u00e7\u00e3o fica positiva, como explicam num artigo j\u00e1 cl\u00e1ssico sobre o tema<\/a>.<\/p>

Os n\u00fameros de 2026 s\u00e3o humilhantes. No ataque \u00e0 BarnBridge, o poder de voto necess\u00e1rio custou cerca de 600 d\u00f3lares (uns 515 euros) em BOND bloqueado. No Token of Power, bastou dominar um total de 16.384 unidades. Na Term, o capital inicial coube numa transfer\u00eancia de Tornado Cash. Quando se pode capturar uma tesouraria de milh\u00f5es por umas centenas de euros, o espanto n\u00e3o \u00e9 que aconte\u00e7a; \u00e9 que n\u00e3o aconte\u00e7a mais vezes. A mesma an\u00e1lise distingue o comprador que assume abertamente a maioria daquele que a acumula em sil\u00eancio, carteira a carteira, at\u00e9 ningu\u00e9m conseguir distinguir um atacante de um investidor leg\u00edtimo.<\/p>

A raiz \u00e9 conhecida. Como Vitalik Buterin argumenta desde 2021, um token de governa\u00e7\u00e3o junta num s\u00f3 objeto dois direitos que deviam estar separados: um interesse econ\u00f3mico no protocolo e o direito de decidir sobre ele, e esses dois direitos s\u00e3o f\u00e1ceis de desacoplar. Quem faz um flash loan de votos, ou compra um token barato s\u00f3 para o usar uma vez, obt\u00e9m poder de decis\u00e3o sem qualquer pele em jogo, escreveu no seu ensaio sobre o voto por moeda<\/a>.<\/p>

Some-se a isto a concentra\u00e7\u00e3o. Uma an\u00e1lise da Chainalysis j\u00e1 em 2022 mostrava que, em dez das maiores DAO, menos de 1% dos detentores controlava cerca de 90% do poder de voto, segundo a Cointelegraph<\/a>. Onde o poder est\u00e1 concentrado, compr\u00e1-lo \u00e9 mais f\u00e1cil, e a participa\u00e7\u00e3o dos restantes tende para zero.<\/p>

Ironicamente, tudo isto \u00e9 p\u00fablico. As carteiras dos atacantes, as compras de tokens, as passagens por misturadores, ficam gravadas na cadeia para quem as quiser ler, tal como cada aposta de uma baleia na Hyperliquid \u00e9 vis\u00edvel em tempo real<\/a>. O problema nunca foi a falta de informa\u00e7\u00e3o; foi a falta de algu\u00e9m a olhar para ela a tempo.<\/p>

As defesas que n\u00e3o chegam<\/h2>

Se os ataques s\u00e3o t\u00e3o previs\u00edveis, porque \u00e9 que as defesas falham? O caso da Term responde de forma brutal: ela tinha as defesas. Um timelock de sete dias e direito de veto dos fornecedores de liquidez. E ainda assim perdeu 68% dos cofres.<\/p>

A explica\u00e7\u00e3o \u00e9 a que Buterin d\u00e1 para os timelocks: s\u00e3o mais parecidos com a barreira de pagamento de um jornal do que com uma fechadura. Atrasam, avisam, d\u00e3o tempo para reagir, mas n\u00e3o impedem nada por si s\u00f3s. Se ningu\u00e9m estiver a monitorizar as propostas, ou se o direito de veto pertencer a fornecedores de liquidez dispersos e distra\u00eddos, o atraso expira e o assalto conclui-se na mesma.<\/p>

A pr\u00f3pria Blockaid resume as contramedidas que funcionam:<\/p>