{"id":409,"date":"2026-08-30T04:45:27","date_gmt":"2026-08-30T04:45:27","guid":{"rendered":"https:\/\/hoge.gg\/pt\/post-mortem-supervisao-dora-autopsia-cripto-2026\/"},"modified":"2026-08-30T04:45:27","modified_gmt":"2026-08-30T04:45:27","slug":"post-mortem-supervisao-dora-autopsia-cripto-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/pt\/post-mortem-supervisao-dora-autopsia-cripto-2026\/","title":{"rendered":"Post-mortem sob supervis\u00e3o: a DORA reescreve a aut\u00f3psia cripto"},"content":{"rendered":"

Em fevereiro de 2025, quando a Bybit perdeu cerca de 1,3 mil milh\u00f5es de euros (1,5 mil milh\u00f5es de d\u00f3lares) para o grupo norte-coreano Lazarus, o setor cripto fez o que sempre fez depois de um desastre: exigiu a aut\u00f3psia. Poucos dias depois, o presidente executivo Ben Zhou publicou os relat\u00f3rios forenses de duas empresas, a Sygnia e a Verichains, e a comunidade dissecou cada transa\u00e7\u00e3o no ecr\u00e3. Foi o ritual do costume, o post-mortem como confiss\u00e3o p\u00fablica. S\u00f3 que, desde janeiro de 2025, uma plataforma sediada na Uni\u00e3o Europeia que sofresse o mesmo ataque teria de escrever um segundo documento, bem menos glamoroso, para entregar ao supervisor.<\/p>

A aut\u00f3psia cripto deixou de ser apenas um gesto volunt\u00e1rio de transpar\u00eancia. Passou a ser, em paralelo, uma obriga\u00e7\u00e3o legal. Enquanto a cultura do post-mortem nasceu na fronteira entre os hackers de chap\u00e9u branco e os investigadores de seguran\u00e7a, o novo Regulamento sobre a Resili\u00eancia Operacional Digital (DORA) transformou o relat\u00f3rio de incidente num dever regulat\u00f3rio, com prazos, formul\u00e1rios e uma autoridade a ler do outro lado. Este texto olha para essa colis\u00e3o: entre a confiss\u00e3o que a comunidade quer ler e o relat\u00f3rio que o regulador exige, e para o que isso muda em Portugal, onde a CMVM e o Banco de Portugal passaram a ter um papel na hist\u00f3ria.<\/p>

Dois documentos para o mesmo desastre<\/h2>

Durante uma d\u00e9cada, o post-mortem cripto foi um artefacto cultural antes de ser um documento t\u00e9cnico. Depois de um ataque, o protocolo publicava um fio nas redes sociais ou um artigo no seu blogue, reconstru\u00eda a cronologia, apontava a causa raiz e prometia corre\u00e7\u00f5es. O tom oscilava entre a contri\u00e7\u00e3o e a autopromo\u00e7\u00e3o, mas o formato era reconhec\u00edvel: cronologia, causa, impacto, mitiga\u00e7\u00e3o, pr\u00f3ximos passos. Era escrito para uma audi\u00eancia de pares, muitas vezes por engenheiros que sabiam que outros engenheiros iriam verificar cada afirma\u00e7\u00e3o contra os dados na blockchain.<\/p>

A partir de 2025, esse mesmo desastre passou a gerar potencialmente dois textos. O primeiro \u00e9 o post-mortem p\u00fablico, volunt\u00e1rio, dirigido \u00e0 comunidade e \u00e0 reputa\u00e7\u00e3o. O segundo \u00e9 o relat\u00f3rio de incidente grave de TIC, confidencial, dirigido \u00e0 autoridade competente e com valor jur\u00eddico. Descrevem o mesmo acontecimento, mas obedecem a incentivos opostos. Um quer contar tudo depressa; o outro tem de contar o suficiente, no prazo certo, sabendo que pode acabar num processo. A tens\u00e3o entre estes dois documentos \u00e9 a hist\u00f3ria nova do post-mortem cripto, e explica por que raz\u00e3o a aut\u00f3psia de 2026 j\u00e1 n\u00e3o se parece com a de 2020.<\/p>

De onde vem o post-mortem: a heran\u00e7a blameless<\/h2>

A cripto n\u00e3o inventou o post-mortem. Herdou-o, quase intacto, da engenharia de fiabilidade de sistemas e da investiga\u00e7\u00e3o de acidentes. O modelo de refer\u00eancia \u00e9 o da avia\u00e7\u00e3o, onde a autoridade que investiga um acidente separa a an\u00e1lise t\u00e9cnica da atribui\u00e7\u00e3o de culpa, precisamente para que os intervenientes relatem tudo sem receio. A engenharia de software formalizou essa ideia no chamado post-mortem blameless<\/em>, descrito em detalhe no manual de Site Reliability Engineering da Google<\/a>: o objetivo de uma aut\u00f3psia n\u00e3o \u00e9 encontrar um culpado, mas encontrar a causa sist\u00e9mica que permitiu o erro humano, para que a organiza\u00e7\u00e3o aprenda em vez de punir.<\/p>

Quando essa cultura chegou \u00e0 cripto, encontrou um terreno peculiar. As blockchains p\u00fablicas s\u00e3o o que o investigador de seguran\u00e7a samczsun celebrizou como uma floresta escura<\/a>, um ambiente onde qualquer transa\u00e7\u00e3o exposta na mempool pode ser observada e antecipada por predadores autom\u00e1ticos. No relato em que resgatou fundos em risco antecipando-se a um atacante, samczsun escreveu que \u00aba possibilidade de as nossas transa\u00e7\u00f5es serem antecipadas era muito real\u00bb e que, no fim, \u00abt\u00ednhamos escapado \u00e0 floresta escura\u00bb. Nesse mundo, o post-mortem tornou-se um mecanismo de defesa coletiva: partilhar depressa a anatomia de um ataque ajuda todos os outros a fechar a mesma porta antes de serem atingidos. A l\u00f3gica desse mercado adversarial, onde a ordena\u00e7\u00e3o das transa\u00e7\u00f5es vale dinheiro, \u00e9 a mesma que explor\u00e1mos ao analisar o esfor\u00e7o para encriptar o mempool e travar o sandwich<\/a>.<\/p>

Mas a heran\u00e7a blameless trazia uma promessa dif\u00edcil de cumprir na cripto: a de que ningu\u00e9m seria punido por dizer a verdade. Na avia\u00e7\u00e3o, o investigador n\u00e3o \u00e9 o procurador. Na cripto, o mesmo post-mortem que confessa uma falha pode ser lido por um utilizador furioso, por um advogado de uma a\u00e7\u00e3o coletiva e, agora, por um regulador. A cultura importou o formato, mas n\u00e3o conseguiu importar a imunidade.<\/p>

A anatomia de uma aut\u00f3psia bem feita<\/h2>

Um bom post-mortem responde sempre \u00e0s mesmas perguntas, independentemente de ser escrito por uma equipa de DeFi an\u00f3nima ou por um departamento de conformidade. E, por uma coincid\u00eancia que n\u00e3o \u00e9 coincid\u00eancia nenhuma, essas perguntas coincidem quase linha a linha com aquilo que a DORA passou a exigir por escrito. A regula\u00e7\u00e3o europeia estruturou o relat\u00f3rio de incidente em tr\u00eas momentos, uma notifica\u00e7\u00e3o inicial, um relat\u00f3rio interm\u00e9dio de progresso e um relat\u00f3rio final com a causa raiz, que s\u00e3o a vers\u00e3o burocr\u00e1tica do fio que a comunidade sempre escreveu \u00e0 m\u00e3o.<\/p>

Componente<\/th>Pergunta a que responde<\/th>No post-mortem p\u00fablico<\/th>No relat\u00f3rio DORA<\/th><\/tr><\/thead>
Dete\u00e7\u00e3o e cronologia<\/td>Quando e como se percebeu?<\/td>Fio ou artigo com timestamps na blockchain<\/td>Notifica\u00e7\u00e3o inicial em prazo apertado<\/td><\/tr>
Causa raiz<\/td>Que falha permitiu o ataque?<\/td>An\u00e1lise t\u00e9cnica revista pela comunidade<\/td>Relat\u00f3rio final de causa raiz<\/td><\/tr>
Impacto quantificado<\/td>Quanto se perdeu e quem foi afetado?<\/td>Valor em euros, carteiras, utilizadores<\/td>Classifica\u00e7\u00e3o de gravidade por limiares<\/td><\/tr>
Mitiga\u00e7\u00e3o imediata<\/td>O que se fez para travar a hemorragia?<\/td>Pausas de contrato, congelamentos<\/td>Relat\u00f3rio interm\u00e9dio de progresso<\/td><\/tr>
Corre\u00e7\u00f5es (action items)<\/td>O que muda para n\u00e3o repetir?<\/td>Lista de promessas, muitas vezes sem prazo<\/td>Plano de remedia\u00e7\u00e3o sujeito a supervis\u00e3o<\/td><\/tr><\/tbody><\/table><\/figure>

A diferen\u00e7a de fundo est\u00e1 na \u00faltima linha. No post-mortem p\u00fablico, as corre\u00e7\u00f5es s\u00e3o promessas cuja execu\u00e7\u00e3o ningu\u00e9m fiscaliza. No relat\u00f3rio regulat\u00f3rio, a remedia\u00e7\u00e3o passa a estar sob o olhar de uma autoridade que pode voltar a perguntar. \u00c9 uma diferen\u00e7a pequena no papel e enorme na pr\u00e1tica, como veremos.<\/p>

Bybit: a transpar\u00eancia como gest\u00e3o de crise<\/h2>

O caso que definiu o padr\u00e3o moderno de aut\u00f3psia foi o maior de sempre. A 21 de fevereiro de 2025, a Bybit detetou movimentos n\u00e3o autorizados numa das suas carteiras frias de Ethereum durante uma transfer\u00eancia de rotina. Em minutos, cerca de 1,3 mil milh\u00f5es de euros (1,5 mil milh\u00f5es de d\u00f3lares) sa\u00edram para carteiras controladas pelo atacante. A investiga\u00e7\u00e3o forense da Sygnia<\/a> e da Verichains chegou a uma conclus\u00e3o desconfort\u00e1vel: a infraestrutura da pr\u00f3pria Bybit n\u00e3o estava comprometida. O ataque tinha entrado por um terceiro.<\/p>

Segundo os relat\u00f3rios partilhados por Ben Zhou, o Lazarus comprometeu a m\u00e1quina de um programador da Safe{Wallet}, o fornecedor de carteiras multiassinatura usado pela Bybit, e injetou c\u00f3digo JavaScript malicioso na interface servida a partir de um bucket de armazenamento na AWS, modificado dois dias antes do ataque. O ecr\u00e3 mostrava aos signat\u00e1rios da Bybit uma transa\u00e7\u00e3o de apar\u00eancia normal, enquanto alterava por baixo a l\u00f3gica e o destino dos fundos. Foi um caso de manual de assinatura cega, em que quem aprova n\u00e3o consegue verificar o que est\u00e1 realmente a assinar. Como documentou a DL News<\/a>, o processo de multiassinatura foi subvertido n\u00e3o por uma falha no c\u00f3digo dos contratos, mas por uma apresenta\u00e7\u00e3o enganosa da transa\u00e7\u00e3o.<\/p>

A resposta da Bybit tornou-se um estudo de caso de gest\u00e3o de crise pela transpar\u00eancia. Enquanto a fila de levantamentos crescia, Ben Zhou publicou na rede social X uma mensagem que se tornou c\u00e9lebre: \u00abA Bybit est\u00e1 solvente mesmo que esta perda n\u00e3o seja recuperada, todos os ativos dos clientes est\u00e3o cobertos numa base de um para um, conseguimos cobrir a perda.\u00bb A afirma\u00e7\u00e3o est\u00e1 arquivada no seu perfil<\/a>. A empresa assegurou financiamento de emerg\u00eancia, incluindo cerca de 447 mil ether de firmas como a Galaxy Digital, a FalconX e a Wintermute, e, poucos dias depois, segundo a CNBC<\/a>, uma auditoria de prova de reservas conduzida pela Hacken confirmou que os fundos tinham sido repostos acima dos 100 por cento. A publica\u00e7\u00e3o r\u00e1pida dos relat\u00f3rios forenses, dispon\u00edveis num segundo fio de Ben Zhou<\/a>, foi t\u00e3o importante para a sobreviv\u00eancia da marca quanto a solv\u00eancia.<\/p>

Cetus: quando o post-mortem confessa excesso de confian\u00e7a<\/h2>

Se a Bybit mostrou a aut\u00f3psia como defesa reputacional, a Cetus mostrou-a como confiss\u00e3o e, ao mesmo tempo, abriu um debate inc\u00f3modo sobre poder. A 22 de maio de 2025, a Cetus, a principal exchange descentralizada da blockchain Sui, perdeu cerca de 190 milh\u00f5es de euros (220 milh\u00f5es de d\u00f3lares, com algumas estimativas a apontar valores mais altos) numa quest\u00e3o de minutos. A causa raiz, detalhada num post-mortem publicado a 26 de maio, foi uma falha de overflow na l\u00f3gica do criador de mercado autom\u00e1tico, uma verifica\u00e7\u00e3o ineficaz dos bits mais significativos dos valores de liquidez que permitiu ao atacante manipular os par\u00e2metros das pools. Para quem quiser entender como estas f\u00f3rmulas movem a liquidez, vale a pena reler o desenho dos AMM e a matem\u00e1tica que sustenta a bolsa on-chain<\/a>.<\/p>

O que distinguiu esta aut\u00f3psia foi a honestidade da admiss\u00e3o. No seu post-mortem, a Cetus reconheceu que o sucesso passado e a ampla ado\u00e7\u00e3o de bibliotecas auditadas tinham criado uma falsa sensa\u00e7\u00e3o de seguran\u00e7a, uma frase rara num setor que costuma escrever os seus relat\u00f3rios na defensiva. Confessar excesso de confian\u00e7a \u00e9 o oposto da ret\u00f3rica habitual, e ajuda a explicar por que raz\u00e3o o mesmo tipo de erro reaparece: quando o c\u00f3digo passou por auditoria, as equipas baixam a guarda perante a matem\u00e1tica que ningu\u00e9m voltou a questionar.<\/p>

Depois veio a parte que dividiu a comunidade. Os validadores da rede Sui votaram e congelaram cerca de 160 milh\u00f5es de d\u00f3lares em carteiras do atacante, e a rede avan\u00e7ou para devolver os fundos aos utilizadores. Como noticiou a DL News<\/a>, a decis\u00e3o de um conjunto relativamente pequeno de validadores poder travar transa\u00e7\u00f5es levantou d\u00favidas s\u00e9rias sobre a descentraliza\u00e7\u00e3o e a resist\u00eancia \u00e0 censura da rede. A aut\u00f3psia, nesse caso, deixou de ser s\u00f3 um relat\u00f3rio e passou a ser o gatilho de uma interven\u00e7\u00e3o de governa\u00e7\u00e3o, com todos os dilemas que isso levanta sobre quem realmente controla uma cadeia, uma discuss\u00e3o que ecoa a que fizemos sobre a dupla governa\u00e7\u00e3o por tr\u00e1s do stETH<\/a> e sobre o drama crescente das DAO entre o assalto e o div\u00f3rcio<\/a>.<\/p>

Dimens\u00e3o<\/th>Bybit (fev. 2025)<\/th>Cetus (maio 2025)<\/th><\/tr><\/thead>
Perda estimada<\/td>Cerca de 1,3 mil milh\u00f5es de euros<\/td>Cerca de 190 milh\u00f5es de euros<\/td><\/tr>
Causa raiz<\/td>Terceiro comprometido, assinatura cega<\/td>Falha de overflow no c\u00f3digo do AMM<\/td><\/tr>
Onde falhou<\/td>Fora do contrato, na infraestrutura<\/td>Dentro do contrato, na matem\u00e1tica<\/td><\/tr>
Resposta central<\/td>Solv\u00eancia e prova de reservas<\/td>Congelamento por vota\u00e7\u00e3o de validadores<\/td><\/tr>
Tens\u00e3o principal<\/td>Confian\u00e7a em fornecedores externos<\/td>Descentraliza\u00e7\u00e3o contra recupera\u00e7\u00e3o<\/td><\/tr><\/tbody><\/table><\/figure>

2026: a falha mudou de s\u00edtio<\/h2>

Os dois casos apontam para a mesma tend\u00eancia, e os n\u00fameros de 2026 confirmam-na. O valor total roubado caiu, mas o n\u00famero de ataques bateu recordes, e o vetor de entrada deslocou-se do c\u00f3digo para o ser humano. Segundo a Immunefi, as perdas do primeiro semestre de 2026 ca\u00edram abaixo dos mil milh\u00f5es de d\u00f3lares<\/a>, para cerca de 845 milh\u00f5es de euros (972 milh\u00f5es de d\u00f3lares) em 207 incidentes, o maior n\u00famero de sempre. A CertiK, com uma metodologia diferente, contabilizou cerca de 1,15 mil milh\u00f5es de euros (1,32 mil milh\u00f5es de d\u00f3lares)<\/a> em 344 incidentes. As contas n\u00e3o batem certo entre trackers, e essa \u00e9 a primeira li\u00e7\u00e3o: at\u00e9 o n\u00famero de partida de uma aut\u00f3psia depende de quem a escreve.<\/p>

Fonte<\/th>Perdas H1 2026<\/th>Incidentes<\/th>Observa\u00e7\u00e3o<\/th><\/tr><\/thead>
Immunefi<\/td>Cerca de 845 milh\u00f5es de euros (972 milh\u00f5es USD)<\/td>207<\/td>Abaixo dos mil milh\u00f5es, recorde de ataques<\/td><\/tr>
CertiK<\/td>Cerca de 1,15 mil milh\u00f5es de euros (1,32 mil milh\u00f5es USD)<\/td>344<\/td>Cerca de 1,2 mil milh\u00f5es l\u00edquidos ap\u00f3s recupera\u00e7\u00f5es<\/td><\/tr>
Vetor dominante<\/td>Cerca de 385 milh\u00f5es de euros (444,5 milh\u00f5es USD)<\/td>33<\/td>Comprometimento de carteiras, o mais caro por incidente<\/td><\/tr><\/tbody><\/table><\/figure>

O dado mais revelador n\u00e3o \u00e9 o total, \u00e9 a distribui\u00e7\u00e3o. Cerca de 74 por cento do valor roubado no semestre veio de dispositivos comprometidos, credenciais privilegiadas, chaves privadas, sistemas de assinatura e infraestrutura fora da cadeia, e n\u00e3o de falhas nos contratos inteligentes. O comprometimento de carteiras foi o vetor mais caro, com cerca de 385 milh\u00f5es de euros (444,5 milh\u00f5es de d\u00f3lares) em apenas 33 incidentes. Os atores ligados \u00e0 Coreia do Norte, sobretudo o Lazarus e o subgrupo TraderTraitor, foram respons\u00e1veis por cerca de 560 milh\u00f5es de euros (643 milh\u00f5es de d\u00f3lares), \u00e0 volta de dois ter\u00e7os de todas as perdas do semestre. O dano estrito da DeFi, ali\u00e1s, caiu cerca de 74 por cento face ao pico de 2022.<\/p>

A conclus\u00e3o \u00e9 a que mais custa a um setor obcecado por auditorias de c\u00f3digo: o problema, cada vez mais, n\u00e3o \u00e9 o c\u00f3digo. \u00c9 a porta ao lado, aberta por uma pessoa. E, no entanto, muitos post-mortems continuam a terminar com a mesma promessa de sempre, mais auditorias, quando a falha esteve na gest\u00e3o de chaves, na engenharia social ou num fornecedor. \u00c9 a mesma miopia que analis\u00e1mos ao ver como os or\u00e1culos e as pontes geraram o cr\u00e9dito malparado da DeFi<\/a>: o risco vive nas costuras entre sistemas, n\u00e3o no centro de cada um.<\/p>

Entra a DORA: a aut\u00f3psia passa a lei<\/h2>

\u00c9 neste contexto que a Europa formalizou a aut\u00f3psia. O Regulamento (UE) 2022\/2554, conhecido como DORA, entrou em aplica\u00e7\u00e3o a 17 de janeiro de 2025 e trata da resili\u00eancia operacional digital das entidades financeiras. O ponto crucial para a cripto \u00e9 este: os prestadores de servi\u00e7os de criptoativos autorizados na UE ao abrigo do MiCA est\u00e3o inclu\u00eddos no \u00e2mbito da DORA. Ou seja, a exchange, o emitente de stablecoin ou o custodiante que opere legalmente no espa\u00e7o europeu deixou de poder tratar o relat\u00f3rio de incidente como um gesto opcional de boa vontade.<\/p>

A DORA obriga estas entidades a detetar, classificar e comunicar os incidentes graves de TIC \u00e0s autoridades competentes, contra limiares de materialidade definidos e em prazos apertados. Para os incidentes mais s\u00e9rios, exige tr\u00eas documentos distintos: um relat\u00f3rio inicial que notifica a autoridade, um relat\u00f3rio interm\u00e9dio sobre o progresso na resolu\u00e7\u00e3o e um relat\u00f3rio final que analisa as causas raiz. \u00c9 dif\u00edcil n\u00e3o ver aqui o post-mortem de sempre, agora com formul\u00e1rio, prazo e destinat\u00e1rio obrigat\u00f3rio. O calend\u00e1rio desta e de outras pe\u00e7as regulat\u00f3rias, do MiCA \u00e0s regras norte-americanas, est\u00e1 mapeado na nossa contagem decrescente do calend\u00e1rio regulat\u00f3rio da cripto at\u00e9 2027<\/a>.<\/p>

A mudan\u00e7a \u00e9 mais profunda do que parece. Um post-mortem p\u00fablico pode ser escrito com o cuidado de n\u00e3o admitir responsabilidade legal. Um relat\u00f3rio \u00e0 autoridade tem de ser suficientemente completo para cumprir a lei, o que significa dizer coisas que um advogado preferiria que n\u00e3o fossem ditas. Pela primeira vez, o autor da aut\u00f3psia escreve para dois leitores com interesses opostos ao mesmo tempo.<\/p>

Portugal: CMVM, Banco de Portugal e a Lei 69\/2025<\/h2>

Para o leitor portugu\u00eas, a pergunta pr\u00e1tica \u00e9 quem l\u00ea estes relat\u00f3rios. A resposta envolve duas casas. Com a transposi\u00e7\u00e3o do MiCA para a ordem jur\u00eddica nacional, atrav\u00e9s da Lei n.\u00ba 69\/2025, de 22 de dezembro<\/a>, o pa\u00eds manteve a reparti\u00e7\u00e3o de compet\u00eancias entre o Banco de Portugal e a Comiss\u00e3o do Mercado de Valores Mobili\u00e1rios. \u00c0 CMVM cabe sobretudo a supervis\u00e3o comportamental e de mercado, incluindo a preven\u00e7\u00e3o do abuso, o tratamento de reclama\u00e7\u00f5es e a resolu\u00e7\u00e3o de conflitos entre entidades e consumidores. Ao Banco de Portugal cabe a vertente prudencial.<\/p>

No plano dos incidentes de TIC ao abrigo da DORA, a articula\u00e7\u00e3o \u00e9 subtil. A CMVM \u00e9 uma das entidades que, no setor dos valores mobili\u00e1rios, recebe comunica\u00e7\u00f5es de incidentes graves. Contudo, quando uma entidade financeira est\u00e1 sujeita a v\u00e1rios supervisores, a compet\u00eancia para o reporte, o acompanhamento e a coordena\u00e7\u00e3o dos incidentes graves de TIC recai sobre o supervisor prudencial, que em Portugal \u00e9 o Banco de Portugal. Na pr\u00e1tica, um prestador de servi\u00e7os de criptoativos com incidente relevante em Portugal poder\u00e1 ter de comunicar ao Banco de Portugal, ainda que a CMVM continue a ser o rosto da supervis\u00e3o de conduta do mercado cripto. A pr\u00f3pria CMVM j\u00e1 respondeu formalmente \u00e0 ESMA que cumpre a totalidade das orienta\u00e7\u00f5es do MiCA, sinal de que a fiscaliza\u00e7\u00e3o de conduta n\u00e3o \u00e9 ret\u00f3rica.<\/p>

Para um investidor de retalho em Lisboa ou no Porto, isto significa uma coisa concreta: se a plataforma que usa for uma CASP autorizada na UE, o relat\u00f3rio do pr\u00f3ximo ataque n\u00e3o vai depender apenas da boa vontade da empresa. Existe agora um dever legal de comunicar, e um supervisor com poder para pedir contas.<\/p>

O que o regulador j\u00e1 viu: 3.383 incidentes<\/h2>

A DORA n\u00e3o \u00e9 teoria. O primeiro retrato agregado j\u00e1 saiu, e as suas conclus\u00f5es s\u00e3o um contraponto \u00fatil ao alarmismo do costume. A 3 de junho de 2026, as Autoridades Europeias de Supervis\u00e3o publicaram o primeiro relat\u00f3rio sobre incidentes graves de TIC comunicados ao abrigo da DORA<\/a>. Os n\u00fameros surpreendem quem imagina o setor financeiro sob fogo cerrado de hackers: foram reportados 3.383 incidentes graves de TIC pelas entidades financeiras da UE, cerca de 0,18 por entidade, e apenas cerca de 10 por cento envolveram amea\u00e7as de ciberseguran\u00e7a. A larga maioria resultou de falhas de sistemas e de eventos externos, n\u00e3o de ataques deliberados.<\/p>

Cerca de um ter\u00e7o dos incidentes teve impacto transfronteiri\u00e7o, um dado que as autoridades leram como sinal da crescente interliga\u00e7\u00e3o e da dimens\u00e3o sist\u00e9mica do risco de TIC. As mesmas autoridades sublinharam a import\u00e2ncia da gest\u00e3o de risco de terceiros e da supervis\u00e3o eficaz dos servi\u00e7os subcontratados, e alertaram para a necessidade de refor\u00e7ar as medidas de ciberseguran\u00e7a \u00e0 medida que as ferramentas apoiadas em intelig\u00eancia artificial evoluem. O impacto direto sobre clientes e transa\u00e7\u00f5es, segundo o relat\u00f3rio, foi geralmente limitado.<\/p>

H\u00e1 aqui uma li\u00e7\u00e3o que a cultura cripto raramente admite: quando se obriga toda a gente a reportar, descobre-se que a maioria das falhas \u00e9 aborrecida. N\u00e3o s\u00e3o golpes de g\u00e9nio de atacantes, s\u00e3o sistemas que caem, depend\u00eancias que falham, atualiza\u00e7\u00f5es que correm mal. O post-mortem regulat\u00f3rio, por ser exaustivo, d\u00e1 um retrato menos \u00e9pico e mais verdadeiro do que costuma correr mal.<\/p>

O paradoxo do blameless sob juramento<\/h2>

Chegamos ao n\u00f3 da quest\u00e3o. A cultura do post-mortem blameless assenta numa promessa: conta tudo, ningu\u00e9m te pune. A obriga\u00e7\u00e3o regulat\u00f3ria assenta noutra: conta tudo, porque \u00e9 a lei. As duas parecem alinhadas, mas puxam em dire\u00e7\u00f5es opostas quando entra em cena a responsabilidade jur\u00eddica. Um relat\u00f3rio completo e honesto, que identifica com clareza a causa raiz e a neglig\u00eancia que a permitiu, \u00e9 \u00f3timo para a comunidade aprender e p\u00e9ssimo para a defesa numa a\u00e7\u00e3o coletiva. O mesmo par\u00e1grafo que salva a reputa\u00e7\u00e3o t\u00e9cnica pode ser exibido em tribunal como admiss\u00e3o de culpa.<\/p>

\u00c9 por isso que os departamentos jur\u00eddicos existem, e \u00e9 por isso que os dois documentos tendem a divergir. O post-mortem p\u00fablico ser\u00e1 escrito com um filtro reputacional; o relat\u00f3rio \u00e0 autoridade ser\u00e1 escrito com um filtro legal. O risco \u00e9 que a vers\u00e3o que a comunidade l\u00ea passe a ser cada vez mais lavada, mais cuidadosa, menos \u00fatil, enquanto a vers\u00e3o verdadeiramente franca desaparece dentro de um envelope confidencial que ningu\u00e9m fora do supervisor vai ler. A transpar\u00eancia que fez a for\u00e7a do post-mortem cripto pode, ironicamente, sair enfraquecida pela sua pr\u00f3pria institucionaliza\u00e7\u00e3o.<\/p>

E h\u00e1 a quest\u00e3o de quem verifica o verificador. Um post-mortem \u00e9 uma narrativa contada pela parte interessada. A comunidade cripto sempre teve a blockchain p\u00fablica como contraprova, qualquer afirma\u00e7\u00e3o sobre fluxos de fundos pode ser conferida na cadeia. Mas as afirma\u00e7\u00f5es sobre processos internos, sobre quem sabia o qu\u00ea e quando, ficam por confirmar. \u00c9 o mesmo problema de fiscaliza\u00e7\u00e3o que levant\u00e1mos noutro contexto ao perguntar quem fiscaliza o entrevistador<\/a>: quando o autor do relato \u00e9 tamb\u00e9m o protagonista, a verifica\u00e7\u00e3o independente deixa de ser um luxo e passa a ser condi\u00e7\u00e3o de credibilidade.<\/p>

O elo que ningu\u00e9m audita: os terceiros<\/h2>

Se h\u00e1 um tema em que o post-mortem hacker e o relat\u00f3rio regulat\u00f3rio apontam exatamente para o mesmo lado, \u00e9 o risco de terceiros. A Bybit n\u00e3o foi hackeada na sua infraestrutura; foi atingida atrav\u00e9s de um fornecedor de carteiras. As Autoridades Europeias de Supervis\u00e3o insistiram na gest\u00e3o de risco de terceiros e na supervis\u00e3o dos servi\u00e7os subcontratados. E os n\u00fameros de 2026 confirmam que a infraestrutura fora da cadeia, as depend\u00eancias, os servi\u00e7os de assinatura, os buckets de armazenamento, \u00e9 onde o dinheiro sai.<\/p>

Esta converg\u00eancia \u00e9 significativa porque ataca o ponto cego hist\u00f3rico das auditorias cripto. Auditar um contrato inteligente \u00e9 verificar c\u00f3digo que a equipa escreveu. Mas a depend\u00eancia que mata \u00e9, muitas vezes, a que a equipa n\u00e3o escreveu, a biblioteca de terceiros, o or\u00e1culo externo, a interface servida por um fornecedor. A DORA leva esta preocupa\u00e7\u00e3o ao ponto de prever a supervis\u00e3o de fornecedores cr\u00edticos de TIC, reconhecendo que a resili\u00eancia de uma entidade financeira depende de uma cadeia de outros que ela n\u00e3o controla. \u00c9 a tradu\u00e7\u00e3o regulat\u00f3ria de uma verdade que a cripto aprendeu \u00e0 for\u00e7a: a seguran\u00e7a \u00e9 t\u00e3o forte quanto o elo mais fraco da cadeia de depend\u00eancias, e esse elo raramente aparece no relat\u00f3rio da auditoria.<\/p>

SEAL: a resposta que chega antes da aut\u00f3psia<\/h2>

Enquanto os reguladores europeus constru\u00edam o dever de reportar, a comunidade cripto constru\u00eda a sua pr\u00f3pria infraestrutura de resposta, e f\u00ea-lo antes e \u00e0 margem do Estado. O exemplo maior \u00e9 a Security Alliance<\/a>, ou SEAL, a organiza\u00e7\u00e3o sem fins lucrativos fundada por samczsun, que entretanto deixou a Paradigm para se dedicar ao projeto<\/a>. A SEAL opera uma linha de emerg\u00eancia aberta 24 horas por dia, a SEAL 911, que j\u00e1 ajudou a recuperar mais de 43 milh\u00f5es de euros (50 milh\u00f5es de d\u00f3lares) em ataques, e mant\u00e9m programas de partilha de intelig\u00eancia, manuais de boas pr\u00e1ticas e simula\u00e7\u00f5es de incidentes, os chamados wargames.<\/p>

A pe\u00e7a mais engenhosa \u00e9 o acordo de porto seguro para hackers de chap\u00e9u branco, o Safe Harbor. Ele permite que um investigador intervenha durante um ataque em curso, quando a urg\u00eancia n\u00e3o deixa tempo para processos formais, com regras claras: os fundos resgatados t\u00eam de ser devolvidos em 72 horas, a recompensa \u00e9 de 10 por cento do valor recuperado, com um teto de cerca de 870 mil euros (1 milh\u00e3o de d\u00f3lares), e existe um fundo de defesa jur\u00eddica para cobrir os custos legais do investigador. O acordo foi adotado por protocolos como a Uniswap e a Balancer, cobrindo um valor bloqueado acima dos 59 mil milh\u00f5es de euros (68 mil milh\u00f5es de d\u00f3lares). A procura tem crescido: em 2025, a SEAL geriu mais de 1.800 pedidos de apoio<\/a>, mais do dobro do ano anterior.<\/p>

O Safe Harbor resolve, na pr\u00e1tica, o mesmo paradoxo legal que a DORA levanta: como pedir a algu\u00e9m que aja com transpar\u00eancia quando qualquer interven\u00e7\u00e3o pode gerar responsabilidade jur\u00eddica. A resposta da comunidade foi criar imunidade contratual privada; a resposta do regulador foi criar obriga\u00e7\u00e3o com prazos. Ambas tentam resolver a mesma tens\u00e3o entre agir depressa e agir protegido, por caminhos opostos.<\/p>

O cemit\u00e9rio das action items e o que muda para Portugal<\/h2>

H\u00e1 uma frase que aparece em quase todos os post-mortems e que quase nunca \u00e9 auditada: a lista de corre\u00e7\u00f5es. Depois de descrever a falha, o protocolo promete rever contratos, refor\u00e7ar a gest\u00e3o de chaves, contratar auditorias, adicionar monitoriza\u00e7\u00e3o. Chamam-lhe action items. O problema \u00e9 que, no modelo volunt\u00e1rio, ningu\u00e9m volta para verificar se foram cumpridas. Uma d\u00e9cada de ataques com as mesmas causas raiz, chaves mal geridas, engenharia social, depend\u00eancias n\u00e3o verificadas, sugere que muitas dessas promessas foram para o cemit\u00e9rio. O ecossistema tem um historial de repetir os mesmos erros<\/a> precisamente porque a aut\u00f3psia terminava na publica\u00e7\u00e3o, n\u00e3o na implementa\u00e7\u00e3o.<\/p>

\u00c9 aqui que a obriga\u00e7\u00e3o regulat\u00f3ria pode, talvez, acrescentar algo que a cultura sozinha n\u00e3o conseguiu. Um relat\u00f3rio final de causa raiz entregue a um supervisor cria um registo formal, e um supervisor que recebe repetidamente relat\u00f3rios com a mesma causa raiz tem base para exigir mudan\u00e7as. A DORA n\u00e3o garante que as corre\u00e7\u00f5es sejam feitas, mas cria um leitor com mem\u00f3ria e com poder, o que \u00e9 mais do que o post-mortem p\u00fablico alguma vez teve. A d\u00favida \u00e9 se a supervis\u00e3o ter\u00e1 recursos e compet\u00eancia t\u00e9cnica para acompanhar um setor que se move a esta velocidade, um problema recorrente em toda a supervis\u00e3o financeira.<\/p>

Para o leitor em Portugal, o balan\u00e7o pr\u00e1tico \u00e9 este. Primeiro, um bom post-mortem continua a ser o melhor term\u00f3metro da sa\u00fade de um projeto; uma equipa que publica depressa, com detalhe e sem desculpas, revela uma cultura de seguran\u00e7a. Segundo, a partir de agora, uma plataforma que opere legalmente na UE tem tamb\u00e9m um dever de reportar, e vale a pena preferir prestadores autorizados sob o MiCA, sabendo que existe uma autoridade, a CMVM na conduta, o Banco de Portugal na coordena\u00e7\u00e3o de incidentes, com poder de fiscaliza\u00e7\u00e3o. Terceiro, desconfie do relat\u00f3rio que s\u00f3 fala em c\u00f3digo e nunca fala em pessoas, chaves ou fornecedores. Em 2026, \u00e9 a\u00ed que o dinheiro sai. A aut\u00f3psia amadureceu; falta ver se o setor amadurece com ela.<\/p>

Perguntas Frequentes<\/h2>

O que \u00e9 um post-mortem em cripto?<\/h3>

\u00c9 um relat\u00f3rio de incidente publicado depois de um ataque ou falha, que descreve o que aconteceu, quanto se perdeu e o que vai mudar. Costuma incluir uma cronologia, a causa raiz, o impacto quantificado, as mitiga\u00e7\u00f5es imediatas e uma lista de corre\u00e7\u00f5es, as chamadas action items.<\/p>

A DORA obriga as plataformas de cripto a reportar ataques?<\/h3>

Sim. Desde 17 de janeiro de 2025, o Regulamento (UE) 2022\/2554 (DORA) obriga as entidades financeiras, incluindo os prestadores de servi\u00e7os de criptoativos autorizados na UE, a classificar e comunicar os incidentes graves de TIC \u00e0s autoridades competentes, atrav\u00e9s de um relat\u00f3rio inicial, um relat\u00f3rio interm\u00e9dio e um relat\u00f3rio final com a an\u00e1lise da causa raiz.<\/p>

Quem supervisiona os criptoativos em Portugal?<\/h3>

A supervis\u00e3o est\u00e1 repartida. A CMVM \u00e9 respons\u00e1vel pela supervis\u00e3o comportamental e de mercado ao abrigo do MiCA, enquanto o Banco de Portugal assume a vertente prudencial. Nos incidentes de TIC ao abrigo da DORA, quando uma entidade tem v\u00e1rios supervisores, a coordena\u00e7\u00e3o cabe ao supervisor prudencial, ou seja, ao Banco de Portugal.<\/p>

Qual foi o maior hack de cripto de sempre?<\/h3>

O ataque \u00e0 Bybit, a 21 de fevereiro de 2025, com um preju\u00edzo de cerca de 1,3 mil milh\u00f5es de euros (1,5 mil milh\u00f5es de d\u00f3lares), atribu\u00eddo ao grupo norte-coreano Lazarus. A origem foi o comprometimento da infraestrutura da Safe{Wallet} e a assinatura cega de uma transa\u00e7\u00e3o manipulada.<\/p>

O que \u00e9 um post-mortem blameless?<\/h3>

\u00c9 uma aut\u00f3psia que procura a causa sist\u00e9mica de uma falha sem culpabilizar pessoas concretas, uma pr\u00e1tica herdada da engenharia de fiabilidade e da avia\u00e7\u00e3o. O objetivo \u00e9 que as equipas relatem tudo sem receio de san\u00e7\u00e3o, para que a organiza\u00e7\u00e3o aprenda. Em cripto, essa cultura colide com a responsabilidade legal e financeira que costuma seguir-se a um ataque.<\/p>