{"id":441,"date":"2026-09-03T04:45:36","date_gmt":"2026-09-03T04:45:36","guid":{"rendered":"https:\/\/hoge.gg\/pt\/do-cockpit-ao-contrato-autopsia-cripto-post-mortem-2026\/"},"modified":"2026-09-03T04:45:36","modified_gmt":"2026-09-03T04:45:36","slug":"do-cockpit-ao-contrato-autopsia-cripto-post-mortem-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/pt\/do-cockpit-ao-contrato-autopsia-cripto-post-mortem-2026\/","title":{"rendered":"Do cockpit ao contrato: a aut\u00f3psia que a cripto copiou pela metade"},"content":{"rendered":"

A 21 de fevereiro de 2025, tr\u00eas signat\u00e1rios da Bybit olharam para os seus ecr\u00e3s e aprovaram o que parecia uma transfer\u00eancia interna de rotina. A transfer\u00eancia que viram n\u00e3o era a transfer\u00eancia que assinaram, e cerca de 1,5 mil milh\u00f5es de d\u00f3lares (\u00e0 volta de 1,3 mil milh\u00f5es de euros, o maior desvio da hist\u00f3ria da cripto segundo o FBI<\/a>) mudaram de dono em minutos. Semanas depois chegaram os relat\u00f3rios. A culpa, diziam, estava no processo, numa infraestrutura comprometida, numa cadeia de fornecimento. Ningu\u00e9m tinha falhado. O processo \u00e9 que tinha falhado.<\/p>

Aquela frase, \u00abo processo falhou\u00bb, \u00e9 a assinatura de um g\u00e9nero. O post-mortem cripto, a aut\u00f3psia p\u00fablica que uma equipa publica depois de um ataque, endureceu numa forma com conven\u00e7\u00f5es fixas: voz passiva, enquadramento sist\u00e9mico, um autor que se dissolve na m\u00e1quina. Essa forma n\u00e3o foi inventada pela cripto. Foi herdada, quase intacta, da avia\u00e7\u00e3o e da engenharia de fiabilidade de sistemas. A tese deste texto \u00e9 simples: a cripto copiou o g\u00e9nero pela metade. Ficou com o vocabul\u00e1rio do relat\u00f3rio sem culpados e deixou de fora as quatro condi\u00e7\u00f5es que o tornavam honesto.<\/p>

A frase que apaga o autor<\/h2>

Leia dez post-mortems seguidos e uma gram\u00e1tica comum salta \u00e0 vista. \u00abO contrato foi explorado.\u00bb \u00abUma transa\u00e7\u00e3o maliciosa foi assinada.\u00bb \u00abO or\u00e1culo foi induzido em erro.\u00bb \u00abFundos foram desviados.\u00bb Em cada frase, o verbo est\u00e1 na passiva e o sujeito desapareceu. N\u00e3o h\u00e1 ningu\u00e9m a explorar, a assinar, a induzir ou a desviar; h\u00e1 apenas coisas que acontecem a sistemas. A voz passiva \u00e9 a ferramenta central do g\u00e9nero, e n\u00e3o \u00e9 neutra. \u00c9 uma decis\u00e3o sobre quem recebe um nome.<\/p>

O que a passiva esconde, quase sempre, \u00e9 uma pessoa a olhar para um ecr\u00e3. Nos casos que percorremos a seguir, algu\u00e9m abriu um ficheiro, algu\u00e9m confiou numa interface, algu\u00e9m carregou em aprovar. A engenharia dir\u00e1, com raz\u00e3o, que castigar essa pessoa n\u00e3o previne o pr\u00f3ximo incidente. Mas h\u00e1 uma diferen\u00e7a entre n\u00e3o a castigar e fingir que ela n\u00e3o existiu. O g\u00e9nero cripto colapsa as duas coisas numa s\u00f3, e o resultado \u00e9 um documento que descreve com precis\u00e3o o mecanismo e emudece sobre a decis\u00e3o.<\/p>

Ao lado da passiva vive o clich\u00ea. \u00abLevamos a seguran\u00e7a muito a s\u00e9rio.\u00bb \u00abEstamos a trabalhar com as autoridades.\u00bb \u00abNenhum fundo de utilizador foi afetado\u00bb, uma frase que muitas vezes \u00e9 tecnicamente verdadeira para o tesouro do protocolo enquanto os utilizadores perdem tudo. S\u00e3o f\u00f3rmulas de conforto, escritas para o momento em que ningu\u00e9m sabe ainda o que aconteceu, e que sobrevivem no texto final muito depois de j\u00e1 se saber. O leitor treinado aprende a ver estas frases como aquilo que s\u00e3o: espa\u00e7o reservado onde devia estar informa\u00e7\u00e3o.<\/p>

Um exerc\u00edcio simples mostra o que est\u00e1 em jogo. Pegue-se numa frase t\u00edpica, \u00abuma transa\u00e7\u00e3o maliciosa foi assinada\u00bb, e ponha-se na ativa: quem a assinou, o que viu no ecr\u00e3, em que confiou para clicar. A vers\u00e3o ativa n\u00e3o acusa ningu\u00e9m de m\u00e1-f\u00e9; apenas devolve o agente \u00e0 hist\u00f3ria. \u00c9 a diferen\u00e7a entre um relat\u00f3rio que diz que choveu e um que diz que algu\u00e9m deixou a janela aberta. A doutrina de origem pedia a primeira frase para proteger as pessoas; o g\u00e9nero cripto usa-a, demasiadas vezes, para proteger a marca.<\/p>

De onde veio a aut\u00f3psia sem culpados<\/h2>

O relat\u00f3rio sem culpados n\u00e3o nasceu no Ethereum. Nasceu em setores onde a falha mata: avia\u00e7\u00e3o, sa\u00fade, energia nuclear. Investigadores dessas tr\u00eas \u00e1reas chegaram, de forma independente, \u00e0 mesma conclus\u00e3o. Quando uma organiza\u00e7\u00e3o castiga indiv\u00edduos por falhas em sistemas complexos, obt\u00e9m menos informa\u00e7\u00e3o, n\u00e3o mais. As pessoas escondem o erro, e o pr\u00f3ximo desastre chega sem aviso porque ningu\u00e9m quis ser o portador da m\u00e1 not\u00edcia.<\/p>

Os exemplos s\u00e3o concretos. Na medicina, as reuni\u00f5es de morbilidade e mortalidade juntam a equipa para dissecar um caso que correu mal sem transformar o m\u00e9dico em arguido. Na avia\u00e7\u00e3o, o gravador de voz da cabine existe para reconstruir a sequ\u00eancia, n\u00e3o para humilhar quem pilotava. Em ambos os casos a regra \u00e9 a mesma: se a \u00fanica forma de descobrir o que aconteceu for prometer que ningu\u00e9m ser\u00e1 linchado, ent\u00e3o promete-se, porque a informa\u00e7\u00e3o vale mais do que a vingan\u00e7a. Foi esta troca, informa\u00e7\u00e3o por imunidade, que o software herdou.<\/p>

O nome mais associado a esta ideia \u00e9 o de Sidney Dekker, professor de seguran\u00e7a com passado na avia\u00e7\u00e3o. Na sua formula\u00e7\u00e3o, resumida no seu Field Guide to Understanding Human Error<\/a>, por baixo de cada hist\u00f3ria simples e \u00f3bvia sobre erro humano existe sempre uma hist\u00f3ria mais profunda e complexa sobre a organiza\u00e7\u00e3o. Dekker chama-lhe a segunda hist\u00f3ria: o r\u00f3tulo \u00aberro humano\u00bb \u00e9 onde a investiga\u00e7\u00e3o pregui\u00e7osa termina e onde a s\u00e9ria come\u00e7a. A cultura que ele defende chama-se justa, n\u00e3o porque ilibe toda a gente, mas porque separa o erro honesto da neglig\u00eancia e do dolo.<\/p>

O software adotou a doutrina h\u00e1 mais de uma d\u00e9cada. Em 2012, John Allspaw, ent\u00e3o diretor de tecnologia da Etsy, publicou um texto fundador chamado Blameless PostMortems and a Just Culture<\/a>, importando Dekker para a engenharia. Pouco depois, a Google canonizou a pr\u00e1tica no seu manual de fiabilidade de sistemas. O cap\u00edtulo sobre cultura de post-mortem<\/a> \u00e9 expl\u00edcito: para ser verdadeiramente sem culpados, um post-mortem tem de se focar em identificar as causas contribuintes do incidente sem incriminar nenhum indiv\u00edduo ou equipa. E remata com a linha que se tornou palavra de ordem: n\u00e3o se conserta pessoas, mas podem consertar-se sistemas e processos para as apoiar a decidir melhor.<\/p>

No seu habitat, a l\u00f3gica \u00e9 impec\u00e1vel. Uma equipa de fiabilidade que gere o seu pr\u00f3prio tempo de atividade, sem ningu\u00e9m a atac\u00e1-la de prop\u00f3sito, ganha honestidade ao renunciar \u00e0 culpa. A doutrina compra verdade. O problema come\u00e7a quando se transplanta a forma para um terreno onde faltam as ra\u00edzes.<\/p>

As condi\u00e7\u00f5es que a avia\u00e7\u00e3o tinha e a cripto n\u00e3o<\/h2>

O relat\u00f3rio sem culpados funciona quando quatro condi\u00e7\u00f5es se verificam ao mesmo tempo. A cripto adotou o relat\u00f3rio sem verificar nenhuma delas por inteiro.<\/p>

A primeira \u00e9 uma organiza\u00e7\u00e3o com fronteira. Na avia\u00e7\u00e3o, a companhia, o fabricante e o regulador s\u00e3o conhecidos e o incidente acontece dentro de um sistema fechado. Num hack cripto, a falha atravessa organiza\u00e7\u00f5es que n\u00e3o se controlam: a Bybit, o fornecedor de carteira Safe, a nuvem onde a Safe corria, o grupo que atacou. Quem escreve o relat\u00f3rio sem culpados quando o desastre pertence a quatro partes, e cada uma tem incentivo para apontar para a seguinte?<\/p>

A segunda \u00e9 a aus\u00eancia de advers\u00e1rio. Um avi\u00e3o n\u00e3o \u00e9 sabotado a meio do voo por algu\u00e9m com fins lucrativos; o sistema falha sozinho, por fadiga do metal, por uma lista de verifica\u00e7\u00e3o mal desenhada. Na cripto, a causa \u00e9 uma pessoa a tentar ativamente roubar. Sem culpados perante quem? O atacante n\u00e3o \u00e9 um processo a corrigir; \u00e9 um inimigo. Aplicar-lhe a compaix\u00e3o sist\u00e9mica da doutrina \u00e9 uma categoria errada.<\/p>

A terceira \u00e9 a natureza da perda. A avia\u00e7\u00e3o perde tempo de atividade e, tragicamente, vidas, mas o dinheiro est\u00e1 segurado e o registo n\u00e3o \u00e9 reescrito. A cripto perde o dinheiro dos utilizadores, de forma irrevers\u00edvel, na cadeia. Quando a perda \u00e9 final e financeira, \u00abvamos melhorar o processo\u00bb \u00e9 um consolo frio para quem ficou sem a poupan\u00e7a.<\/p>

A quarta \u00e9 o investigador independente. A avia\u00e7\u00e3o tem organismos como o NTSB americano, com poder para intimar e para escrever o relat\u00f3rio que a companhia preferia n\u00e3o ver. A cripto, at\u00e9 2025, n\u00e3o tinha ningu\u00e9m: a parte ferida escrevia a sua pr\u00f3pria aut\u00f3psia, juiz e r\u00e9u no mesmo par\u00e1grafo. S\u00f3 agora, com a chegada de reguladores europeus a este espa\u00e7o, aparece um terceiro com poder de exigir a vers\u00e3o que n\u00e3o sai sozinha.<\/p>

Condi\u00e7\u00e3o<\/th>Avia\u00e7\u00e3o e engenharia de sistemas<\/th>Cripto (DeFi e exchanges)<\/th><\/tr><\/thead>
Fronteira da organiza\u00e7\u00e3o<\/td>Uma companhia, um sistema fechado<\/td>V\u00e1rios protocolos, multisigs, fornecedores e pontes; a falha atravessa empresas<\/td><\/tr>
Advers\u00e1rio<\/td>Ausente; o sistema falha sozinho<\/td>Presente e com fins lucrativos (Lazarus, exploradores, MEV)<\/td><\/tr>
O que se perde<\/td>Tempo de atividade e vidas; o dinheiro est\u00e1 segurado<\/td>Dinheiro dos utilizadores, irrevers\u00edvel na cadeia<\/td><\/tr>
Investigador independente<\/td>NTSB, autoridades de sa\u00fade, com poder de intimar<\/td>At\u00e9 2025 ningu\u00e9m; a parte ferida escreve a pr\u00f3pria aut\u00f3psia<\/td><\/tr>
Objetivo do relat\u00f3rio<\/td>Aprender e prevenir<\/td>Aprender, mas tamb\u00e9m gerir responsabilidade e narrativa<\/td><\/tr><\/tbody><\/table><\/figure>

A ironia \u00e9 geom\u00e9trica. A cripto importou a forma sem culpados, sist\u00e9mica e passiva, precisamente para o ambiente onde as suas condi\u00e7\u00f5es est\u00e3o ausentes. Sem fronteira, sem inoc\u00eancia do sistema, com perda final e sem investigador, o mesmo texto que na Google produz aprendizagem produz, no Ethereum, apagamento de responsabilidade com uma nota de rodap\u00e9 a citar o manual de SRE.<\/p>

Bybit: o maior assalto e o relat\u00f3rio mais limpo<\/h2>

Volte-se ao caso de abertura. A 21 de fevereiro de 2025, o grupo norte-coreano Lazarus comprometeu a m\u00e1quina de um programador da Safe<\/a> e adulterou o c\u00f3digo da interface, de modo que os signat\u00e1rios da Bybit viam uma transfer\u00eancia leg\u00edtima enquanto assinavam outra, que entregava o controlo da carteira ao atacante. O preju\u00edzo, cerca de 1,5 mil milh\u00f5es de d\u00f3lares (\u00e0 volta de 1,3 mil milh\u00f5es de euros), \u00e9 o n\u00famero um da tabela de perdas da rekt.news<\/a>, \u00e0 frente da Ronin e da Wormhole.<\/p>

O trabalho forense foi exemplar. A Bybit contratou investigadores externos, as aut\u00f3psias preliminares localizaram a origem na infraestrutura de nuvem da Safe, e uma revis\u00e3o independente concluiu que n\u00e3o havia vulnerabilidade nos contratos inteligentes da Safe nem no c\u00f3digo-fonte dos seus servi\u00e7os. O diretor executivo Ben Zhou, depois de o FBI atribuir formalmente o ataque \u00e0 Coreia do Norte, declarou uma \u00abwar against Lazarus\u00bb, uma guerra contra o Lazarus, e a exchange abriu um programa de recompensas para rastrear os fundos.<\/p>

E, no entanto, leia-se o relat\u00f3rio como g\u00e9nero. Tecnicamente irrepreens\u00edvel, ele desloca o centro de gravidade narrativo para fora: para a infraestrutura da Safe, para a cadeia de fornecimento, para o Lazarus. Tudo verdadeiro. O que fica em voz baixa \u00e9 que o pr\u00f3prio processo de assinatura da Bybit confiava cegamente numa interface que n\u00e3o conseguia verificar de forma independente. Os signat\u00e1rios aprovaram aquilo que n\u00e3o podiam confirmar. O enquadramento sem culpados \u00e9 rigoroso quanto ao mecanismo e discreto quanto \u00e0 decis\u00e3o de desenhar um processo em que humanos assinam o que n\u00e3o conseguem ver.<\/p>

Vale a pena separar a virtude do v\u00edcio. A rapidez com que a Bybit publicou aut\u00f3psias preliminares, contratou forenses externos e mostrou o rasto do dinheiro \u00e9 exatamente o que o setor devia imitar; poucas empresas tradicionais abririam assim as entranhas em dias. O problema n\u00e3o \u00e9 o que o relat\u00f3rio diz, \u00e9 o que a sua gram\u00e1tica deixa de fora. Um leitor sai a saber tudo sobre a infraestrutura da Safe e quase nada sobre por que motivo uma exchange desta dimens\u00e3o desenhou um fluxo de assinatura em que o humano \u00e9 o \u00faltimo a saber o que est\u00e1 a autorizar.<\/p>

Radiant: o PDF, os tr\u00eas programadores e a assinatura cega<\/h2>

Se Bybit foi o maior, a Radiant Capital foi o mais did\u00e1tico. A 16 de outubro de 2024, o protocolo de empr\u00e9stimo cross-chain perdeu cerca de 50 milh\u00f5es de d\u00f3lares (\u00e0 volta de 43 milh\u00f5es de euros). A porta de entrada foi um ficheiro PDF, enviado por um suposto antigo colaborador que, segundo a pr\u00f3pria Radiant<\/a>, era na verdade um agente norte-coreano. O PDF instalava uma porta traseira em macOS enquanto mostrava um documento de apar\u00eancia leg\u00edtima. As m\u00e1quinas de tr\u00eas programadores foram usadas para assinar uma transa\u00e7\u00e3o fraudulenta durante um ajuste de rotina, e a interface da carteira mostrava dados corretos enquanto o malicioso corria por baixo. A investiga\u00e7\u00e3o da Mandiant ligou o ataque a um grupo alinhado com a Coreia do Norte.<\/p>

A atualiza\u00e7\u00e3o de incidente da Radiant \u00e9 invulgarmente franca e, ainda assim, estruturalmente sem culpados. O r\u00e9u nomeado \u00e9 a assinatura cega, o h\u00e1bito de aprovar transa\u00e7\u00f5es que a interface n\u00e3o permite verificar linha a linha. Os humanos que abriram o PDF e passaram pelas verifica\u00e7\u00f5es s\u00e3o, corretamente segundo a doutrina de SRE, poupados. Mas isto era um protocolo de cr\u00e9dito cujos utilizadores perderam dinheiro que n\u00e3o p\u00f4de ser devolvido. A 1 de junho de 2026, sem conseguir recuperar do golpe, a Radiant anunciou o encerramento<\/a>. Para esses utilizadores, \u00abo processo falhou\u00bb e \u00abn\u00e3o culp\u00e1mos os engenheiros\u00bb s\u00e3o a mesma frase, e essa colagem \u00e9 o problema que a fronteira dif\u00edcil do empr\u00e9stimo on-chain<\/a> torna imposs\u00edvel de esconder: quando o colateral \u00e9 dos utilizadores, a aut\u00f3psia \u00e9 sempre tamb\u00e9m um balan\u00e7o de quem pagou a conta.<\/p>

Euler: quando a aut\u00f3psia vira negocia\u00e7\u00e3o p\u00fablica<\/h2>

H\u00e1 uma variante do g\u00e9nero que s\u00f3 a cripto podia ter inventado: a aut\u00f3psia que \u00e9, ao mesmo tempo, uma negocia\u00e7\u00e3o de resgate, escrita \u00e0 vista de todos no registo p\u00fablico. A 13 de mar\u00e7o de 2023, a Euler Finance, um protocolo de cr\u00e9dito, sofreu um ataque de flash loan de cerca de 197 milh\u00f5es de d\u00f3lares (\u00e0 volta de 170 milh\u00f5es de euros), o maior daquele ano. Nos dias seguintes, a equipa e o atacante falaram por mensagens na cadeia<\/a>. O atacante, que se identificou como Jacob, come\u00e7ou indiferente e acabou arrependido, devolvendo lotes de fundos com uma mensagem que dizia, em ingl\u00eas, \u00abI messed with others’ money, others’ jobs, others’ lives. I’m sorry\u00bb. Mexi no dinheiro dos outros, nos empregos dos outros, nas vidas dos outros; pe\u00e7o desculpa. Quase todos os fundos recuper\u00e1veis regressaram.<\/p>

Como artefacto cultural, isto \u00e9 fascinante. A confiss\u00e3o, o pedido de desculpa e o reembolso partilham o mesmo canal, e qualquer pessoa pode ler o fio. \u00c9 a vers\u00e3o mais saud\u00e1vel do g\u00e9nero, porque a perda foi revertida, e a mais confusa, porque a responsabiliza\u00e7\u00e3o se tornou um espet\u00e1culo. Num protocolo de cr\u00e9dito, onde a disputa \u00e9 sempre sobre quem fica com o juro<\/a>, a aut\u00f3psia passou a incluir uma cena rara: o ladr\u00e3o e a v\u00edtima a acertar contas em direto. O post-mortem deixou de ser um documento e passou a ser uma performance, com as virtudes e os v\u00edcios de tudo o que \u00e9 encenado para uma plateia.<\/p>

O mecanismo, despido de jarg\u00e3o, foi uma falha de verifica\u00e7\u00e3o que permitiu ao atacante empurrar a sua pr\u00f3pria posi\u00e7\u00e3o para o vermelho e depois liquid\u00e1-la em proveito pr\u00f3prio, com dinheiro emprestado e devolvido no mesmo bloco. Mas o que ficou na mem\u00f3ria do setor n\u00e3o foi a matem\u00e1tica; foi o precedente do canal. A partir de Euler, a negocia\u00e7\u00e3o na cadeia tornou-se um passo esperado do gui\u00e3o: oferecer ao atacante uma percentagem como recompensa de chap\u00e9u branco, apelar \u00e0 consci\u00eancia, amea\u00e7ar com a an\u00e1lise forense. A aut\u00f3psia deixou de terminar no diagn\u00f3stico e passou a incluir a barganha.<\/p>

Cetus: o post-mortem que foi, afinal, um fork<\/h2>

A 22 de maio de 2025, a Cetus, a maior exchange descentralizada da rede Sui, foi drenada em cerca de 220 milh\u00f5es de d\u00f3lares (\u00e0 volta de 190 milh\u00f5es de euros) atrav\u00e9s de um erro na matem\u00e1tica de liquidez, explorado com tokens falsos que enganaram o c\u00e1lculo de pre\u00e7os. O que aconteceu a seguir tornou a aut\u00f3psia insepar\u00e1vel de uma decis\u00e3o de governa\u00e7\u00e3o. Os validadores da Sui congelaram cerca de 162 milh\u00f5es de d\u00f3lares<\/a> antes de sa\u00edrem da rede, enviaram uma mensagem de negocia\u00e7\u00e3o na cadeia e, numa vota\u00e7\u00e3o com mais de 90 por cento do stake, decidiram efetivamente recusar as transa\u00e7\u00f5es do atacante e devolver os fundos aos donos.<\/p>

Aqui, o post-mortem foi um voto sobre a imutabilidade. A frase \u00abos fundos foram restaurados\u00bb esconde a decis\u00e3o real: os validadores escolheram restaur\u00e1-los. Quem tem o poder de congelar dinheiro numa cadeia, e a pedido de quem, \u00e9 uma pergunta cultural que nenhum verbo passivo consegue responder. A recupera\u00e7\u00e3o salvou os utilizadores e, ao mesmo tempo, mostrou que a promessa de que ningu\u00e9m pode reescrever o registo tem um asterisco do tamanho de uma maioria de validadores. O relat\u00f3rio que descreve isto como um passo t\u00e9cnico neutro est\u00e1 a esconder a escolha mais importante da hist\u00f3ria inteira.<\/p>

N\u00e3o \u00e9 a primeira vez que o setor enfrenta esta escolha. Em 2016, o roubo ao fundo The DAO dividiu o Ethereum entre os que quiseram reverter o registo e os que consideraram a revers\u00e3o uma trai\u00e7\u00e3o ao princ\u00edpio de que o c\u00f3digo \u00e9 lei; dessa fratura nasceram duas cadeias. Cetus mostrou que, quase uma d\u00e9cada depois, a pergunta continua sem resposta consensual, apenas mais r\u00e1pida de executar: uma vota\u00e7\u00e3o de validadores em dias, n\u00e3o um cisma de meses. A diferen\u00e7a \u00e9 que hoje quase ningu\u00e9m finge que a imutabilidade \u00e9 absoluta, e o post-mortem que n\u00e3o admite isto est\u00e1 a mentir por omiss\u00e3o.<\/p>

Term: o relat\u00f3rio que nunca chegou<\/h2>

O post-mortem mais comum da cripto \u00e9 aquele que nunca \u00e9 escrito. A 23 de agosto de 2026, o protocolo de cr\u00e9dito Term Finance perdeu cerca de 8,5 milh\u00f5es de d\u00f3lares<\/a> (\u00e0 volta de 7 milh\u00f5es de euros) num ataque de governa\u00e7\u00e3o que drenou perto de 68 por cento dos seus cofres, de um total bloqueado de cerca de 25,8 milh\u00f5es de d\u00f3lares. \u00c0 data do relato, n\u00e3o havia aut\u00f3psia t\u00e9cnica, nem divulga\u00e7\u00e3o de que fun\u00e7\u00e3o de governa\u00e7\u00e3o foi chamada, nem lista de contratos afetados, nem processo de reembolso anunciado. Um ano antes, em abril de 2025, um or\u00e1culo mal configurado j\u00e1 lhe custara mais de um milh\u00e3o.<\/p>

O sil\u00eancio \u00e9 tamb\u00e9m uma conven\u00e7\u00e3o do g\u00e9nero. O reconhecimento inicial, aquele tweet a dizer que se est\u00e1 a investigar, \u00e9 muitas vezes a \u00faltima palavra. A aus\u00eancia protege a responsabilidade legal melhor do que qualquer frase passiva, porque n\u00e3o se pode processar ningu\u00e9m por uma linha que n\u00e3o foi publicada. Ler o que n\u00e3o foi dito \u00e9, por isso, metade do trabalho, e \u00e9 o mesmo exerc\u00edcio de ler a entrevista que nunca houve<\/a>: o vazio no lugar do relat\u00f3rio \u00e9, ele pr\u00f3prio, uma declara\u00e7\u00e3o. Term junta-se a uma longa fila de protocolos onde a mem\u00f3ria institucional do setor simplesmente n\u00e3o foi escrita, e o pr\u00f3ximo a cometer o mesmo erro n\u00e3o ter\u00e1 onde o ler.<\/p>

A cronologia mentirosa: quando o primeiro rascunho vence<\/h2>

H\u00e1 uma raz\u00e3o estrutural para os post-mortems cripto envelhecerem mal. O primeiro rascunho, publicado a quente nas horas seguintes ao ataque, \u00e9 escrito quando quem escreve ainda n\u00e3o sabe o que aconteceu. E, no entanto, \u00e9 esse rascunho que fixa a narrativa. A imprensa cita-o, a comunidade partilha-o, e a vers\u00e3o corrigida que chega semanas depois j\u00e1 n\u00e3o apaga a primeira impress\u00e3o. O erro do rascunho inicial ancora tudo o que vem a seguir.<\/p>

Isto cria um incentivo perverso. A equipa que publica cedo parece transparente e ganha o benef\u00edcio da d\u00favida, mesmo que o texto esteja errado; a equipa que espera para ter a certeza parece estar a esconder algo. O g\u00e9nero recompensa a velocidade sobre a exatid\u00e3o, exatamente o contr\u00e1rio do que uma aut\u00f3psia devia fazer. A obriga\u00e7\u00e3o regulat\u00f3ria de reportar em horas, que veremos a seguir, resolve isto s\u00f3 em parte: acelera o primeiro rascunho, mas n\u00e3o garante que o \u00faltimo seja escrito, nem lido. A mem\u00f3ria coletiva da cripto est\u00e1 cheia de primeiras vers\u00f5es que ningu\u00e9m voltou a corrigir.<\/p>

A voz passiva encontra o regulador<\/h2>

2026 muda a matem\u00e1tica do sil\u00eancio. Ao abrigo do regulamento MiCA, as prestadoras de servi\u00e7os de criptoativos passaram a ser entidades financeiras para efeitos do DORA, o regulamento europeu de resili\u00eancia operacional digital em vigor desde janeiro de 2025. Isso significa que um incidente inform\u00e1tico classificado como grave tem de ser comunicado \u00e0 autoridade competente, que em Portugal \u00e9 a CMVM, num calend\u00e1rio r\u00edgido. Segundo a leitura das obriga\u00e7\u00f5es do DORA<\/a>, h\u00e1 uma notifica\u00e7\u00e3o inicial dentro de quatro horas ap\u00f3s a classifica\u00e7\u00e3o como grave (e nunca depois de 24 horas da dete\u00e7\u00e3o), um relat\u00f3rio interm\u00e9dio em 72 horas e um relat\u00f3rio final at\u00e9 um m\u00eas, com causa-raiz e plano de remedia\u00e7\u00e3o.<\/p>

\u00c9 uma colis\u00e3o de g\u00e9neros. O post-mortem volunt\u00e1rio, confessional e sem culpados encontra um relat\u00f3rio obrigat\u00f3rio, atribu\u00edvel e com prazo. O regulador quer exatamente a frase que a voz passiva foi constru\u00edda para evitar: quem, que fun\u00e7\u00e3o, que corre\u00e7\u00e3o, at\u00e9 quando. Isto revela algo que a doutrina raramente admite. A passiva n\u00e3o \u00e9 s\u00f3 estilo; tem sido, em parte, gest\u00e3o de responsabilidade legal. Indiv\u00edduos com nome s\u00e3o potenciais r\u00e9us com nome, e por isso o texto p\u00fablico dissolve-os. O DORA n\u00e3o aceita \u00abo processo falhou\u00bb como causa-raiz, e essa recusa vai for\u00e7ar, dentro das empresas, a exist\u00eancia da vers\u00e3o nomeada que o texto p\u00fablico sempre elidiu, mesmo que essa vers\u00e3o nunca chegue ao leitor comum.<\/p>

Para o utilizador portugu\u00eas e europeu, a mudan\u00e7a \u00e9 mais subtil do que um relat\u00f3rio p\u00fablico melhor. Os reportes ao supervisor s\u00e3o privados, e a CMVM n\u00e3o vai publicar a aut\u00f3psia de cada incidente. O que muda \u00e9 que passa a existir, algures, uma vers\u00e3o com nomes, fun\u00e7\u00f5es e prazos, sujeita a inspe\u00e7\u00e3o, que a empresa n\u00e3o pode fingir que nunca escreveu. \u00c9 uma rede de seguran\u00e7a institucional, n\u00e3o um exerc\u00edcio de transpar\u00eancia para o p\u00fablico. A dist\u00e2ncia entre o que o supervisor sabe e o que o utilizador l\u00ea continua a ser, muitas vezes, a dist\u00e2ncia entre a verdade e o comunicado.<\/p>

Quem aparece quando arde: a outra cultura<\/h2>

Seria injusto reduzir o setor \u00e0 sua m\u00e1 aut\u00f3psia, porque a cripto tamb\u00e9m produziu a melhor vers\u00e3o da cultura justa, s\u00f3 que na resposta, n\u00e3o no relat\u00f3rio. A Security Alliance, ou SEAL, fundada pelo investigador samczsun<\/a>, respons\u00e1vel de seguran\u00e7a na Paradigm, nasceu da sala de guerra do hack da ponte Nomad, em agosto de 2022, quando cerca de 190 milh\u00f5es de d\u00f3lares (\u00e0 volta de 165 milh\u00f5es de euros) foram drenados numa esp\u00e9cie de saque coletivo. A pergunta que ficou daquela noite, no relato da pr\u00f3pria SEAL, foi por que raz\u00e3o pessoas an\u00f3nimas se sentiam \u00e0 vontade para roubar da ponte enquanto os hackers de chap\u00e9u branco sentiam ser demasiado arriscado intervir.<\/p>

A resposta foi construir institui\u00e7\u00f5es. A SEAL 911 \u00e9 uma linha aberta 24 horas por dia onde qualquer pessoa afetada por um ataque pode pedir ajuda em tempo real; a alian\u00e7a corre simula\u00e7\u00f5es de incidente e publicou um acordo de porto seguro para proteger de a\u00e7\u00e3o judicial quem interv\u00e9m de boa-f\u00e9. \u00c9 a cultura justa a funcionar como foi desenhada: ajuda m\u00fatua, salas de guerra partilhadas, a norma de que aparecer para acudir \u00e9 seguro. A cr\u00edtica deste texto nunca foi \u00e0 aus\u00eancia de culpa; foi ao uso da linguagem sem culpados como escudo em vez de bisturi. Onde a doutrina serve a resposta, salva dinheiro e pessoas; onde serve o comunicado, protege a institui\u00e7\u00e3o.<\/p>

Ler um post-mortem com ceticismo<\/h2>

O leitor n\u00e3o precisa de ser auditor para separar uma aut\u00f3psia genu\u00edna de um exerc\u00edcio de rela\u00e7\u00f5es p\u00fablicas. Precisa de uma grelha e de paci\u00eancia para a aplicar. A tabela seguinte resume os sinais que devem levantar suspeita e os que merecem mais confian\u00e7a.<\/p>

Sinal de fumo (desconfie)<\/th>Sinal de rigor (confie mais)<\/th><\/tr><\/thead>
\u00abLevamos a seguran\u00e7a muito a s\u00e9rio\u00bb, sem detalhe<\/td>Causa-raiz nomeada, com a fun\u00e7\u00e3o e a linha de c\u00f3digo<\/td><\/tr>
\u00abNenhum fundo de utilizador foi afetado\u00bb como manchete<\/td>Cronologia reproduz\u00edvel, com carimbos temporais<\/td><\/tr>
Voz passiva pura (\u00abo processo falhou\u00bb)<\/td>Sujeito nomeado da decis\u00e3o (quem assinou, quem configurou)<\/td><\/tr>
Sem plano de remedia\u00e7\u00e3o<\/td>A\u00e7\u00f5es corretivas com respons\u00e1vel e prazo<\/td><\/tr>
Sil\u00eancio ap\u00f3s o an\u00fancio inicial<\/td>Relat\u00f3rio final publicado, mesmo que tarde<\/td><\/tr>
Culpa atirada s\u00f3 para fora (o fornecedor)<\/td>Reconhecimento da pr\u00f3pria parte na cadeia<\/td><\/tr><\/tbody><\/table><\/figure>

A grelha importa porque os n\u00fameros importam. Em 2025, foram roubados cerca de 3,4 mil milh\u00f5es de d\u00f3lares (\u00e0 volta de 3 mil milh\u00f5es de euros) em todo o mundo, e a Coreia do Norte foi respons\u00e1vel por cerca de 2,02 mil milh\u00f5es, segundo a Chainalysis<\/a>. O ritmo de 2026 n\u00e3o abrandou, com protocolos de restaking entre as maiores v\u00edtimas do ano na tabela da rekt.news, um lembrete de que a subida que engana no restaking<\/a> tamb\u00e9m \u00e9 uma superf\u00edcie de ataque em expans\u00e3o. Neste volume, o post-mortem n\u00e3o \u00e9 uma curiosidade de nicho; \u00e9 o principal canal de mem\u00f3ria institucional que o setor tem. Ler mal esse canal \u00e9 condenar-se a repetir o que ele descreve.<\/p>

O custo humano da aut\u00f3psia<\/h2>

H\u00e1 uma \u00faltima ironia na voz passiva. As pessoas que ela apaga s\u00e3o tamb\u00e9m as que sofrem ao escrev\u00ea-la. Fundadores redigem a certid\u00e3o de \u00f3bito da pr\u00f3pria empresa; equipas pequenas passam 72 horas sem dormir a reconstruir uma cronologia; o programador que abriu o PDF carrega esse peso muito depois de o relat\u00f3rio sair. A doutrina sem culpados foi criada precisamente para proteger estas pessoas do bode expiat\u00f3rio, e no seu melhor consegue-o. Proteger o engenheiro do linchamento \u00e9 justo, e a ind\u00fastria faria bem em lembrar-se disso quando o pr\u00f3ximo erro chegar.<\/p>

A cr\u00edtica deste texto \u00e9 estreita e cir\u00fargica. Proteger o indiv\u00edduo da culpa \u00e9 uma coisa; proteger a institui\u00e7\u00e3o da responsabiliza\u00e7\u00e3o, pedindo emprestada a mesma linguagem, \u00e9 outra. O g\u00e9nero cripto confunde as duas de prop\u00f3sito, e essa confus\u00e3o tem um pre\u00e7o que j\u00e1 conhecemos de outro lado. O custo humano do culto do builder<\/a> mede-se em esgotamento e em vidas partidas; o custo humano da aut\u00f3psia mede-se na diferen\u00e7a entre um documento que ajuda a pr\u00f3xima equipa a n\u00e3o morrer e um documento escrito para o advogado ler. Quando o segundo vence o primeiro, quem paga s\u00e3o as pessoas, dos dois lados do teclado.<\/p>

O que uma boa aut\u00f3psia faz diferente<\/h2>

Uma boa aut\u00f3psia cripto serve duas plateias ao mesmo tempo e n\u00e3o as confunde. A primeira s\u00e3o os engenheiros, que precisam do relato sist\u00e9mico e sem culpados para aprender a mec\u00e2nica da falha. A segunda s\u00e3o os utilizadores e os reguladores, que precisam do relato atribu\u00edvel para confiar e para cumprir a lei. O truque n\u00e3o \u00e9 escolher entre os dois; \u00e9 ser sem culpados quanto ao indiv\u00edduo e respons\u00e1vel quanto \u00e0 institui\u00e7\u00e3o, na mesma p\u00e1gina.<\/p>

Na pr\u00e1tica, isso tem uma forma reconhec\u00edvel. Nomeia a fun\u00e7\u00e3o e a corre\u00e7\u00e3o, n\u00e3o s\u00f3 o fornecedor. Divulga a cronologia com carimbos temporais, para que outros possam reconstru\u00ed-la. Atribui cada a\u00e7\u00e3o de remedia\u00e7\u00e3o a um respons\u00e1vel e a um prazo. Reconhece a pr\u00f3pria parte na cadeia antes de apontar para fora. Trata o atacante como advers\u00e1rio, n\u00e3o como um fator contribuinte neutro. E, sobretudo, existe: o relat\u00f3rio final \u00e9 escrito, mesmo quando \u00e9 embara\u00e7oso, mesmo um m\u00eas depois, porque num campo em que os mesmos erros regressam ano ap\u00f3s ano, o relat\u00f3rio \u00e9 o \u00fanico ativo que comp\u00f5e juros a favor da seguran\u00e7a.<\/p>

Alguns exemplos aproximam-se do padr\u00e3o. As melhores aut\u00f3psias apontam o commit exato, a linha alterada, o pedido de integra\u00e7\u00e3o que introduziu o defeito, e publicam a corre\u00e7\u00e3o antes de qualquer elogio a si pr\u00f3prias. Descrevem a resposta hora a hora, incluindo os becos sem sa\u00edda e as decis\u00f5es erradas tomadas sob press\u00e3o. E, quando a recupera\u00e7\u00e3o envolveu uma escolha de governa\u00e7\u00e3o, dizem-no em voz ativa: n\u00f3s, os validadores, decidimos congelar. N\u00e3o \u00e9 hero\u00edsmo; \u00e9 contabilidade honesta. O leitor sai a saber n\u00e3o s\u00f3 o que partiu, mas quem consertou, como, e o que fica por consertar.<\/p>

A cripto tinha uma boa ideia \u00e0 m\u00e3o e importou-lhe a metade errada. Ficou com a compaix\u00e3o pelo sistema e deixou para tr\u00e1s as condi\u00e7\u00f5es que tornavam essa compaix\u00e3o honesta: a fronteira, a inoc\u00eancia do sistema, a perda recuper\u00e1vel, o investigador independente. O caminho para a frente n\u00e3o \u00e9 abandonar a cultura sem culpados; \u00e9 devolver-lhe o que a viagem da cabine para o contrato deixou pelo caminho. Escrever a segunda hist\u00f3ria de Dekker por inteiro, e n\u00e3o parar na primeira frase confort\u00e1vel em que ningu\u00e9m, afinal, carregou no bot\u00e3o.<\/p>

Perguntas frequentes<\/h2>

O que \u00e9 um post-mortem em cripto?<\/h3>

\u00c9 a aut\u00f3psia p\u00fablica que uma equipa publica depois de um ataque ou falha grave, descrevendo o que aconteceu, como e o que se vai mudar. Herdou a forma dos relat\u00f3rios sem culpados da avia\u00e7\u00e3o e da engenharia de fiabilidade de sistemas, mas na cripto acumula uma segunda fun\u00e7\u00e3o: gerir a responsabilidade e a narrativa perante utilizadores que perderam dinheiro irrevers\u00edvel.<\/p>

Qual foi o maior hack cripto de sempre?<\/h3>

O assalto \u00e0 Bybit, a 21 de fevereiro de 2025, com cerca de 1,5 mil milh\u00f5es de d\u00f3lares (\u00e0 volta de 1,3 mil milh\u00f5es de euros) desviados. O FBI atribuiu-o ao grupo norte-coreano Lazarus, que adulterou a interface de uma carteira multisig para que os signat\u00e1rios aprovassem uma transa\u00e7\u00e3o maliciosa a pensar que era interna.<\/p>

A DORA obriga as exchanges a publicar post-mortems?<\/h3>

N\u00e3o a public\u00e1-los ao p\u00fablico, mas a comunic\u00e1-los ao regulador. Sob o DORA, uma prestadora de servi\u00e7os de criptoativos tem de reportar um incidente grave \u00e0 autoridade competente (em Portugal, a CMVM), com notifica\u00e7\u00e3o inicial em poucas horas, relat\u00f3rio interm\u00e9dio em 72 horas e relat\u00f3rio final at\u00e9 um m\u00eas, incluindo causa-raiz e remedia\u00e7\u00e3o. \u00c9 um relato atribu\u00edvel, n\u00e3o a vers\u00e3o passiva do comunicado p\u00fablico.<\/p>

O que significa um post-mortem sem culpados?<\/h3>

Vem da doutrina blameless da engenharia: focar as causas sist\u00e9micas sem incriminar indiv\u00edduos, porque castigar pessoas leva-as a esconder informa\u00e7\u00e3o. Funciona bem numa organiza\u00e7\u00e3o fechada sem advers\u00e1rio. Na cripto, onde h\u00e1 um atacante ativo e a perda \u00e9 dos utilizadores, o mesmo enquadramento arrisca-se a apagar a responsabilidade em vez de gerar aprendizagem.<\/p>

Como saber se um post-mortem \u00e9 bom?<\/h3>

Procure uma causa-raiz nomeada com a fun\u00e7\u00e3o concreta, uma cronologia reproduz\u00edvel com carimbos temporais, a\u00e7\u00f5es de remedia\u00e7\u00e3o com respons\u00e1vel e prazo, o reconhecimento da pr\u00f3pria parte na cadeia e um relat\u00f3rio final publicado, mesmo que tarde. Desconfie da voz passiva pura, do clich\u00ea de que nenhum fundo foi afetado, da culpa atirada s\u00f3 para o fornecedor e do sil\u00eancio depois do primeiro an\u00fancio.<\/p>