{"id":545,"date":"2026-09-17T04:40:42","date_gmt":"2026-09-17T04:40:42","guid":{"rendered":"https:\/\/hoge.gg\/pt\/builder-que-nao-existe-impostor-infiltracao-cripto-2026\/"},"modified":"2026-09-17T04:40:42","modified_gmt":"2026-09-17T04:40:42","slug":"builder-que-nao-existe-impostor-infiltracao-cripto-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/pt\/builder-que-nao-existe-impostor-infiltracao-cripto-2026\/","title":{"rendered":"O builder que n\u00e3o existe: o impostor que a cripto contratou"},"content":{"rendered":"<p class=\"wp-block-paragraph\">Em agosto de 2026, no palco da DEF CON 34, em Las Vegas, tr\u00eas investigadores de seguran\u00e7a contaram como tinham montado uma startup de DeFi que nunca deveria ter existido. Mauro Eldritch, Heiner Garc\u00eda e a equipa da ANY.RUN inventaram uma empresa, publicaram vagas para programadores e esperaram. Poucas semanas depois tinham tr\u00eas \u00abbuilders\u00bb na folha de pagamentos, todos suspeitos de trabalharem para a Coreia do Norte, todos recrutados atrav\u00e9s de uma cadeia de recomenda\u00e7\u00f5es que come\u00e7ava numa conta de GitHub e acabava num \u00abamigo\u00bb que garantia por eles. A empresa era falsa. Os construtores tamb\u00e9m. O mais inc\u00f3modo \u00e9 que <a href='https:\/\/thehackernews.com\/2026\/08\/researchers-built-fake-crypto-startup.html'>a experi\u00eancia n\u00e3o foi dif\u00edcil de montar<\/a>.<\/p><p class=\"wp-block-paragraph\">E n\u00e3o foi um caso isolado. No mesmo ano, um projeto financiado pela pr\u00f3pria Ethereum Foundation, atrav\u00e9s do programa ETH Rangers, identificou cerca de 100 operacionais norte-coreanos infiltrados em 53 projetos de cripto, escondidos atr\u00e1s de nomes fabricados como \u00abHiroto Iwaki\u00bb e \u00abMotoki Masuo\u00bb, de fotografias geradas por IA e de documentos de identidade japoneses forjados; o esfor\u00e7o recuperou ou congelou <a href='https:\/\/www.cryptotimes.io\/2026\/04\/17\/ethereum-foundations-project-flags-100-north-korean-infiltrators\/'>mais de 5,8 milh\u00f5es de d\u00f3lares<\/a> (cerca de 5 milh\u00f5es de euros). A institui\u00e7\u00e3o que existe para financiar quem constr\u00f3i o Ethereum descobriu que, em dezenas de casos, quem estava a construir n\u00e3o era quem dizia ser.<\/p><p class=\"wp-block-paragraph\">Esta sec\u00e7\u00e3o j\u00e1 dedicou muitas p\u00e1ginas ao retrato do builder: quem constr\u00f3i a cripto, quem paga a fatura, quem se esconde por op\u00e7\u00e3o e o que a intelig\u00eancia artificial est\u00e1 a fazer ao of\u00edcio. Falta a pergunta mais desconfort\u00e1vel de todas. E se o builder que o retrato celebra n\u00e3o existe, n\u00e3o \u00e9 uma pessoa s\u00f3, ou existe precisamente para roubar? Em 2026, isto deixou de ser uma quest\u00e3o filos\u00f3fica e passou a ser a maior fonte de perdas da ind\u00fastria.<\/p><h2 class='wp-block-heading'>O ponto cego do retrato do builder<\/h2><p class=\"wp-block-paragraph\">O g\u00e9nero do retrato do builder tem uma gram\u00e1tica previs\u00edvel. Mede talento, atrav\u00e9s dos commits no GitHub e dos contratos em produ\u00e7\u00e3o. Mede vis\u00e3o, atrav\u00e9s da tese e do \u00abporqu\u00ea\u00bb. Mede tra\u00e7\u00e3o, atrav\u00e9s do total value locked, dos utilizadores e da mindshare no X. O que quase nunca mede \u00e9 a identidade. O retrato assume, sem verificar, tr\u00eas coisas ao mesmo tempo: que a pessoa retratada existe, que \u00e9 uma pessoa s\u00f3, e que \u00e9 quem afirma ser.<\/p><p class=\"wp-block-paragraph\">S\u00e3o tr\u00eas pressupostos, e em 2026 os tr\u00eas ru\u00edram em simult\u00e2neo. No fundo, um retrato \u00e9 uma encena\u00e7\u00e3o de confian\u00e7a, o mesmo mecanismo que dissec\u00e1mos a prop\u00f3sito do <a href='https:\/\/hoge.gg\/pt\/figurino-genio-fundador-cripto-encena-confianca-2026\/'>figurino do g\u00e9nio<\/a>: a foto, a linguagem, o hist\u00f3rico e os apoiantes servem para nos convencer antes de qualquer verifica\u00e7\u00e3o. O problema \u00e9 que todos esses sinais s\u00e3o fabric\u00e1veis, e quem os fabrica melhor n\u00e3o \u00e9 o construtor honesto, \u00e9 o impostor.<\/p><p class=\"wp-block-paragraph\">Conv\u00e9m separar isto de duas figuras vizinhas. N\u00e3o estamos a falar do builder an\u00f3nimo, aquele que esconde por op\u00e7\u00e3o um rosto real por tr\u00e1s de um pseud\u00f3nimo, herdeiro da tradi\u00e7\u00e3o cypherpunk e cuja obra \u00e9 genu\u00edna. Nem estamos a falar do fundador sint\u00e9tico, o deepfake que encena um rosto de marketing sobre um projeto que, esse, existe. O impostor de que aqui tratamos \u00e9 uma categoria adversarial: a pessoa retratada pode ser fabricada (n\u00e3o h\u00e1 rosto real por tr\u00e1s nenhum), pode ser plural (um coletivo a usar um s\u00f3 nome, ou uma s\u00f3 pessoa a usar muitos), ou pode ser hostil (contratada precisamente para obter acesso e depois desaparecer com o cofre).<\/p><h2 class='wp-block-heading'>Tr\u00eas perguntas que o retrato nunca faz<\/h2><p class=\"wp-block-paragraph\">Se reduzirmos o problema ao essencial, o retrato do builder falha em tr\u00eas verifica\u00e7\u00f5es b\u00e1sicas, e cada uma delas corresponde a um tipo distinto de fraude que a ind\u00fastria viu explodir nos \u00faltimos dois anos:<\/p><ul class='wp-block-list'><li><strong>Existe?<\/strong> A pessoa por tr\u00e1s da conta \u00e9 real, ou \u00e9 uma identidade sint\u00e9tica montada com fotos geradas por IA e documentos forjados? \u00c9 o builder que n\u00e3o existe.<\/li><li><strong>\u00c9 um s\u00f3?<\/strong> Aquele \u00abecossistema vibrante\u00bb de programadores \u00e9 mesmo composto por muitas m\u00e3os independentes, ou \u00e9 uma pessoa a usar muitas m\u00e1scaras? \u00c9 o builder que s\u00e3o muitos, o problema das contas-fantoche e dos ataques Sybil.<\/li><li><strong>\u00c9 quem diz ser?<\/strong> O colaborador qualificado que foi contratado quer mesmo construir, ou aceitou o cargo para chegar \u00e0s chaves? \u00c9 o builder hostil, o infiltrado que transforma a contrata\u00e7\u00e3o em vetor de ataque.<\/li><\/ul><p class=\"wp-block-paragraph\">O resto deste artigo segue estas tr\u00eas perguntas. Todas t\u00eam hoje respostas documentadas, com nomes, datas e cifras, e todas convergem no mesmo s\u00edtio inc\u00f3modo: o advers\u00e1rio mais eficaz de 2026 n\u00e3o arromba a porta, entra por ela, muitas vezes com contrato assinado.<\/p><h2 class='wp-block-heading'>A Coreia do Norte entrou pela folha de pagamentos<\/h2><p class=\"wp-block-paragraph\">Os n\u00fameros emolduram tudo o resto. Segundo a Chainalysis, foram roubados <a href='https:\/\/www.chainalysis.com\/blog\/crypto-hacking-stolen-funds-2026\/'>mais de 3,4 mil milh\u00f5es de d\u00f3lares<\/a> em cripto entre janeiro e o in\u00edcio de dezembro de 2025 (cerca de 2,95 mil milh\u00f5es de euros), e atores ligados \u00e0 Coreia do Norte responderam por 2,02 mil milh\u00f5es de d\u00f3lares desse total (perto de 1,75 mil milh\u00f5es de euros), uma subida de 51% face ao ano anterior e cerca de 60% de tudo o que foi roubado. A estimativa acumulada para o regime ronda os 6,75 mil milh\u00f5es de d\u00f3lares desde 2017. S\u00f3 o ataque \u00e0 Bybit, em fevereiro de 2025, valeu 1,5 mil milh\u00f5es de d\u00f3lares (cerca de 1,3 mil milh\u00f5es de euros), o maior assalto de sempre.<\/p><p class=\"wp-block-paragraph\">O detalhe que muda o enquadramento cultural \u00e9 este: uma fatia crescente destas perdas n\u00e3o vem de bugs em Solidity, vem de pessoas. A pr\u00f3pria Chainalysis descreve como o regime obt\u00e9m resultados desproporcionados ao colocar trabalhadores de TI dentro dos pr\u00f3prios servi\u00e7os de cripto para ganhar acesso privilegiado, e trata os infiltrados como um dos seus principais vetores de ataque. Por outras palavras, o infiltrado \u00e9 contratado, recebe sal\u00e1rio e, no primeiro dia, ganha exatamente aquilo que um atacante externo passaria meses a tentar roubar: as permiss\u00f5es de escrita no reposit\u00f3rio, um lugar na multisig, uma chave.<\/p><p class=\"wp-block-paragraph\">O alvo final \u00e9 sempre o acesso, e o acesso mora na cust\u00f3dia, o mesmo terreno que seguimos quando <a href='https:\/\/hoge.gg\/pt\/whale-alerts-custodia-depositarios-etf-baleia-2026\/'>a maior baleia de 2026 afinal era um deposit\u00e1rio<\/a>. Investigadores independentes estimam que existam centenas de postos de trabalho em cripto ocupados por operacionais ligados \u00e0 Coreia do Norte, pagos em stablecoins que depois financiam o programa de armamento do regime. O retrato do builder, ao celebrar o m\u00e9rito vis\u00edvel e ignorar a identidade, transformou-se sem querer no melhor manual de recrutamento do advers\u00e1rio.<\/p><h2 class='wp-block-heading'>A mec\u00e2nica: f\u00e1bricas de port\u00e1teis, VPNs e entrevistas assistidas<\/h2><p class=\"wp-block-paragraph\">A infraestrutura por tr\u00e1s desta infiltra\u00e7\u00e3o \u00e9 industrial, n\u00e3o artesanal. A unidade de threat intelligence da Google (herdeira da Mandiant) publicou o manual da opera\u00e7\u00e3o: empresas de fachada, facilitadores locais que <a href='https:\/\/cloud.google.com\/blog\/topics\/threat-intelligence\/mitigating-dprk-it-worker-threat'>alojam port\u00e1teis, lavam sal\u00e1rios e emprestam identidades roubadas<\/a>, dispositivos IP-KVM para dar a impress\u00e3o de que a m\u00e1quina est\u00e1 no pa\u00eds certo, software de acesso remoto como o AnyDesk ou o Chrome Remote Desktop, a VPN Astrill para esconder a origem, e at\u00e9 \u00abmouse jigglers\u00bb que simulam atividade para o mesmo operacional conseguir manter v\u00e1rios empregos ao mesmo tempo. Os perfis de LinkedIn s\u00e3o constru\u00eddos com fotos de executivos reais roubadas, e o candidato mant\u00e9m-se sistematicamente arredio \u00e0 c\u00e2mara.<\/p><p class=\"wp-block-paragraph\">Quando a c\u00e2mara \u00e9 inevit\u00e1vel, entra a encena\u00e7\u00e3o em direto. No caso mais citado, a Kraken apanhou um candidato cuja voz mudava a meio da entrevista, sinal de que estava a ser guiado em tempo real por terceiros. A camada de IA torna isto pior: as fotografias de perfil s\u00e3o geradas, os documentos s\u00e3o fabricados, e as respostas t\u00e9cnicas podem ser sopradas por uma segunda pessoa fora do enquadramento. \u00c9 a vers\u00e3o adversarial e assalariada da mesma tecnologia que discutimos quando <a href='https:\/\/hoge.gg\/pt\/ia-encontrou-bug-primeiro-post-mortem-cripto-2026\/'>a IA encontrou o bug primeiro<\/a>.<\/p><p class=\"wp-block-paragraph\">A dimens\u00e3o do esquema j\u00e1 produziu condena\u00e7\u00f5es pesadas. Nos Estados Unidos, Christina Chapman, do Arizona, foi condenada a 102 meses de pris\u00e3o (cerca de oito anos e meio) em julho de 2025 por operar uma f\u00e1brica de port\u00e1teis ao servi\u00e7o de <a href='https:\/\/www.justice.gov\/usao-dc\/pr\/arizona-woman-sentenced-17m-it-worker-fraud-scheme-illegally-generated-revenue-north'>mais de 300 empresas americanas<\/a>, num esquema que gerou mais de 17 milh\u00f5es de d\u00f3lares (mais de 14 milh\u00f5es de euros). Numa s\u00f3 opera\u00e7\u00e3o em 2025, o Departamento de Justi\u00e7a desmantelou dezenas de f\u00e1bricas de port\u00e1teis espalhadas por v\u00e1rios estados. E, em 2026, os operacionais j\u00e1 n\u00e3o se limitam a candidatar-se: passaram a fazer-se passar por recrutadores de empresas web3 e de IA, montando processos de contrata\u00e7\u00e3o falsos cujo \u00abteste t\u00e9cnico\u00bb serve para colher credenciais, c\u00f3digo-fonte e acessos de VPN.<\/p><h2 class='wp-block-heading'>Quando o construtor \u00c9 o buraco: Munchables e Drift<\/h2><p class=\"wp-block-paragraph\">A forma mais pura deste ataque \u00e9 aquela em que o pr\u00f3prio c\u00f3digo que o builder escreve \u00e9 a arma. Em mar\u00e7o de 2024, o Munchables, um jogo com NFT na L2 Blast, contratou um programador que se apresentava sob a alcunha \u00abWerewolves0943\u00bb (uma de quatro personas que, na pr\u00e1tica, eram provavelmente uma s\u00f3 pessoa). Esse programador escreveu vulnerabilidades para dentro dos pr\u00f3prios contratos do jogo que estava a ser pago para construir e depois atribuiu-se a si mesmo o direito de drenar o cofre, levando cerca de 17 400 ETH, na altura mais de <a href='https:\/\/www.coindesk.com\/tech\/2024\/03\/27\/munchables-exploited-for-62m-ether-linked-to-rogue-north-korean-team-member'>62 milh\u00f5es de d\u00f3lares<\/a> (cerca de 54 milh\u00f5es de euros). A chamada veio de dentro do reposit\u00f3rio. Curiosamente, depois de negocia\u00e7\u00f5es, os fundos acabaram por ser devolvidos.<\/p><p class=\"wp-block-paragraph\">O caso Drift, em abril de 2026, mostra a vers\u00e3o mais sofisticada e paciente. Os atacantes n\u00e3o plantaram c\u00f3digo; constru\u00edram confian\u00e7a. Fizeram-se passar por uma empresa de trading quantitativo, cruzaram-se com contribuidores do protocolo em confer\u00eancias e cultivaram a rela\u00e7\u00e3o durante cerca de seis meses. Depois exploraram os durable nonces da Solana para levar dois de cinco membros do conselho de seguran\u00e7a do protocolo a assinar antecipadamente, \u00e0s cegas, transa\u00e7\u00f5es dormentes que entregavam o controlo administrativo. O resultado foram cerca de <a href='https:\/\/www.chainalysis.com\/blog\/lessons-from-the-drift-hack\/'>285 milh\u00f5es de d\u00f3lares<\/a> (perto de 247 milh\u00f5es de euros), mais de metade do valor bloqueado no protocolo.<\/p><p class=\"wp-block-paragraph\">A li\u00e7\u00e3o que a Chainalysis extraiu do caso serve de moral para toda esta categoria: \u00abthe greatest risks are no longer just in smart contracts, but in the systems, and people, that surround them\u00bb (os maiores riscos j\u00e1 n\u00e3o est\u00e3o apenas nos smart contracts, mas nos sistemas, e nas pessoas, que os rodeiam). Nenhuma auditoria de c\u00f3digo teria apanhado isto, porque o problema n\u00e3o estava no c\u00f3digo, estava na cadeira ao lado.<\/p><h2 class='wp-block-heading'>A entrevista que apanha o impostor: Kraken e a Ballena Azul<\/h2><p class=\"wp-block-paragraph\">Se o retrato falha porque celebra sem verificar, a defesa come\u00e7a por inverter esse instinto. Em maio de 2025, a Kraken deixou um candidato suspeito avan\u00e7ar deliberadamente no processo at\u00e9 uma entrevista final de \u00abqu\u00edmica\u00bb, conduzida pelo diretor de seguran\u00e7a Nick Percoco. Pediram-lhe coisas simples e imposs\u00edveis de encenar sem prepara\u00e7\u00e3o: que confirmasse a localiza\u00e7\u00e3o, que mostrasse o documento de identidade \u00e0 c\u00e2mara, que nomeasse restaurantes locais. O candidato falhou. A frase que Percoco tirou do epis\u00f3dio tornou-se lema: <a href='https:\/\/blog.kraken.com\/news\/how-we-identified-a-north-korean-hacker'>\u00abDon&#8217;t trust, verify. This core crypto principle is more relevant than ever in the digital age.\u00bb<\/a> (N\u00e3o confies, verifica. Este princ\u00edpio central da cripto \u00e9 mais relevante do que nunca na era digital.)<\/p><p class=\"wp-block-paragraph\">\u00c9 o mesmo princ\u00edpio que os investigadores da Ballena Azul levaram ao extremo, ao construir uma empresa-armadilha para observar os operacionais a candidatarem-se. Os sinais de alarme eram consistentes: moradas, bancos e documentos que n\u00e3o batiam certo entre estados, fotos processadas por IA, e uma pressa de reconhecimento no primeiro dia (comandos para inventariar o sistema, acesso remoto imediato). O que estas duas hist\u00f3rias t\u00eam em comum \u00e9 a invers\u00e3o da l\u00f3gica do retrato: em vez de perguntar \u00abo que \u00e9 que este builder j\u00e1 construiu?\u00bb, perguntam \u00abeste builder \u00e9 sequer uma pessoa real, aqui, agora?\u00bb.<\/p><p class=\"wp-block-paragraph\">Essa invers\u00e3o tem um custo cultural. A cripto foi constru\u00edda sobre a promessa de que o m\u00e9rito n\u00e3o precisa de credenciais, de que um pseud\u00f3nimo com bom c\u00f3digo vale mais do que um diploma. Verificar identidades soa a trai\u00e7\u00e3o desse ideal. Mas a alternativa, como 2026 demonstrou, \u00e9 financiar involuntariamente quem nos quer roubar.<\/p><h2 class='wp-block-heading'>O builder que s\u00e3o muitos: sock puppets e ecossistemas de mentira<\/h2><p class=\"wp-block-paragraph\">Nem todos os impostores s\u00e3o hostis \u00e0 partida; alguns limitam-se a mentir sobre a escala. O caso arquet\u00edpico \u00e9 o de Ian Macalinao, apelidado de \u00abmestre dos an\u00f3nimos\u00bb. Para inflacionar o valor bloqueado no ecossistema Solana, Macalinao operou 11 identidades de programador falsas (Surya Khosla, 0xGhostchain e outras), cada uma \u00abrespons\u00e1vel\u00bb por um protocolo diferente, empilhados de forma a que, nas suas pr\u00f3prias palavras, <a href='https:\/\/www.coindesk.com\/layer2\/2022\/08\/04\/master-of-anons-how-a-crypto-developer-faked-a-defi-ecosystem'>\u00aba dollar could be counted several times\u00bb<\/a> (um d\u00f3lar podia ser contado v\u00e1rias vezes). O motivo que ele pr\u00f3prio confessou \u00e9 revelador para quem estuda o culto do builder: um ecossistema constru\u00eddo por poucas pessoas, escreveu, \u00abdoes not look as authentic\u00bb (n\u00e3o parece aut\u00eantico).<\/p><p class=\"wp-block-paragraph\">Esta \u00e9 a mec\u00e2nica das contas-fantoche aplicada \u00e0 reputa\u00e7\u00e3o. O retrato do builder adora a imagem de uma \u00abcomunidade vibrante\u00bb de programadores independentes a convergir para uma mesma stack. Mas essa apar\u00eancia de multid\u00e3o \u00e9 trivial de fabricar: bastam handles, avatares e alguns commits cruzados. O ataque Sybil, em que uma entidade se faz passar por muitas, \u00e9 o mesmo problema visto do lado dos incentivos, e \u00e9 por isso que os grandes airdrops de 2024 e 2025 tiveram de desqualificar percentagens enormes de candidatos identificados como fazendas de carteiras controladas por uma s\u00f3 m\u00e3o.<\/p><p class=\"wp-block-paragraph\">O efeito l\u00edquido \u00e9 que a m\u00e9trica preferida do retrato, \u00abolhem quantas pessoas est\u00e3o a construir aqui\u00bb, \u00e9 precisamente a mais f\u00e1cil de falsificar. Um n\u00famero de programadores ativos, um gr\u00e1fico de commits, uma lista de projetos no ecossistema: nada disto prova pluralidade real. Prova apenas que algu\u00e9m sabe encenar pluralidade.<\/p><h2 class='wp-block-heading'>O impostor mais paciente: o ataque \u00e0 cadeia de fornecimento<\/h2><p class=\"wp-block-paragraph\">H\u00e1 uma vers\u00e3o deste jogo que se joga em c\u00e2mara lenta, ao longo de anos, e \u00e9 talvez a mais assustadora porque n\u00e3o visa uma empresa, visa a infraestrutura de que todos dependem. O caso XZ Utils, revelado em mar\u00e7o de 2024, tornou-se o seu exemplo definitivo. Uma conta chamada \u00abJia Tan\u00bb (JiaT75, criada em 2021) passou quase tr\u00eas anos a contribuir de forma aparentemente exemplar para uma biblioteca de compress\u00e3o usada em praticamente todo o Linux. Contas-fantoche com nomes como \u00abJigar Kumar\u00bb e \u00abDennis Ens\u00bb pressionaram o mantenedor original, esgotado e sem apoio, a aceitar um coautor. Esse coautor foi Jia Tan, que assim recebeu as chaves do projeto.<\/p><p class=\"wp-block-paragraph\">S\u00f3 ent\u00e3o, entre milhares de contribui\u00e7\u00f5es leg\u00edtimas, Jia Tan inseriu um <a href='https:\/\/securelist.com\/xz-backdoor-story-part-2-social-engineering\/112476'>backdoor (CVE-2024-3094)<\/a> que permitia execu\u00e7\u00e3o remota de c\u00f3digo via OpenSSH e que chegou a propagar-se para cerca de 30 000 pacotes Debian e Ubuntu. O desastre s\u00f3 foi evitado porque um engenheiro da Microsoft reparou, por acaso, num atraso de cerca de meio segundo num processo de arranque. Foi o retrato do builder perfeito, prest\u00e1vel, incans\u00e1vel, tecnicamente competente, a servir de disfarce a um ataque \u00e0 cadeia de fornecimento.<\/p><p class=\"wp-block-paragraph\">Isto importa \u00e0 cripto porque quase tudo em cripto assenta em software de c\u00f3digo aberto mantido por volunt\u00e1rios mal pagos, exatamente o perfil que o culto do builder venera mas raramente protege. O mesmo ideal que faz de um mantenedor an\u00f3nimo um her\u00f3i faz dele um alvo, e faz da confian\u00e7a que lhe damos uma vulnerabilidade. O impostor paciente n\u00e3o rouba a reputa\u00e7\u00e3o de um builder: constr\u00f3i uma, com trabalho real, at\u00e9 ao dia em que a usa.<\/p><h2 class='wp-block-heading'>Cinco arqu\u00e9tipos do builder falso<\/h2><p class=\"wp-block-paragraph\">Vale a pena arrumar as categorias, porque cada arqu\u00e9tipo exige uma defesa diferente e porque o retrato tende a trat\u00e1-los a todos como o mesmo her\u00f3i de camisola preta. A tabela abaixo resume as cinco variantes que dominaram os casos de 2024 a 2026.<\/p><figure class='wp-block-table'><table><thead><tr><th>Arqu\u00e9tipo<\/th><th>Como se apresenta<\/th><th>O que esconde<\/th><th>Caso emblem\u00e1tico<\/th><\/tr><\/thead><tbody><tr><td>O fantasma<\/td><td>Curr\u00edculo impec\u00e1vel, fotos de IA, refer\u00eancias que se confirmam entre si<\/td><td>N\u00e3o existe pessoa real por tr\u00e1s<\/td><td>Operacionais expostos pelo projeto ETH Rangers<\/td><\/tr><tr><td>O infiltrado<\/td><td>Candidato qualificado, contratado como qualquer outro<\/td><td>Quer o acesso, n\u00e3o o emprego; planta ou explora o buraco<\/td><td>Munchables, Drift<\/td><\/tr><tr><td>O enxame<\/td><td>Um ecossistema \u00abvibrante\u00bb de v\u00e1rios programadores<\/td><td>Uma s\u00f3 pessoa a usar muitas m\u00e1scaras<\/td><td>O mestre dos an\u00f3nimos e as 11 identidades<\/td><\/tr><tr><td>O mantenedor paciente<\/td><td>Contribuidor prest\u00e1vel, anos de commits leg\u00edtimos<\/td><td>Um backdoor guardado para o fim<\/td><td>XZ Utils e a conta Jia Tan<\/td><\/tr><tr><td>O recrutador ao contr\u00e1rio<\/td><td>\u00abRecruta\u00bb para uma empresa de topo, oferece um teste t\u00e9cnico<\/td><td>A entrevista \u00e9 o ataque; colhe credenciais e c\u00f3digo<\/td><td>Falsos recrutadores web3 em 2026<\/td><\/tr><\/tbody><\/table><\/figure><h2 class='wp-block-heading'>Porque os sinais falham<\/h2><p class=\"wp-block-paragraph\">Chegamos ao cora\u00e7\u00e3o cultural do problema. Todos os sinais em que o retrato do builder confia s\u00e3o, por defini\u00e7\u00e3o, p\u00fablicos e reutiliz\u00e1veis, e portanto forj\u00e1veis. Um hist\u00f3rico de commits pode ser comprado ou copiado. Uma apari\u00e7\u00e3o numa confer\u00eancia prova presen\u00e7a f\u00edsica naquele dia, n\u00e3o identidade continuada. O apoio de um fundo de capital de risco de topo prova que algu\u00e9m acreditou numa tese, n\u00e3o que fez due diligence sobre quem escreve o c\u00f3digo. At\u00e9 uma auditoria \u00abpassada\u00bb valida o comportamento do contrato, nunca a lealdade de quem o escreveu.<\/p><p class=\"wp-block-paragraph\">Some-se a isto a componente humana, que \u00e9 a mais teimosa. Queremos acreditar no builder brilhante, e essa vontade \u00e9 parte da mec\u00e2nica da confian\u00e7a que j\u00e1 explor\u00e1mos ao mostrar como <a href='https:\/\/hoge.gg\/pt\/crente-coautor-audiencia-fundador-cripto-2026\/'>o crente \u00e9 coautor<\/a> da figura do fundador. O impostor n\u00e3o precisa de enganar um sistema de verifica\u00e7\u00e3o; precisa apenas de nos dar aquilo que j\u00e1 quer\u00edamos ver. Consultoras de tecnologia j\u00e1 projetam que uma fatia significativa das candidaturas a emprego passar\u00e1 a incluir elementos de identidade falsos, e que os candidatos fraudulentos se tornaram uma das maiores amea\u00e7as \u00e0 contrata\u00e7\u00e3o. A tecnologia de deepfake em v\u00eddeo, ainda imperfeita mas a melhorar depressa, remove o \u00faltimo sinal em que confi\u00e1vamos: um rosto do outro lado do ecr\u00e3.<\/p><p class=\"wp-block-paragraph\">H\u00e1 aqui uma tens\u00e3o que a cripto tem de encarar de frente. Balaji Srinivasan, ex-diretor de tecnologia da Coinbase, defende h\u00e1 anos que <a href='https:\/\/decrypt.co\/11000\/former-coinbase-cto-pseudonymity-is-as-important-as-decentralization'>\u00abpseudonymity is as important as decentralization\u00bb<\/a> (o pseudonimato \u00e9 t\u00e3o importante como a descentraliza\u00e7\u00e3o), e tem raz\u00e3o: a mesma propriedade que permite a um cypherpunk honesto construir sob um pseud\u00f3nimo \u00e9 a que protege o infiltrado. N\u00e3o h\u00e1 como manter uma sem expor a outra. A resposta n\u00e3o \u00e9 abolir o anonimato, \u00e9 parar de o confundir com verifica\u00e7\u00e3o.<\/p><h2 class='wp-block-heading'>Sinal versus verifica\u00e7\u00e3o<\/h2><p class=\"wp-block-paragraph\">A distin\u00e7\u00e3o pr\u00e1tica que falta \u00e0 cultura do builder \u00e9 entre um sinal (algo que sugere confian\u00e7a e que se pode encenar) e um controlo (algo que a comprova e que \u00e9 caro de falsificar). A tabela seguinte contrap\u00f5e o que o retrato costuma mostrar ao que uma equipa s\u00e9ria verifica.<\/p><figure class='wp-block-table'><table><thead><tr><th>O sinal que o retrato mostra<\/th><th>O controlo que verifica mesmo<\/th><\/tr><\/thead><tbody><tr><td>GitHub cheio de commits<\/td><td>Quem controla a conta, n\u00e3o s\u00f3 o que ela publicou; hist\u00f3rico reutiliz\u00e1vel n\u00e3o prova autoria<\/td><\/tr><tr><td>Apari\u00e7\u00f5es em confer\u00eancias<\/td><td>Documento confirmado de forma independente e prova de vida em direto<\/td><\/tr><tr><td>Apoio de um grande fundo<\/td><td>Due diligence sobre a identidade dos operacionais, n\u00e3o s\u00f3 sobre a tese<\/td><\/tr><tr><td>Auditoria de seguran\u00e7a \u00abpassada\u00bb<\/td><td>A auditoria cobre o c\u00f3digo; a lealdade de quem o escreve exige outro processo<\/td><\/tr><tr><td>C\u00e2mara ligada na entrevista<\/td><td>Geolocaliza\u00e7\u00e3o e n\u00famero de s\u00e9rie do port\u00e1til, sem acesso remoto nem respostas assistidas<\/td><\/tr><tr><td>Multisig \u00abdescentralizada\u00bb<\/td><td>Saber quem s\u00e3o realmente os signat\u00e1rios e garantir que n\u00e3o s\u00e3o a mesma pessoa<\/td><\/tr><\/tbody><\/table><\/figure><h2 class='wp-block-heading'>O muro europeu: MiCA, DORA e san\u00e7\u00f5es que tornam contratar um risco<\/h2><p class=\"wp-block-paragraph\">Para um prestador europeu, e portugu\u00eas em particular, isto deixou de ser apenas um problema de seguran\u00e7a e passou a ser um problema de conformidade. As medidas restritivas da Uni\u00e3o Europeia contra a Coreia do Norte, que transp\u00f5em as resolu\u00e7\u00f5es do Conselho de Seguran\u00e7a das Na\u00e7\u00f5es Unidas, aplicam-se diretamente em Portugal. Isso significa que pagar sal\u00e1rio a um operacional sancionado pode constituir uma infra\u00e7\u00e3o mesmo quando a empresa n\u00e3o sabia com quem estava a lidar, num regime que se aproxima da responsabilidade objetiva. A ignor\u00e2ncia n\u00e3o \u00e9 defesa.<\/p><p class=\"wp-block-paragraph\">A camada MiCA acrescenta deveres de governa\u00e7\u00e3o: os prestadores de servi\u00e7os de criptoativos t\u00eam de demonstrar que os seus respons\u00e1veis s\u00e3o id\u00f3neos e que existem controlos internos adequados, sob supervis\u00e3o da CMVM quanto \u00e0 conduta e do Banco de Portugal quanto ao registo e \u00e0s stablecoins. A DORA, por seu lado, obriga \u00e0 gest\u00e3o do risco associado a terceiros que fornecem servi\u00e7os de tecnologia, e um programador remoto infiltrado \u00e9, \u00e0 letra, um risco de terceiros com acesso a sistemas cr\u00edticos. Neste enquadramento, contratar passou a ser uma superf\u00edcie de risco t\u00e3o a s\u00e9rio gerida como o <a href='https:\/\/hoge.gg\/pt\/credito-on-chain-quem-gere-risco-juros-2026\/'>risco de cr\u00e9dito on-chain<\/a>.<\/p><p class=\"wp-block-paragraph\">Some-se ainda a press\u00e3o sobre o anonimato operacional. O pacote antibranqueamento da UE <a href='https:\/\/thedefiant.io\/news\/regulation\/eu-aml-rules-to-ban-anonymous-accounts-privacy-coins'>pro\u00edbe contas an\u00f3nimas e moedas de privacidade<\/a> ao n\u00edvel dos prestadores regulados a partir de 2027, e a Travel Rule j\u00e1 obriga a identificar quem envia e quem recebe transfer\u00eancias. Um pseud\u00f3nimo pode continuar a escrever c\u00f3digo e a guardar as suas pr\u00f3prias chaves; o que n\u00e3o pode \u00e9 operar uma rampa de acesso regulada sem rosto. Para quem constr\u00f3i dentro das fronteiras europeias, a era da identidade n\u00e3o verificada est\u00e1 a fechar-se por lei, n\u00e3o apenas por prud\u00eancia.<\/p><h2 class='wp-block-heading'>O construtor que se deixa verificar<\/h2><p class=\"wp-block-paragraph\">H\u00e1 um ant\u00eddoto, e \u00e9 quase aborrecido de t\u00e3o simples: o builder que se deixa verificar. O ecossistema lus\u00f3fono tem um exemplo \u00e0 m\u00e3o. A Utrust, fundada em Portugal e hoje reencarnada como xMoney depois da aquisi\u00e7\u00e3o pela MultiversX, construiu-se em torno de figuras p\u00fablicas e verific\u00e1veis como Nuno Correia, no setor desde 2011, e opera com registo junto do Banco de Portugal. N\u00e3o \u00e9 uma hist\u00f3ria glamorosa de pseud\u00f3nimo genial; \u00e9 uma hist\u00f3ria de gente com nome, morada fiscal e responsabilidade legal. Lisboa, que recebe a ETHGlobal e volta a acolher o Web Summit em novembro de 2026, \u00e9 hoje um polo de constru\u00e7\u00e3o precisamente porque junta talento a institui\u00e7\u00f5es que sabem quem \u00e9 quem.<\/p><p class=\"wp-block-paragraph\">Nada disto exige matar o ethos cripto. O anonimato continua a ser leg\u00edtimo e, em muitos contextos, saud\u00e1vel. O que 2026 tornou insustent\u00e1vel \u00e9 a pregui\u00e7a de tratar reputa\u00e7\u00e3o como se fosse identidade. Um retrato que celebra a obra sem nunca perguntar quem a fez, quantos a fizeram e a favor de quem, n\u00e3o \u00e9 jornalismo de cultura; \u00e9 um convite. O padr\u00e3o editorial novo, tanto para quem escreve o retrato como para quem contrata o retratado, \u00e9 o lema da Kraken levado a s\u00e9rio: n\u00e3o confies, verifica.<\/p><p class=\"wp-block-paragraph\">Da pr\u00f3xima vez que um perfil o convencer de que conheceu um g\u00e9nio, fa\u00e7a as tr\u00eas perguntas que o g\u00e9nero esquece. Existe? \u00c9 um s\u00f3? \u00c9 quem diz ser? Se a resposta a qualquer uma delas for \u00abn\u00e3o sei\u00bb, ent\u00e3o o que tem \u00e0 frente n\u00e3o \u00e9 um builder. \u00c9 um espa\u00e7o em branco com uma boa fotografia, e em cripto os espa\u00e7os em branco custam caro.<\/p><h2 class='wp-block-heading'>Frequently Asked Questions<\/h2><h3 class='wp-block-heading'>O que \u00e9 um builder falso ou impostor na cripto?<\/h3><p class=\"wp-block-paragraph\">\u00c9 um programador cuja identidade n\u00e3o corresponde \u00e0 pessoa retratada: pode ser uma identidade sint\u00e9tica que n\u00e3o existe, uma s\u00f3 pessoa a operar sob v\u00e1rios nomes (ou v\u00e1rias pessoas sob um s\u00f3), ou um infiltrado hostil contratado para obter acesso e depois roubar. Distingue-se do builder an\u00f3nimo, que apenas esconde por op\u00e7\u00e3o um rosto real e n\u00e3o pretende enganar sobre quem faz o trabalho.<\/p><h3 class='wp-block-heading'>Como \u00e9 que a Coreia do Norte infiltra empresas de cripto?<\/h3><p class=\"wp-block-paragraph\">Os operacionais candidatam-se a vagas remotas com curr\u00edculos polidos, fotografias geradas por IA e documentos forjados, muitas vezes com facilitadores locais que alojam port\u00e1teis e recebem os sal\u00e1rios. Depois de contratados, ganham acesso privilegiado a reposit\u00f3rios, chaves e sistemas internos. Um projeto financiado pela Ethereum Foundation chegou a identificar cerca de 100 destes operacionais em 53 projetos de cripto.<\/p><h3 class='wp-block-heading'>Quanto \u00e9 que a Coreia do Norte roubou em cripto?<\/h3><p class=\"wp-block-paragraph\">Segundo a Chainalysis, atores ligados \u00e0 Coreia do Norte roubaram cerca de 2,02 mil milh\u00f5es de d\u00f3lares (perto de 1,75 mil milh\u00f5es de euros) em 2025, uma subida de 51% face ao ano anterior, e a estimativa acumulada ronda os 6,75 mil milh\u00f5es de d\u00f3lares. S\u00f3 o ataque \u00e0 Bybit, em fevereiro de 2025, valeu 1,5 mil milh\u00f5es de d\u00f3lares.<\/p><h3 class='wp-block-heading'>Como verificar se um builder cripto \u00e9 real?<\/h3><p class=\"wp-block-paragraph\">A verifica\u00e7\u00e3o s\u00e9ria n\u00e3o olha s\u00f3 para o portef\u00f3lio: exige prova de vida em direto com c\u00e2mara ligada, documento de identidade confirmado de forma independente, verifica\u00e7\u00e3o da localiza\u00e7\u00e3o e do n\u00famero de s\u00e9rie do port\u00e1til, e aten\u00e7\u00e3o a sinais como acesso remoto, VPNs de oculta\u00e7\u00e3o ou respostas assistidas. Uma auditoria valida o c\u00f3digo, n\u00e3o a lealdade de quem o escreveu.<\/p><h3 class='wp-block-heading'>Contratar um programador norte-coreano sem saber \u00e9 crime na Uni\u00e3o Europeia?<\/h3><p class=\"wp-block-paragraph\">As medidas restritivas da UE contra a Coreia do Norte aplicam-se diretamente em Portugal, por isso pagar a um operacional sancionado pode constituir uma infra\u00e7\u00e3o mesmo sem inten\u00e7\u00e3o, num regime pr\u00f3ximo da responsabilidade objetiva. Al\u00e9m disso, as regras de governa\u00e7\u00e3o da MiCA e a resili\u00eancia operacional exigida pela DORA tornam a contrata\u00e7\u00e3o e a gest\u00e3o de acessos uma superf\u00edcie de conformidade fiscalizada pela CMVM e pelo Banco de Portugal.<\/p><script type=\"application\/ld+json\">{\"@context\":\"https:\/\/schema.org\",\"@type\":\"FAQPage\",\"mainEntity\":[{\"@type\":\"Question\",\"name\":\"O que \u00e9 um builder falso ou impostor na cripto?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"\u00c9 um programador cuja identidade n\u00e3o corresponde \u00e0 pessoa retratada: pode ser uma identidade sint\u00e9tica que n\u00e3o existe, uma s\u00f3 pessoa a operar sob v\u00e1rios nomes (ou v\u00e1rias pessoas sob um s\u00f3), ou um infiltrado hostil contratado para obter acesso e depois roubar. Distingue-se do builder an\u00f3nimo, que apenas esconde por op\u00e7\u00e3o um rosto real e n\u00e3o pretende enganar sobre quem faz o trabalho.\"}},{\"@type\":\"Question\",\"name\":\"Como \u00e9 que a Coreia do Norte infiltra empresas de cripto?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Os operacionais candidatam-se a vagas remotas com curr\u00edculos polidos, fotografias geradas por IA e documentos forjados, muitas vezes com facilitadores locais que alojam port\u00e1teis e recebem os sal\u00e1rios. Depois de contratados, ganham acesso privilegiado a reposit\u00f3rios, chaves e sistemas internos. Um projeto financiado pela Ethereum Foundation chegou a identificar cerca de 100 destes operacionais em 53 projetos de cripto.\"}},{\"@type\":\"Question\",\"name\":\"Quanto \u00e9 que a Coreia do Norte roubou em cripto?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"Segundo a Chainalysis, atores ligados \u00e0 Coreia do Norte roubaram cerca de 2,02 mil milh\u00f5es de d\u00f3lares (perto de 1,75 mil milh\u00f5es de euros) em 2025, uma subida de 51% face ao ano anterior, e a estimativa acumulada ronda os 6,75 mil milh\u00f5es de d\u00f3lares. S\u00f3 o ataque \u00e0 Bybit, em fevereiro de 2025, valeu 1,5 mil milh\u00f5es de d\u00f3lares.\"}},{\"@type\":\"Question\",\"name\":\"Como verificar se um builder cripto \u00e9 real?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"A verifica\u00e7\u00e3o s\u00e9ria n\u00e3o olha s\u00f3 para o portef\u00f3lio: exige prova de vida em direto com c\u00e2mara ligada, documento de identidade confirmado de forma independente, verifica\u00e7\u00e3o da localiza\u00e7\u00e3o e do n\u00famero de s\u00e9rie do port\u00e1til, e aten\u00e7\u00e3o a sinais como acesso remoto, VPNs de oculta\u00e7\u00e3o ou respostas assistidas. Uma auditoria valida o c\u00f3digo, n\u00e3o a lealdade de quem o escreveu.\"}},{\"@type\":\"Question\",\"name\":\"Contratar um programador norte-coreano sem saber \u00e9 crime na Uni\u00e3o Europeia?\",\"acceptedAnswer\":{\"@type\":\"Answer\",\"text\":\"As medidas restritivas da UE contra a Coreia do Norte aplicam-se diretamente em Portugal, por isso pagar a um operacional sancionado pode constituir uma infra\u00e7\u00e3o mesmo sem inten\u00e7\u00e3o, num regime pr\u00f3ximo da responsabilidade objetiva. Al\u00e9m disso, as regras de governa\u00e7\u00e3o da MiCA e a resili\u00eancia operacional exigida pela DORA tornam a contrata\u00e7\u00e3o e a gest\u00e3o de acessos uma superf\u00edcie de conformidade fiscalizada pela CMVM e pelo Banco de Portugal.\"}}]}<\/script><p class=\"wp-block-paragraph\">Marcus Okafor escreve sobre cultura e seguran\u00e7a cripto na HOGE Wire.<\/p>","protected":false},"excerpt":{"rendered":"<p>O retrato do builder celebra o talento, mas nunca verifica a identidade. Em 2026, a Coreia do Norte transformou esse ponto cego na maior fonte de perdas da cripto.<\/p>\n","protected":false},"author":5,"featured_media":546,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[7],"tags":[],"class_list":["post-545","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-culture"],"_links":{"self":[{"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/posts\/545","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/comments?post=545"}],"version-history":[{"count":0,"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/posts\/545\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/media\/546"}],"wp:attachment":[{"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/media?parent=545"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/categories?post=545"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hoge.gg\/pt\/wp-json\/wp\/v2\/tags?post=545"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}