{"id":826,"date":"2026-11-01T04:42:13","date_gmt":"2026-11-01T04:42:13","guid":{"rendered":"https:\/\/hoge.gg\/pt\/guardiao-em-julgamento-dao-veto-ataque-2026\/"},"modified":"2026-11-01T04:42:13","modified_gmt":"2026-11-01T04:42:13","slug":"guardiao-em-julgamento-dao-veto-ataque-2026","status":"publish","type":"post","link":"https:\/\/hoge.gg\/pt\/guardiao-em-julgamento-dao-veto-ataque-2026\/","title":{"rendered":"O guardi\u00e3o em julgamento: a DAO que despede o pr\u00f3prio veto"},"content":{"rendered":"

No primeiro minuto de 1 de novembro de 2026, \u00e0 meia-noite UTC, um contrato da Compound executou uma \u00fanica instru\u00e7\u00e3o e retirou a cinco pessoas o poder de travar a vontade de milhares. A proposta chama-se, sem rodeios, End Community Multisig Cancellation Power<\/em>, e tira \u00e0 multisig comunit\u00e1ria do protocolo a capacidade de cancelar vota\u00e7\u00f5es antes de serem votadas. Oito dias antes, a 24 de outubro, um atacante tinha feito precisamente o oposto: em vez de retirar poder a um guardi\u00e3o, comprou um com dinheiro emprestado, tomou a maioria do \u00absenado\u00bb da X100 Global e esvaziou a tesouraria numa s\u00f3 transa\u00e7\u00e3o. E, no meio disto, a ENS submetia a vota\u00e7\u00e3o uma reconstru\u00e7\u00e3o completa da sua m\u00e1quina de voto. Tr\u00eas decis\u00f5es, na mesma d\u00fazia de dias, sobre a mesma pe\u00e7a: a trava de emerg\u00eancia que quase todas as DAO instalaram e de que agora ningu\u00e9m sabe bem o que fazer.<\/p>

Durante anos, a conversa sobre governa\u00e7\u00e3o comunit\u00e1ria foi sobre ideais: descentraliza\u00e7\u00e3o, democracia, \u00abquem decide mesmo\u00bb. Em 2026 passou a ser sobre engenharia e poder, concentrados num s\u00f3 componente. A trava, o veto de emerg\u00eancia, o conselho de seguran\u00e7a, o guardi\u00e3o: o nome muda, a fun\u00e7\u00e3o \u00e9 a mesma. \u00c9 a pessoa (ou o pequeno grupo de pessoas) a quem se entrega a chave para parar o comboio quando o voto descarrila. E 2026 p\u00f4s essa chave em julgamento pelos dois lados em simult\u00e2neo. Por baixo, atacantes que provam que a trava ou \u00e9 in\u00fatil ou chega sempre tarde. Por cima, guardi\u00f5es que usam o veto para calar propostas que n\u00e3o lhes conv\u00eam. O resultado \u00e9 um desconforto que nenhuma DAO resolveu: n\u00e3o existe desenho de governa\u00e7\u00e3o que esteja, ao mesmo tempo, a salvo dos atacantes e a salvo dos seus pr\u00f3prios guardi\u00f5es.<\/p>

O que \u00e9, afinal, o guardi\u00e3o de uma DAO<\/h2>

Uma DAO decide por voto: quem det\u00e9m o token vota propostas, e as que passam executam-se sozinhas em contratos inteligentes, sem intermedi\u00e1rio que possa recusar-se a carimbar o resultado. \u00c9 esse o argumento de venda. O problema \u00e9 que um contrato n\u00e3o distingue uma proposta leg\u00edtima de uma proposta maliciosa: se a vota\u00e7\u00e3o passa, executa. Da\u00ed o guardi\u00e3o. Na pr\u00e1tica, assume duas formas distintas que conv\u00e9m n\u00e3o confundir. O Pause Guardian<\/em> \u00e9 um trav\u00e3o de mercado, serve para suspender dep\u00f3sitos ou levantamentos quando h\u00e1 um exploit em curso, e quase ningu\u00e9m o contesta. O Proposal Guardian<\/em> \u00e9 outra coisa: \u00e9 o poder de cancelar uma proposta de governa\u00e7\u00e3o j\u00e1 submetida, muitas vezes nas m\u00e3os de uma multisig, um contrato que exige a assinatura de v\u00e1rios indiv\u00edduos para agir.<\/p>

\u00c9 aqui que o ideal choca com a realidade. O trav\u00e3o de emerg\u00eancia \u00e9, por defini\u00e7\u00e3o, um ponto central de confian\u00e7a enfiado dentro de um sistema desenhado para n\u00e3o precisar de confian\u00e7a em ningu\u00e9m. A ferramenta que torna a DAO defens\u00e1vel \u00e9 a mesma que a torna captur\u00e1vel. A documenta\u00e7\u00e3o da OpenZeppelin<\/a>, a biblioteca que serve de base \u00e0 maioria dos contratos de governa\u00e7\u00e3o em Ethereum, \u00e9 expl\u00edcita quanto a isto: um timelock<\/em> e um guardi\u00e3o exigem separa\u00e7\u00e3o estrita de pap\u00e9is, porque qualquer proponente ou cancelador a mais \u00e9 uma porta das traseiras. O veto resolve um problema criando outro, e 2026 foi o ano em que os dois problemas apareceram ao mesmo tempo.<\/p>

Porque \u00e9 que todos instalaram uma trava: a li\u00e7\u00e3o da Beanstalk<\/h2>

Para perceber a obsess\u00e3o com guardi\u00f5es, h\u00e1 que voltar a abril de 2022. A Beanstalk, um protocolo de stablecoin algor\u00edtmica, tinha governa\u00e7\u00e3o por voto sem qualquer atraso real na via de emerg\u00eancia. Um atacante pediu um flash loan<\/em> de mais de mil milh\u00f5es de d\u00f3lares a v\u00e1rios protocolos, usou-o para comprar uma supermaioria moment\u00e2nea de votos e aprovou, pela via de emerg\u00eancia que contornava o atraso normal, uma proposta que transferia os fundos para a sua pr\u00f3pria carteira. Saiu com cerca de 182 milh\u00f5es de d\u00f3lares<\/a>, tudo numa transa\u00e7\u00e3o, tudo dentro das regras. Ningu\u00e9m partiu o c\u00f3digo. O c\u00f3digo fez exatamente o que mandava o voto.<\/p>

A Beanstalk tornou-se o trauma fundador de uma gera\u00e7\u00e3o de DAO. A conclus\u00e3o que o ecossistema tirou foi quase un\u00e2nime: \u00e9 preciso uma trava, um timelock<\/em> que force um intervalo entre aprovar e executar, e algu\u00e9m com poder para cancelar uma proposta claramente maliciosa dentro desse intervalo. Nasceram assim os conselhos de seguran\u00e7a, as multisigs de emerg\u00eancia e os Proposal Guardians<\/em>. Durante tr\u00eas anos, instalar um guardi\u00e3o foi sinal de maturidade. Em 2026, essa mesma trava passou a ser o centro da disc\u00f3rdia, porque se descobriu que protege contra uma amea\u00e7a e exp\u00f5e a duas outras.<\/p>

Ataque por baixo: quando comprar a maioria custa uma ninharia<\/h2>

A primeira amea\u00e7a que a trava n\u00e3o resolve \u00e9 a mais humilhante: \u00e0s vezes nem \u00e9 preciso emprestar mil milh\u00f5es. Em agosto de 2026, a Term Finance, um protocolo de cr\u00e9dito a prazo, viu os seus cofres de estrat\u00e9gia esvaziarem-se por dentro. Segundo a Cointelegraph<\/a>, o atacante \u00abadquiriu de forma barata a maioria de um token de governa\u00e7\u00e3o pouco distribu\u00eddo e aprovou propostas que lhe permitiram tomar o controlo dos cofres\u00bb. O resultado foram 2.843 ETH e 1,68 milh\u00f5es de USDC, cerca de 8,5 milh\u00f5es de d\u00f3lares (perto de 7,5 milh\u00f5es de euros), ou seja, 68% do valor depositado nos cofres na altura.<\/p>

O detalhe que transformou o epis\u00f3dio num s\u00edmbolo foi a despropor\u00e7\u00e3o. Segundo a CryptoTicker<\/a>, o ataque foi semeado com apenas dois ETH encaminhados por um misturador para dificultar o rastreio e, mesmo assim, o atacante acabou por controlar cerca de 91% do poder de voto do cofre principal e 100% de quatro dos cinco cofres de estrat\u00e9gia em USDC. Depois, uma \u00fanica chamada de fun\u00e7\u00e3o fez o resto. N\u00e3o houve bug, n\u00e3o houve c\u00f3digo partido: houve um token de governa\u00e7\u00e3o t\u00e3o pouco negociado que reunir a maioria custou uma ninharia. A Term Labs respondeu encerrando de forma irrevers\u00edvel os cofres afetados e revogando os pap\u00e9is de governa\u00e7\u00e3o, mas o dinheiro j\u00e1 tinha sa\u00eddo. A moral \u00e9 inc\u00f3moda: um guardi\u00e3o n\u00e3o serve de nada quando a pr\u00f3pria regra permite que a maioria se compre a troco de quase nada.<\/p>

O golpe at\u00f3mico: a X100 e o flash loan que n\u00e3o d\u00e1 tempo ao guardi\u00e3o<\/h2>

A segunda amea\u00e7a \u00e9 pior, porque retira ao guardi\u00e3o a \u00fanica coisa de que precisa para funcionar: tempo. A 24 de outubro de 2026, a X100 Global, um protocolo com um sistema de governa\u00e7\u00e3o baseado num \u00absenado\u00bb de tr\u00eas lugares, foi tomada numa s\u00f3 transa\u00e7\u00e3o de Ethereum. De acordo com a News.Bitcoin.com<\/a>, o atacante pediu cerca de 1,94 milh\u00f5es de USDT emprestados via flash loan<\/em> \u00e0 Aave, usou-os para ocupar dois dos tr\u00eas lugares do senado e, j\u00e1 com maioria, aprovou e executou uma proposta que transferia 400.000 tokens X do cofre para uma pool que ele pr\u00f3prio controlava. O saldo foram cerca de 4,85 milh\u00f5es de d\u00f3lares (perto de 4,3 milh\u00f5es de euros) em USDT, mais centenas de milhares de tokens. O pre\u00e7o do token X desabou da ordem dos 50-60 d\u00f3lares para cerca de 1,75, uma queda superior a 96% num dia.<\/p>

O que torna este ataque did\u00e1tico \u00e9 a raz\u00e3o t\u00e9cnica. A empresa de seguran\u00e7a Exvul resumiu o problema central: a governa\u00e7\u00e3o da X100 permitia \u00abcomprar uma maioria de controlo e executar as suas decis\u00f5es sem esperar\u00bb. Faltavam-lhe tr\u00eas coisas banais, hoje consideradas higiene b\u00e1sica: snapshots<\/em> de voto (que fixam o poder de voto numa data anterior \u00e0 proposta), per\u00edodos m\u00ednimos de deten\u00e7\u00e3o do token e atrasos de execu\u00e7\u00e3o. Sem elas, adquirir poder, aprovar a decis\u00e3o e execut\u00e1-la acontece na mesma transa\u00e7\u00e3o, de forma at\u00f3mica. E um guardi\u00e3o humano, por mais atento que esteja, n\u00e3o consegue cancelar uma proposta que nasce e morre no mesmo bloco. A trava de emerg\u00eancia pressup\u00f5e um intervalo entre o voto e a execu\u00e7\u00e3o; o flash loan<\/em> apaga esse intervalo. Como mostr\u00e1mos quando o plano B para quando o voto encrava<\/a> virou tema, metade da engenharia de governa\u00e7\u00e3o de 2026 \u00e9, no fundo, uma luta para reintroduzir tempo onde o atacante o quer eliminar.<\/p>

Quando o voto \u00e9 o exploit<\/h2>

A X100 e a Term Finance n\u00e3o s\u00e3o casos isolados; s\u00e3o o padr\u00e3o de 2026. Em julho, a BonkDAO perdeu cerca de 20 milh\u00f5es de d\u00f3lares<\/a> (perto de 17,8 milh\u00f5es de euros) quando um atacante gastou cerca de 4,4 milh\u00f5es a comprar tokens suficientes para atingir o qu\u00f3rum e fazer passar uma proposta maliciosa; votaram sete carteiras, com 99,9% a favor, numa comunidade de milhares. O denominador comum destes epis\u00f3dios \u00e9 que o ataque \u00e9 indistingu\u00edvel da participa\u00e7\u00e3o leg\u00edtima. Um relat\u00f3rio cl\u00e1ssico da a16z crypto<\/a> chamou-lhe \u00abindistinguibilidade\u00bb: nos livros de ordens, comprar tokens para atacar e comprar tokens por convic\u00e7\u00e3o s\u00e3o a mesma opera\u00e7\u00e3o. O mercado n\u00e3o v\u00ea inten\u00e7\u00e3o. Por isso \u00e9 que um guardi\u00e3o tem de decidir, em minutos e com informa\u00e7\u00e3o parcial, se o comprador que acaba de reunir uma maioria \u00e9 um investidor ou um ladr\u00e3o, e por isso \u00e9 que erra nos dois sentidos.<\/p>

Protocolo<\/th>Data<\/th>Como<\/th>Valor drenado<\/th><\/tr><\/thead>
Beanstalk<\/td>Abr 2022<\/td>Flash loan de mais de 1.000 M$ comprou supermaioria; via de emerg\u00eancia contornou o atraso<\/td>~182 M$<\/a><\/td><\/tr>
BonkDAO<\/td>Jul 2026<\/td>~4,4 M$ compraram qu\u00f3rum; 7 carteiras votaram, 99,9% a favor<\/td>~20 M$<\/a><\/td><\/tr>
Term Finance<\/td>Ago 2026<\/td>Compra barata da maioria de um token de governa\u00e7\u00e3o pouco distribu\u00eddo; ~91% do voto<\/td>~8,5 M$<\/a><\/td><\/tr>
X100 Global<\/td>24 Out 2026<\/td>Flash loan de ~1,94 M USDT tomou 2 de 3 lugares do senado numa transa\u00e7\u00e3o<\/td>~4,85 M$<\/a><\/td><\/tr><\/tbody><\/table><\/figure>

Nenhum destes ataques foi um \u00abhack\u00bb no sentido tradicional. Foram votos. E a raz\u00e3o pela qual compram t\u00e3o barato \u00e9 estrutural: o poder de voto nas DAO est\u00e1 absurdamente concentrado. Um estudo citado v\u00e1rias vezes desde 2022, da Chainalysis<\/a>, concluiu que, em dez grandes DAO, menos de 1% dos detentores controlava cerca de 90% do poder de voto. Quando o qu\u00f3rum real \u00e9 t\u00e3o fino, a diferen\u00e7a entre \u00abcomprar influ\u00eancia\u00bb e \u00abcapturar o protocolo\u00bb \u00e9 apenas uma quest\u00e3o de or\u00e7amento. O guardi\u00e3o existe para tapar esse buraco. A quest\u00e3o de 2026 \u00e9 se o rem\u00e9dio n\u00e3o \u00e9 pior do que a doen\u00e7a.<\/p>

Ataque por cima: o dia em que o guardi\u00e3o travou um voto v\u00e1lido<\/h2>

Se os atacantes mostraram que a trava \u00e9 fraca de menos, a Compound mostrou que ela tamb\u00e9m pode ser forte de mais. A 22 de outubro de 2026, cinco dos nove signat\u00e1rios da multisig comunit\u00e1ria da Compound usaram o seu poder de Proposal Guardian<\/em> para cancelar a Proposta 618 antes de um \u00fanico voto ser emitido. A proposta n\u00e3o tinha c\u00f3digo malicioso: pretendia transferir o Fundo de Conting\u00eancia de Emerg\u00eancia do Protocolo, cerca de 5 milh\u00f5es de d\u00f3lares (perto de 4,4 milh\u00f5es de euros), para a pr\u00f3pria multisig. Fosse boa ou m\u00e1 ideia, era uma proposta leg\u00edtima, destinada a ir a vota\u00e7\u00e3o dos detentores de COMP. Cinco pessoas decidiram que n\u00e3o ia.<\/p>

Foi esse o estalar. No f\u00f3rum de governa\u00e7\u00e3o da Compound<\/a>, o autor da resposta argumentou que o poder do guardi\u00e3o tinha sido criado para travar ataques, n\u00e3o para funcionar como conselho editorial a filtrar propostas politicamente inconvenientes. A frase que ficou foi direta: \u00abFive of nine signers used it to cancel a valid proposal before a single vote was cast. That replaces the judgment of COMP holders with the judgment of five people.\u00bb Ou seja: cinco de nove signat\u00e1rios cancelaram uma proposta v\u00e1lida antes de um \u00fanico voto, substituindo o ju\u00edzo dos detentores de COMP pelo ju\u00edzo de cinco pessoas. Pior, acrescentou, dois desses signat\u00e1rios, com os pseud\u00f3nimos Arr00 e Cylon, tinham recebido honor\u00e1rios de consultoria da Compound Foundation, uma parte interessada na decis\u00e3o. \u00abSigners who are paid by one party cannot be relied on to act neutrally when that party’s interests are in question\u00bb, escreveu, sublinhando que quem \u00e9 pago por uma das partes n\u00e3o pode ser considerado neutro quando os interesses dessa parte est\u00e3o em jogo.<\/p>

A acusa\u00e7\u00e3o n\u00e3o \u00e9 sobre um roubo. \u00c9 sobre conflito de interesses e sobre a aus\u00eancia de recurso: um cancelamento da multisig \u00e9 instant\u00e2neo, final e n\u00e3o se pode contestar. O guardi\u00e3o que devia proteger a comunidade dos atacantes tinha-se tornado, aos olhos de parte dessa comunidade, um ator com agenda pr\u00f3pria. \u00c9 a mesma din\u00e2mica que leva disputas de governa\u00e7\u00e3o cada vez mais para o campo jur\u00eddico, como se viu quando o fundador que processa<\/a> transformou um desacordo cripto num processo em tribunal.<\/p>

A ironia Humpy: o atacante de 2024 tornou-se o reformador de 2026<\/h2>

H\u00e1 um detalhe que torna este epis\u00f3dio quase liter\u00e1rio. A proposta para tirar o veto ao guardi\u00e3o, a Proposta 619, foi apresentada a 26 de outubro por um pseud\u00f3nimo que a Compound conhece bem: Humpy. \u00c9 o mesmo nome associado ao epis\u00f3dio \u00abGolden Boys\u00bb de 2024, quando um grupo liderado por Humpy fez passar a Proposta 289<\/a>, que desviava 499.000 COMP (cerca de 24 milh\u00f5es de d\u00f3lares, perto de 21 milh\u00f5es de euros) para um cofre que o grupo controlaria, com uma vota\u00e7\u00e3o apertad\u00edssima de 682.191 contra 633.636. Na altura, foi descrita como um \u00abataque de governa\u00e7\u00e3o\u00bb cl\u00e1ssico: uma baleia a usar o seu peso de voto contra a vontade do resto da DAO. O epis\u00f3dio s\u00f3 se resolveu quando Humpy aceitou rescindir<\/a> a proposta em troca de um produto de staking.<\/p>

Dois anos depois, o mesmo pseud\u00f3nimo aparece do lado da pureza democr\u00e1tica, a exigir que o poder arbitr\u00e1rio de cinco signat\u00e1rios seja abolido em nome dos detentores de token. Pode ser cinismo, pode ser convers\u00e3o sincera, pode ser as duas coisas. O que o caso ilustra, melhor do que qualquer manifesto, \u00e9 que na governa\u00e7\u00e3o on-chain os pap\u00e9is de \u00abatacante\u00bb e \u00abreformador\u00bb n\u00e3o s\u00e3o fixos: dependem de quem det\u00e9m o poder nesse dia e de contra quem o usa. O vil\u00e3o de 2024 tornou-se o arauto da descentraliza\u00e7\u00e3o de 2026 sem mudar de t\u00e1tica, apenas de alvo. \u00c9 tamb\u00e9m por isto que a governa\u00e7\u00e3o comunit\u00e1ria funciona t\u00e3o bem como teatro pol\u00edtico e t\u00e3o mal como m\u00e1quina de decis\u00e3o neutra.<\/p>

A escolha da Compound: despedir o veto<\/h2>

A resposta da Compound foi radical na sua simplicidade: se o guardi\u00e3o abusa do veto, tira-se o veto. A Proposta 619 chama setProposalGuardian<\/code> no contrato Governor para desativar o poder de cancelamento da multisig, deixando uma data de expira\u00e7\u00e3o fixada em 1 de novembro de 2026<\/a>, \u00e0s 00:00 UTC. A multisig mant\u00e9m o seu papel de Pause Guardian<\/em>, ou seja, continua a poder suspender mercados numa emerg\u00eancia genu\u00edna, mas perde a autoridade para matar propostas de governa\u00e7\u00e3o. A partir de hoje, na Compound, o que os detentores de COMP votam \u00e9 o que acontece, sem filtro humano pelo meio.<\/p>

Nem toda a gente achou boa ideia. Delegados com peso, como a Curia, a Tane, a Avantgarde e a Penn Blockchain, votaram contra, com um argumento que \u00e9 o espelho exato do problema: remover o guardi\u00e3o sem oferecer uma salvaguarda alternativa deixa a Compound exposta precisamente ao tipo de ataque de voto concentrado que vimos na Term Finance e na X100. Por outras palavras, a Compound trocou o risco de um guardi\u00e3o abusivo pelo risco de n\u00e3o ter guardi\u00e3o nenhum. \u00c9 uma aposta coerente, mas \u00e9 uma aposta: assume que o ataque por cima (o veto pol\u00edtico) \u00e9 hoje mais prov\u00e1vel do que o ataque por baixo (a captura de voto). Para um protocolo blue-chip com liquidez profunda e um token caro de acumular, talvez seja verdade. Para a X100, teria sido suic\u00eddio.<\/p>

A escolha oposta da ENS: n\u00e3o remover, reconstruir<\/h2>

No mesmo per\u00edodo, a ENS, a DAO por tr\u00e1s do servi\u00e7o de nomes do Ethereum, seguiu o caminho inverso. Em vez de remover a trava, decidiu reconstruir a m\u00e1quina inteira. Entre 30 de outubro e 3 de novembro, os detentores de ENS votaram a proposta Governor Nexus<\/em>, um novo contrato de governa\u00e7\u00e3o assente na vers\u00e3o 5.6.1 da OpenZeppelin<\/a> e desenhado pela equipa Blockful para corrigir vulnerabilidades identificadas numa avalia\u00e7\u00e3o de seguran\u00e7a que colocava a governa\u00e7\u00e3o da ENS num preocupante \u00abest\u00e1gio 0\u00bb.<\/p>

A lista de defesas do Governor Nexus<\/a> l\u00ea-se como uma resposta ponto por ponto aos ataques de 2026: um atraso de voto de dois dias (contra os cerca de 12 segundos atuais) para dar tempo de coordena\u00e7\u00e3o antes de a vota\u00e7\u00e3o come\u00e7ar; um limite de duas propostas ativas por proponente, para travar o spam de propostas; a perda de direitos de proposta se o poder de voto do proponente cair abaixo do limite a meio do processo; a possibilidade de corrigir o voto antes do prazo, caso uma interface seja comprometida; e, sobretudo, uma extens\u00e3o autom\u00e1tica de 48 horas se uma proposta passar de reprovada a aprovada nas \u00faltimas 24 horas. Esta \u00faltima regra \u00e9, na pr\u00e1tica, um ant\u00eddoto direto contra o golpe de \u00faltima hora de um atacante com flash loan<\/em>. Se a proposta for aprovada, a MetaGov financia uma auditoria externa (a pr\u00f3pria OpenZeppelin foi escolhida para a fazer) antes da migra\u00e7\u00e3o. \u00c9 governa\u00e7\u00e3o tratada como software: encontra-se a falha, patcha-se o contrato, audita-se, faz-se o deploy<\/em>. A ENS n\u00e3o confia num guardi\u00e3o mais atento; confia em regras que tornam o ataque at\u00f3mico imposs\u00edvel.<\/p>

Quem guarda o guardi\u00e3o? O dilema sem sa\u00edda<\/h2>

Compound e ENS olharam para o mesmo problema e chegaram a conclus\u00f5es opostas, e ambas t\u00eam raz\u00e3o. \u00c9 este o cerne do dilema do guardi\u00e3o: n\u00e3o h\u00e1 escolha certa, apenas escolhas sobre que falha se teme mais. Vitalik Buterin captou-o melhor do que ningu\u00e9m num ensaio de 2021 que continua a ser a melhor lente para 2026. Sobre os timelocks<\/em>, a trava temporal que supostamente nos protege, escreveu que s\u00e3o \u00abmore like a paywall on a newspaper website than they are like a lock and key\u00bb<\/a>, mais parecidos com o paywall<\/em> de um jornal do que com uma fechadura. Um paywall<\/em> n\u00e3o impede ningu\u00e9m decidido de passar; apenas torna a passagem inc\u00f3moda e ganha tempo. O veto de emerg\u00eancia \u00e9 a mesma coisa: compra tempo, n\u00e3o garante seguran\u00e7a. E quando o atacante elimina o tempo, como na X100, o paywall<\/em> deixa de servir para alguma coisa.<\/p>

Posto o dilema em cima da mesa, as DAO de 2026 distribuem-se por quatro respostas, cada uma a resolver uma amea\u00e7a e a abrir outra. A tabela abaixo resume o terreno.<\/p>

Abordagem<\/th>Quem a segue<\/th>O que resolve<\/th>O que arrisca<\/th><\/tr><\/thead>
Remover o veto, confiar no voto<\/td>Compound (Proposta 619)<\/td>Elimina o guardi\u00e3o que trava propostas v\u00e1lidas e os seus conflitos de interesse<\/td>Fica exposta a captura de voto concentrado e a flash loans<\/td><\/tr>
Reconstruir a m\u00e1quina de voto<\/td>ENS (Governor Nexus)<\/td>Atrasos, snapshots e extens\u00f5es tornam o ataque at\u00f3mico imposs\u00edvel<\/td>Mais fric\u00e7\u00e3o, menos participa\u00e7\u00e3o, c\u00f3digo novo por auditar<\/td><\/tr>
Refor\u00e7ar o conselho ou guardi\u00e3o<\/td>Muitas DAO p\u00f3s-Beanstalk<\/td>Trav\u00e3o de emerg\u00eancia humano contra exploits em curso<\/td>Reintroduz um ponto central de confian\u00e7a: quem guarda o guardi\u00e3o?<\/td><\/tr>
Minimizar a governa\u00e7\u00e3o<\/td>Liquity, Morpho, ENSv2<\/td>N\u00e3o h\u00e1 alavanca para atacar nem veto para abusar<\/td>N\u00e3o se corrigem bugs nem se reage a crises<\/td><\/tr><\/tbody><\/table><\/figure>

Repare-se que nenhuma coluna da direita est\u00e1 vazia. Cada solu\u00e7\u00e3o \u00e9 a troca de um risco por outro. A ENS compra seguran\u00e7a com fric\u00e7\u00e3o e com a necessidade de confiar num contrato rec\u00e9m-escrito. A Compound compra legitimidade democr\u00e1tica com exposi\u00e7\u00e3o ao ataque barato. E a resposta mais radical, a de simplesmente n\u00e3o ter governa\u00e7\u00e3o para capturar, resolve o problema do guardi\u00e3o ao pre\u00e7o de n\u00e3o conseguir consertar nada quando algo corre mal. N\u00e3o h\u00e1 sa\u00edda limpa, s\u00f3 prefer\u00eancias sobre que pesadelo \u00e9 mais toler\u00e1vel.<\/p>

A trava \u00e9 uma pessoa de confian\u00e7a num sistema sem confian\u00e7a<\/h2>

Por tr\u00e1s de todas estas escolhas h\u00e1 uma contradi\u00e7\u00e3o que a cripto nunca resolveu e que 2026 exp\u00f4s em carne viva. Um guardi\u00e3o \u00e9, por defini\u00e7\u00e3o, um ponto de confian\u00e7a centralizado dentro de um sistema vendido como trustless<\/em>. No momento em que uma DAO admite que precisa de algu\u00e9m com poder para parar o voto, est\u00e1 a admitir que a descentraliza\u00e7\u00e3o pura \u00e9 insuficiente. E a partir da\u00ed a pergunta deixa de ser \u00abconfiamos no c\u00f3digo?\u00bb e passa a ser \u00abconfiamos nas cinco pessoas da multisig?\u00bb, que \u00e9 exatamente a pergunta que a cripto prometeu abolir. A concentra\u00e7\u00e3o de que falava a Chainalysis n\u00e3o \u00e9 um acidente a corrigir; \u00e9 a condi\u00e7\u00e3o de base. H\u00e1 sempre uma minoria com poder desproporcionado, seja ela um atacante com flash loan<\/em>, uma baleia como Humpy ou cinco signat\u00e1rios pagos pela funda\u00e7\u00e3o.<\/p>

\u00c9 por isso que os projetos mais l\u00facidos come\u00e7aram a tratar a pr\u00f3pria governa\u00e7\u00e3o como uma superf\u00edcie de ataque a reduzir, n\u00e3o como uma virtude a maximizar. Foi esse o argumento que explor\u00e1mos quando uma DAO votou para deixar de governar<\/a>: protocolos como a Liquity ou a Morpho fixam as regras no c\u00f3digo e renunciam \u00e0s chaves, precisamente para n\u00e3o terem um guardi\u00e3o em quem seja preciso confiar. Mas essa pureza tem o seu pr\u00f3prio custo, e n\u00e3o \u00e9 te\u00f3rico. Ali Yahya, s\u00f3cio da a16z crypto, resumiu a desilus\u00e3o de uma d\u00e9cada numa frase que a Fortune<\/a> citou em junho: \u00abWe spent the last 10 years rediscovering the hard way that direct democracy is a bad idea\u00bb, gast\u00e1mos dez anos a redescobrir da pior maneira que a democracia direta \u00e9 m\u00e1 ideia. O guardi\u00e3o nasceu dessa redescoberta. O problema \u00e9 que o rem\u00e9dio herdou a mesma doen\u00e7a.<\/p>

O \u00e2ngulo europeu: a CMVM n\u00e3o supervisiona o Governor<\/h2>

Um investidor portugu\u00eas que leia tudo isto far\u00e1 a pergunta \u00f3bvia: e o regulador, onde est\u00e1? A resposta curta \u00e9 que est\u00e1 a olhar para outro s\u00edtio. O quadro europeu MiCA, e em Portugal a Lei n.\u00ba 69\/2025<\/a>, de 22 de dezembro, que reparte a supervis\u00e3o entre o Banco de Portugal (vertente prudencial, autoriza\u00e7\u00e3o de prestadores, stablecoins) e a CMVM (conduta de mercado, abuso de mercado, emiss\u00e3o), regulam prestadores de servi\u00e7os de criptoativos (os CASP) e emitentes. N\u00e3o regulam o contrato Governor de uma DAO, nem a multisig que serve de guardi\u00e3o, nem o conflito de interesses de um signat\u00e1rio pago pela funda\u00e7\u00e3o. Esse espa\u00e7o, onde se joga o essencial da governa\u00e7\u00e3o comunit\u00e1ria, fica fora do per\u00edmetro.<\/p>

Isto n\u00e3o \u00e9 um detalhe t\u00e9cnico. Significa que, quando cinco signat\u00e1rios cancelam uma proposta de 5 milh\u00f5es de d\u00f3lares ou um atacante drena um cofre via voto, n\u00e3o h\u00e1 um supervisor com mandato claro para intervir na mec\u00e2nica de governa\u00e7\u00e3o em si. A X100, a Term Finance e a BonkDAO n\u00e3o foram sancionadas por ningu\u00e9m; simplesmente deixaram de existir ou ficaram diminu\u00eddas. O pr\u00f3prio recital 22 do MiCA reconhece que as regras n\u00e3o se aplicam a servi\u00e7os totalmente descentralizados sem intermedi\u00e1rio, deixando as DAO num limbo que a doutrina jur\u00eddica europeia tem comparado a sociedades civis ou parcerias gerais, com as responsabilidades pessoais que isso pode implicar. Nos Estados Unidos j\u00e1 h\u00e1 precedente: o caso Ooki, em que a CFTC obteve uma condena\u00e7\u00e3o tratando a DAO como uma \u00abassocia\u00e7\u00e3o n\u00e3o incorporada\u00bb<\/a> e, portanto, uma pessoa juridicamente respons\u00e1vel. Na Europa, o teste ainda n\u00e3o chegou aos tribunais, mas a pergunta sobre quem responde quando o guardi\u00e3o falha, ou abusa, n\u00e3o tem hoje resposta legal.<\/p>

Para os detentores de token europeus, a conclus\u00e3o pr\u00e1tica \u00e9 dura: a prote\u00e7\u00e3o n\u00e3o vir\u00e1 do regulador, vir\u00e1 do desenho. Avaliar uma DAO passa por perceber quem controla o guardi\u00e3o, se h\u00e1 snapshots<\/em> e atrasos, qual a concentra\u00e7\u00e3o de voto, e se os seus prestadores de servi\u00e7os t\u00eam conflitos de interesse, exatamente o tipo de fratura que j\u00e1 t\u00ednhamos visto em a guerra civil da Aave<\/a>, onde a disputa entre fundador e comunidade mostrou que a governa\u00e7\u00e3o de um protocolo de milhares de milh\u00f5es se decide, afinal, entre um punhado de atores com nome e peso.<\/p>

O que vem a seguir<\/h2>

A trava de emerg\u00eancia n\u00e3o vai desaparecer, nem se vai padronizar. O mais prov\u00e1vel \u00e9 uma diverg\u00eancia: protocolos grandes e l\u00edquidos, como a Compound, a apostar em remover vetos e confiar no voto puro; protocolos com tokens pouco distribu\u00eddos a correr para o modelo ENS de snapshots<\/em>, atrasos e auditorias; e uma minoria crescente a escolher a ossifica\u00e7\u00e3o, renunciando de vez \u00e0 governa\u00e7\u00e3o. A camada humana que gere tudo isto, delegados profissionais, empresas de risco, equipas de engenharia, continua a ser o verdadeiro poder, e \u00e9 tamb\u00e9m ela que a ind\u00fastria tem vindo a perder para outros setores, como mostr\u00e1mos em o \u00eaxodo do builder<\/a>. Eis o que vale a pena vigiar nos pr\u00f3ximos meses:<\/p>