Serão os hackers e a regulação os responsáveis pela ruína das DeFi?

Autor: Gu Yu, ChainCatcher

Em abril de 2026, uma série de desastres de segurança colocou novamente as DeFi no centro da opinião pública. Os ataques à Kelp DAO e ao Drift Protocol resultaram em perdas superiores a 575 milhões de dólares, fazendo com que o valor total bloqueado (TVL) nas DeFi caísse de aproximadamente 172 mil milhões para 148 mil milhões de dólares, com o TVL no setor de empréstimos a colapsar de 53 mil milhões para 40 mil milhões de dólares.

Nos últimos dias, Manuel Aráoz, cofundador da conhecida empresa de auditoria de segurança OpenZeppelin, afirmou categoricamente na plataforma X: "Acredito que todas as DeFi são agora inseguras". Chegou mesmo a mencionar que começou a aconselhar, a nível privado, amigos e familiares a liquidarem todas as posições em DeFi, incluindo protocolos como Aave, MakerDAO e Compound, que são reconhecidos como "blue chips de baixo risco".

Embora este julgamento seja particularmente duro, merece reflexão. Afinal, a OpenZeppelin tem sido, durante muito tempo, um dos construtores mais importantes de infraestrutura de segurança no mundo DeFi, com os seus padrões de contratos inteligentes e ferramentas de segurança a permearem todo o desenvolvimento da indústria. Se até aqueles que melhor compreendem o sistema de segurança de contratos inteligentes começam a questionar os riscos das DeFi e a retirar-se de forma decisiva, isso indica, sem dúvida, que estão a surgir problemas mais profundos.

Nos últimos anos, sempre que as DeFi enfrentaram contratempos, as pessoas conseguiam encontrar rapidamente uma razão específica. Durante as quedas de mercado, a culpa era atribuída ao ambiente macroeconómico; quando ocorriam ataques de hackers, as pessoas atribuíam-no a vulnerabilidades técnicas; quando as agências reguladoras agiam, os problemas eram resumidos como pressão política.

No entanto, se alargarmos a dimensão temporal, encontraremos um facto cada vez mais claro: a situação difícil que as DeFi enfrentam hoje não é causada por um único ataque, por uma política regulatória específica ou por um projeto falhado, mas sim pelo facto de as duas lógicas centrais sobre as quais foram originalmente construídas estarem a enfrentar desafios simultâneos.

Uma lógica vem do mundo técnico, nomeadamente que o código pode substituir a confiança. A outra lógica vem do mundo institucional, que afirma que as redes abertas podem contornar as restrições dos sistemas financeiros tradicionais.

E os hackers e os reguladores atingiram precisamente estes dois pilares.

I. A evolução profunda da crise de segurança nas DeFi

Durante uma década, o paradoxo central no campo da segurança DeFi nunca mudou. Os investigadores de segurança Web3 identificaram há muito esta assimetria fatal: o defensor deve colmatar todas as vulnerabilidades possíveis, enquanto o atacante só precisa de ter sucesso num aspeto.

À superfície, os métodos de ataque não passam dos suspeitos do costume: vulnerabilidades em pontes cross-chain, sequestro de permissões multi-assinatura, manipulação de oráculos, etc. Contudo, os incidentes envolvendo a Kelp DAO e o Drift Protocol revelam uma tendência mais brutal: as vulnerabilidades mais fatais muitas vezes não residem no código dos contratos inteligentes.

A 18 de abril, o protocolo de re-staking de liquidez da Ethereum, Kelp DAO, foi atacado. O atacante explorou uma vulnerabilidade de configuração na DVN (Rede de Validação Descentralizada) da ponte cross-chain LayerZero, forjando mensagens cross-chain e retirando 116.500 rsETH da ponte em poucas horas, o que equivalia a aproximadamente 293 milhões de dólares na altura.

A essência deste desastre é um erro de configuração, não um defeito de código. A Kelp DAO escolheu uma configuração "1-de-1" para a rede de validação cross-chain da LayerZero — apenas é necessária a confirmação de um nó DVN para que as mensagens cross-chain sejam consideradas legítimas. Quando o atacante comprometeu dois nós RPC que forneciam dados de validação e lançou um ataque DDoS, todo o sistema de ponte tornou-se praticamente inexistente.

A 1 de abril, um dos maiores DEX de contratos perpétuos no ecossistema Solana, o Drift Protocol, foi atacado, resultando numa perda de 285 milhões de dólares, tornando-se o maior incidente de ataque DeFi de 2026 até à data e o segundo maior caso de pirataria na história da Solana.

Isto também não foi uma vulnerabilidade de contrato inteligente. O atacante utilizou engenharia social para comprometer pelo menos dois dos três signatários da carteira multi-assinatura, forçando-os a pré-assinar transações maliciosas utilizando a funcionalidade de nonce durável da Solana. Assim que o atacante obteve privilégios administrativos, completou o roubo de fundos em menos de 12 minutos.

A raiz do ataque reside numa falha completa de segurança operacional (OpSec): configuração inadequada da carteira multi-assinatura, pontos cegos na gestão de chaves e uma linha de defesa de engenharia social que era praticamente inexistente.

Estes dois incidentes revelam a evolução profunda da crise de segurança nas DeFi: os pontos de rutura dos ataques estão a mudar sistematicamente das vulnerabilidades tradicionais de código de contratos inteligentes para as camadas de configuração e camadas humanas/OpSec.

Manuel Aráoz apontou o cerne do problema: "A segurança dos contratos inteligentes é essencialmente um jogo extremamente assimétrico — os defensores devem corrigir todas as vulnerabilidades, enquanto os atacantes só precisam de encontrar uma para roubar fundos". À medida que a IA começa a aumentar exponencialmente a eficiência dos ataques, esta assimetria está a tornar-se rapidamente desequilibrada.

Os agentes de codificação de IA podem comprimir problemas que anteriormente exigiam semanas de trabalho das melhores equipas de white-hat para serem descobertos, reduzindo-os a uma questão de minutos, chegando mesmo a gerar autonomamente scripts de ataque com base no código de protocolo publicamente disponível. Como uma das empresas de auditoria de segurança mais convencionais da indústria, o julgamento pessimista do cofundador serve como um sinal — a própria indústria de segurança está a tornar-se consciente de que a estrutura de defesa existente enfrenta uma falha sistémica.

II. A propagação contínua da pressão regulatória

À medida que a crise de segurança se aprofunda, as forças reguladoras também exercem pressão contínua tanto nas dimensões on-chain como off-chain.

A 26 de maio, o governo do Reino Unido colocou a exchange de criptomoedas HTX na sua lista de sanções contra a Rússia, marcando a primeira vez que utilizou o Regulamento 17A para impor sanções a uma exchange de criptomoedas. O Reino Unido acusou a HTX de movimentar 3,3 biliões de dólares em transações em 2025, alegadamente prestando serviços financeiros à rede de pagamentos sancionada A7 e à exchange russa Garantex.

A reação em cadeia desencadeada pelas sanções espalhou-se rapidamente. Como várias empresas AML convencionais listaram o endereço da exchange HTX como um endereço de alto risco, muitas exchanges que utilizam o seu sistema AML apertaram as suas revisões de transações relacionadas com endereços associados à HTX, levando a que numerosos utilizadores da HTX enfrentassem problemas com levantamentos de ativos para outras exchanges.

O incidente da HTX revela um dilema mais profundo: sob um cenário geopolítico complexo, uma única sanção iniciada por reguladores pode desencadear um efeito de cadeia em expansão on-chain, afetando, em última análise, os fundos de inúmeros utilizadores comuns. Um utilizador da HTX pode ser completamente inocente na detenção de ativos, mas devido aos potenciais riscos de conformidade da plataforma, pode encontrar a "firewall" de todo o sistema AML ao tentar levantar para outras exchanges, resultando no congelamento ou atraso indefinido dos fundos.

De facto, o incidente da HTX é apenas a ponta do iceberg da pressão regulatória. O que realmente restringe a inovação DeFi a um nível mais profundo é a caracterização legal dos modelos de negócio subjacentes dos protocolos por parte das agências reguladoras.

Nos últimos dois anos, a SEC dos EUA iniciou investigações a protocolos DeFi "blue chip" como Compound, Uniswap e Curve, concentrando-se em saber se os tokens de governação constituem valores mobiliários não registados. Golpes mais diretos vêm do setor de tokens que geram rendimento — as ações de execução da SEC contra produtos como o Gemini Earn indicam que, desde que um protocolo pague aos utilizadores juros passivos com base em depósitos, é facilmente classificado como um contrato de investimento, desencadeando obrigações de registo e divulgação ao abrigo da Lei de Valores Mobiliários.

Esta ambiguidade legal e o ambiente de alta pressão sufocam diretamente as direções mais imaginativas da inovação DeFi: desde a mineração de liquidez a produtos de rendimento estruturados, os programadores devem preocupar-se constantemente se os seus modelos económicos de tokens cruzam linhas vermelhas regulatórias.

De certa forma, a natureza "sem permissão" que as DeFi enfatizaram inicialmente está a evoluir gradualmente para outra forma de "sistema de permissão". Esta "permissão" não vem de uma empresa ou protocolo específico, mas de cada elo na cadeia de conformidade regulatória: listas AML, motores de controlo de risco de exchanges, a jurisdição de longo alcance das leis de valores mobiliários, e assim por diante.

III. As DeFi entram numa fase realista

Olhando para os altos e baixos das DeFi nos últimos anos, os dilemas de segurança e as pressões regulatórias das DeFi não existem de forma independente. A falta de uma estrutura regulatória clara torna difícil estabelecer um consenso da indústria sobre padrões de segurança; a ocorrência frequente de incidentes de segurança, por sua vez, fornece a justificação mais direta para as agências reguladoras globais apertarem a aplicação da lei; e a assimetria de segurança acelerada na era da IA, combinada com limiares de conformidade gradualmente mais apertados, entrelaçam-se, em última análise, para empurrar inúmeros utilizadores comuns para o centro da tempestade.

Essencialmente, os limites da auditoria de segurança e a rigidez da conformidade regulatória estão a erodir continuamente os dois pressupostos centrais sobre os quais as DeFi se baseiam — "o código é lei" e "liberdade sem permissão".

Hoje, os utilizadores suportam riscos técnicos mais elevados do que nas finanças tradicionais, mas podem não ganhar mais liberdade do que nas finanças tradicionais. É precisamente por isso que muitos participantes no mercado estão confusos. Descobrem que as DeFi não são tão seguras como os bancos nem tão completamente abertas como inicialmente prometido.

Quando um sistema perde simultaneamente prémios de segurança e prémios de liberdade, a sua lógica de crescimento será naturalmente desafiada. Portanto, a questão pode não ser "Os hackers e os reguladores destruíram as DeFi?"

Mais precisamente, os hackers e os reguladores simplesmente forçaram a indústria a confrontar a realidade. Os hackers fizeram as pessoas perceberem que o código não cria inerentemente confiança; os reguladores fizeram as pessoas perceberem que o mundo on-chain nunca operou como um universo paralelo desligado do mundo real.

Isto não significa o fracasso das DeFi. Pelo contrário, significa que esta experiência está a transitar de uma fase idealista para uma fase realista.

As DeFi não estão a ser destruídas por hackers ou reguladores. Estão a ser redefinidas pelas leis de sobrevivência moldadas por ambos: o futuro das DeFi deve mover-se em direção a uma autorregulação da indústria e estruturas de conformidade mais rigorosas, sendo forçado a comprometer os princípios de descentralização; ou perder gradualmente a confiança do mercado no desequilíbrio contínuo entre ataque e defesa, levando a uma marginalização a longo prazo.