A história evolutiva dos algoritmos de contrato: Uma década de contratos perpétuos, e o pano ainda não caiu

Autor: Danny

A 12 de março de 2020, Arthur Hayes, da BitMEX, tomou uma decisão que contrariou a tradição, mas salvou o mundo: cortou a ligação de rede aos seus próprios servidores (ou seja, desligou tudo). O comunicado público indicava que estava «a ser alvo de um ataque DDoS». Mas qual era a verdade?!

A verdade é que: restavam apenas 20 milhões de dólares em ordens de compra no livro de ordens, contra 200 milhões de dólares em ordens de venda pendentes para liquidação. Se a rede não tivesse sido interrompida, o preço do contrato de BTC teria sido reduzido a zero pelo próprio mecanismo de liquidação.

Naquele momento, todo o mercado de contratos perpétuos de criptomoedas estava a poucos minutos de um colapso sistémico.

Todos os mecanismos aparentemente «evidentes» dos contratos perpétuos atuais — preço de referência, liquidação por níveis, baseada em U, margem de carteira — tiveram de ser reformulados após esse momento.

Introdução: Um conceito que ficou adormecido durante vinte anos

Em 1993, Robert J. Shiller propôs um conceito peculiar de derivado — sem data de vencimento, sem necessidade de entrega física, com preços indexados a fontes de dados externas, em que tanto a parte compradora como a vendedora se pagam mutuamente a uma determinada taxa. A sua intenção era utilizá-lo para cobrir os riscos de liquidez no mercado imobiliário. Naquela época, tratava-se de um produto típico do tipo «academicamente elegante, mas praticamente impossível»: a infraestrutura de compensação das finanças tradicionais estava demasiado desatualizada e o quadro regulamentar era demasiado rígido, não havendo nenhuma bolsa disposta a aceitar um contrato que «nunca expirasse».

Essa ideia ficou adormecida na torre de marfim durante vinte e três anos.

A 13 de maio de 2016, a BitMEX desenterrou-o dos arquivos, abasteceu-o com Bitcoin e deu-lhe vida.

O contrato perpétuo XBTUSD lançado nesse dia passou despercebido, sem que ninguém imaginasse que, uma década mais tarde, viria a representar 93% do volume total de derivados do mercado de criptomoedas. Naquela altura, parecia mais uma experiência técnica — um brinquedo com alavancagem de 100x entregue a um grupo de geeks destemidos. Mas este instrumento passou por centenas de crises, liquidações, manipulações e iterações de regras manipuladas e remendadas ao longo da década seguinte, acabando por evoluir para uma máquina de fixação de preços global que processa um volume diário de quase 200 mil milhões de dólares.

Este artigo tem como objetivo responder a uma questão específica: Como é que cada engrenagem desta máquina veio a existir?

A resposta não é desenhada num quadro branco pelos engenheiros. Por trás de cada marcha há um desastre específico.

Capítulo 1: Génesis: O Pecado Original da Triade de Preços e dos Contratos Baseados em Moedas (2016–2018)

O conceito de Shiller na engenharia

O desafio fundamental que os contratos perpétuos enfrentam é único: sem uma data de vencimento, não existe um «ponto de convergência forçada». Os contratos de futuros tradicionais têm de regressar aos preços à vista na data de entrega, mas se os contratos perpétuos não forem concebidos com um mecanismo de ancoragem específico, os seus preços acabarão por cair numa pura deriva especulativa.

A solução da BitMEX consiste em três componentes interligados (Tríade de Preços):

1. Preço de referência: Obtida através da média ponderada dos preços de transação de várias bolsas spot externas, serve como a «âncora física» de todo o sistema. O princípio subjacente ao seu design é que, mesmo que fundos maliciosos consigam contaminar uma única fonte de dados, é difícil contaminar simultaneamente todas as fontes de dados.

2. Mark Price: Esta é a «âncora de liquidação». Baseia-se no preço do índice, adicionando uma base suavizada através da MME:

   Preço de referência = Preço do índice + EMA (Base)

   O mecanismo de liquidação apenas reconhece o preço de referência. Os «picos» instantâneos no livro de ordens serão suavizados pela EMA e não serão tidos em conta na determinação da liquidação — este é o mecanismo central contra a «caça aos picos».

3. Taxa de financiamento: Esta é a «gravidade» que faz com que o preço do contrato volte ao preço do índice:

   F = P + limite (I − P, −0,05%, +0,05%)

   Onde P é o índice de prémio e I é a componente de taxa de juro fixa (0,01 %). Quando o contrato está com prémio, F é positivo e os compradores pagam aos vendedores, aumentando o custo de assumir uma posição comprada; inversamente, quando está com desconto. A BitMEX definiu inicialmente que a liquidação ocorresse a cada 8 horas, com um limite único de ±0,75%.

Esta tríade parece simples e elegante, mas cada parâmetro esconde um pressuposto implícito. A taxa de juro fixa de 0,01% reflete a avaliação económica de que «manter stablecoins apresenta uma ligeira vantagem em termos de juros em relação à detenção de ativos criptográficos» — esta é também a origem do efeito posteriormente conhecido como «âncora estrutural». O ciclo de liquidação de 8 horas é um compromisso entre a liquidez do mercado e a capacidade de processamento do servidor. O limite de ±0,75 % é uma estimativa relativamente conservadora do que se entende por «desvio extremo».

Estas premissas aplicam-se quando o mercado está estável. Mas o mercado nunca permanece estável por muito tempo.

A faca de dois gumes dos contratos reversíveis baseados em moedas

Os primeiros contratos perpétuos enfrentavam uma limitação real: o ecossistema das stablecoins ainda não estava maduro. A circulação do USDT só ultrapassou os 2 mil milhões de dólares no início de 2018, o que estava longe de ser suficiente para cobrir os requisitos de margem do mercado de derivados. Os negociadores só tinham BTC em sua posse e só podiam utilizar BTC como margem.

Isso deu origem aos «contratos de reverso baseados em moedas» — contratos cujo preço é fixado em dólares americanos, mas cuja margem e lucros/perdas são liquidados em BTC. A fórmula do lucro é não linear:

PNL (BTC) = Contratos x (1 / Entrada - 1 / Saída)

Num mercado em alta, as posições compradas beneficiam tanto dos lucros dos contratos (aumento da quantidade de BTC) como da valorização do próprio BTC, criando um duplo efeito multiplicador — este foi o motor que deu origem a inúmeros mitos de enriquecimento nos primórdios. Mas os lucros e as perdas têm a mesma origem: numa queda brusca, as perdas nos contratos e a depreciação das margens ocorrem em simultâneo, formando uma «espiral da morte». Uma posição longa com alavancagem de 10x, quando o BTC desce 10%, não só incorre numa perda flutuante de 100% no contrato, como o valor fiduciário da margem também diminui 10% — este duplo golpe aciona o mecanismo de liquidação muito mais rapidamente do que os modelos teóricos sugerem.

(Nota: Baseado em moedas vs. baseado em U: Uma comparação do desfecho da mesma posição — posição longa em BTC com alavancagem de 10x, com uma queda de 10% no preço

Esta falha foi contida em 2020, mas foi em agosto de 2018 que, pela primeira vez, causou verdadeiro pânico no mercado.

Lição 1: Os 50 000 BTC da OKEx e a «recuperação socializada»

Em 3 de agosto de 2018, surgiu uma enorme posição longa com um valor nominal de cerca de 50 000 BTC (aproximadamente 360 milhões de dólares na altura) no contrato de futuros trimestral de BTC da OKEx (agora OKX). O detentor desta posição cometeu claramente um grave erro de avaliação do mercado — os preços do BTC caíram drasticamente, acabando por atingir o seu limite de liquidação. (Referência: Anúncio da OKEx sobre o tratamento de posições anormais

Naquele momento, o sistema de controlo de risco da OKEx enfrentou um dilema:

• A liquidação ao preço de mercado significou despejar 50 000 ordens de venda de BTC num mercado com uma profundidade média diária de apenas algumas centenas de milhões de dólares. Isso iria desestabilizar instantaneamente o livro de ordens, fazendo com que o preço de liquidação fosse muito pior do que o preço de falência (a perda resultante da diferença entre esses preços seria suportada pela bolsa) e desencadearia uma onda de liquidações de posições de pequena e média dimensão através de uma reação em cadeia.

• Não proceder à liquidação significava violar as regras e minar a credibilidade do sistema.

A OKEx acabou por optar pela «ferramenta padrão» do setor na altura — o «Socialized Clawback»: distribuir as perdas sistémicas causadas por esta liquidação em massa proporcionalmente entre todos os negociadores que obtiveram lucros nessa semana. Naquela semana, muitos investidores que apostaram na queda do mercado lucraram, mas viram os seus lucros serem proporcionalmente reduzidos pela bolsa.

A reação da comunidade foi de indignação.

O problema deste mecanismo é que transfere o risco dos «assumidores de risco» para os «inocentes». Um trader que tenha lucrado com uma posição curta em ETHBTC pode ver os seus lucros deduzidos devido à liquidação de uma posição longa em BTC que não tenha qualquer relação com ele — isto viola os princípios éticos mais básicos da negociação: cada um é responsável apenas pelas suas próprias decisões.

Este incidente levou diretamente à implementação de três reformas no setor:

1. Apresentamos os limites de posição. A posição de um único utilizador não pode exceder uma determinada proporção da capacidade do mercado — eliminando assim, na origem, o risco de «demasiado grande para falir».

2. Criar um fundo de seguro com dimensão suficiente para absorver as perdas decorrentes da liquidação, em vez de as distribuir pelos utilizadores.

3. ------Esta é a parte verdadeiramente emocionante da história------A OKEx foi obrigada a abandonar o sistema de recuperação socializada e a recorrer ao sistema de liquidação automática (ADL), que já tinha sido criado e validado pela Huobi anos antes.

Há um pormenor histórico que é frequentemente ignorado: O ADL não foi criado pela BitMEX; foi criado pela Huobi. Já em 2014-2015, a Huobi (juntamente com a OKCoin, na altura) dominava o mercado de contratos de futuros com entrega de criptomoedas. Foi durante esse período que a Huobi concebeu um algoritmo de liquidação automática baseado na «percentagem de lucro × alavancagem efetiva» para resolver o problema da distribuição justa das perdas decorrentes da liquidação. Quando a BitMEX lançou o contrato perpétuo XBTUSD em 2016, o seu mecanismo ADL era uma cópia direta do modelo da Huobi, com alguns pequenos ajustes — isto foi explicitamente reconhecido no próprio blogue oficial da BitMEX (no artigo de 2025 intitulado «Adapt or Die»):

«Copiámos o mecanismo ADL da Huobi, mas fizemos alguns ajustes.»

A diferença fundamental entre o ADL e o clawback reside na precisão da distribuição das perdas. O clawback é um fundo comum, no qual todos os participantes lucrativos partilham o encargo. Por outro lado, o ADL baseia-se num algoritmo de classificação orientado com precisão:

Pontuação no ranking = PNL % / % efetiva

Apenas as contas que «utilizam a maior alavancagem e obtêm os maiores lucros flutuantes» serão liquidadas à força, utilizando as suas posições lucrativas para absorver as ordens de liquidação do utilizador em situação de falência. Os investidores comuns, com baixa alavancagem e lucros reduzidos, não são afetados.

(Nota: Recuperação socializada vs. ADL: Duas filosofias de distribuição de perdas durante a mesma crise de liquidação)

Antes de 2018, tanto a BitMEX como a Huobi já tinham adotado a ADL. Apenas a OKEx insistiu na recuperação socializada, mais simples e mais drástica — até que aquela posição de 50 000 BTC levou todo o sistema à beira do colapso, obrigando-a a mudar para o ADL posteriormente. A partir daí, a cláusula de recuperação passou a fazer parte do passado.

Esta história tem uma implicação bastante esclarecedora: na evolução dos derivados de criptomoedas, a inovação mais importante nos mecanismos de compensação foi concretizada por uma bolsa chinesa antes de a BitMEX ter inventado o contrato perpétuo. A BitMEX goza de um estatuto histórico como inventora do contrato perpétuo, mas um dos principais mecanismos de controlo de risco que permite que os contratos perpétuos tenham sobrevivido até aos dias de hoje foi, na verdade, inventado pela Huobi.

Fundo de Seguros: A primeira linha de defesa contra perdas por liquidação

Mas a ADL não é nem deve ser o principal mecanismo de repartição de prejuízos. A essência do ADL consiste em «liquidar à força as posições dos negociadores lucrativos» em situações extremas — o que continua a ser uma intervenção indesejada para um negociador que mantém há muito tempo uma posição lucrativa. Um sistema de controlo de risco eficaz deve dispor de uma reserva para absorver as perdas antes de se ativar o ADL.

Esta reserva é designada por Fundo de Seguro.

A lógica subjacente ao fundo de seguro é extremamente simples: recorre a um «dividendo» estrutural durante o processo de liquidação. Quando a posição de um utilizador é liquidada à força, o mecanismo de liquidação deve processar essa posição ao preço de mercado atual. No entanto, o preço de liquidação da bolsa não corresponde ao preço a partir do qual a conta do utilizador fica a zero (o preço de falência). Existe uma diferença de preço entre os dois:

Entrada de fundos do seguro = Preço de liquidação - Preço de falência

Por exemplo: uma posição longa com alavancagem de 100x aberta quando o BTC estava a 50 000 $. Quando o BTC desce para 49 500 $ (cerca de -1 %), a margem de manutenção da conta esgota-se, mas o mecanismo de liquidação entra em ação a partir dos 49 600 $. O preço de falência da conta é de 49 500 $ e o preço de liquidação é de 49 600 $ — a diferença de 100 $ não é devolvida ao utilizador (o utilizador já «liquidou a zero»), nem é contabilizada na demonstração de resultados da bolsa, mas é integralmente transferida para o fundo de seguro.

Este mecanismo cria um equilíbrio estrutural subtil: na maioria das condições normais de mercado, o preço de liquidação dos utilizadores em processo de liquidação é superior ao preço de falência quando a liquidez do mercado é suficiente, o que permite injetar continuamente fundos no fundo de garantia. O volume do fundo cresce como uma bola de neve. Quando surgem condições de mercado extremas e ocorrem perdas por liquidação, o fundo é o primeiro a arcar com os custos, e os utilizadores com resultados positivos não precisam de se aperceber da existência dessas perdas. A ADL só será acionada quando o fundo estiver completamente esgotado e ainda assim for insuficiente para cobrir as perdas de liquidação.

Este é o sistema de defesa em três camadas habitualmente utilizado pelas bolsas modernas de derivados de criptomoedas.

Se a primeira camada for suficientemente espessa, raramente se toca na segunda; se a segunda camada for suficientemente precisa, todos ficam satisfeitos. O montante do fundo de garantia das principais bolsas centralizadas (CEX) atuais (Binance, OKX, Bybit, Bitget, etc.) situa-se normalmente entre centenas de milhões e mais de mil milhões de dólares — o que é suficiente para absorver a grande maioria dos cenários de liquidação. De acordo com dados públicos, o fundo de seguro de contratos da Binance tem-se mantido há muito tempo num nível de 500 a 800 milhões de dólares até ao início de 2026; o fundo de seguro de contratos perpétuos em USDT da Bybit também se mantém acima dos 400 milhões de dólares.

O fundo de seguro tem outra dimensão importante: é uma ferramenta de transparência. Uma vez que as variações no saldo do fundo de garantia refletem diretamente a «frequência de eventos de liquidação extremos» no mercado, as principais bolsas (Binance, OKX, Bybit) divulgam publicamente a curva histórica do fundo de garantia. A curva de variação do saldo do fundo é, de certa forma, um barómetro da saúde do mecanismo de liquidação dessa bolsa. Um saldo do fundo em constante aumento indica liquidações tranquilas e pouco frequentes; uma queda acentuada revela que o mecanismo de liquidação enfrentou uma falha de liquidez durante uma situação de mercado extrema.

Análise do nó histórico:

• 2015-2017: As primeiras bolsas (BitMEX, OKCoin, Huobi) já tinham introduzido protótipos de fundos de garantia, mas a sua dimensão era reduzida.

• Incidente da OKEx de 50 000 BTC em 2018: O fundo de garantia foi discutido sistematicamente no setor pela primeira vez — se a OKEx tivesse criado um fundo de garantia suficientemente grande naquela altura, esta perda de liquidação de 400 milhões de dólares poderia ter sido absorvida pelo fundo, sem necessidade de recorrer a uma recuperação socializada. Após este incidente, o fundo de seguros foi reconhecido como uma infraestrutura essencial no setor.

• 2019-2020: As principais bolsas começaram a divulgar publicamente os dados relativos aos fundos de seguro, como forma de demonstrar a transparência no controlo de riscos.

• 12 de março de 2020 (312): O fundo de seguros enfrentou o teste de resistência definitivo. Nesse dia, os fundos de seguro da Binance e da Bybit registaram saídas líquidas de dezenas de milhões de dólares num único dia, mas a dimensão foi suficiente para absorver a maior parte das perdas decorrentes das liquidações, evitando o desencadeamento em grande escala do ADL — esta foi a parte mais crítica do «desastre que não aconteceu» durante o incidente 312.

• Colapso da FTX em 2022: Um contraexemplo. Há muito que se suspeitava que o «fundo de seguro» da FTX fosse um valor fictício, sendo a sua dimensão real longe de ser suficiente para cobrir a exposição ao risco dos seus contratos, acabando por não proporcionar qualquer margem de segurança durante o colapso.

• 2024-2026: A dimensão do fundo de garantia tornou-se um dos aspetos da competição em termos de «poder duro» entre as principais bolsas, tendo algumas delas chegado mesmo a disponibilizar endereços de saldo do fundo verificáveis em tempo real na cadeia de blocos.

O fundo de seguro pode parecer um pequeno elemento de engenharia financeira, mas a sua posição no sistema de controlo de risco dos contratos perpétuos é extremamente crucial — transforma a «liquidação» de um desastre ao nível do utilizador num acontecimento rotineiro que pode ser absorvido ao nível do sistema. Sem o fundo de seguro, cada liquidação implica um diálogo com a ADL; com a