Pontes entre blockchains: como funcionam e onde falham

Você tem ether na rede Ethereum e quer usar um aplicativo que roda em outra blockchain. Não dá para simplesmente “mandar” o ether para lá: cada rede mantém o próprio registro e não lê o registro das outras. Para atravessar, você usa uma ponte (do inglês bridge), um serviço que faz a ligação entre as duas redes.

Este texto explica como as pontes funcionam, por que elas concentram risco e quais falhas já provocaram perdas de centenas de milhões de dólares. As informações foram conferidas em 8 de outubro de 2026.

Por que as blockchains precisam de pontes

Cada blockchain funciona como um ambiente isolado. A documentação oficial do Ethereum descreve que as redes não conseguem, de forma nativa, trocar dados ou ativos entre si, e que as pontes existem justamente para conectá-las (ethereum.org, documentação).

O motivo prático é que cada rede tem pontos fortes diferentes, como custo, velocidade ou capacidade. Um usuário pode querer levar ether para uma rede de segunda camada, mais barata, ou usar um aplicativo que só existe em outra blockchain (ethereum.org).

O Banco de Compensações Internacionais (BIS) vê esse cenário com mais cautela. No relatório econômico anual de 2022, o banco classificou a fragmentação em muitas redes incompatíveis como uma falha estrutural do ecossistema cripto e afirmou que a interoperabilidade entre os registros não é alcançável na prática, porque cada blockchain mantém seu registro separado (BIS, 2022). As pontes são a forma encontrada para contornar essa separação.

Se quiser rever a base, veja Como funciona a blockchain do Bitcoin e O que é Ethereum e como funciona.

Como uma ponte move um token

Na maioria dos casos, nenhum token “viaja” de verdade. O que acontece é uma troca de registros nas duas redes. A documentação do Ethereum lista três métodos principais (ethereum.org, documentação):

• Travar e emitir (lock and mint): o ativo fica travado em um contrato ou com um custodiante na rede de origem, e uma representação dele é criada na rede de destino.
• Queimar e emitir (burn and mint): o ativo é destruído na origem e um novo é criado no destino.
• Troca atômica (atomic swap): você troca seu ativo com outra pessoa que já tem o ativo equivalente na outra rede.

A representação criada no destino costuma ser chamada de token embrulhado (wrapped token). O exemplo clássico é o WBTC, um token da rede Ethereum que representa bitcoin. O próprio ethereum.org ressalta que ele é uma versão do Bitcoin no Ethereum, e não o ativo original na blockchain do Bitcoin; para ter bitcoin de fato, é preciso fazer o caminho de volta pela ponte (ethereum.org).

Esse detalhe é central. O token embrulhado só vale o mesmo que o original enquanto a reserva do outro lado existir e puder ser resgatada. Se a reserva some, o token que está na sua carteira perde o lastro.

Em quem você precisa confiar

As pontes se diferenciam pela forma de confirmar que um depósito aconteceu na rede de origem. A documentação do Ethereum separa dois grandes grupos (ethereum.org, documentação):

• Pontes confiáveis (trusted): dependem de verificadores externos, como um grupo de chaves que precisa assinar em conjunto (multiassinatura), uma rede de oráculos ou sistemas de computação entre várias partes. Tendem a ser rápidas e baratas, mas você depende da segurança e da honestidade de quem opera.
• Pontes sem confiança adicional (trustless): usam as próprias redes conectadas e seus validadores para verificar as mensagens. Não acrescentam novas premissas de confiança além das blockchains envolvidas e, por isso, são consideradas mais seguras, em troca de limitações de velocidade ou de conexão.

O BIS observa que a maior parte das pontes depende de um número pequeno de validadores, nos quais os usuários precisam confiar (BIS, 2022). Em termos práticos: quem controla essas chaves controla a reserva.

Oráculos, que levam dados de fora para dentro da blockchain, seguem uma lógica parecida de confiança. O tema está em Oráculos: como o ativo físico chega à blockchain.

Por que as pontes viram alvo

O Conselho de Estabilidade Financeira (FSB) resume o problema: ao guardar ativos de uma rede e emitir tokens embrulhados em outra, a ponte cria repositórios que podem acumular grandes valores e que, por isso, se tornam alvos de roubo e desvio (FSB, 2023).

A Chainalysis, empresa de análise de blockchain, aponta dois motivos (Chainalysis, 2022):

1. Existe um fundo central que dá lastro aos tokens na rede de destino, esteja ele em um contrato inteligente ou com um custodiante.
2. O desenho de pontes ainda é um problema técnico em aberto, e a variedade de modelos cria novas brechas antes que existam boas práticas consolidadas.

Os números ajudam a dimensionar. Segundo estimativa da Chainalysis publicada em 2 de agosto de 2022, cerca de 2 bilhões de dólares haviam sido roubados em 13 ataques a pontes, a maior parte naquele ano, o que representava 69% de todos os fundos roubados em 2022 até aquela data (Chainalysis, 2022). É um recorte de meados de 2022, não um total atualizado.

Três falhas que ensinam muito

Os casos abaixo mostram que uma ponte pode falhar em pontos diferentes: nas chaves, na verificação ou numa atualização de código.

Chaves comprometidas: o roubo ligado ao Axie Infinity

Em 23 de março de 2022, um ataque contra um projeto de blockchain ligado ao jogo Axie Infinity levou quase 620 milhões de dólares, segundo o Departamento do Tesouro dos Estados Unidos. O Tesouro atribuiu o roubo ao Grupo Lazarus, ligado ao governo da Coreia do Norte (Tesouro dos EUA, 2022). A Chainalysis estimou que grupos ligados à Coreia do Norte haviam roubado cerca de 1 bilhão de dólares em 2022 até agosto, inteiramente de pontes e outros protocolos DeFi (Chainalysis, 2022).

A lição, na avaliação da redação: quando poucas chaves autorizam saques, quem obtém essas chaves pode esvaziar a reserva sem precisar quebrar nenhuma criptografia.

Verificação burlada: Wormhole

Em 2 de fevereiro de 2022, um atacante explorou a ponte Wormhole na rede Solana. Segundo a análise da empresa de auditoria CertiK, o programa verificava as assinaturas dos “guardiões” da ponte, mas lia os dados de uma conta fornecida pelo próprio atacante, sem confirmar que era a conta legítima do sistema. Com isso, assinaturas forjadas passaram na checagem e foram emitidos 120 mil ether embrulhados sem nenhum lastro. A Jump Trading, controladora do projeto, repôs os fundos (CertiK).

A lição: um único erro de validação permite criar tokens sem lastro, e quem segura esses tokens depende de alguém cobrir o rombo.

Atualização mal configurada: Nomad

Em 1º de agosto de 2022, a ponte Nomad perdeu cerca de 190 milhões de dólares. Segundo a CertiK, uma atualização de rotina deixou zerado um valor de referência usado na verificação, e o contrato passou a aceitar mensagens que nunca haviam sido comprovadas. Depois do primeiro ataque, outras pessoas e robôs simplesmente copiaram a transação, trocando o endereço de destino pelo próprio (CertiK).

A lição: atualizar um contrato também é um momento de risco, e uma falha pública pode ser explorada por qualquer pessoa em poucas horas.

O funcionamento e os limites do código que roda nessas pontes estão em O que são contratos inteligentes e como funcionam.

Os riscos que você assume ao usar uma ponte

A documentação do Ethereum lista riscos que vão além de ataques (ethereum.org, documentação; ethereum.org):

• Risco de código: uma falha no contrato inteligente pode levar à perda dos fundos.
• Risco de contraparte: em pontes confiáveis, os operadores podem bloquear transferências (censura) ou agir em conluio para desviar a reserva.
• Risco sistêmico: tokens embrulhados circulam em outros protocolos; se a ponte falha, o problema pode se espalhar para quem aceitou esses tokens.
• Risco operacional: falhas de software, ataques e erros humanos, inclusive do próprio usuário. O comportamento das pontes sob congestionamento ou reversões das redes ainda é uma questão em aberto.

O FSB inclui as pontes entre as fragilidades operacionais das finanças descentralizadas, por exporem usuários a interrupções e roubos (FSB, 2023). A IOSCO, que reúne reguladores de mercado de capitais, recomenda que quem oferece produtos DeFi dependentes de pontes seja obrigado a identificar, gerenciar e mitigar esses riscos (IOSCO, 2023). Isso é uma recomendação aos reguladores, não uma proteção que você já tem: em geral, não há fundo garantidor nem a quem recorrer quando uma ponte é esvaziada. Uma perda pode ser total.

Para o contexto mais amplo desses serviços, veja DeFi: o que são finanças descentralizadas.

Perguntas para fazer antes de atravessar

O ethereum.org afirma que as pontes ainda estão em estágio inicial de desenvolvimento e que o usuário precisa entender as concessões que cada uma faz (ethereum.org). Algumas perguntas ajudam:

• Quem valida as transferências? Um grupo pequeno de chaves, uma rede de oráculos ou as próprias blockchains?
• O que lastreia o token que vou receber? Ele é o ativo nativo da rede de destino ou uma versão embrulhada que depende de uma reserva?
• Quem pode alterar o contrato? Existe chave de administração capaz de atualizar o código a qualquer momento?
• O endereço é o oficial? Sites falsos são uma forma comum de golpe; veja Phishing em carteiras digitais: como se proteger.
• Por quanto tempo vou manter o token embrulhado? Enquanto ele estiver na sua carteira, você continua exposto à ponte.

O ethereum.org indica análises de risco independentes, como as do L2BEAT e do DefiLlama, como ponto de partida. Elas ajudam a comparar modelos, mas não eliminam o risco.

O que levar deste texto

Pontes existem porque blockchains não se comunicam. Na maior parte dos casos, elas guardam ativos de um lado e emitem uma representação do outro, o que cria reservas grandes e atraentes para ataques.

As perdas já registradas vieram de chaves comprometidas, verificações falhas e atualizações mal feitas. Antes de usar uma ponte, saiba em quem ela pede que você confie e lembre que o token embrulhado só vale enquanto a reserva do outro lado existir.