Proof of Work ou Proof of Stake: o que muda de fato

Uma blockchain pública não tem dono nem servidor central. Ainda assim, milhares de computadores precisam concordar sobre qual é a lista oficial de transações. O conjunto de regras que produz esse acordo se chama mecanismo de consenso.

Os dois mecanismos mais conhecidos são a prova de trabalho (proof of work, PoW), usada pelo Bitcoin, e a prova de participação (proof of stake, PoS), adotada pelo Ethereum desde 15 de setembro de 2022, data da atualização conhecida como The Merge (ethereum.org, The Merge). Este texto compara os dois em quatro critérios: segurança, finalidade, energia e descentralização. Não há aqui recomendação de qual moeda comprar; o objetivo é entender as trocas de cada desenho.

Para o contexto de cada rede, veja o que é Bitcoin e o que é Ethereum.

O problema que os dois resolvem

Sem um intermediário, alguém poderia tentar gastar a mesma moeda duas vezes, enviando versões conflitantes de uma transação para partes diferentes da rede. O consenso decide qual versão vale.

Há uma dificuldade extra: numa rede aberta, qualquer um pode criar quantas identidades quiser. Se cada endereço de internet valesse um voto, bastaria criar milhares de endereços para dominar a votação. O whitepaper do Bitcoin aponta exatamente esse risco (Nakamoto, whitepaper do Bitcoin).

A saída comum aos dois modelos é atrelar o “voto” a algo escasso e caro de obter:

• na prova de trabalho, poder de processamento, que custa hardware e energia;
• na prova de participação, moeda da própria rede, depositada como garantia.

Como funciona a prova de trabalho

No Bitcoin, mineradores competem para achar um número que, combinado com os dados do bloco, gere um hash abaixo de um alvo. Achar exige bilhões de tentativas; conferir exige um único cálculo. O passo a passo está em como funciona a mineração de Bitcoin.

O whitepaper resume a lógica como “uma CPU, um voto”: a cadeia válida é a que acumulou mais trabalho. Para alterar um bloco antigo, o atacante teria de refazer o trabalho desse bloco e de todos os seguintes, e ainda alcançar a rede honesta.

Essa intuição ganhou demonstração formal depois. Em 2014, Juan Garay, Aggelos Kiayias e Nikos Leonardos provaram que o núcleo do protocolo do Bitcoin mantém o registro consistente desde que o adversário tenha estritamente menos da metade do poder de processamento, em uma rede com boa sincronização. O mesmo trabalho mostra que essa margem diminui quando as mensagens demoram mais a circular (Garay, Kiayias e Leonardos, IACR ePrint 2014/765).

Como funciona a prova de participação

No Ethereum, quem valida blocos é chamado de validador. Para ativar um validador, é preciso depositar 32 ETH em um contrato e rodar três programas: um cliente de execução, um cliente de consenso e um cliente validador (ethereum.org, proof-of-stake).

O tempo é dividido em slots de 12 segundos, agrupados em épocas de 32 slots. Em cada slot, um validador é sorteado para propor o bloco. Comitês de outros validadores votam nele por meio de atestações, mensagens assinadas que dizem qual bloco cada um considera correto. Todo validador ativo atesta uma vez por época.

O que dá segurança ao sistema é a possibilidade de punição. Se um validador assina dois blocos para o mesmo slot ou dá votos contraditórios, ele sofre slashing: perde parte do depósito e é expulso da rede. Segundo a documentação, um validador punido isoladamente tende a perder menos de 0,1% do depósito, mas a penalidade cresce quando muitos são punidos ao mesmo tempo e pode chegar ao valor inteiro.

O protocolo usado hoje, chamado Gasper, combina duas peças descritas em artigos acadêmicos: o Casper FFG, de Vitalik Buterin e Virgil Griffith (2017), que marca blocos como finais, e uma regra de escolha de bifurcação chamada LMD-GHOST (Buterin e Griffith, arXiv; Buterin et al., “Combining GHOST and Casper”, arXiv).

O Ethereum não foi o único caminho. Em 2016, Aggelos Kiayias e coautores apresentaram o Ouroboros, descrito por eles como o primeiro protocolo de prova de participação com garantias de segurança rigorosas, comparáveis às do Bitcoin (Kiayias et al., IACR ePrint 2016/889).

Segurança: quanto custa atacar cada rede

Os dois modelos partem da mesma premissa: atacar deve custar mais do que se ganharia com o ataque. O que muda é de onde vem esse custo.

Na prova de trabalho, o custo é um fluxo

Para dominar o Bitcoin, um atacante precisa de mais poder de processamento do que todos os mineradores honestos somados. Isso significa comprar ou alugar máquinas e pagar energia enquanto o ataque durar.

O whitepaper calcula a chance de um atacante alcançar a cadeia honesta. Com 10% do poder de processamento, bastam 5 blocos de confirmação para que essa chance fique abaixo de 0,1%. Com 30%, são necessários 24 blocos. A probabilidade cai exponencialmente a cada bloco adicional.

Há duas ressalvas importantes na literatura acadêmica:

• A maioria pode não bastar. Ittay Eyal e Emin Gün Sirer mostraram em 2013 que um grupo de mineradores pode ganhar mais do que sua fatia justa retendo blocos encontrados, estratégia chamada de mineração egoísta (selfish mining). Segundo os autores, o protocolo do Bitcoin “não é compatível com incentivos”, e a correção que propuseram protegeria contra grupos com menos de 1/4 dos recursos, não 1/2 (Eyal e Sirer, arXiv).
• A segurança precisa ser paga continuamente. O economista Eric Budish argumenta que o pagamento recorrente aos mineradores precisa ser grande em relação ao ganho único que um ataque renderia. Na avaliação dele, isso é “muito caro” e impõe limites à importância econômica que o sistema pode alcançar. Budish observa que a restrição fica mais branda quando o hardware é especializado e sem outro uso, mas aponta riscos também nesse cenário (Budish, NBER Working Paper 24717, 2018).

Na prova de participação, o custo é um estoque

No Ethereum, o atacante precisa controlar uma fração do ether depositado pelos validadores. A documentação descreve três limiares (ethereum.org, proof-of-stake):

• Um terço: basta para impedir que blocos sejam finalizados.
• 51%: permite controlar a escolha da cadeia. A documentação afirma que, nesse caso, a comunidade pode ignorar a cadeia do atacante ou removê-lo e destruir seu depósito por coordenação social.
• Dois terços: permite finalizar blocos à vontade.

O ponto central é a punição. Para que dois blocos conflitantes sejam ambos finalizados, cada um precisaria de dois terços dos votos. Matematicamente, isso só acontece se ao menos um terço dos validadores votar nos dois, o que é infração punível. Por isso, segundo a página sobre o Gasper, reverter um bloco finalizado exigiria destruir ao menos um terço de todo o ether depositado (ethereum.org, Gasper). A página estimava esse custo em cerca de US$ 10 bilhões em maio de 2022; o valor varia com o preço do ether e o volume depositado.

Na avaliação da redação, a diferença de fundo é esta: na prova de trabalho, um atacante que fracassa ainda tem suas máquinas; na prova de participação, um ataque detectado pode custar o próprio capital usado para atacar.

Finalidade: quando uma transação vira definitiva

Finalidade é o momento em que uma transação não pode mais ser revertida.

No Bitcoin, ela é probabilística. Não existe um instante em que o bloco vira “oficial”; a chance de reversão apenas diminui a cada bloco empilhado em cima dele. A própria ethereum.org descreve assim a prova de trabalho que o Ethereum usava antes de 2022 (ethereum.org, proof-of-work).

No Ethereum atual, ela é explícita. No início de cada época há um bloco de controle (checkpoint). Quando validadores que somam dois terços do ether depositado votam nele, o bloco fica “justificado”; quando o próximo checkpoint também é justificado, o anterior é “finalizado”. Na prática, isso leva cerca de 15 minutos (ethereum.org, single slot finality).

Essa espera tem custos. A mesma página afirma que o intervalo entre propor e finalizar um bloco permite pequenas reorganizações da cadeia, que podem ser exploradas, e que o mecanismo em etapas é complexo e já recebeu várias correções. A proposta de finalizar cada bloco em um único slot está em fase de pesquisa, sem previsão de chegar antes de vários anos.

Se a finalização parar por mais de quatro épocas, entra em ação o vazamento por inatividade (inactivity leak): validadores que não votam com a maioria perdem depósito aos poucos, até que a maioria volte a somar dois terços e a cadeia volte a finalizar (ethereum.org, Gasper).

O custo escondido: a subjetividade fraca

Há uma troca menos conhecida. No Bitcoin, segundo o whitepaper, um nó pode sair e voltar à rede aceitando a cadeia com mais trabalho como prova do que aconteceu na ausência dele.

Na prova de participação, isso não basta. Validadores antigos que já sacaram o depósito poderiam, em tese, construir uma história alternativa desde muito tempo atrás sem nada a perder, o chamado ataque de longo alcance. Para evitar isso, um nó novo, ou que ficou muito tempo desligado, precisa partir de um checkpoint de subjetividade fraca: um estado recente que todos reconhecem como parte da cadeia, obtido de uma fonte confiável e conferido em exploradores de blocos ou em vários nós (ethereum.org, weak subjectivity). É uma dependência pequena de informação social que a prova de trabalho não tem.

Energia: a diferença mais visível

A prova de trabalho consome energia por desenho: o gasto é o que torna caro reescrever o histórico.

• Bitcoin: o Centro de Finanças Alternativas da Universidade de Cambridge estimou em abril de 2025 um consumo de 138 TWh por ano, cerca de 0,5% da eletricidade mundial. O número é extrapolado de dados informados por 49 empresas de mineração que cobrem 48% da atividade global (Cambridge Judge Business School).
• Ethereum depois da troca: a ethereum.org cita estudo de 2022 do Crypto Carbon Ratings Institute (CCRI) que estima a rede em cerca de 0,0026 TWh por ano e uma queda de mais de 99,988% no consumo de eletricidade com a mudança (ethereum.org, consumo de energia). A página sobre The Merge fala em cerca de 99,95% (ethereum.org, The Merge).

As estimativas variam com o método. A própria ethereum.org cita, em páginas diferentes, cerca de 70 TWh por ano (Digiconomist, julho de 2022) e 21 TWh por ano para o Ethereum antes da troca. Em qualquer dos números, a redução é de várias ordens de grandeza.

Os defensores da prova de trabalho respondem que esse gasto é o preço da segurança, e não desperdício; a discussão está detalhada no texto sobre mineração. A redação não toma partido: os números de consumo são estimativas, e o valor atribuído ao que eles protegem é uma questão de julgamento.

Descentralização: onde cada modelo concentra poder

Nenhum dos dois modelos garante, por si só, que o poder fique distribuído.

Na prova de trabalho, a concentração aparece nos pools de mineração. No último ano até 8 de outubro de 2026, os três maiores pools produziram cerca de 59% dos blocos do Bitcoin (Foundry USA, 28,3%; AntPool, 18,1%; F2Pool, 12,5%), e os cinco maiores, cerca de 77% (mempool.space, pools em 1 ano). Pools não são donos das máquinas de seus membros, que podem trocar de pool, mas são eles que montam os blocos. A ethereum.org lista essa tendência como uma das desvantagens da prova de trabalho, ao lado do investimento inicial em equipamento especializado.

Na prova de participação, a barreira de entrada é outra. Não é preciso hardware especializado: segundo a documentação, um validador roda em um notebook comum. Mas é preciso capital, 32 ETH para validar sozinho. Quem tem menos recorre a pools, a provedores de staking líquido ou a corretoras. A ethereum.org reconhece o risco: grandes provedores que concentram ether criam “um alvo centralizado e um ponto de falha”, e as corretoras são a opção com as maiores exigências de confiança (ethereum.org, staking).

Comparação resumida

Critério	Prova de trabalho (Bitcoin)	Prova de participação (Ethereum)
Recurso escasso	Poder de processamento e energia	Ether depositado (32 ETH por validador)
Custo de um ataque	Fluxo contínuo de hardware e energia	Estoque de capital, que pode ser destruído
Finalidade	Probabilística, cresce a cada bloco	Explícita, em cerca de 15 minutos
Energia	Estimada em 138 TWh/ano (Cambridge, 2025)	Estimada em 0,0026 TWh/ano (CCRI, 2022)
Ponto de concentração	Pools de mineração	Pools, provedores de staking e corretoras
Maturidade	Mais antiga e testada por anos, segundo a ethereum.org	Na rede principal do Ethereum desde setembro de 2022

Os riscos próprios de cada desenho

A documentação do Ethereum é franca sobre as desvantagens da prova de participação: ela é mais nova e menos testada em condições reais, e mais complexa de implementar (ethereum.org, proof-of-stake). Complexidade significa mais lugares para falhas sutis. A prova de trabalho, por sua vez, depende de que a recompensa aos mineradores continue alta o bastante para pagar a segurança, ponto levantado por Budish e discutido em halving do Bitcoin.

Para quem participa diretamente, os riscos também são concretos:

• Minerar exige equipamento que fica obsoleto rápido, energia paga em reais e recompensa paga em um ativo volátil.
• Fazer staking expõe ao slashing e a penalidades por ficar offline. Em pools e serviços terceirizados, soma-se o risco de contraparte, e tokens de staking líquido acrescentam risco de contrato inteligente (ethereum.org, staking). Se o serviço falhar ou for fraudulento, a perda pode ser total.

Em nenhum dos casos o mecanismo de consenso protege o preço do ativo. Uma rede tecnicamente segura pode ter sua moeda desvalorizada de forma forte e prolongada.

O que levar deste texto

• Prova de trabalho e prova de participação resolvem o mesmo problema, o de impedir que alguém domine o voto criando identidades falsas, atrelando o voto a um recurso caro.
• Na prova de trabalho, atacar custa um fluxo contínuo de energia e hardware. Na prova de participação, custa capital depositado, que pode ser destruído se a fraude for detectada.
• O Bitcoin oferece finalidade probabilística; o Ethereum finaliza blocos em cerca de 15 minutos, mas exige que nós novos partam de um checkpoint confiável.
• A prova de participação consome uma fração mínima da energia, mas é mais nova e mais complexa.
• Nos dois modelos, a concentração em poucos pools, provedores ou corretoras é o ponto de atenção mais prático para a descentralização.