Como investigar a segurança de um protocolo DeFi

Antes de depositar recursos em um protocolo de finanças descentralizadas (DeFi), muita gente olha só o rendimento anunciado e o volume depositado. Nenhum dos dois diz se o protocolo é seguro. Este texto propõe um roteiro de perguntas para você investigar por conta própria, com base em documentação técnica pública e em relatórios de reguladores.

Um aviso antes de começar: seguir este roteiro não transforma um protocolo em investimento seguro. Ele ajuda a enxergar riscos que costumam ficar escondidos atrás da interface. A redação não recomenda protocolos, ativos nem empresas. O que é DeFi e quais riscos gerais ele traz está em DeFi: o que são finanças descentralizadas.

Por que a pergunta vai além do código

O Conselho de Estabilidade Financeira (FSB), que coordena reguladores do G20, lista entre as fragilidades operacionais do DeFi a governança, a dependência da blockchain de base, os contratos inteligentes, os oráculos e as pontes. Sobre os contratos, o relatório nota que o código é amplamente reaproveitado, de modo que contratos aparentemente independentes podem ter as mesmas vulnerabilidades, e que uma transação errada ou fraudulenta em geral não pode ser desfeita (FSB, 2023).

A lista OWASP Smart Contract Top 10, edição 2025, aponta na mesma direção. Os dois primeiros itens são falhas de controle de acesso e manipulação de oráculos de preço; ataques com empréstimos-relâmpago (flash loans) aparecem em sétimo (OWASP). Ou seja: parte relevante do risco está em quem controla o sistema e no ambiente econômico em que ele opera, não só em linhas de código.

Por isso o roteiro abaixo tem seis etapas, do mais verificável ao mais subjetivo.

Etapa 1: o código está publicado e confere com o que roda

Um contrato na blockchain é armazenado em formato de máquina (bytecode). Para ler o que ele faz, você precisa do código-fonte, e precisa saber que o código-fonte mostrado é de fato o que está em uso.

É isso que a verificação de código-fonte faz: recompila o código publicado com as mesmas configurações e confere se o resultado bate com o bytecode no endereço do contrato. Segundo o ethereum.org, exploradores de blocos como o Etherscan mostram um selo de “verificado” quando há correspondência. A mesma página explica que essa correspondência costuma ser parcial (comentários e nomes de variáveis não mudam o bytecode) e que serviços como o Sourcify permitem correspondência completa.

O que checar:

• os endereços dos contratos estão listados na documentação oficial do protocolo?
• cada endereço aparece como verificado em um explorador de blocos?
• se um contrato não tem código verificado, trate isso como um sinal de alerta. Você não tem como saber o que ele faz.

Etapa 2: quem pode mudar o contrato

Esta é, na avaliação da redação, a etapa mais importante. A maioria dos protocolos tem funções administrativas: pausar, mudar parâmetros, emitir tokens ou trocar a lógica inteira. O que são esses poderes e onde está o risco está explicado em Contratos inteligentes com chave de administrador.

O que checar:

• O contrato é atualizável? Contratos atualizáveis usam um intermediário (proxy) que aponta para o código de lógica. Exploradores de blocos costumam indicar quando um contrato é proxy e qual é a implementação atual. O ethereum.org lembra que, nesse caso, você confia que os desenvolvedores não vão mudar o contrato de forma arbitrária.
• Quem é o dono ou administrador? Um endereço comum (uma única chave), uma carteira de assinatura múltipla ou um contrato de governança? O ethereum.org trata o dono único como ponto único de falha (Smart contract security).
• Se for multisig, quantas assinaturas de quantos signatários? E os signatários são identificados?
• Há prazo de espera (timelock)? Qual a duração? Segundo a OpenZeppelin, o atraso existe para dar aos usuários tempo de revisar a operação e sair do sistema. Um timelock de minutos não cumpre esse papel.
• Quem pode pausar, e o que fica bloqueado quando pausa? Saques congelados são um risco para você, mesmo quando a pausa é bem-intencionada.

Muitas dessas informações deveriam estar na documentação do protocolo. Quando estão, confira no explorador de blocos se batem.

Etapa 3: auditorias, recompensas e histórico

Um protocolo que diz ter sido auditado deve publicar o relatório completo. Como ler esse relatório (data, versão revisada, escopo, falhas não corrigidas) está em Auditoria de smart contracts: método e limites. Aqui, três perguntas complementares:

• A auditoria cobre o código em uso hoje? Se o contrato foi atualizado depois, a versão nova pode não ter sido revisada.
• Há programa de recompensa por falhas (bug bounty)? O ethereum.org o recomenda como camada adicional, com prêmios proporcionais ao valor em risco.
• O protocolo já sofreu incidentes? Procure o relatório do próprio protocolo sobre o caso (post-mortem): o que falhou, se os usuários foram ressarcidos e o que mudou depois. Um incidente bem explicado e corrigido diz algo diferente de um incidente silenciado.

Etapa 4: de que o protocolo depende

Um protocolo pode ter código impecável e quebrar por causa de uma peça externa. O FSB lista como dependências críticas os oráculos, as pontes e a própria blockchain.

• Oráculos de preço: de onde vem o preço que o protocolo usa para liquidar garantias? Uma fonte única, fácil de manipular com uma operação grande, é um risco conhecido. O tema está em Oráculos: como o ativo físico chega à blockchain.
• Pontes: se os ativos depositados são versões “embrulhadas” de tokens de outra rede, o valor deles depende da ponte que os emitiu. Veja Pontes entre blockchains: como funcionam e onde falham.
• Stablecoins: se o protocolo depende de uma stablecoin, a perda de paridade dela atinge você. Veja O que são stablecoins e como mantêm seu valor.
• Outros protocolos: o FSB descreve a composabilidade, a montagem de um protocolo sobre outro, como fonte de interligação e contágio. Se o protocolo deposita seus recursos em terceiros, os riscos deles também são seus.

Etapa 5: governança e incentivos

Muitos protocolos são governados por votação de detentores de um token. O FSB observa que o poder de voto costuma ser extremamente concentrado, que a participação pode ser baixa e que tokens de governança podem ser adquiridos, inclusive com empréstimos-relâmpago, para influenciar uma votação ou aprovar uma proposta maliciosa.

O que checar:

• quanto dos tokens de governança está com a equipe, investidores iniciais ou poucos endereços? Os conceitos para essa análise estão em Tokenomics: como analisar antes de avaliar um projeto.
• qual o quórum para aprovar uma mudança, e há prazo entre aprovação e execução?
• existem “guardiões” com poder de veto ou de pausa? O FSB cita esse tipo de figura como indicador de concentração de poder.

Como funcionam as votações e por que elas nem sempre são descentralizadas está em O que é uma DAO e como funciona sua governança.

Etapa 6: a interface e a sua carteira

Parte dos ataques não toca no protocolo. Sites falsos que imitam o original pedem que você autorize a carteira e esvaziam os fundos. Acesse o protocolo só por endereços confirmados na documentação oficial, leia o que está assinando e revise as permissões que já concedeu. O passo a passo está em Phishing em carteiras digitais: como se proteger.

Lembre também que, ao usar um protocolo diretamente, em geral não há fundo garantidor nem empresa identificável a quem recorrer. O FSB registra a incerteza sobre que proteções existem depois de uma perda, porque pode ser difícil identificar uma parte juridicamente responsável.

Como usar o resultado

Ao final, você terá uma lista de respostas, algumas tranquilizadoras, outras não. Na avaliação da redação, três respostas pesam mais do que as outras:

1. código não verificado;
2. atualização ou emissão controlada por uma única chave, sem prazo de espera;
3. dependência de um oráculo ou de uma ponte frágil para o ativo que você vai depositar.

Qualquer uma delas significa que a segurança do seu dinheiro depende, em grande parte, de pessoas e peças que você não controla. Isso não prova que haverá perda, mas indica onde ela pode acontecer.

O que levar deste texto

• Investigar um protocolo DeFi é verificar código publicado, poderes administrativos, auditorias, dependências, governança e a interface que você usa.
• As perguntas mais reveladoras são sobre controle: quem pode mudar o contrato, quantas pessoas precisam concordar e quanto tempo você tem para sair.
• O roteiro reduz surpresas, não risco a zero. Protocolos auditados e bem governados também já falharam, e o valor depositado pode ser perdido por completo.