Três eventos nas últimas 48 horas: uma ponte cross-chain explorada por reutilização de codificação de mensagens, uma front-end DeFi anunciando encerramento permanente após uma exploração em um vault a forçar sua saída de operação, e duas votações de governança da Uniswap ativas agora que ampliariam o mecanismo de queima de taxas do protocolo para novas cadeias e versões. Wanchain / Midnight: Em 20-21 de julho de 2026, o monitor Phalcon da BlockSec identificou uma exploração contra a ponte Wanchain de Cardano para BNB Chain, drenando aproximadamente 515,2 milhões de tokens NIGHT da tesouraria da ponte, valendo cerca de US$ 10 milhões aos preços vigentes. O ataque foi concluído em quatro transações dentro de uma janela de oito minutos. A BlockSec identificou a causa raiz como uma falha na codificação de mensagem assinada não injetiva no validador TreasuryCheck da ponte: o contrato Plutus V2 hashiza 14 campos de resgate de comprimento variável por concatenação bruta sem delimitadores, permitindo que diferentes combinações de campos produzam a mesma string de bytes e reutilizem a mesma assinatura. O atacante repetiu uma transação legítima da BSC autorizando aproximadamente 3.110 NIGHT para extrair aproximadamente 203 milhões de NIGHT em uma única resgate no lado Cardano, uma inflação de cerca de 65.000x por ambiguidade nos limites dos campos. Os tokens roubados foram encaminhados para carteiras do Cardano antes que cerca de 90% fossem liquidados por trocas em DEXs do Cardano. A Wanchain desativou a ponte. A Midnight Foundation confirmou que a blockchain Midnight e seu protocolo principal não foram comprometidos. NIGHT é o token de governança do Midnight e a fonte da DUST, o recurso da rede para transações e execução de contratos inteligentes. O Midnight lançou seu mainnet em março de 2026, e NIGHT permanece transferível publicamente, tornando os tokens mantidos na custódia da ponte uma superfície de ataque ativa independente da postura de segurança própria do Midnight. SummerFi: Em 20 de julho de 2026, https://t.co/SVnV4cvqcc e sua empresa de desenvolvimento https://t.co/SVnV4cvqcc Labs anunciaram formalmente o encerramento da plataforma após sete anos, citando uma exploração em 6 de julho no Lazy Summer Protocol como causa direta. A exploração manipulou dois vaults de USDC no mainnet do Ethereum em uma única transação atômica, extraíndo aproximadamente US$ 6,04 milhões ao inflar ativos relatados e iniciar um saque exagerado contra um flash loan de US$ 65,4 milhões. O ataque atingiu simultaneamente depósitos dos usuários, capital próprio do protocolo e as reservas da equipe, eliminando a margem operacional necessária para reconstrução. A interface https://t.co/SVnV4cvqcc e os canais de suporte ao cliente permanecem ativos até 31 de agosto de 2026. Após essa data, a responsabilidade por saques, remediação e operação contínua do protocolo passa totalmente para o Lazy Summer DAO. Nenhuma data de encerramento foi definida para o protocolo subjacente porque ele opera sob governança descentralizada separada. Os vaults do Lazy Summer encaminham depósitos por estratégias de empréstimo incluindo Aave e Morpho; o vetor específico de ataque foi uma falha de avaliação em um desses adaptadores de estratégia que mantinha valores NAV desatualizados. A CertiK atribuiu a exploração a um ataque por flash loan, enquanto a SummerFi a caracterizou como manipulação de NAV, e nenhuma reconciliação independente entre as duas contas foi publicada. O TVL pré-exploração estava entre US$ 22 milhões e US$ 25 milhões. Uniswap: Duas propostas de governança on-chain foram abertas em 19 de julho de 2026, com votação aberta até 26 de julho. A Proposta 100 ativaria taxas do protocolo em pools selecionados do Uniswap v4 em sete cadeias: Ethereum, Arbitrum, Base, BNB Chain, Polygon, Optimism e Robinhood Chain. As categorias de pools alvo são pools de taxa estática sem hooks, pools de leilão contínuo de liquidação e pools com hook agregador. A Proposta 99 estenderia as taxas dos protocolos v2 e v3 à Robinhood Chain, onde todas as três versões do Uniswap foram implantadas em 1º de julho de 2026. Ambas as propostas encaminham as taxas coletadas para o sistema TokenJar e Firepit burn estabelecido pela votação UNIfication de dezembro de 2025, onde as taxas se acumulam e só podem ser retiradas quando UNI equivalente for queimado. Essa ligação entre fluxo de taxas e redução da oferta é imutável após implantação e não pode ser alterada por governança subsequente. Em 19 de julho, cada proposta tinha aproximadamente 2,94 milhões de UNI a favor contra um limiar de quórum de 40 milhões de UNI, cerca de 7,4% do necessário. Um teste de temperatura realizado entre 7 e 12 de julho obteve 93% de apoio com 13,9 milhões de UNI votando a favor. A lacuna no quórum significa que a participação, não o sentimento, é a variável aberta até 26 de julho. A Robinhood Chain é uma cadeia Arbitrum Orbit, então a execução da governança nessa cadeia ocorre por meio de tickets reembolsáveis via sua Inbox e o alias L2 do Uniswap Timelock — uma dependência de roteamento que deve ser bem-sucedida para que o interruptor de taxas seja implantado on-chain nessa implementação.

Duas superfícies de operação DeFi falharam nas últimas 48 horas: uma comprometimento de assinatura de oracle em um exchange de perpétuos de ativos do mundo real e uma exploração de contabilidade de vault que forçou um protocolo de rendimento com sete anos de idade a encerrar completamente. Ostium / Arbitrum: Em 15 de julho de 2026, um atacante que detinha a chave privada de um assinante de oracle comprometida usou o forwarder PriceUpKeep registrado da Ostium para enviar relatórios autorizados de oracle com datas futuras contra o vault de perpétuos RWA do protocolo. O forwarder, um componente de automação legítimo, aceitou os relatórios como válidos porque a chave do assinante não havia sido revogada. O atacante abriu e fechou aproximadamente 20 operações em loop em uma única chamada executeBatch, cada rodada compreendendo a margem de aproximadamente US$ 1.000 até uma posição final que acionou um pagamento de aproximadamente US$ 18 milhões em USDC do vault de liquidez OLP. Blockaid e CertiK sinalizaram o esvaziamento, com estimativas de perda variando entre US$ 18 milhões e US$ 22 milhões, representando aproximadamente 28% do TVL do vault antes da exploração. A Ostium interrompeu imediatamente todas as negociações e recomendou aos usuários revogar as aprovações para todos os contratos do protocolo enquanto aguarda a investigação. Nenhum pós-mortem foi publicado e nenhuma data para retomada das negociações foi fornecida. O vetor de ataque não foi código de contrato inteligente. Foi a chave externa de assinatura que autorizava a entrega dos dados de preço, a mesma classe de infraestrutura que falhou no Bonzo Lend na Hedera e no Lazy Summer Protocol da https://t.co/SVnV4cvqcc no início deste mês. https://t.co/SVnV4cvqcc Labs: Em 16 de julho, https://t.co/SVnV4cvqcc Labs publicou um anúncio de encerramento confirmando que a empresa não tem um caminho viável para seguir após a exploração por flash-loan do Lazy Summer Protocol em 6 de julho. O atacante manipulou o valor patrimonial líquido de dois vaults de Ethereum USDC em uma única transação atômica, doando tokens do vault Silo Varlamore superavaliados para adaptadores de estratégia que haviam sido limitados para desativação, mas ainda permaneciam nos cálculos ativos do preço das ações. Um depósito ao preço real e uma resgate contra ativos líquidos ao preço inflado extraiu aproximadamente US$ 6,04 milhões: US$ 5,64 milhões do vault de menor risco USDC e aproximadamente US$ 400.000 do vault de maior risco. A equipe afirmou que uma parte significativa do próprio capital da empresa estava mantida nos vaults afetados, removendo o recurso necessário para financiar o trabalho de recuperação e as operações contínuas. A interface da https://t.co/SVnV4cvqcc e os canais de suporte permanecerão ativos até 31 de agosto de 2026. O Lazy Summer DAO, um corpo de governança separado, mantém o controle sobre o protocolo subjacente e está trabalhando para restaurar retiradas e resgates do vault independentemente do encerramento da empresa Labs. A https://t.co/SVnV4cvqcc operou por aproximadamente sete anos, surgindo da Maker Foundation em junho de 2021, e o Lazy Summer Protocol havia acumulado quase US$ 200 milhões em TVL durante seus primeiros nove meses antes da exploração encerrar sua operação comercial. Em conjunto, ambas as falhas remontam à mesma lacuna na camada operacional: infraestrutura privilegiada fora da cadeia, uma chave de assinatura de oracle e um cálculo de avaliação de vault, que estavam fora do código de contrato inteligente auditado, mas diretamente no caminho dos fundos dos usuários. Nenhum protocolo foi violado por meio da lógica de seu próprio contrato. Ambos terminaram com interrupções totais das negociações ou operações.

Três alterações na camada de protocolo nas últimas 48 horas: uma comprometimento do executor cross-chain ativo hoje, um hard fork do Cardano entrando na contagem regressiva final e o Aave V3 indo ao ar em um ZK rollup com limites iniciais restritos. LayerZero: Em 15 de julho, a PeckShield relatou que as carteiras do Executor da LayerZero foram comprometidas em oito redes, incluindo Ethereum, BNB Chain, Base, Arbitrum, Avalanche, Optimism, Mantle e Plasma, com aproximadamente US$ 2,4 milhões roubados. O atacante transferiu os recursos para o Ethereum e converteu a maioria dos ativos em 956 ETH e cerca de US$ 322.000 em USDC. O papel do executor na LayerZero gerencia a abstração de gás e a entrega de mensagens on-chain; uma comprometimento nessa camada afeta a execução de mensagens em todas as cadeias onde o executor estava ativo. A LayerZero ainda não publicou um relatório formal de incidente, e a causa raiz do acesso às carteiras não foi confirmada. Protocolos que utilizam o executor da LayerZero Labs como padrão devem tratar a entrega de execução nas cadeias afetadas como uma variável de risco aberta até que o pós-mortem seja publicado. Cardano: A iniciativa do hard fork Van Rossem foi ratificada no limite do epoch 642 em 13 de julho às 21:45 UTC, completando os limiares de votação exigidos pelo framework de governança Voltaire do Cardano para DRep, stake pool operator e Constitutional Committee. A implementação do hard fork está programada para 18 de julho às 21:45 UTC. A atualização ativa a Versão do Protocolo 11, um hard fork intra-era que atualiza o modelo de custo do Plutus para reduzir taxas de execução de contratos inteligentes, introduz novos primitivos criptográficos, impõe unicidade das chaves VRF e revisa as regras de entrada de referência. Desde a ratificação, 93% da produção atual de blocos já estava executando a versão 11 do node e a prontidão das exchanges, medida pela liquidez rastreada, havia atingido 84%. Qualquer stake pool operator, exchange ou serviço de infraestrutura ainda executando um node legado ficará fora de sincronia no bloco de implementação de 18 de julho. Este é o primeiro hard fork do Cardano executado inteiramente por meio da governança Voltaire on-chain, sem controle unilateral da IOG. Aave / zkSync Era: Em ou por volta de 10 de julho, o Aave DAO executou a proposta de ativação do Aave V3 no zkSync Era, listando cinco ativos iniciais: USDC, USDT, WETH, wstETH e ZK. O pool foi lançado com limites intencionalmente baixos de oferta e tomada emprestada — cerca de US$ 10.000 por ativo — para permitir testes internos antes que o Aave Guardian os aumente para níveis aprovados pela governança. A implantação utiliza o Aave v3.1 e foi reimplantada com a versão 1.5.3 do compilador zksolc após a identificação e correção de um problema anterior com dependência do compilador. A autoridade administrativa do pool permanece com o Aave Guardian durante o período inicial. A ativação segue a conclusão da avaliação técnica completa da infraestrutura da rede zkSync pela BGD Labs e a aprovação dos parâmetros dos ativos pelos provedores de risco. Construtores e protocolos no zkSync Era agora têm acesso à infraestrutura de empréstimo e garantia da Aave, com expectativa de aumento dos limites assim que o Guardian confirmar operação estável.

Quatro alterações ao nível do protocolo nas últimas 48 horas: dois upgrades de mainnet implementados, um teste de governança do Bitcoin aproximando-se de um prazo final crítico e uma falha de segurança de oracle em uma L1. NEAR Protocol: Em 10 de julho, o mainnet NEAR ativou a versão v2.13.0, implementando simultaneamente três alterações distintas na infraestrutura. O upgrade adicionou suporte a assinaturas pós-quânticas usando o algoritmo ML-DSA-65, finalizado pelo NIST, na camada de validadores. Também ativou a divisão automática de shards, permitindo que a rede redistribua dinamicamente a carga entre shards à medida que a congestão aumenta, sem exigir alterações manuais de parâmetros por meio da governança. A terceira alteração implementa o NEP-611, um novo sistema de chave de gás que permite que aplicações patrocinem taxas de transação de usuários, eliminando a necessidade de usuários finais possuírem NEAR para realizar transações. Stellar: Em 10 de julho, o mainnet Stellar implementou o Protocolo 27, denominado Zipper. O upgrade introduz credenciais de contrato inteligente e delegação de verificação de identidade de desenvolvedores. As credenciais permitem que contratos inteligentes armazenem e verifiquem atestações sobre contas ou endereços diretamente na blockchain, tornando a camada de contratos do Stellar utilizável para fluxos de trabalho sensíveis à conformidade sem depender de infraestrutura de identidade off-chain. O momento é notável: a DTCC selecionou o Stellar como camada de blockchain pública para seu piloto de títulos tokenizados, que está programado para iniciar operações limitadas de produção este mês. Bitcoin BIP-110: Em 12 de julho, o sinalização dos mineiros para o BIP-110 permanece abaixo de 1%, com um prazo inicial em agosto se aproximando. O BIP-110 imporia uma restrição de um ano sobre saídas OP_RETURN e outros métodos de transação que transportam dados não financeiros. A proposta utiliza um mecanismo de fork suave ativado por usuário, exigindo 55% de sinalização dos mineiros — significativamente abaixo do limiar tradicional de 95%. Michael Saylor e Adam Back se opuseram publicamente à medida. Com menos de 1% de apoio em todos os pools de mineração no horizonte do prazo, o BIP-110 está caminhando em direção a um fork de minoria, em vez de uma mudança universal na rede, mas o caminho UASF mantém o resultado formalmente aberto até o gatilho por altura do bloco. Bonzo Lend / Hedera: Em ou por volta de 12 de julho, o Bonzo Lend perdeu aproximadamente US$ 9,05 milhões após um atacante explorar uma falha de verificação em um contrato oracle de terceiros da Supra implantado na rede Hedera. O protocolo perdeu 77% de seu valor total bloqueado. O vetor de ataque foi o próprio contrato oracle, e não a lógica do protocolo de empréstimo, colocando a falha na camada de feed de preços e verificação, e não no contrato central do Bonzo. Hedera é uma DLT baseada em conta utilizada principalmente para casos de uso empresarial de liquidação, e Supra é um provedor oracle de terceiros. A falha adiciona mais um dado ao padrão identificado pela SlowMist em seu relatório semestral H1 2026: infraestrutura e sistemas cross-chain estão absorvendo uma parcela desproporcional das perdas em comparação com vulnerabilidades no código dos contratos inteligentes.

A IA acabou de tornar a memória de fatos gratuita e infinita. Portanto, a penalidade por esquecer detalhes caiu para zero. O premium sobre o que você realmente mantém — estrutura, julgamento, a pergunta certa — subiu muito. Se você se lembra como os problemas são resolvidos, mas não quem escreveu o livro: você foi feito para esta era.

Recentemente, ouvi os CEOs do DeepMind e Anthropic discutirem este experimento mental: imagine um novo país surgindo da noite para o dia com uma população de 10 milhões de pessoas, todas mais inteligentes do que Albert Einstein. O que aconteceria? Em outro podcast, o CEO da Microsoft descreveu um futuro no qual uma empresa poderia ter 2 milhões ou até 20 milhões de agentes de IA. Muitas pessoas não percebem que um “agente de IA” é na verdade apenas uma série coordenada de etapas. Por exemplo, gerenciar o lixo doméstico poderia envolver: 1. Um agente rastreando a localização da lixeira o tempo todo. 2. Outro monitorando o site da cidade de Cary em busca de alterações na programação. 3. Um terceiro configurando alertas caso algo seja atualizado. 4. Um quarto enviando uma mensagem de lembrete para um humano ou robô no dia da coleta. Esses agentes podem ser empilhados infinitamente em sistemas complexos. Quando as pessoas dizem “IA”, muitas vezes se referem a todo esse conjunto — os agentes, subagentes e regras que os conectam. Uma vez que tivermos agentes verdadeiramente capazes, eles projetarão e otimizarão esses sistemas por conta própria: criando os planos, procedimentos de contingência e ações (usando LLMs ou SLMs locais/pessoais). A próxima fase — autoaperfeiçoamento recursivo — já está próxima. Depois disso, o progresso se torna incontrolável e a vida fica muito estranha.

Avaliações falsas são 👎. Então eu criei o oposto. AudienceScore: um protocolo aberto onde cada avaliação é comprovada por um recibo criptográfico e cada pontuação é recalculável por qualquer um. Pontuações que ninguém pode comprar. Código aberto, construído para a era da IA. https://t.co/vtrLnObyP7 https://t.co/UEKutXieMo

Isso se tornará a nova realidade? https://t.co/gPdB5yZbY3

T. Rowe Price: A SEC aprovou a proposta de alteração regulatória da NYSE Arca em 14 de junho para listar e negociar ações do T. Rowe Price Active Crypto ETF, ticker TKNZ. O fundo gerido ativamente visa de 5 a 15 ativos digitais, incluindo Bitcoin, Ethereum, Solana e XRP, sem um índice fixo para acompanhar. A T. Rowe Price gerencia mais de US$ 1,8 trilhão em ativos. Nenhuma data de início de negociação foi confirmada — a aprovação da regra é uma condição prévia, não o lançamento em si. CFTC: A Divisão de Supervisão de Mercado emitiu uma carta de não-ação em 12 de junho, permitindo que mercados de contratos designados registrados na CFTC convertam futuros digitais de commodities de estilo perpétuo existentes em futuros perpétuos verdadeiros de commodities digitais, removendo as datas de validade. O alívio foi emitido após solicitações diretas da Bitnomial Exchange e da Coinbase Derivatives. As exchanges devem solicitar feedback dos participantes com posições abertas, fornecer aviso antecipado de pelo menos cinco dias corridos, permitir a saída das posições sob os termos existentes e certificar a conformidade com as Regras 40.5 ou 40.6 da CFTC. O alívio expira em 30 de junho de 2026. Ele não se aplica a plataformas no exterior ou a ativos que não sejam commodities digitais.

Duas alterações na infraestrutura de stablecoins foram implementadas em 25 e 26 de junho: um novo padrão de token nativo do protocolo foi lançado na Base, juntamente com duas falhas no sequenciador, e o Spark introduziu liquidez compartilhada para troca de stablecoins no Uniswap v4. Base: O fork Beryl foi ativado em 26 de junho às 18:00 UTC, introduzindo o B20, um padrão nativo do protocolo para emissores de stablecoins e ativos do mundo real. Os tokens B20 funcionam como precompilados em Rust dentro do software do node da Base, em vez de como contratos inteligentes implantados, e vêm com permissões baseadas em papéis, controles de cunhagem e queima, restrições de transferência, e ferramentas de congelamento e apreensão para emissores regulamentados. A atualização também reduziu o prazo padrão de retirada com uma única prova da Base para o ethereum de sete dias para cinco, e integra o Reth V2, que, segundo a Base, reduz o armazenamento do node em até 50 por cento. Em 25 de junho, horas antes do horário originalmente programado para o Beryl, a produção de blocos foi interrompida por aproximadamente duas horas após o bloco 47.806.542, quando um erro de consenso causou a entrada de um bloco inválido na pipeline de sequenciamento. A cadeia foi interrompida pela segunda vez em 26 de junho com a mesma assinatura, com os nodes presos no mesmo bloco. Ambas as interrupções exigiram reinícios manuais dos nodes para restaurar a sincronização no ecossistema. A causa raiz foi identificada, mas nenhum pós-mortem foi publicado. Como consequência, a habilitação no mainnet do Registro de Ativação do B20 foi adiada, sem nova data definida. Desenvolvedores não podem implantar tokens B20 até que o registro entre no ar. Spark / Uniswap: Em 25 de junho, o Spark implantou aproximadamente US$ 150 milhões em liquidez de stablecoins em dois pools do Uniswap v4 no mainnet do ethereum. Os pools emparelham o USDS da Sky contra o USDT da Tether e o PYUSD do PayPal. A estrutura foi projetada como infraestrutura de liquidação compartilhada, permitindo que bancos, fintechs e empresas de pagamento que entram na emissão de stablecoins acessem um único sistema agrupado, em vez de cada uma criar sua própria liquidez e gerenciamento de inventário isolados. O Spark atua como camada de orquestração que controla a governança de alocação; o Uniswap v4 fornece a arquitetura programável AMM. Um hook DualPool que permite que capital ocioso seja direcionado para estratégias de rendimento entre negociações está planejado para uma fase posterior, aguardando uma revisão de segurança separada.