DeFi: o risco muda de natureza, não de tamanho

Onde mora o risco em cada modelo

Vale colocar lado a lado, porque a comparação é o conteúdo.

Com intermediário, o risco é de contraparte. Alguém guarda o seu ativo e pode falhar — por má gestão, por decisão comercial, por ordem judicial, por encerrar a operação. Em troca, existe alguém para procurar: suporte, ouvidoria, regulador, tribunal. O caminho é lento e existe.

Sem intermediário, o risco é de execução. O contrato faz o que foi programado para fazer, para todo mundo, sempre. Não erra no sentido comum da palavra — cumpre. O problema aparece quando o que ele cumpre não é o que você achou que ia acontecer, e nesse caso não há erro para reclamar.

Daí decorre a diferença prática que ninguém escreve com todas as letras: no primeiro modelo o resultado ruim pode ser revertido por alguém; no segundo, não pode ser revertido por ninguém, inclusive por quem escreveu o contrato.

O mecanismo mais concreto: a permissão que continua valendo

Falar de risco em abstrato é fácil. Este é o caso concreto, e ele tem especificação pública.

Para uma aplicação mover um token seu, você assina uma autorização. O padrão ERC-20, que define como a maioria dos tokens funciona, descreve isso de forma direta: a aprovação permite ao autorizado sacar da sua conta múltiplas vezes, até o limite concedido.

Duas consequências que a maior parte das pessoas não deduz na hora de assinar:

- a autorização não expira com a operação. Ela vale até ser alterada, e quem a concedeu precisa agir para revogá-la; - o limite pode ser maior que a operação. É comum a interface propor uma autorização ampla para poupar assinaturas futuras, e o valor proposto não é a quantia daquela transação.

Isso não é falha de segurança: é o padrão funcionando. E é exatamente o que a frase de abertura descreve — o código fazendo o que diz, e o que diz não sendo o que você entendeu.

Esta página não indica ferramenta de revogação, porque não avaliamos nenhuma individualmente. Saber que a permissão persiste já muda a decisão de conceder.

O que "descentralizado" não garante

A palavra carrega mais promessa do que sustenta, e três recortes valem a pena.

Não garante ausência de dono. Muitas aplicações mantêm chaves administrativas capazes de pausar, atualizar ou alterar o contrato. Quando existem, o modelo é misto — e a existência delas é verificável, porque o contrato é público.

Não garante que o código esteja certo. Auditoria é revisão feita por gente, com escopo e data. Reduz a chance de defeito; não a elimina, e não cobre o que foi alterado depois.

Não garante que a interface seja o contrato. O site é uma camada por cima. Duas interfaces diferentes podem apontar para contratos diferentes, e o que você assina é o contrato, não a página.

O que "descentralizado" garante, e é real: a regra é pública e igual para todos, e ninguém pode aplicá-la de forma diferente para você. É uma propriedade forte, e é diferente de segurança.

O que acontece depois de uma perda

Aqui está a parte que quase nenhuma página do topo escreve, porque não cabe no enquadramento de produto.

No modelo com intermediário existe um processo: canal de atendimento, prazo, escalonamento, órgão de defesa do consumidor, regulador, judiciário. Ele pode ser lento e pode terminar mal, mas é previsível — você sabe qual é o próximo passo antes de precisar dele.

No modelo sem intermediário não existe processo. Existe improvisação, e ela às vezes funciona: negociação pública com quem tirou os fundos, votação da comunidade sobre reembolso, contribuição de outros participantes para cobrir o rombo, empresas de rastreamento acionadas por conta própria.

Vale olhar o que isso significa, porque é contraintuitivo nas duas direções.

Primeiro: recuperação acontece, e quem descreve DeFi como perda garantida está exagerando. Segundo, e mais importante: nada disso é garantia. Cada um desses caminhos depende de haver alguém disposto a organizar a resposta, de o valor ser grande o bastante para mobilizar atenção, e de quem tirou os fundos ter algum motivo para negociar. São condições, não direitos.

O nome honesto para isso é: um modelo construído para dispensar contraparte acaba improvisando uma contraparte quando algo dá errado — e a improvisação não tem prazo, não tem critério declarado e não trata todo mundo igual. É o oposto exato da propriedade que o modelo oferece quando tudo funciona.

O que dá errado

Assinar autorização ampla por padrão. É a origem da maior parte das perdas que não envolvem chave roubada. O limite proposto pela interface é escolha dela, não exigência da rede.

Confundir auditoria com garantia. "Auditado" informa que alguém revisou uma versão do código em alguma data. É informação útil e não é seguro.

Tratar rendimento anunciado como taxa contratada. Em DeFi o número exibido costuma ser derivado de condições que mudam a cada bloco. Não é promessa de ninguém, porque não há ninguém prometendo.

Esperar suporte. Não existe canal, não existe estorno e não existe exceção. Quem construiu a aplicação normalmente não tem poder técnico para desfazer o que o contrato executou.

Achar que autocustódia e DeFi são a mesma decisão. São duas. Guardar a própria chave é uma; autorizar um contrato a mover seus ativos é outra, e a segunda reintroduz uma dependência que a primeira tinha eliminado.

Limites desta página

Não nomeamos protocolo, aplicação, rede ou token, e não indicamos nenhum. Não avaliamos segurança de contrato: isso exige auditoria de código, e quem publica nota de segurança sem auditar está inventando.

Não tratamos de tributação de operações em DeFi. O tema é real, é disputado, e este site não publica interpretação tributária sem fonte primária — as páginas de legislação e os guias de tributação tratam do que está apurado.

E quatro das cinco perguntas que o topo brasileiro deixa em aberto ficam sem resposta aqui, de propósito: "vale a pena investir em DeFi", "como posso ganhar dinheiro com DeFi", "qual é a melhor plataforma de DeFi" e "qual é o valor do DeFi hoje". As três primeiras são recomendação ou promessa de retorno, vedadas pela política editorial. A quarta pede um número de mercado que envelhece em horas, e página evergreen que publica número volátil mente sem querer.