Transmissão de risco: quem foi afetado?
Escrito por: KarenZ, Foresight News
Em 22 de março de 2026, a Resolv enfrentou um grave incidente de segurança. O atacante acessou a infraestrutura da Resolv de forma não autorizada através de uma chave privada vazada e, com apenas duas transações, 200 mil dólares, cunhou 80 milhões de USR estáveis não colateralizados.
A estratégia de saída do atacante também é limpa. O atacante dividiu o USR em vários DEX, trocou por USDC e USDT, e depois converteu para ETH, resultando em 11,408 ETH na carteira, equivalente a cerca de 24 milhões de dólares.
O preço do USR caiu para menos de 0,03 dólares, atualmente se recuperou para perto de 0,3 dólares, o ancoramento ainda não foi restaurado.
Este é um dos incidentes de segurança em DeFi mais emblemáticos até hoje em 2026, e a contaminação se espalhou para vários protocolos. Entre eles, a maior polêmica fica com Morpho e Fluid.
Transmissão de risco: quem caiu?
O USR, como colateral e par de negociação, já foi incorporado a vários protocolos DeFi. A desancoragem agressiva do USR desencadeou uma reação em cadeia.
Morpho: falha do oráculo e da gestão de risco
Em um primeiro momento, a Morpho afirmou que não havia vulnerabilidades nos contratos subjacentes do protocolo. Mas “sem vulnerabilidades” e “sem problema” e “sem perdas” são três coisas diferentes.
De acordo com a divulgação mais recente da Morpho, entre 500 cofres com depósitos superiores a US$ 10 mil, cerca de 15 cofres tinham grandes exposições ao mercado afetado.
Houve arbitradores que, após a desancoragem do USR, compraram a ativo com desconto e o deram como colateral no protocolo; dentro do protocolo, o oráculo ainda o precifica a US$ 1. Assim, os arbitradores usam essa diferença para sacar USDC real e “tirar” a liquidez em stablecoins do cofre.
Por que aconteceu assim? Além do problema do oráculo, o que fez a perda sair do controle foi uma função da Morpho chamada “Public Allocator” (alocador público).
A ideia original por trás deste recurso é boa: monitorar a utilização de cada mercado de empréstimo; quando o rendimento de um mercado disparar, transferir automaticamente USDC dos cofres para lá, ajudando os curadores a capturar um rendimento maior. Em mercados normais, isso é uma ferramenta elegante de eficiência de capital.
Mas, após o ataque, o mercado do USR, por causa de liquidações e arbitragem, teve sua utilização explodindo instantaneamente. Cofres automatizados como o da Gauntlet detectaram um “sinal de alto rendimento”. Eles não sabiam que era um mercado “com armadilhas” — então começaram a injetar fundos sem parar.
O fundador da Chaos Labs, Omer Goldberg, reconstituiu a linha do tempo desta peça absurda: a Gauntlet iniciou a configuração automática apenas 20 minutos após o ataque e continuou por cerca de 90 minutos; outro curador, o 9summits, chegou a continuar aportando fundos por até 10 horas após o ataque, até ser identificado manualmente e parar. Incluindo a Gauntlet, re7, kpk e 9summits, vários curadores forneceram automaticamente liquidez aos mercados da Resolv após o incidente.
Omer Goldberg compilou dados e mostrou que, aproximadamente US$ 6,2 milhões em USDC foram usados como “saída de liquidez” (exit liquidity) e foram “alimentados” aos tomadores do USR. Desse total, 96% dos fundos (cerca de US$ 6 milhões) vieram de um cofre gerenciado pela Gauntlet.
Omer Goldberg também apontou dois pontos fatais: um é que, nestes mercados da Morpho, os oráculos são codificados de forma rígida; em casos extremos de desancoragem, eles não conseguem refletir a tempo que o ativo zerou ou se desvalorizou severamente. O outro é uma falha de governança em gestão de risco: o papel do curador ou do responsável por gestão de risco deveria ser fazer uma avaliação manual sob estresse (stress test), mas, nesta ocorrência, a resposta foi lenta e pouco sensível.
Fluid: o que mais sofreu, e o que gerou mais polêmica
Entre todos os protocolos afetados, o Fluid também está entre os que mais receberam atenção na discussão deste evento.
Para entender isso, é necessário primeiro compreender a estrutura do próprio protocolo Fluid.
O Fluid foi lançado pela equipe da Instadapp em 2024. A Instadapp opera desde 2018 como “middleware” em DeFi. Depois, a equipe percebeu que apenas inovar em cima de protocolos já existentes deixava pouco espaço — então decidiu construir por conta própria: um protocolo que integra totalmente a liquidez de empréstimos e de negociações, o Fluid.
A filosofia central de design do Fluid é: conectar a liquidez de empréstimos e de negociações, permitindo que a mesma unidade de ativo faça várias coisas ao mesmo tempo. Isso é realizado por meio de dois mecanismos inovadores:
Smart Collateral (colateral inteligente): o colateral depositado entra e, ao mesmo tempo, vira capital de market making do pool de liquidez do AMM; enquanto você paga a dívida, ele também ajuda outras pessoas a executar trades e a ganhar taxas.
Smart Debt (dívida inteligente): o dinheiro emprestado não fica ocioso; ele é automaticamente injetado no pool de liquidez do AMM como liquidez. As taxas de negociação geradas, por sua vez, compensam o juro do empréstimo — em cenários extremos, até pode haver “empréstimo com taxa negativa”.
Com esta arquitetura, o Fluid chegou a 95% de LTV (loan-to-value) e a penalidade de liquidação foi reduzida para apenas 0,1%. Em mercados normais, isso é uma vantagem; mas diante de desancoragens extremas, quase não há espaço para tolerância a falhas — qualquer oscilação mínima no valor do colateral pode disparar liquidações em cadeia.
Então como o ataque à Resolv acabou afetando o Fluid?
O problema está no mercado de empréstimos do Fluid. O Fluid antes aceitava wstUSR (Wrapped Staked USR) como colateral. Quando o USR cai de preço, o valor desses colaterais evapora instantaneamente.
Dívida podre era um desfecho inevitável. Na página de empréstimos do Fluid (abaixo), são exibidos vários estados de mercado em que o wstUSR (versão staked do USR da Resolv) aparece como colateral.
De acordo com dados estatísticos de Omer Goldberg, as potenciais dívidas podres do Fluid ultrapassam mais de US$ 11 milhões.
Fonte: Omer Goldberg
A esse respeito, o Fluid informou que a equipe obteve empréstimos de curto prazo para cobrir 100% das dívidas podres atuais do protocolo. Esses fundos foram aportados conjuntamente por Konstantin Lomashuk (da Cyber Fund, um dos investidores do Fluid), meow (cofundador do Jupiter) e a equipe central do Fluid. Além disso, vários investidores disseram que, se fosse necessário capital adicional, teriam interesse em comprar tokens FLUID a partir do tesouro do projeto para servir como garantia adicional.
O fundador do Fluid, Samyak Jain, também se pronunciou publicamente: “Nas próximas 2 a 4 semanas, vamos focar em duas coisas: melhorar a segurança do Fluid e automatizar os mecanismos de segurança. Queremos que os robôs reajam em 30 a 60 segundos, em vez de esperar a resposta da equipe — a equipe pode precisar de 30 a 60 minutos. O Fluid vai construir a infraestrutura de segurança mais complexa, permitindo que partes específicas do protocolo entrem automaticamente em estado de congelamento de acordo com as condições do mercado.”
Mas o mercado acreditou nisso ou não? Os dados da DefiLlama mostram que o Fluid TVL caiu de US$ 1,25 bilhão antes do ataque ao USR para US$ 870 milhões atualmente — uma queda de US$ 380 milhões em um dia, ou 30%.
Em termos de preço, o Morpho caiu 3,64% em 24 horas, enquanto o FLUID caiu até 15% em 24 horas.
Quais outros protocolos e participantes foram afetados?
Detentores de RLP: RLP é a “carteira de risco” (pool de risco) do protocolo, criada especificamente para dar cobertura aos detentores do USR, mas com rendimento mais alto. Estatísticas do @yieldsandmore: antes do incidente, o total em circulação de RLP era de 29.999.625 unidades, equivalente a cerca de US$ 38,6 milhões. Seu maior detentor era a Stream Finance — um protocolo que, em novembro de 2025, sofreu uma perda de US$ 93 milhões por desvio de ativos por um parceiro. Na Morpho, a Stream Finance mantinha aproximadamente 13,6 milhões de RLP, com exposição líquida de risco em torno de US$ 17 milhões. Vale notar que o perfil oficial da Stream Finance no X não fez nenhuma atualização desde novembro de 2025.
Produto de estratégia de rendimento com alavancagem: yoUSD — também usa RLP como colateral; a exposição a RLP é de 2,75% e há 943.248 tokens de RLP em posse.
Inverse Finance: resposta mais rápida. A versão oficial afirma que o grupo de trabalho de risco pausou o mercado wstUSR-DOLA FiRM dentro de 15 minutos após o USR ser atacado pela primeira vez. Depois que os liquidantes agiram rapidamente, a dívida podre final ficou em apenas US$ 340 mil.
Resumo
Ao afastar a câmera, o evento da Resolv levantou uma pergunta extremamente aguda e difícil de ignorar para toda a indústria DeFi: a segurança “mínima” dos protocolos já não depende apenas de auditorias de código.
Auditoria é para antes; monitoramento é em tempo real — e os dois são indispensáveis. A proteção real também precisa ser implementada em tempo de execução, com monitoramento em tempo real e contínuo. Se qualquer anomalia for detectada (por exemplo, falta de correspondência de reservas, assinatura anômala do operador etc.), é preciso acionar um “hard stop” em nível de segundos, ou até milissegundos, para bloquear a propagação do risco.
Para qualquer protocolo de empréstimo, derivativos ou liquidez que aceite stablecoins externas como colateral, é ainda mais importante entender isto: você consegue controlar seus próprios contratos inteligentes, mas nunca conseguirá controlar a lógica de cunhagem, a gestão de chaves e a segurança operacional da stablecoin em que você depende. Este tipo de risco exógeno é uma falha estrutural extremamente teimosa e difícil de curar na arquitetura “estilo LEGO” de DeFi.
Ao mesmo tempo, enquanto o DeFi busca a eficiência ao extremo, é preciso criar simultaneamente um isolamento de risco mais forte e uma “firewall” para dependências externas. Caso contrário, cada vez que você monta “blocos de LEGO” juntos, isso pode virar o ponto de partida de uma reação em dominó no segundo seguinte.
Segurança nunca foi um “extra bonito”; é a linha de vida ou morte para a sobrevivência de longo prazo do DeFi.