Esta semana, uma auditoria do Claude Opus 4.8 encontrou uma falha de quatro anos em um dos sistemas de privacidade mais confiáveis do crypto. Aqui está como e por que a COTI é construída sobre uma fundação diferente.
Resumo
→ Esta semana, a Shielded Labs divulgou um bug crítico no pool blindado Orchard do Zcash, encontrado com a ajuda do Claude Opus 4.8 da Anthropic.
→ Um único elemento subdimensionado em um circuito ZK complexo passou despercebido por quatro anos, e a privacidade impossibilitou provar se ele foi explorado.
→ A COTI é construída sobre uma fundação diferente: Circuitos Embaralhados, computação multi-partidária criptografada em criptografia simétrica testada em batalha, sem circuito de prova crítico para a solidez, sem configuração confiável e resistência quântica por design.
→ A privacidade programável da COTI é verificável por design. A divulgação seletiva permite que oferta e integridade sejam comprovadas sem expor os dados de ninguém.
→ A oferta do Private ERC20 continua governada e auditável.
Um alerta para a privacidade no Web3
Esta semana, o mundo da privacidade cripto recebeu um alerta.
A Shielded Labs — a organização sem fins lucrativos que financia o desenvolvimento do Zcash — divulgou um bug crítico de solidez (soundness) no shielded pool Orchard do Zcash, um dos sistemas de privacidade em zero-knowledge mais respeitados em produção.
A falha foi descoberta usando uma estrutura de auditoria personalizada combinada com o Claude Opus 4.8 recém-lançado da Anthropic. A falha estava escondida no circuito de prova desde o lançamento do Orchard em maio de 2022. Por quase quatro anos, permaneceu indetectada em auditorias repetidas de alguns dos melhores criptógrafos do setor.
A resposta foi rápida e coordenada. Um soft fork de emergência desativou temporariamente as transações do Orchard, e o hard fork corrigiu o circuito. Isso merece crédito de verdade. Divulgação responsável, um patch em poucos dias e total transparência são exatamente como a segurança deve funcionar.
Construir confiança dentro do ecossistema de privacidade é crítico. Uma indústria de privacidade segura, confiável e robusta é a chave para elevar todo o ecossistema. Como a privacidade em blockchain é uma tecnologia de avanço recente, ela precisa ser fortalecida continuamente pelas ferramentas de IA mais recentes.
Esta é a filosofia de design da COTI por trás dos Circuitos Embaralhados e o compromisso de sempre garantir padrões de criptografia líderes do setor.
Por que isso importa além do Zcash
A história é maior do que qualquer uma rede, e ela se apoia em duas verdades difíceis que todo protocolo de privacidade precisa enfrentar.
Circuitos complexos são extremamente difíceis de acertar perfeitamente. A falha era um elemento subdimensionado no circuito de prova: uma verificação que deveria rejeitar entradas inválidas, mas continha uma lacuna. Pesquisadores de segurança já apontaram há muito tempo que circuitos subdimensionados estão entre as classes de falha mais comuns em auditorias de zero-knowledge, e a maioria das descobertas de auditoria ZK remete à camada do circuito.
A privacidade pode tornar a verificação impossível. Como o Orchard é um pool protegido (shielded pool), a Shielded Labs reconheceu que não há como determinar criptograficamente se a falha foi alguma vez explorada. A mesma propriedade que protege os usuários também remove o rastro que permitiria a qualquer pessoa provar que os livros estão limpos. Você fica com a necessidade de confiar.
A auditoria do Claude Opus 4.8 encontrou em cerca de um dia o que anos de revisão humana especializada não conseguiram. Agora, todo protocolo será testado pela mesma classe de ferramentas, por defensores e atacantes, ao mesmo tempo em que pode usar essas ferramentas para fortalecer sua infraestrutura.
Todos os protocolos de privacidade devem garantir que seus padrões de criptografia e segurança sejam continuamente aprimorados e auditados para assegurar o mais alto nível de segurança.
Como a COTI foi criada de forma diferente
A COTI tomou uma rota criptográfica diferente desde o início: Circuitos Embaralhados, um protocolo para computação multipartidária segura (MPC), desenvolvido com a Soda Labs.
Contratos inteligentes computam diretamente em entradas criptografadas, então os dados nunca são expostos — nem a um operador, nem à rede, nem a qualquer pessoa que não deveria vê-los. Essa escolha altera o modelo de segurança de maneiras que importam agora.
MPC em entradas criptografadas, não em circuitos ZK subdimensionados
Um sistema de zero-knowledge prova uma afirmação sobre dados ocultos usando um circuito complexo, e a solidez desse circuito é tudo. Uma única restrição subdimensionada, como o Orchard mostrou, pode permitir que entradas inválidas passem.
A COTI funciona de forma diferente. Com Circuitos Embaralhados, contratos computam em entradas criptografadas por MPC seguro, e a validade da execução é verificada pela mainnet da COTI. Não existe um único circuito de prova crítico para a solidez que esteja entre você e a integridade do pool inteiro.
Criptografia com chave simétrica
O esquema de embaralhamento da COTI é construído sobre as primitivas de criptografia mais estudadas e testadas em batalha. Ele aplica uma função pseudoaleatória, como AES, nos rótulos (labels) dos fios do circuito, e os textos cifrados on-chain são protegidos por um esquema de criptografia simétrica. São as mesmas famílias de primitivas que protegem a internet moderna.
Novas capacidades de privacidade sobre blocos confiáveis e bem compreendidos, em vez de um circuito inédito que precisa ser provado impecável.
Sem necessidade de configuração confiável
Alguns sistemas de privacidade dependem de uma cerimônia de configuração confiável única. Se o segredo por trás dessa cerimônia algum dia for mal administrado, a segurança de todo o sistema pode ser comprometida. A abordagem de Circuitos Embaralhados não exige essa cerimônia. Isso elimina uma classe inteira de risco antes que qualquer transação seja processada.
Resistente a quântico por design
Como a base é criptografia com chave simétrica, a resistência a ataques quânticos é uma questão de tamanho da chave, não de redesenho. Os melhores ataques quânticos conhecidos contra primitivas simétricas usam o algoritmo de Grover, que reduz pela metade aproximadamente a segurança efetiva; então, dobrar o tamanho da chave a restaura.
A atualização Helium da COTI introduziu aritmética nativa de 256 bits, então os tokens confidenciais da COTI já rodam nos tamanhos de chave que os mantêm seguros contra os melhores ataques quânticos conhecidos. Para a análise completa, leia o aprofundamento técnico da COTI sobre computação quântica.
E é prático
A criptografia é forte, e é utilizável. A computação confidencial na COTI é até 3.000x mais rápida e 250x mais leve do que abordagens baseadas em FHE; leve o suficiente para qualquer dispositivo, incluindo celular, sem hardware especializado.
E o gcEVM da COTI é totalmente compatível com EVM, então os desenvolvedores escrevem contratos confidenciais em Solidity padrão, escolhendo o que fica privado e o que vai para o público dentro de um único contrato.
Verificável por design
A parte mais difícil da história desta semana não é o bug. Bugs são corrigidos. O problema é que ninguém consegue provar criptograficamente se a oferta foi inflada alguma vez. Esse é o tipo de armadilha em que sistemas de privacidade podem cair: confidencialidade que vem ao custo da verificabilidade.
A tese da COTI sempre foi que transparência nunca foi o objetivo real. O objetivo é a capacidade de verificar informação de forma independente, e a criptografia moderna consegue entregar isso sem expor tudo ao público.
Com privacidade programável, a COTI permite que as partes corretas verifiquem exatamente o que precisam — oferta, solvência ou conformidade — por meio de divulgação seletiva, enquanto todo mundo vê apenas texto cifrado.
Você pode ver isso diretamente nos Private ERC20s, o padrão de tokens com privacidade aprimorada da COTI:
Criptografado por padrão. Saldos, valores de transferência e allowances são criptografados. Cada detentor tem sua própria chave, e apenas o detentor pode descriptografar seu saldo. Validadores veem o texto cifrado.
Privado, mas responsável, na oferta. totalSupply() retorna zero on-chain, enquanto uma versão em texto cifrado rastreia a oferta real internamente. Sem vazar emissão para o mundo externo, e sem ponto cego também.
Emissão governada. Controle de acesso por função, uma função dedicada de minter e emissão consciente do cap tornam a governança de oferta explícita e auditável, com divulgação seletiva para conformidade.
Fundamentos comprovados. Controle de acesso e proteção contra reentrancy herdados do OpenZeppelin, aritmética criptografada delegada ao precompile MPC da COTI, com precisão total de 256 bits.
Esta é uma privacidade que não obriga a escolher entre confidencialidade e a capacidade de provar a verdade. Essa é a diferença entre uma privacidade que você consegue verificar e uma privacidade que você precisa aceitar às cegas.
Auditado do início ao fim, e indo ao encontro da IA
A criptografia forte ainda precisa ser comprovada no nível do código. Nenhuma tecnologia de privacidade está isenta de uma revisão rigorosa e contínua — e é exatamente por isso que a COTI trata a segurança como algo contínuo.
A Sayfer, uma consultoria nativa de cibersegurança para Web3 que protegeu bilhões em ativos em mais de 100 clientes — incluindo MetaMask, 1inch, Polkadot e StarkWare — com zero hacks em clientes até o momento, auditou o stack de privacidade da COTI ponto a ponto: Private ERC20, a Privacy Portal e o COTI MetaMask Snap. Todas as descobertas foram endereçadas e resolvidas antes do lançamento.
“Após uma revisão da equipe Sayfer, certificamos que todas as questões de segurança mencionadas neste relatório foram endereçadas pela equipe da COTI.”
Relatório de auditoria Sayfer
Sayfer está construindo uma camada de segurança com IA para auditoria contínua e em tempo real, indo além do modelo pontual, e a COTI é parceira de longo prazo nesse trabalho. Quando o red-teaming avançado com IA se tornar padrão em toda a indústria, a COTI pretende sempre utilizar a tecnologia mais recente
Privacidade ao vivo & em produção.
O cofundador da Ethereum, Vitalik Buterin, apontou publicamente os Circuitos Embaralhados como o caminho para garantias de segurança puramente criptográficas para computação multipartidária.
A mainnet GC da COTI foi lançada em março de 2025 e já processou 125 milhões+ de transações on-chain. A COTI está levando seu protocolo de privacidade com GC de forma nativa para o Ethereum e para outras L1s e L2s de ponta.
Para grandes blockchains, DeFi e dapps que precisam de privacidade confiável, comprovada, auditada e verificável, a COTI pretende ser líder do setor em soluções confiáveis.
Por que a COTI é única
A COTI foi construída de modo que a confiança na privacidade não dependa de uma promessa:
Computa em entradas criptografadas via MPC, sem um único circuito de prova crítico para a solidez.
Construída sobre criptografia com chave simétrica testada em batalha.
Não requer cerimônia de configuração confiável.
Resistente a quântico por design, com tamanhos nativos de chave de 256 bits já em uso.
Verificável por design, com divulgação seletiva e oferta governada e auditável.
Auditada do início ao fim pela Sayfer, com auditoria contínua assistida por IA a caminho.
Ao vivo em produção, totalmente compatível com EVM e leve o suficiente para rodar em qualquer dispositivo.
A confiança é conquistada na base
O avanço da privacidade em todo o Web3 é bom para todos, e as equipes que estão impulsionando isso — incluindo a equipe que lidou com a divulgação desta semana com rapidez e honestidade — merecem respeito.
Mas “privacidade” não é um único protocolo ou solução, e as diferenças merecem toda a história. A resposta da COTI é manter a computação criptografada de ponta a ponta, construir sobre criptografia que já conquistou confiança, tornar a privacidade verificável em vez de algo que você aceita sem provas e nunca parar de fortalecê-la.
Conforme o campo evolui, a COTI evolui junto: dobrando os tamanhos de chave à frente do quântico, adotando os métodos de criptografia mais fortes disponíveis e combinando cada versão com revisão contínua de segurança com IA assistida. Privacidade não é um recurso que você envia uma vez. É um padrão que você defende todos os dias.
Isso é o que significa ser a camada de privacidade programável para o Web3.
Fique com a COTI.
Sobre a COTI:
A COTI é a camada de privacidade programável para o Web3. Feita para empresas, builders e agentes. Potencializada por Circuitos Embaralhados de alto desempenho e pela COTI Nightfall de nível empresarial (ZK), a COTI permite computação criptografada em qualquer blockchain pública. Privacidade rápida, de baixo custo e em conformidade em DeFi, IA e além.
Para atualizações da COTI e para participar da conversa, não deixe de conferir nossos canais:
Site: https://coti.io/
X: https://twitter.com/COTInetwork
YouTube: https://www.youtube.com/channel/UCl-2YzhaPnouvBtotKuM4DA
Telegram: https://t.me/COTInetwork
Discord: https://discord.gg/coti-foundation
GitHub: https://github.com/coti-io
Vibe Coders Telegram: https://t.me/+uuPNfRkKiQ03ZTcx