Passei a manhã assistindo meio que ao mercado andando de lado e meio fazendo tarefas domésticas, um tipo de dia em que você fica distraído demais para realmente negociar qualquer coisa. Acabei ficando no meu celular por mais tempo do que o planejado, vendo esta tarefa do CreatorPad.
Por curiosidade, comecei a investigar como as permissões de carteira chegaram até onde estão hoje, principalmente para ter contexto antes de escrever qualquer coisa sobre Newton. Não esperava que isso me incomodasse, mas incomodou — o padrão de “aprovar” que todo mundo só clica sem ler quase não mudou desde os primeiros dias do ERC-20. É o mesmo pop-up de sim/não, o mesmo acesso permanente, só que envolto em uma interface mais bonita ao longo dos anos. O MetaMask ficou mais bonito. O modelo real de permissões por baixo não mudou muito.
É essa a parte que me pegou — a gente continua falando de segurança de carteiras como se fosse um espaço que evolui rápido, mas permissões especificamente ficaram congeladas no lugar por quase uma década. Carteiras de hardware melhoraram. A gestão de chaves melhorou. Multisig virou mainstream. Mas “clicar em aprovar uma vez e conceder acesso indefinidamente” — esse mecanismo simplesmente... ficou por aí. Ninguém mexeu de verdade, porque funciona bem até não funcionar.
A maioria das pessoas assume que mais recursos de segurança significam que a parte arriscada está coberta. Eu definitivamente assumi isso por mais tempo do que eu gostaria de admitir. Mas aprovações nunca foram realmente um recurso de segurança; eram um atalho de conveniência que a gente preencheu com uma linguagem de segurança depois. O que acontece de verdade quando você aprova um contrato é que você está entregando um “sim” permanente, não um “sim” supervisionado.
Então, quando olhei para o que a Newton está fazendo de fato com o mainnet beta rodando agora, a parte interessante não era “tecnologia nova”; era que eles moveram o checkpoint. Em vez de uma aprovação estática ficar aberta para sempre, o VaultKit roda a verificação da política no momento da liquidação, toda vez, e gera uma atestação assinada para isso. É menos “um novo tipo de carteira” e mais “a gente finalmente mexeu na parte da pilha que ninguém queria tocar”.
Mas aqui está a parte que me incomoda, e eu fico indo e voltando sobre isso — mover o checkpoint não torna automaticamente mais seguro, apenas torna isso mais frequente. Se a lógica da política em si é fraca ou mal configurada, você só construiu um sistema que verifica uma regra ruim com consistência. Achei no começo que a avaliação por transação basicamente resolve o problema antigo. Mas, na prática, ela só realoca onde a confiança precisa morar — de “confie na aprovação que você esqueceu” para “confie em quem escreveu a política que você nunca leu”. Não tenho certeza se isso é progresso estritamente falando; parece mais... uma versão com outro formato da mesma pergunta.
Ainda assim — para qualquer pessoa rodando automações recorrentes, cofre gerenciado por agentes, negociações orientadas por agente, isso importa mais do que parece. Aprovações permanentes é exatamente o que é explorado meses depois, muito depois de você ter esquecido que concedeu. Um modelo que revalida toda vez, pelo menos, fecha essa janela específica — mesmo que abra uma nova em torno da qualidade da política.
Eu não acho que seja um problema resolvido. Acho que é a primeira vez em um bom tempo que alguém realmente apontou para a parte envelhecida da pilha, em vez de polir as partes ao redor. Se isso aguenta quando houver volume real e pressão adversarial real, eu sinceramente não sei ainda.
De qualquer forma. O mercado ainda fica cortando e reagindo, ainda não terminei de limpar minha lista antiga de aprovações, e provavelmente vou terminar o dia mais curioso do que convencido. O que, em geral, é um lugar bem adequado para ficar por um tempo.