No projeto de lei CLARITY consolidado do Senado, divulgado por Lummis em 22 de julho de #CLARITY法案拟奖励白帽黑客 2026, surgiu à tona uma cláusula de cibersegurança antes pouco comentada — a proposta de criar, por meio de um “mecanismo de coordenação de cibersegurança de ativos digitais”, um white-hat rewards program (programa de recompensas para hackers éticos). Não se trata de incentivar “caçadores de recompensas” a invadir sistemas à força, mas de incorporar pela primeira vez, no texto de uma lei federal dos EUA sobre a estrutura do mercado cripto, o mecanismo maduro de divulgação de vulnerabilidades do Web2 (bug bounty).
A lógica da cláusula é clara: pesquisadores de segurança que, por canais autorizados, identifiquem e divulguem de forma responsável (responsible disclosure) falhas em infraestrutura como exchanges, sistemas de custódia, carteiras, contratos inteligentes, pontes cross-chain, liquidação e compensação, gestão de chaves privadas etc., podem receber recompensas após verificação e com prazo suficiente para correção; além disso, fica explicitamente definida a fronteira jurídica entre “pesquisa de segurança” e “invasão maliciosa”. A ideia vem da defesa do ex-presidente da CFTC Giancarlo de que “a resiliência do mercado vem da divulgação transparente”, levando a proteção do consumidor um passo adiante: de “impedir que a plataforma desvie os ativos dos clientes” para “impedir que uma falha do sistema zere os ativos dos clientes da noite para o dia”.
Por que isso entra na lei agora? As falências no estilo FTX e Celsius expuseram o problema da “mistura de livros contábeis”, e, no último ano, os roubos em pontes e contratos de custódia chegaram a centenas de milhões de dólares, provando que depender apenas de iniciativas espontâneas das empresas para oferecer recompensas não é suficiente. O projeto reúne em um pacote a segregação de ativos dos clientes, a separação em caso de falência, a proibição de apropriação indevida e os incentivos aos white hats, o que equivale a adicionar uma linha técnica de defesa anterior ao conceito de “proteção ao consumidor”.
Ainda assim, a implementação continua nebulosa: o fundo de recompensas será definido por regras da CFTC/SEC ou será rateado entre as exchanges? O escopo de isenção de responsabilidade, os padrões de divulgação e as faixas de recompensa ainda não foram detalhados; a própria lei continua travada no limite de 60 votos no Senado e, se fracassar antes do recesso de agosto, a cláusula dos white hats também poderá ser enxugada em emendas no plenário.
Se enfim virar lei, o significado vai além de “hackers ganhando dinheiro legalmente” — isso marcaria a mudança da regulação cripto nos EUA de “pegar golpistas depois do fato” para “comprar vulnerabilidades antes do problema”, e os papéis de empresas de auditoria, seguradoras e custodiantes em conformidade seriam todos reavaliados.
A lógica da cláusula é clara: pesquisadores de segurança que, por canais autorizados, identifiquem e divulguem de forma responsável (responsible disclosure) falhas em infraestrutura como exchanges, sistemas de custódia, carteiras, contratos inteligentes, pontes cross-chain, liquidação e compensação, gestão de chaves privadas etc., podem receber recompensas após verificação e com prazo suficiente para correção; além disso, fica explicitamente definida a fronteira jurídica entre “pesquisa de segurança” e “invasão maliciosa”. A ideia vem da defesa do ex-presidente da CFTC Giancarlo de que “a resiliência do mercado vem da divulgação transparente”, levando a proteção do consumidor um passo adiante: de “impedir que a plataforma desvie os ativos dos clientes” para “impedir que uma falha do sistema zere os ativos dos clientes da noite para o dia”.
Por que isso entra na lei agora? As falências no estilo FTX e Celsius expuseram o problema da “mistura de livros contábeis”, e, no último ano, os roubos em pontes e contratos de custódia chegaram a centenas de milhões de dólares, provando que depender apenas de iniciativas espontâneas das empresas para oferecer recompensas não é suficiente. O projeto reúne em um pacote a segregação de ativos dos clientes, a separação em caso de falência, a proibição de apropriação indevida e os incentivos aos white hats, o que equivale a adicionar uma linha técnica de defesa anterior ao conceito de “proteção ao consumidor”.
Ainda assim, a implementação continua nebulosa: o fundo de recompensas será definido por regras da CFTC/SEC ou será rateado entre as exchanges? O escopo de isenção de responsabilidade, os padrões de divulgação e as faixas de recompensa ainda não foram detalhados; a própria lei continua travada no limite de 60 votos no Senado e, se fracassar antes do recesso de agosto, a cláusula dos white hats também poderá ser enxugada em emendas no plenário.
Se enfim virar lei, o significado vai além de “hackers ganhando dinheiro legalmente” — isso marcaria a mudança da regulação cripto nos EUA de “pegar golpistas depois do fato” para “comprar vulnerabilidades antes do problema”, e os papéis de empresas de auditoria, seguradoras e custodiantes em conformidade seriam todos reavaliados.