Como verificar um protocolo DeFi antes de depositar

A due diligence em DeFi consiste em verificar um protocolo antes de depositar: há quanto tempo ele funciona com segurança, quem auditou qual código, quem pode alterar ou pausar o protocolo, como ele obtém preços, qual a profundidade da sua liquidez, quem detém o seu token e de onde vem o rendimento. Nenhuma verificação comprova a segurança, mas, em conjunto, elas filtram riscos evitáveis.

Antes de começar

Você precisa do site oficial do protocolo, da sua documentação e de um site de dados, como o DefiLlama. Acesse o site por meio de um favorito salvo ou da documentação oficial, e não por anúncios. Planeje depositar apenas um valor que você possa perder por completo.

As verificações essenciais

Verifique o histórico

Figura: Sete verificações antes de depositar.

Há quanto tempo ele está no ar e se ele já lidou com grandes depósitos sem incidentes? Um histórico longo e limpo é significativo; um protocolo lançado na semana passada não tem nenhum. Verifique o total de valor bloqueado (TVL) ao longo do tempo, e não apenas o valor de hoje. Veja o que é TVL.

Leia as auditorias

Descubra quem auditou o código, quando e qual versão. Verifique se as falhas críticas foram corrigidas. Nosso guia sobre o que uma auditoria de smart contract não detecta explica os limites.

Descubra quem controla o protocolo

Um pequeno grupo pode atualizar contratos, movimentar fundos ou pausar saques? Existe um timelock antes que as mudanças entrem em vigor? Se a governança funciona por votação com tokens, quem detém a maioria dos votos? Veja o que é uma DAO.

Verifique a fonte de preços

Protocolos de empréstimo e derivativos dependem de feeds de preço. Uma única fonte de preços, que pode ser movimentada facilmente, é um sinal de alerta. Veja o que é um oráculo blockchain.

Verifique a liquidez e a saída

Você pode sacar a qualquer momento ou somente quando o pool tem fundos disponíveis? Quanto um saque ou uma venda grande moveria o preço?

Verifique o token e o rendimento

Se as recompensas forem pagas no token próprio do protocolo, veja quem o detém e quando os tokens bloqueados são liberados. Em seguida, identifique de onde vem o rendimento. Veja de onde vem o rendimento em DeFi.

Comece com pouco e mantenha registros

Teste com um depósito pequeno, confirme que você consegue sacar e guarde os registros das suas transações.

Ferramentas para cada verificação

As verificações aplicadas a um exemplo

Suponha que você esteja considerando um protocolo de empréstimo que funciona há três anos, mantém um TVL grande e relativamente estável, publica auditorias de duas empresas que cobrem sua versão atual e paga um rendimento modesto, financiado pelos juros pagos pelos tomadores. (Cenário ilustrativo.) A maioria das verificações passa. Mas a documentação mostra que um único multisig controlado pela equipe pode atualizar os contratos imediatamente, sem timelock. Isso não torna o protocolo perigoso por si só, mas significa que seus fundos dependem da segurança e da honestidade desse pequeno grupo. Uma resposta sensata pode ser depositar menos do que você depositaria de outra forma, ou esperar até que um timelock seja introduzido.

Mapeando em quem você está confiando

Um depósito em DeFi raramente depende de um único protocolo. Um mercado de empréstimo pode depender de um oráculo para preços, de uma ponte para ativos envolvidos (wrapped), de um emissor de stablecoin para o valor dos seus depósitos e de um multisig para atualizações. Cada um deles é um ponto em que algo pode dar errado. Listar essas dependências, mesmo que de forma aproximada, mostra onde estão os seus riscos reais. Um protocolo com código bem auditado ainda pode fazer você perder dinheiro se a stablecoin que ele mantém perder a paridade ou se a ponte por trás de um token envolvido for hackeada.

Dimensionando seu depósito

As verificações reduzem o risco, mas nunca o eliminam; por isso, quanto você deposita importa tanto quanto onde deposita. Muitos usuários experientes limitam a parcela de suas criptomoedas mantida em um único protocolo, distribuem os depósitos entre vários protocolos bem estabelecidos e mantêm valores maiores em configurações mais simples, como a autocustódia. Colocar um valor pequeno em um protocolo mais novo e um valor maior em um com histórico longo reflete a diferença no que se sabe sobre cada um.

Depois do depósito

A diligência devida não termina com o depósito. Acompanhe os anúncios do protocolo e o fórum de governança em busca de propostas que alterem o risco, como novos ativos de garantia ou atualizações. Fique atento a quedas incomuns no TVL ou a aumentos repentinos na utilização. Reavalie sua posição após grandes movimentos de mercado ou incidentes em outras partes do DeFi, já que problemas frequentemente se espalham entre protocolos conectados.

Mantendo seu próprio registro

Anote, para cada protocolo que você usa, o que verificou e quando: as auditorias que leu, os poderes administrativos que encontrou, o oráculo utilizado e a data do seu depósito. Isso leva minutos e compensa depois, quando uma proposta de governança, um incidente em outro lugar ou uma mudança repentina nos rendimentos o levar a reavaliar. Um registro curto também facilita comparar protocolos de forma justa, em vez de depender da memória ou de qualquer protocolo que esteja mais em evidência.

Sinais de alerta

• Equipe anônima, sem auditorias e com controle administrativo sobre os fundos.
• Recompensas muito acima de protocolos comparáveis, sem uma fonte clara.
• Ausência de timelock em atualizações, ou uma única pessoa com as chaves.
• Pressão para depositar rapidamente antes de um prazo.

O que isto não pode dizer a você

Mesmo protocolos bem verificados podem ser explorados de maneiras que ninguém previu. Essas verificações reduzem as chances de perdas evitáveis; elas não garantem segurança. Para o básico, leia o que é DeFi.

Este artigo é conteúdo educativo e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Ativos digitais são voláteis e você pode perder o valor investido.

Perguntas frequentes

Quanto tempo essas verificações devem levar?

Uma primeira análise de um protocolo bem conhecido pode levar menos de meia hora. Um protocolo mais novo ou mais complexo, ou um depósito de grande valor, merece muito mais tempo, incluindo a leitura dos resultados de auditorias e das discussões de governança.

Um protocolo é mais seguro se um grande fundo investiu nele?

Não necessariamente. O apoio de investidores conhecidos mostra que alguém considerou o projeto promissor, não que seu código seja seguro ou que seu depósito esteja protegido.

Fontes

• Ataque de governança (votação por snapshot, timelocks e períodos de retenção como defesas) — Spark
• O que é TVL no DeFi? (TVL sustentado vs. picos impulsionados por incentivos) — Portals
• Segurança na interação com contratos inteligentes (verificar endereços de contratos; revisar aprovações) — Security Alliance