33,5 mil milhões de dólares de "imposto de conta": Quando o EOA se torna um custo sistémico, o que pode a AA trazer para o Web3?

null

Em 2025, o mundo Web3 não carece de narrativas grandiosas, especialmente com a conclusão da transição regulatória e a inclusão gradual de stablecoins no sistema TradFi. As discussões sobre «conformidade», «integração» e «reconstrução da ordem na próxima fase» quase se tornaram o tema principal do ano (leitura adicional: «2025 Mapa Regulatório Global de Criptomoedas: O Início da Era de Integração, um Ano de «Confluência» entre Crypto e TradFi»).

Porém, por trás dessas mudanças estruturais aparentemente de alta dimensão, uma questão mais fundamental, porém há muito negligenciada, começa a emergir: a própria conta, que está se tornando a fonte de risco sistêmico de toda a indústria.

Recentemente, o mais recente relatório de segurança da CertiK apresentou um número bastante alarmante: em 2025, ocorreram 630 incidentes de segurança no total no Web3, com perdas acumuladas de aproximadamente 3,35 bilhões de dólares. Se nos limitarmos a esse número total, pode parecer apenas mais uma repetição anual de um cenário de segurança severo. Mas, ao detalhar os tipos de incidentes, revela-se uma tendência ainda mais preocupante:

Uma parte considerável das perdas não decorre de vulnerabilidades complexas em contratos, nem de ataques diretos ao protocolo, mas ocorre em níveis mais primários e preocupantes, ou seja, ataques de phishing — ao longo do ano, ocorreram 248 incidentes relacionados a phishing, causando perdas de cerca de 723 milhões de dólares, chegando até a superar ataques por vulnerabilidades de código (240 incidentes, aproximadamente 555 milhões de dólares).

Em outras palavras, na maioria dos casos de perda de usuários, a blockchain não errou, a criptografia não foi quebrada, e as transações estavam totalmente de acordo com as regras.

O verdadeiro problema está na própria conta.

1. Contas EOA, tornando-se o maior «problema histórico» do Web3

Objetivamente, seja no Web2 ou no Web3, o phishing sempre foi a forma mais comum de perda de fundos pelos usuários.

A diferença reside no fato de que, no Web3, a introdução de contratos inteligentes e mecanismos de execução irreversível faz com que esses riscos, uma vez ocorridos, resultem em consequências mais extremas. Para entender isso, é preciso voltar ao modelo de conta mais básico e central do Web3: a conta EOA (Externally Owned Account).

Seu design é extremamente puro: a chave privada representa a propriedade, a assinatura representa a vontade. Quem controla a chave privada, controla toda a conta. Esse modelo, na fase inicial, foi revolucionário, pois contornou instituições de custódia e sistemas intermediários, devolvendo a soberania dos ativos ao indivíduo.

Porém, esse design também implica uma premissa radical: que o usuário não será vítima de phishing, não cometerá erros por operação, e não tomará decisões equivocadas por fadiga, ansiedade ou pressão de tempo. Assim que uma transação é assinada, ela é considerada uma expressão genuína e totalmente compreendida da vontade do usuário.

Mas a realidade é bem diferente.

Os incidentes frequentes de segurança em 2025 são uma consequência direta dessa premissa sendo repetidamente violada. Seja por indução a assinar transações maliciosas ou por transferências feitas sem verificação adequada, o ponto comum não é a complexidade técnica, mas a falta de tolerância a erros do próprio modelo de conta — que não leva em conta as limitações cognitivas humanas (leitura adicional: «De EOA à abstração de contas: a próxima grande evolução do Web3 acontecerá no «sistema de contas»?»).

Um cenário típico é o mecanismo de autorização Approval, amplamente utilizado na cadeia. Quando o usuário autoriza um endereço, na prática, permite que essa entidade transfira ativos de sua conta sem necessidade de confirmação adicional. Do ponto de vista do contrato, essa é uma solução eficiente e simples; na prática, porém, frequentemente se torna o ponto de partida para phishing e esvaziamento de ativos.

Por exemplo, o recente incidente de um endereço com 50 milhões de dólares sendo envenenado por um atacante, que não tentou quebrar o sistema, mas criou um endereço semelhante, com caracteres quase idênticos, induzindo o usuário a fazer uma transferência apressada. A falha do modelo EOA fica evidente aqui: é muito difícil garantir que, em um curto espaço de tempo, o usuário possa verificar uma longa sequência de caracteres, sem significado semântico aparente.

No final das contas, a lógica subjacente ao modelo EOA determina que ele não se importa se você foi enganado, mas apenas se você assinou. Essa é a razão pela qual casos de envenenamento de endereço têm sido recorrentes nos últimos anos: os atacantes não precisam de ataques de 51%, que são trabalhosos e pouco eficientes, basta criar um endereço semelhante, esperando que o usuário copie, cole e confirme de forma descuidada.

Pois o EOA não consegue distinguir se um endereço nunca antes interagido é legítimo ou se uma operação está fora do padrão de comportamento histórico. Para ele, é uma transação válida, que deve ser executada. Assim, um paradoxo de longa data torna-se inevitável: o Web3 é extremamente seguro na camada criptográfica, mas extremamente frágil na camada de contas.

Portanto, do ponto de vista, as perdas de 3,35 bilhões de dólares em 2025 não podem ser simplesmente atribuídas a «usuários descuidados» ou «ataques de hackers mais sofisticados». Em vez disso, é um sinal de que, ao levar o modelo de conta a uma escala financeira real, suas dívidas históricas começam a se manifestar.

2. A inevitável história do AA: corrigindo sistematicamente o sistema de contas do Web3

Quando muitas perdas ocorrem em um sistema que «opera totalmente de acordo com as regras», isso já é um problema grave.

Segundo as estatísticas da CertiK, incidentes como phishing, envenenamento de endereço, autorizações maliciosas e assinaturas incorretas compartilham uma premissa comum: as transações são legítimas, as assinaturas válidas e a execução irreversível. Elas não violam regras de consenso, não acionam estados anômalos, e parecem normais até mesmo no explorador de blocos.

De uma perspectiva sistêmica, esses não são ataques, mas comandos de usuários que foram corretamente executados.

No fundo, o modelo EOA condensa «identidade», «permissões» e «risco» na mesma chave privada. Uma vez assinado, a identidade é confirmada, as permissões concedidas, e o risco, assumido de forma única e irreversível. Essa simplificação extrema traz vantagens de eficiência na fase inicial, mas, com o aumento do volume de ativos, do número de participantes e da complexidade de uso, começa a revelar suas falhas institucionais.

Especialmente quando o Web3 entra em uma fase de uso frequente, multi-protocolo e online prolongado, as contas deixam de ser apenas carteiras de uso ocasional, passando a desempenhar funções de pagamento, autorização, interação e liquidação. Nesse contexto, a hipótese de que «cada assinatura representa uma decisão racional completa» torna-se cada vez mais difícil de sustentar.

Por esse motivo, a prática de envenenamento de endereço funciona repetidamente: não porque os atacantes sejam mais inteligentes, mas porque o modelo de conta não possui mecanismos de buffer contra erros humanos — o sistema não questiona se o endereço nunca antes interagido é legítimo, nem avalia se o valor da operação se desvia do padrão histórico, nem aciona confirmações adicionais em operações anômalas. Para o EOA, enquanto a assinatura for válida, a transação deve ser executada.

Na verdade, o sistema financeiro tradicional já oferece respostas: limites de transferência, períodos de reflexão, congelamento de operações suspeitas, permissões hierárquicas e autorizações revogáveis. Em essência, reconhecem uma verdade simples e realista: que os humanos nem sempre agem racionalmente, e que o design de contas deve reservar espaço para tolerância a erros.

Foi nesse contexto que o Account Abstraction (AA) começou a mostrar seu verdadeiro papel na história: uma redefinição do conceito de conta, transformando-a de uma ferramenta passiva de assinatura em um agente capaz de gerenciar intenções.

O núcleo do AA é que a conta deixa de ser apenas uma chave privada, podendo ter múltiplos caminhos de validação, diferentes níveis de permissão para diferentes operações, e mecanismos de atraso ou recuperação de controle em comportamentos anômalos.

Isso não é uma violação do espírito de descentralização, mas uma correção para sua sustentabilidade. Autogerenciamento não significa que o usuário deva arcar com consequências permanentes por um erro, mas que, sem depender de custódia centralizada, a própria conta possui mecanismos de proteção contra erros e auto-correção.

3. A evolução da conta e o que ela pode trazer para o Web3

Já afirmei várias vezes: «Por trás de cada golpe bem-sucedido, há um usuário que abandona o Web3, e sem novos usuários, o ecossistema não tem onde ir».

Sob esse prisma, instituições de segurança, carteiras, ou outros construtores do setor, não podem mais tratar «erro do usuário» como uma falha individual, mas como uma responsabilidade sistêmica de garantir que o sistema de contas seja seguro, compreensível e tolerante na prática.

Por isso, o papel histórico do AA está justamente aí. Em resumo, o AA não é apenas uma atualização técnica das contas, mas uma mudança sistêmica na lógica de segurança.

Essa mudança se reflete na flexibilização da relação entre contas e chaves privadas. Por muito tempo, a frase-chave foi que a frase de recuperação (seed phrase) era o passaporte para a autogestão no Web3. Mas a realidade mostrou repetidamente que esse método de gerenciamento de chaves de ponto único não é amigável para a maioria dos usuários comuns. O AA, ao introduzir mecanismos de recuperação social, faz com que a conta deixe de estar fortemente vinculada a uma única chave privada. Usuários podem definir múltiplos guardiões confiáveis, e, em caso de perda de dispositivo ou chave, recuperar o controle por meio de verificação.

Quando combinamos o AA com Passkeys, podemos criar uma experiência que se aproxima da intuição de segurança que as pessoas têm no sistema financeiro tradicional (leitura adicional: «Web3 sem frases de recuperação: AA × Passkey, como definir a próxima década do Crypto?»).

Outro aspecto importante é a reestruturação do fricção nas transações. No sistema EOA tradicional, as taxas de gás representam uma barreira invisível para operações na cadeia. Com o AA, mecanismos como Paymaster permitem que terceiros paguem as taxas ou que o pagamento seja feito com stablecoins, eliminando a necessidade de o usuário ter uma pequena quantidade de tokens nativos.

Isso significa que o usuário não precisa mais preparar uma pequena quantia de tokens nativos para uma transferência, nem entender toda a complexidade do gás. Essa experiência de «gás sem sensação» não é um mero diferencial, mas uma condição essencial para que o Web3 possa sair da sua fase inicial de usuários mais técnicos.

Além disso, o AA, por meio de contratos inteligentes, permite agrupar múltiplas operações em uma única execução atômica. Por exemplo, uma troca em DEX que antes exigia autorização, assinatura, transação e assinatura novamente, agora pode ser feita em uma única operação, que terá sucesso ou falha completa, economizando custos e evitando perdas por falhas intermediárias.

Mais profundamente, a mudança na gestão de permissões torna as contas AA mais flexíveis. Elas deixam de ser «totalmente controladas» ou «totalmente fora de controle» para se assemelhar a contas bancárias tradicionais, com permissões detalhadas. Limites diferentes podem exigir diferentes níveis de verificação, e interações podem ser restritas a contratos seguros específicos.

Isso significa que, mesmo que a chave privada seja comprometida, a conta ainda possui buffers que evitam o esvaziamento completo em curto prazo.

Porém, é importante destacar que a evolução da segurança das contas não depende exclusivamente do sistema AA. Carteiras atuais também podem e devem assumir parte da correção do modelo EOA.

Por exemplo, a carteira imToken, ao salvar endereços confiáveis na sua lista de contatos, reduz o risco de transferência para endereços semelhantes por erro humano, ao priorizar esses endereços ao fazer transferências.

Outro princípio que vem ganhando consenso na indústria é o «O que você vê é o que você assina» (What You See Is What You Sign). O foco não está em mostrar mais informações, mas em garantir que o conteúdo assinado seja exatamente aquilo que o usuário viu, entendeu e pretendia fazer, e não um hash incompreensível.

Com esse princípio, a imToken, ao estruturar e apresentar de forma clara os detalhes de assinatura em login, transferências, troca de tokens e autorizações, permite que o usuário compreenda exatamente o que está assinando antes de confirmar. Essa abordagem não altera a irreversibilidade da transação, mas introduz uma camada de racionalidade antes da assinatura, etapa fundamental na maturidade do sistema de contas.

De uma perspectiva mais ampla, a evolução das contas AA está ajudando a moldar a próxima fase do Web3, criando uma base mais sólida para suportar uma grande quantidade de usuários reais. Caso contrário, por mais complexos e grandiosos que sejam os protocolos e narrativas, eles podem ser continuamente vulneráveis a um problema primordial: os usuários comuns se sentem seguros para manter seus ativos na cadeia a longo prazo?

Por isso, o AA não é apenas um diferencial do Web3, mas uma linha de passagem obrigatória. Ele não decide apenas a experiência, mas se torna um fator decisivo para transformar o Web3 de um sistema de nicho, voltado a entusiastas, para uma infraestrutura financeira inclusiva para o público mais amplo.

Para finalizar

3,35 bilhões de dólares, na essência, representam uma taxa de aprendizado paga pelo setor em 2025.

Na verdade, isso nos lembra que, ao discutir conformidade, interfaces regulatórias e entrada de capital institucional, se as contas do Web3 permanecerem no estado de «assinatura/autorização única e depois zerar», toda a infraestrutura financeira será apenas uma construção na areia.

O verdadeiro problema talvez não seja se o AA se tornará mainstream, mas sim: se as contas não evoluírem, até onde o Web3 poderá chegar no futuro?

Talvez essa seja a maior lição de segurança que o setor deve refletir repetidamente em 2025.