Autor: imToken
Há algum tempo, os incidentes de segurança no setor de Cripto praticamente não param (leitura complementar: "Da Binance ao PHP2Shell: Na Era da IA, a Linha de Defesa da Segurança Web Precisa Urgentemente de uma Redefinição").
De plataformas de negociação perdendo bilhões de dólares, a cadeias de suprimentos de carteiras e provedores de serviços terceirizados sendo atacados, a vulnerabilidades em contratos inteligentes e ativos on-chain sendo roubados, uma série de incidentes nos lembra repetidamente: no mundo Cripto, a segurança dos ativos não depende apenas de se a blockchain subjacente é confiável, mas também de quem custodia os ativos, quem controla as chaves e quantos elos de confiança existem ao longo de toda a cadeia de serviços.
Para os detentores de ETH, o mesmo vale ao participar de staking.
O Ethereum já estabeleceu um mecanismo de staking nativo relativamente maduro. Os usuários podem fazer staking de ETH para se tornarem validadores da rede, ganhando recompensas do protocolo enquanto mantêm a segurança da rede. No entanto, à medida que o staking foi gradualmente se desenvolvendo em diversos métodos de participação, como custódia em exchanges, staking líquido e serviços profissionais de nós, uma questão facilmente negligenciada também surgiu:
Mesmo ao fazer staking de ETH da mesma forma, os direitos de controle dos ativos e as fronteiras de segurança por trás de diferentes soluções podem ser completamente diferentes.
Se o ETH for entregue a um terceiro, quem exatamente detém a permissão de saque? Se um provedor de serviços profissional opera o validador, os usuários ainda podem controlar o principal de forma independente? E entre o staking nativo e o staking líquido, quais riscos potenciais adicionais surgiram?
Esclarecer essas questões pode ser mais importante do que simplesmente comparar o APY de diferentes produtos de staking.
A Primeira Linha de Defesa da Segurança do Staking: Quem Detém os Direitos de Saque dos Ativos?
Para entender o mecanismo de segurança do staking de ETH, é preciso primeiro esclarecer quem exatamente controla um nó validador do Ethereum.
O Ethereum adota o mecanismo de consenso Proof of Stake (PoS). Ao depositar pelo menos 32 ETH no contrato de depósito, um usuário pode ativar um nó validador, participar de propostas de blocos, validação de transações e atestações de consenso, e receber recompensas de acordo com as regras da rede.
No entanto, um nó validador não é gerenciado por uma única chave. No sistema de staking do Ethereum, as permissões centrais são divididas em duas categorias:
Chave de Assinatura: usada para a operação diária do validador, incluindo o envio de propostas de blocos e atestações; é a permissão operacional para participar do consenso da rede. Chave de Saque: usada para controlar a propriedade do principal em staking e dos retornos, determinando o único endereço designado para o qual os fundos podem, em última instância, ser devolvidos (geralmente vinculado diretamente ao endereço da carteira de autocustódia do usuário); representa o controle final sobre os ativos.
As responsabilidades de ambas são muito claras: a chave de assinatura determina se o validador pode fazer seu trabalho adequadamente, enquanto a chave de saque determina quem pode, em última instância, sacar o dinheiro. Isso significa que a pessoa responsável por operar o validador não necessariamente precisa ter controle final sobre os ativos.
Uma vez compreendida essa camada de separação de permissões, a diferença essencial entre os modelos custodial e não custodial torna-se clara:
No staking totalmente custodial, os dois tipos de permissões costumam estar concentrados nas mãos da plataforma. Os usuários depositam ETH em uma plataforma de negociação ou custodiante, e a plataforma é responsável tanto por operar o nó quanto por controlar as permissões de saque. O que os usuários veem na interface é meramente uma sequência de saldos contábeis, e se os ativos podem ser resgatados sem problemas está diretamente sujeito à gestão de fundos, às regras de saque e às condições operacionais da própria plataforma. No modelo de staking não custodial, os dois tipos de permissões são fisicamente isolados. Os usuários controlam as permissões de saque por meio de suas próprias carteiras, enquanto os provedores de serviços profissionais detêm apenas a chave de assinatura e são responsáveis pela operação e manutenção diárias do nó. Mesmo que o provedor de serviços assuma a complexa manutenção de hardware e rede, ele não pode usar a permissão operacional em suas mãos para transferir o principal em staking dos usuários.
O valor central deste design isolado — "os direitos de saque pertencem ao usuário, os direitos operacionais pertencem ao provedor de serviços" — reside em minimizar a fronteira de confiança. Os usuários não precisam abrir mão do controle de seu principal, nem precisam arcar sozinhos com o alto custo de operação e manutenção do nó.
É claro que não custodial não significa risco zero. A chave de assinatura ainda afeta o desempenho diário do validador. Se o provedor de serviços sofrer vazamento de chave, assinatura dupla ou tempo de inatividade severo, o validador ainda poderá enfrentar penalidades no nível do protocolo.
Portanto, o primeiro passo para avaliar uma solução de staking é verificar se ela isola rigorosamente as permissões de saque das permissões operacionais, e se os usuários realmente mantêm em suas próprias mãos a chave para recuperar seus ativos.
Como o Protocolo Nativo do Ethereum Protege os Ativos em Staking?
Tendo compreendido os direitos de controle de chaves, outra questão fundamental é: por que a participação direta no staking nativo do Ethereum é claramente superior em estrutura de segurança a diversos produtos de staking derivados de terceiros?
A razão central é que o staking nativo de ETH é construído diretamente sobre o protocolo de consenso subjacente do Ethereum e não requer camadas intermediárias adicionais.
Quando os usuários participam do staking nativo, o ETH entra diretamente no sistema oficial de validadores do Ethereum, e a distribuição de recompensas e a aplicação de penalidades são executadas total e automaticamente pelo código do protocolo subjacente. Não é necessário depender de um pool de fundos de terceiros para agregar ativos, nem é necessário cunhar um token derivado (como um LST) para mapear indiretamente os direitos de staking, eliminando assim pela raiz os riscos compostos trazidos por contratos de protocolos de terceiros, governança entre camadas e desvinculação de derivados.
Até o momento, dentro do protocolo nativo, o Ethereum também estabeleceu fronteiras claras de segurança e saída por meio de três mecanismos.
Primeiro, o protocolo restringe o comportamento dos validadores por meio de recompensas e penalidades. Os validadores precisam permanecer online continuamente e enviar propostas de blocos e atestações conforme exigido. Se um nó falhar ou permanecer offline por um longo período, poderá perder recompensas e sofrer penalidades correspondentes sobre o saldo. Se um validador cometer violações mais graves, como assinar blocos conflitantes, poderá acionar o Slashing, no qual parte do ETH em staking é destruída e o validador é forçado a sair da rede. O objetivo desse mecanismo é garantir que os participantes, ao mesmo tempo em que obtêm retornos de staking, também devam assumir responsabilidades correspondentes, de modo que qualquer tentativa de minar o consenso da rede exija o pagamento de um preço econômico real.
Segundo, as permissões de saque e as permissões de operação do validador podem ser independentes entre si. Este é um design muito importante no staking nativo para a segurança dos ativos. Mesmo que haja um problema com a chave de assinatura do validador, desde que a chave de saque ainda esteja mantida com segurança pelo usuário, um atacante não pode simplesmente usar a chave de assinatura para sacar diretamente o principal em staking do usuário. Após a atualização Pectra, o Ethereum aprimorou ainda mais esse mecanismo: o endereço de saque também pode iniciar diretamente uma operação de saída do validador, não dependendo mais inteiramente da chave de assinatura do validador. Isso dá aos usuários não custodiais uma garantia subjacente para "forçar o saque de fundos" em circunstâncias extremas.
Por fim, a saída do staking nativo também é restringida pelas regras do protocolo. O staking nativo suporta o saque de recompensas e a saída total do principal, mas isso não chega instantaneamente como uma transferência comum de carteira. Após um validador iniciar a saída, ele deve entrar na fila de saída de toda a rede de acordo com as regras do protocolo (o tempo de fila depende do número de validadores saindo simultaneamente em toda a rede naquele momento). Somente após a conclusão é que o principal e as recompensas restantes serão automaticamente liquidados para o endereço de saque vinculado (leitura adicional: "Por Que Você Precisa Entrar na Fila por um Mês Primeiro para Participar do Staking Nativo do Ethereum Agora?").
Dessa perspectiva, o valor do staking nativo não é apenas obter recompensas de ETH, mas também fornecer uma garantia de liquidação subjacente com regras totalmente públicas, transparência e verificabilidade on-chain, e sem dependência de qualquer instituição centralizada para resgate.
Uma Análise Lado a Lado das Soluções Mainstream: Onde Exatamente os Riscos Estão Distribuídos?
Combinando "direitos de controle de chaves" e "dependência de protocolo", os quatro tipos mainstream de soluções de staking de ETH atualmente no mercado essencialmente colocam os riscos em cestas diferentes.
Os serviços de staking oferecidos por exchanges e custodiantes geralmente têm o menor limite de participação, suportam staking de pequenos valores e oferecem uma experiência operacional próxima à gestão de patrimônio tradicional, de modo que os usuários não precisam lidar com operações técnicas complexas. Mas, ao mesmo tempo, o controle do principal é completamente transferido para a plataforma. Mesmo que o ETH subjacente acabe entrando no contrato oficial de staking do Ethereum, os usuários ainda precisam arcar com o risco de crédito da plataforma, o risco de controle interno e as restrições de saque em condições extremas de mercado.
Tomando como exemplo protocolos de staking líquido como o Lido, após os usuários depositarem ETH, eles podem obter um LST que representa os direitos de staking, como o stETH, tornando conveniente ganhar rendimento secundário em DeFi ou sacar a qualquer momento no mercado secundário. A maior vantagem desse tipo de solução é reduzir o limite de participação e permitir que os usuários ainda participem de DeFi e outras aplicações durante o período de staking, mas as camadas de risco aumentam significativamente. Possuir um LST não significa possuir os direitos de saque do validador; em vez disso, significa possuir um certificado de dívida baseado em um contrato inteligente. Além do risco de slashing do nó subjacente, os usuários também precisam arcar com o risco adicional de vulnerabilidade do contrato inteligente, o risco de governança do protocolo e, em condições extremas de mercado, o risco de desconto (depegging) no mercado secundário do LST e de corrida de resgate, o que já ocorreu várias vezes na história dos LSTs.
O que o staking nativo não custodial tenta resolver é precisamente a contradição entre a autonomia dos ativos e a operação e manutenção do nó. Os usuários participam da rede por meio do mecanismo de staking nativo do Ethereum e mantêm eles próprios a chave de saque, enquanto provedores de serviços profissionais são responsáveis pela operação, monitoramento e manutenção dos validadores. Isso não exige que os usuários arcarem com o risco adicional de depegging dos tokens de staking líquido, e também reduz os riscos adicionais trazidos pelos contratos inteligentes e mecanismos de governança de pools de staking de terceiros.
Se os usuários tiverem ETH suficiente e capacidade técnica, também podem construir eles próprios nós validadores. Dessa forma, a chave de assinatura, a chave de saque e o equipamento do nó são todos gerenciados pelos próprios usuários, sem necessidade de depender de provedores de serviços de nós de terceiros. Mas isso não significa que o risco seja o mais baixo: falhas de hardware do nó, interrupção de rede, erros de configuração do cliente, backup inadequado de chaves e até assinatura duplicada podem causar perda de recompensas ou slashing. Portanto, para usuários comuns sem experiência de longo prazo em operação e manutenção de nós, os custos técnicos e de manutenção também são uma barreira.
Mantenha o Controle em Suas Próprias Mãos: O Valor de Longo Prazo do Modelo Não Custodial
Em resumo, diferentes modelos de staking atendem às necessidades de diferentes tamanhos de capital e preferências de risco. Para usuários que valorizam o controle absoluto sobre seu principal e não querem gastar esforço mantendo servidores por conta própria, o "staking nativo não custodial" é, sem dúvida, a solução de segurança mais adequada.
Essa também é a filosofia central de design da solução de staking ETH não custodial da imToken: as permissões de saque que nunca devem ser entregues permanecem na própria carteira do usuário, enquanto as operações de nós que exigem garantias de alta disponibilidade são confiadas a infraestrutura profissional.
No nível da implementação prática, esta solução também oferece dois modos — nós validadores com juros compostos e nós validadores com saque automático — permitindo que os usuários escolham flexivelmente diferentes abordagens de gestão de fundos.
É claro que escolher o modelo não custodial não significa que se possa ser um "chefe que não se envolve". Como o controle final dos ativos está inteiramente com o usuário, os usuários ainda precisam cumprir suas responsabilidades pessoais de segurança: fazer backup adequado das frases mnemônicas da carteira offline, verificar cuidadosamente os endereços de saque antes de iniciar o staking e manter uma compreensão clara do mecanismo de fila de saída do protocolo Ethereum, das taxas de serviço e das potenciais regras de slashing subjacentes.
À medida que cada vez mais ETH entra em sistemas de geração de rendimento de longo prazo, como detentores, o que realmente precisamos focar talvez não seja apenas quanto rendimento nossos ativos podem gerar, mas sim se, quando qualquer elo de serviço externo encontrar uma situação extrema, eu ainda mantenho a iniciativa final de recuperar meu principal?
Mantenha o controle final dos ativos em suas próprias mãos e deixe que profissionais cuidem de assuntos profissionais. Este pode ser o valor de segurança mais digno de nota do staking nativo não custodial.
