Aave Shield é lançado após swap de US$ 50 milhões virar pó

Dias depois de um usuário transformar US$ 50 milhões em US$ 36 mil por meio de um swap na sua interface, a Aave publicou o post-mortem e anunciou o Aave Shield. É a resposta prática da equipe à pergunta que o incidente deixou no ar: o que um protocolo descentralizado pode fazer para proteger seus usuários?

O que é o Aave Shield

O Aave Shield é uma camada de proteção integrada ao widget de swap da interface aave.com que, ativada por padrão, bloqueia automaticamente qualquer transação com impacto de preço superior a 25%. O bloqueio não é definitivo, mas para contorná-lo, o usuário precisa ir ao menu de configurações e desativar o Shield manualmente.

A lógica é de fricção intencional: o protocolo não proíbe, mas coloca um obstáculo no caminho de decisões que historicamente resultam em perdas catastróficas. Em interfaces mobile, onde o campo de visão é reduzido e a atenção fragmentada, essa fricção tem valor ainda maior.

Por que o incidente exigiu resposta

O caso que motivou o Shield é detalhado no artigo publicado no X: em 12 de março, um usuário tentou trocar 50,4 milhões de aEthUSDT por aEthAAVE. A cotação apresentada pelo CoW Swap mostrava que ele receberia apenas US$ 36,2 mil em troca — uma perda de 99,9% do valor.

A interface exibiu um aviso explícito, bloqueou o botão de swap, e exigiu que o usuário marcasse uma caixa com o texto “Confirmo o swap com potencial de 100% de perda de valor.” O usuário, em um celular, marcou a caixa e confirmou.

O problema técnico não foi slippage, foi iliquidez, de acordo com a equipe de desenvolvimento da Aave. Slippage é a variação de preço entre a confirmação e a execução. Aqui, a cotação já refletia o problema inteiro antes da execução: não havia liquidez suficiente no mercado para absorver uma ordem desse tamanho a preço razoável. O usuário não deveria ter sido surpreendido. Ele confirmou uma troca ruim.

A taxa cobrada pela interface da Aave foi de US$ 110.368 — valor menor do que estimativas iniciais de US$ 600 mil citadas no dia do incidente. A Aave informou que devolverá o montante ao usuário mediante verificação de identidade. Até o momento, o usuário não entrou em contato.

A tensão que o Shield não resolve, mas reconhece

A Aave é explícita no post-mortem sobre a filosofia por trás da decisão: “Operações permissionless podem ser criticamente importantes em momentos de estresse de mercado. Às vezes é muito importante para os usuários executar um swap a qualquer slippage ou impacto de preço — e a discrição do usuário é fundamental.”

Em outras palavras: há situações reais em que um usuário precisa vender um ativo a qualquer preço, rapidamente, sem que nenhum protocolo possa bloquear isso. É exatamente essa capacidade que diferencia DeFi de uma corretora tradicional que pode suspender saques durante uma crise. Retirar esse poder do usuário seria resolver um problema criando outro.

O Aave Shield não retira. Ele desloca o ponto de confirmação: em vez de um checkbox na tela de swap, o usuário precisa ir às configurações, desativar a proteção, e só então executar. O número de etapas aumenta e torna as coisas mais intencionais, mas a permissão permanece.

Se isso é suficiente para evitar a próxima vez que alguém tentar mover US$ 50 milhões pelo celular sem verificar a cotação, o tempo dirá. O que o Shield deixa claro é que a Aave entendeu que o problema não é técnico, é de experiência de usuário.