Hoskinson analisa o ataque do porquinho venenoso

Cardano acaba de passar por um dos incidentes técnicos mais graves de sua história – uma divisão de cadeia de 14 horas que o fundador Charles Hoskinson insiste que foi “séria, mas não existencial”. Em uma transmissão ao vivo no final de novembro, ele conduziu os espectadores pelo “Poison Piggy – After Action Report” de Pi Lanningham, uma autópsia detalhada sobre o que aconteceu em 21 de novembro de 2025 e o que isso significa para a narrativa “sem tempo de inatividade” de longa data de Cardano.

Por dentro do colapso da cadeia de porcos de 14 horas de Cardano

De acordo com Lanningham, um bug de serialização na implementação do nó de Cardano criou as condições para um soft fork unidirecional. O problema surgiu pela primeira vez em 20 de novembro na rede de teste de visualização, quando um certificado de delegação malformado foi aceito por alguns nós e rejeitado por outros. Os nós mais antigos rejeitaram corretamente o hash muito longo; nós mais recentes, devido a uma alteração de código em novembro de 2024, truncaram-no e trataram-no como válido. Essa distorção de versão criou duas visões incompatíveis da cadeia.

“A razão pela qual a testnet existe é para ser um espaço seguro” para encontrar essas falhas, observou Hoskinson. Em circunstâncias normais, o bug teria sido corrigido e implementado silenciosamente. Em vez disso, depois que a correção foi identificada e estava em processo de comunicação aos operadores de pool de participação, uma delegação malformada quase idêntica foi submetida à mainnet, desta vez delegando ao RATSRATS – duplicando conceitualmente o ticker do RATS, o pool de participação do próprio Hoskinson.

Essa transação dividiu a rede principal Cardano em duas bifurcações. A bifurcação mais rigorosa, executando código mais antigo que rejeitava o hash malformado, tornou-se a “cadeia de frango”. O garfo permissivo que o aceitou foi batizado de “corrente de porco” ou “porquinho venenoso”. A partir desse ponto, a rede entrou em uma corrida: a transação envenenada na cadeia de suínos se tornaria imutável antes que a cadeia de frangos pudesse ultrapassá-la?

No impacto, os números de Lanningham são contundentes. Cardano permaneceu vivo, mas degradado. A inclusão de transações por meio de uma infraestrutura robusta desacelerou drasticamente, com atrasos de até cerca de 400 segundos e tempos de bloqueio na cadeia agora dominante chegando a cerca de 16 minutos, no pior dos casos. Ao longo da janela do incidente, foram produzidos 846 blocos na cadeia de suínos e cerca de 13,9 mil na cadeia de frangos. Das 14.383 transações observadas, 479 – cerca de 3,3% – foram incluídas apenas na cadeia de suínos descartados e nunca apareceram no histórico canônico final. A maioria deles, quando reenviados, revelou-se inválida devido a intervalos de validade expirados ou entradas conflitantes.

“Isso constitui uma grave degradação do serviço para os usuários, mas dentro dos limites esperados para uma disponibilidade de serviço de nove níveis”, escreveu Lanningham. Sua lista de verificação final é concisa: “A cadeia continuou a progredir? Sim. O serviço foi degradado? Sim. Os fundos estavam em risco? Potencialmente. A rede Cardano se recuperou essencialmente nas piores condições? Sim. Eu teria confiança para construir meu negócio em cima de uma infraestrutura que exibisse esse nível de robustez? Sim.”

A recuperação em si é considerada por Hoskinson como prova tanto da descentralização como do design. Um nó corrigido já estava disponível graças ao incidente testnet; durante a noite, IOG, Fundação Cardano, Emurgo, Intersect, exchanges e muitos SPOs coordenaram-se por meio de chamadas de sala de guerra e canais de chat para atualizar para a versão fixa e seguir a cadeia de frango mais restritiva. Não houve reversão em nível de protocolo nem “reinicialização” centralizada. À medida que a estaca migrava, a produção de blocos na cadeia suína desacelerou, a cadeia de frango acelerou e as propriedades probabilísticas de finalidade da Ouroboros garantiram que, assim que o garfo saudável ultrapassasse o envenenado, os nós da cadeia suína mudassem automaticamente para a cadeia mais longa e mais densa.

“Esta é a evidência concreta de quando o consenso de Nakamoto funcionou como pretendido e convergiu a rede para uma única história canônica”, argumentou Lanningham. Hoskinson foi mais longe, dizendo: “Isso poderia ter matado outras cadeias”, mas aqui “o tempo funciona de maneira diferente em um sistema distribuído” e efetivamente esticou a janela de reversão a favor de Cardano.

Lições aprendidas

Ambos, no entanto, são claros sobre o lado negativo. “O fato de o bug ter aparecido é uma falha em nosso rigor de testes”, admitiu Lanningham. A dependência de quase todos os exploradores do cardano-db-sync deixou o ecossistema “voando às cegas” quando esse componente travou na transação malformada. Muitos SPOs provavelmente atualizaram as recomendações “cegas” e confiantes das entidades fundadoras, em vez de raciocinar de forma independente sobre a escolha do fork. E certos sistemas fora da cadeia – especialmente bolsas e pontes – foram expostos ao risco de repetição e de gasto duplo, mesmo que as primeiras evidências sugiram que perdas reais são improváveis.

A autópsia funciona, portanto, como um roteiro. Lanningham pede fuzzing mais forte e testes orientados por especificações, protocolos nó-cliente mais ricos para que carteiras e exchanges possam implementar disjuntores com base na saúde real do consenso, mais diversidade nas pilhas de monitoramento e melhor educação para SPOs sobre como o Ouroboros se comporta sob estresse. Hoskinson, por sua vez, apresentou a ideia de uma “sentinela de atualização” de IA para as operadoras e reavivou as demandas por um canal pub/sub integrado para alertas de emergência.

Para a guerra narrativa mais ampla, a posição de Lanningham é deliberadamente imparcial: “Se, depois disso, você decidir por si mesmo que Cardano ‘caiu’, não vou invejar sua opinião. Não sou precioso quanto a esse rótulo… O que importa é o impacto.” Hoskinson é menos diplomático, descartando a maioria dos comentários nas redes sociais como ruído. O que ele quer que a indústria tire é mais simples: em 24 de novembro de 2025, depois de Poison Piggy, Cardano está de volta a uma cadeia – e sua próxima iteração de endurecimento já começou.

Até o momento, o ADA era negociado a US$ 0,4141.

Imagem em destaque criada com DALL.E, gráfico de TradingView.com