Zcash congela US$ 15 milhões, e ninguém sabe de quem é o dinheiro

Em 6 de novembro de 2026, cerca de US$ 15 milhões em moedas da criptomoeda Zcash ficaram impossíveis de gastar. Ninguém sabe de quem é esse dinheiro: nem os desenvolvedores, nem as corretoras, nem a própria rede. As moedas estão no Sprout, o primeiríssimo pool privado do Zcash, lançado quase exatamente dez anos antes. Às 02h34 UTC, a rede deixou de aceitar um tipo antigo de transferência, o único capaz de tirar dinheiro do Sprout. Naquele instante, o pool guardava 12.224 ZEC. O Sprout foi criado para esconder donos e valores, por isso, de fora, só se vê um número: o saldo total.

Mais estranho ainda é o que aconteceu antes do congelamento. Em março de 2026, o mesmo pool tinha 25.424 ZEC, e os desenvolvedores davam essas moedas como perdidas para sempre. Nos quinze meses anteriores, o saldo mal tinha se mexido. Aí o pool ganhou data para fechar, e em poucos meses metade das moedas foi embora. O dinheiro que todo mundo achava morto só estava esperando.

Dinheiro nascido numa fogueira

O Zcash estreou em 28 de outubro de 2016 como uma espécie de bitcoin com modo invisível. No bitcoin, toda transferência é pública: o endereço de quem envia, o de quem recebe e o valor. No Zcash, dava para colocar as moedas num “pool blindado”: um cofre coletivo e opaco dentro da rede. As moedas entram e saem, mas ninguém vê o que há lá dentro nem de quem é. A rede vê apenas a prova de que cada transferência é válida. Quem pagou a quem, e quanto, fica em segredo.

O truque é a prova de conhecimento zero: um jeito de mostrar que você é dono do dinheiro e não está gastando a mesma moeda duas vezes, sem revelar nem o dinheiro nem você. Ninguém tinha rodado nada parecido em grande escala antes de 2016. O Sprout foi o primeiro.

A matemática vinha com um subproduto indigesto. Antes do lançamento, o sistema precisava de um conjunto de parâmetros compartilhados, gerados uma única vez. O processo também produzia dados que os próprios desenvolvedores chamavam de “lixo tóxico”. Quem guardasse esse material poderia fabricar moedas falsas sem limite, e ninguém jamais perceberia.

A solução beirou o teatro. Seis pessoas, em seis estações separadas, geraram os parâmetros juntas. Cada uma acrescentou um fragmento do segredo, e bastava que uma só destruísse o seu para que o lixo tóxico nunca mais pudesse ser reconstruído. A jornalista Morgen Peck acompanhou a estação de Boulder, no Colorado, para a IEEE Spectrum. O computador de lá foi comprado novo em Denver e teve a placa de rede sem fio e o disco rígido arrancados. Os resultados intermediários iam para DVDs não regraváveis, e cinco câmeras filmavam a sala.

Uma das estações estava em movimento. O desenvolvedor de bitcoin Peter Todd calculou sua parte num notebook guardado numa caixa de papelão forrada de papel-alumínio enquanto cruzava de carro a Colúmbia Britânica. Depois, torrou a máquina com um maçarico a propano. A meta, disse ele, era superar todas as outras estações “em glória cypherpunk canadense”.

O Colorado dispensou o maçarico, mas não o drama. O fundador do Zcash, Zooko Wilcox, o irmão dele, Za, e a esposa de Za, Jessica, destruíram o equipamento num quintal em Longmont, à luz dos faróis de um carro. Za abriu um desktop Lenovo com uma esmerilhadeira, Zooko desceu a marreta no gabinete, e os destroços foram parar numa fogueira regada com fluido de isqueiro. O ar cheirava a plástico derretido. “E é por isso, crianças, que no dia 23 de outubro temos fogos de artifício”, disse Zooko, para a posteridade.

Uma falha que só quatro pessoas conheciam

A fogueira protegia contra uma ameaça: alguém guardar escondido o lixo tóxico. Contra um erro na própria matemática, não adiantava nada.

Na noite de 1º de março de 2018, Ariel Gabizon, criptógrafo da Zcash Company, a empresa por trás da moeda, preparava uma palestra para um workshop acadêmico. No meio do trabalho, ele encontrou um buraco no esquema usado para gerar os parâmetros. A falha fazia com que o registro público da cerimônia contivesse elementos a mais. Com esse registro em mãos, alguém poderia forjar uma prova e fabricar um número ilimitado de moedas dentro do Sprout. Sem que ninguém percebesse.

No começo, só quatro pessoas sabiam: Gabizon, Sean Bowe, outro criptógrafo da empresa, o CEO Zooko Wilcox e o diretor de tecnologia Nathan Wilcox. A empresa apagou o registro público da cerimônia e alegou que tinha sido um acidente. A correção foi escondida dentro do Sapling, uma grande atualização programada que entrou no ar em 28 de outubro de 2018. Segundo a empresa, nem os próprios engenheiros sabiam o que estavam entregando. Mais tarde, o registro foi reconstruído a partir dos DVDs e republicado. A falha em si continuou em segredo até fevereiro de 2019.

A empresa não achou nenhum sinal de ataque na blockchain. Para chegar a essa conclusão, apoiou-se num detalhe que vai reaparecer várias vezes nesta história. O Sprout funciona como uma catraca. Não dá para ver o que há dentro, mas a rede conta quantas moedas entraram e quantas saíram. Se alguém tivesse fabricado moedas falsas e sacado mais do que jamais foi depositado, o saldo do pool teria ficado abaixo de zero. Isso nunca aconteceu, e a empresa escolheu bem as palavras: enquanto o saldo continuar acima de zero, nenhuma falsificação foi detectada.

A catraca tem um limite honesto. Ela garante que não saiam do pool mais moedas do que entraram. Mas, se houve falsificação e as moedas falsas foram sacadas, os últimos donos de moedas no Sprout ficariam com o prejuízo: não haveria moedas de verdade suficientes lá dentro para todo mundo.

Esse mesmo contador marca hoje 12.224 ZEC.

A porta trancada por fora

Depois de 2018, o Sprout ficou obsoleto. O Zcash ganhou pools mais novos, o Sapling e depois o Orchard, mais rápidos, mais leves e mais fáceis de usar. Manter o projeto antigo era deixar uma porta a mais à espera de um ladrão.

Em 18 de novembro de 2020, a atualização Canopy proibiu novos depósitos no Sprout. Os saques continuaram funcionando. A justificativa dos desenvolvedores trazia uma frase que, seis anos depois, soa quase profética: a possibilidade de outras fraquezas criptográficas “não pode ser totalmente descartada”.

Então, quem deixou moedas lá esse tempo todo? Quase certamente não era gente comum com um app no celular. Um desenvolvedor do Zcash que escreve no fórum do projeto como nuttycom lembrou que nenhuma carteira para o público comum jamais deu suporte ao Sprout. Só quem rodava o próprio nó completo conseguia usá-lo: mineradores pioneiros, entusiastas e os primeiros investidores de 2016 e 2017. Alguns provavelmente perderam as senhas. Outros simplesmente deixaram de prestar atenção quando o preço da moeda caiu.

Um segundo buraco, achado com IA

Em março de 2026, essa cautela se mostrou justificada. O pesquisador Alex Sol, conhecido como Scalar, usou IA para descobrir que o zcashd, o principal software de nó do Zcash, simplesmente não verificava as provas das transações do Sprout desde julho de 2020. Um minerador mal-intencionado poderia ter drenado mais de 25.000 ZEC do pool, o equivalente na época a cerca de US$ 6,5 milhões.

O relatório chegou em 23 de março, e em três dias os maiores mineradores já tinham instalado a correção. Ninguém explorou o bug. Mesmo no pior cenário, a mesma catraca teria limitado o estrago: o atacante poderia roubar moedas alheias do pool, mas não tirar mais do que havia lá. Sol recebeu uma recompensa de 200 ZEC.

Para quem queria o Sprout fora do ar, esse virou o argumento mais forte. Quase ninguém usa o código antigo, então quase ninguém o revisa. Mas o dinheiro parado nele é de verdade.

Metade das moedas “mortas” ressuscitou

Em outubro de 2024, a criptógrafa Daira-Emma Hopwood propôs desligar o Sprout de vez. O raciocínio dela: quase ninguém o usava, mas todos os nós da rede tinham de verificar suas transferências, o que o tornava um alvo desnecessário para ataques. E o único software com carteira Sprout estava prestes a ser aposentado.

Em dezembro de 2024, com 26.054 ZEC ainda no pool, o fórum do Zcash fez uma enquete, e o debate esquentou. Um participante chamou o congelamento de “total desrespeito aos primeiros detentores, mineradores, investidores, à privacidade e à imutabilidade”. Outro se preocupou com quem simplesmente tinha esquecido o Zcash e pediu um “plano B” para que as moedas pudessem ser recuperadas depois. Hopwood respondeu que recuperá-las mais tarde era teoricamente possível. Mas insistiu que quem ainda tivesse as chaves movesse o dinheiro já, enquanto o software antigo ainda funcionava. Quanto aos demais, escreveu ela, o mais provável, infelizmente, é que tivessem perdido as chaves.

Depois, por mais de um ano, nada aconteceu. Até março de 2026, o saldo tinha caído apenas 630 moedas.

Aí tudo andou de uma vez. A partir de março, o preço do ZEC subiu cerca de cinco vezes, e um pé de meia esquecido de repente passou a valer dinheiro de verdade. A NU7 ganhou data: primeiro 5 de novembro, depois uma altura de bloco exata. Em setembro, os alertas se espalharam pela imprensa cripto, Zooko Wilcox os repetiu no X, e membros do fórum pediram que todos conferissem suas carteiras antigas. Em poucos meses, 13.200 moedas saíram do pool, mais da metade do que tinha sido dado como perdido.

O paralelo mais próximo é um governo tirando cédulas antigas de circulação. Em 8 de novembro de 2016, onze dias depois do lançamento do Zcash, a Índia declarou inválidas as notas de 500 e 1.000 rúpias, e a população teve até o fim do ano para depositá-las num banco. No fim, 99,3% das notas voltaram. Um prazo funciona melhor do que qualquer campanha de convencimento. Só que quem tem cédulas velhas pode entrar numa agência. Quem tem moedas no Sprout não tem para onde ir: a rede não tem um caixa que olhe você nos olhos e decida acreditar em você.

Congeladas, não queimadas

Tecnicamente, os 12.224 ZEC não sumiram. A proposta de Hopwood, a ZIP 2003, ressalta que as moedas não foram queimadas e continuam contando como emitidas. A rede apenas recusa as transações que poderiam movê-las. Uma atualização futura poderia trazer o formato antigo de volta ou inventar outro jeito de resgatar os fundos. O documento, porém, é franco sobre as chances: a possibilidade de gastar fundos do Sprout “pode nunca ser reativada”.

Já circulam ideias para tirar o dinheiro de lá. Sean Bowe, um dos quatro que guardaram o segredo da falha de 2018, esboçou um mecanismo de recuperação, mas nada tinha sido aprovado até o dia da ativação. Já em 2024, o fórum discutiu um “último recurso”: juntar o saldo restante numa única carteira e pagar a quem conseguisse provar que tem uma chave antiga. A prova, de novo, seria de conhecimento zero. Até os defensores da ideia admitiam que o resultado seria “escancaradamente centralizado”. Alguém teria de guardar essa carteira, e todo mundo teria de confiar nessa pessoa.

O bitcoin enfrenta a mesma briga

O Zcash fez o que o bitcoin ainda está discutindo. Em abril de 2026, o desenvolvedor Jameson Lopp e cinco coautores propuseram a BIP-361: cinco anos após a ativação, congelar as moedas em endereços que futuros computadores quânticos poderiam quebrar. Isso abrange cerca de 6 milhões de BTC, incluindo aproximadamente 1,7 milhão nos endereços mais antigos de todos, entre eles as moedas de Satoshi Nakamoto. A lógica é a mesma do Zcash: melhor congelar as moedas do que esperar que outra pessoa as roube.

Os autores prometem aos donos que ainda têm a frase de recuperação um jeito de reaver os fundos. Para os endereços mais antigos, inclusive os de Satoshi, eles admitem que ainda ninguém encontrou um resgate assim. Como no Sprout, essas moedas podem acabar sem fechadura nenhuma. Há uma semana, a FUTURMAG explicou por que as moedas antigas são as mais expostas.

A reação à proposta de Lopp foi feroz. Phil Geiger, da Metaplanet, empresa japonesa que acumula bitcoin, resumiu a principal objeção numa frase: “Temos de roubar o dinheiro das pessoas para impedir que o dinheiro delas seja roubado”.

As criptomoedas prometeram um dinheiro que ninguém pode tomar: nem um banco, nem um governo, nem os desenvolvedores. O Sprout mostra onde essa promessa termina. Código velho, cedo ou tarde, vira brecha, e uma comunidade precisa decidir o que é mais perigoso: deixá-la aberta ou lacrá-la com o dinheiro dos outros lá dentro. O Zcash escolheu lacrar e marcou um prazo público. Mais da metade das moedas saiu a tempo.

As outras 12.224 moedas continuam atrás de uma catraca que segue contando cada uma delas com fidelidade. Se daqui a cinco anos alguém achar um disco rígido velho com uma chave do Sprout, quem decide se essa pessoa recebe o dinheiro de volta: o código, os desenvolvedores ou uma enquete no fórum?