msUSD: o verificador de reservas como ponto único de falha

Em 20 de junho de 2026, uma stablecoin que se vendia como "de grau institucional" perdeu 88% de seu valor em 24 horas sem que suas reservas tivessem se movido um único dólar. O msUSD da MainStreet — uma moeda estável, ou seja, um token projetado para valer sempre 1 dólar — não afundou porque o dinheiro que o lastreava desapareceu, mas porque a Accountable, a empresa que verificava em tempo real a existência dessas reservas, cortou o feed de atestação (a prova pública e contínua de que os fundos estão onde o emissor diz) alegando que a MainStreet havia deixado de cumprir seus padrões. Assim que a prova desapareceu, o mercado fez a única coisa que sabe fazer diante da incerteza: vender. E não parou por aí. O pânico saltou para a Altura, um protocolo de rendimento que não tinha um centavo investido em msUSD, mas que compartilhava o mesmo verificador, e que acabou encerrando abruptamente um depósito de 39 milhões de dólares. Este artigo reconstrói a cronologia desses três dias, propõe uma taxonomia dos quatro tipos de risco de reservas que quase ninguém separa, e explica por que o GENIUS Act — a lei americana de stablecoins que exige atestações — não diz nada sobre o que acontece quando é o próprio verificador que falha. A lição é incômoda: nas stablecoins "institucionais", a camada de verificação de terceiros tornou-se um ponto único de falha tão perigoso quanto as próprias reservas.

O que aconteceu exatamente com o msUSD em 20 de junho de 2026?

O msUSD é a stablecoin da MainStreet, um emissor que lastreava seu token com uma carteira de ativos e contratava um terceiro, a Accountable, para publicar uma prova contínua de que essas reservas permaneciam lá. A Accountable pertence a uma categoria relativamente nova: provedores de proof-of-reserve (prova de reservas) que verificam os holdings de um emissor sem expô-los publicamente em detalhes, funcionando como um auditor em tempo real conectado diretamente à rede.

Em 20 de junho, a Accountable encerrou seu contrato de serviço com a MainStreet declarando publicamente que o emissor não cumpria seus padrões de verificação. O feed de atestação foi desligado. Em questão de horas, o msUSD despencou de 1 dólar para uma mínima intradiária em torno de 0,064 $ — uma queda de mais de 93% em seu ponto mais severo; os números que circularam nas manchetes, de 71% a 88%, correspondem a medições feitas em diferentes momentos da queda, não ao fundo absoluto. Sua capitalização girava em torno de 30,5 milhões de dólares quando o colapso começou. O contágio interno foi imediato: no mercado msY/USDC da Morpho (um protocolo de empréstimos onde se pode tomar emprestado contra colateral), a utilização disparou para 100% e as taxas de juros para empréstimos chegaram a 138% anualizados, com um vault da AlphaUSDC exposto em cerca de 18 milhões de dólares preso no processo.

A MainStreet respondeu com uma tese que sustenta até 5 de julho de 2026: os ativos continuam lá, totalmente lastreados, e o problema não são as reservas, mas o feed de verificação que a Accountable desligou. A empresa afirmou ter alocado mais de 8 milhões de dólares em USDC para sustentar a liquidez e anunciou que integraria um novo provedor de provas de reserva e redistribuiria a liquidez através da Morpho. A Accountable mantém a versão contrária: a MainStreet descumpriu os padrões. Até 5 de julho de 2026, nenhuma das duas partes publicou um relatório que resolva a disputa, e essa é precisamente a armadilha do episódio.

Por que uma stablecoin afunda se suas reservas continuam lá?

Aqui está o cerne da questão. Uma stablecoin não vale 1 dólar porque um contrato diz isso: vale 1 dólar porque o mercado acredita que pode resgatá-la por 1 dólar a qualquer momento. Essa crença se sustenta sobre uma prova. Quando a prova desaparece, o mercado se depara com dois cenários que, de fora, são indistinguíveis: "as reservas existem, mas ninguém mais as verifica" e "as reservas não existem". Diante dessa ambiguidade, o comportamento racional de qualquer detentor é o mesmo em ambos os casos — sair primeiro —, e essa reação idêntica é o que transforma uma simples perda de verificação em um colapso real de preço.

A analogia útil não é a de um cofre vazio, mas a de um certificado de segurança de um site. Quando o navegador deixa de validar o certificado de um banco online, o dinheiro nas contas continua intacto nos servidores; o que se quebra é a capacidade de confiar na conexão. Ninguém insere suas credenciais em uma página cujo cadeado desapareceu, mesmo que o banco jure que tudo funciona nos bastidores. Com o msUSD ocorreu o mesmo: o cadeado foi desligado, e a confiança — que era o ativo real que sustentava a paridade — evaporou antes que qualquer pessoa pudesse verificar o estado das reservas.

Por isso, a distinção entre "reservas quebradas" e "verificação quebrada" é, para o preço, acadêmica. O emissor pode ter toda a razão do mundo sobre sua solvência e, ainda assim, ver sua moeda afundar, porque o mercado não compra solvência: compra solvência demonstrável em tempo real. Uma stablecoin sem atestação ativa é, funcionalmente, uma stablecoin sem lastro, independentemente do que houver na conta.

Como o pânico se espalhou para a Altura sem exposição direta?

A Altura é um protocolo de rendimento sobre HyperEVM que distribui os depósitos dos usuários entre várias estratégias — arbitragem de taxas de financiamento, formatação de mercado e posições em ativos do mundo real, os chamados RWA (real-world assets: crédito privado, dívida e outros instrumentos tokenizados fora da rede). Seu vault principal, um depósito coletivo denominado em USDT, havia acumulado 39 milhões de dólares em valor bloqueado (o TVL ou total value locked, a soma de tudo o que foi depositado).

A Altura não tinha nenhuma exposição ao msUSD ou à MainStreet: nem um dólar investido, nem uma posição indireta. O que compartilhava era o provedor. A Accountable também prestava serviços de verificação de solvência ao vault da Altura, e esse vínculo foi suficiente. Assim que os usuários viram que o verificador do msUSD havia cortado o feed e provocado um colapso, deduziram — racionalmente — que qualquer protocolo dependente do mesmo verificador poderia ser o próximo. Em 24 horas, a Altura processou mais de 8,5 milhões de dólares em resgates instantâneos, cerca de 22% de seu vault. Em 21 de junho, seu CEO, Ranveer Arora, anunciou o encerramento ordenado (wind-down) do vault, enquadrando-o como uma medida de proteção: melhor devolver o dinheiro a todos de forma organizada do que deixar que uma dinâmica de corrida bancária se desenvolvesse em tempo real.

O detalhe que torna a Altura um caso de estudo é seu balanço. De acordo com o dashboard da Accountable — o mesmo verificador cuja confiabilidade está em questão em todo este episódio —, o vault continuava sobrecolateralizado em 105%, com cerca de 34 milhões de dólares em reservas. O problema não era a solvência, mas o cronograma: esses ativos estavam atrelados a estratégias de RWA e crédito privado que liquidam em prazos lentos, enquanto os resgates on-chain são instantâneos. Um desajuste clássico de prazos — ativos ilíquidos contra passivos exigíveis instantaneamente — que a imprensa estimou, somando a queda de valor de mercado do msUSD e do token do vault da Altura (AVLT), em cerca de 69 milhões de dólares evaporados. Nenhuma das duas entidades foi insolvente em sentido estrito; ambas foram incapazes de demonstrá-lo com rapidez suficiente.

Quais são os quatro tipos de risco de reservas de uma stablecoin?

A cobertura habitual coloca todas as falhas de stablecoins no mesmo saco de "não tinha reservas". É um erro de diagnóstico. O episódio do msUSD e da Altura obriga a separar quatro riscos distintos, porque cada um é prevenido de uma maneira diferente e uma atestação só protege contra o primeiro.

A armadilha do setor é que a indústria investiu quase todo o seu esforço no primeiro risco — demonstrar que as reservas existem — e ignorou os outros três. O msUSD combinou o terceiro e o quarto; a Altura sofreu o segundo por contágio. Nenhuma dessas três falhas teria sido evitada com "mais atestações". Pelo contrário: foi a própria dependência de uma atestação externa que criou o ponto de ruptura.

Como foi a cronologia exata do contágio?

Reconstruir a sequência é importante porque mostra a velocidade com que uma falha de verificação se propaga para um protocolo sem relação financeira com o primeiro.

O dado que convém sublinhar é a janela temporal: menos de 48 horas separam o corte de um feed de verificação do fechamento forçado de um vault de 39 milhões que não tinha exposição ao token afetado. Esse é o perfil de um risco sistêmico latente, não o de um acidente isolado.

Por que o GENIUS Act não protege contra esta falha?

O momento regulatório agrava a ironia. O GENIUS Act, a lei americana de stablecoins cujos regulamentos definitivos acompanhamos semana a semana na contagem dos regulamentos do GENIUS Act, exige que os emissores publiquem atestações periódicas de reservas como pedra angular da confiança. A lógica é sensata: se você obriga a demonstrar o lastro, reduz a fraude. Mas a lei trata a atestação como uma solução e não contempla que ela possa ser, em si mesma, um ponto de falha.

A norma não responde às perguntas que este caso levanta. O que acontece se o verificador se retirar unilateralmente? O emissor descumpre automaticamente por perder algo que não controla totalmente? Quem arbitra uma disputa como a da MainStreet e Accountable, na qual emissor e verificador se acusam mutuamente e nenhum publica provas? Existe algum requisito de redundância — dois verificadores independentes — para que o corte de um não desligue a prova inteira? O marco regulatório, focado em exigir a atestação, silencia sobre sua fragilidade operacional. Torna a verificação obrigatória sem torná-la robusta, e isso cria exatamente o tipo de dependência crítica que colapsou em junho.

Em que isso se diferencia do modelo da BlackRock ou Circle?

Vale a pena contrastar com o extremo oposto do espectro. Quando a BlackRock projeta sua infraestrutura de reservas tokenizada — os fundos que analisamos na análise da BSTBL e o rendimento de reservas sob o GENIUS Act —, a verificação não depende de um feed de um terceiro que pode ser desligado: as participações do fundo são o ativo, custodiadas por um banco regulado e contabilizadas on-chain, de modo que a prova de reserva e a reserva são a mesma coisa. A Circle, com o USDC, publica atestações de uma grande auditora e mantém suas reservas em um fundo gerido pela BlackRock. Em ambos os casos, a camada de verificação está integrada em uma arquitetura de custódia regulada, não pendurada em um provedor externo especializado que pode rescindir um contrato de um dia para o outro.

O modelo da MainStreet e Accountable representa a promessa — atraente e perigosa — da verificação "as a service": terceirizar a prova de reservas para uma empresa especializada que a publica em tempo real. No papel, é mais transparente que uma atestação trimestral. Na prática, introduz uma nova contraparte cuja retirada pode detonar o colapso sem que o emissor possa fazer nada. É o mesmo padrão que descrevemos em outros contextos: controles que aparentam robustez, mas concentram o risco em um único ponto, como analisamos no teatro de segurança das multifirmas. Um mecanismo pensado para dar confiança acaba sendo o elo que a rompe.

Quais sinais de alerta restam e quais lições para quem possui stablecoins?

Além da falha de verificação, o caso Altura gerou perguntas sobre a qualidade de sua governança. Uma investigação da rekt.news publicada em 2 de julho de 2026 («Digging for Gold») documentou três sinais de alerta. Um: o próprio dashboard da Accountable inclui um aviso legal que reconhece que sua auditoria «não constitui verificação independente da existência, custódia, segregação, avaliação ou lastro» dos ativos reportados — um sistema de verificação que admite não verificar. Dois: movimentações de fundos da Altura através de carteiras da Tron alimentadas pela Kraken, com saídas posteriores via serviços de exchange para plataformas como HTX. E três: que a Aurellion Labs — o verificador da estratégia de ouro da Altura, diferente da Accountable — foi implantada a partir de uma carteira financiada pelo próprio diretor de operações da Altura, Matthew Pinnock, um vínculo que ele mesmo confirmou publicamente. O que está documentado é o desajuste de prazos: um vault que promete resgate instantâneo enquanto aloca o dinheiro em crédito privado de liquidação lenta é vulnerável a qualquer faísca de pânico, tenha ou não exposição à fonte original.

Para quem possui stablecoins ou deposita em vaults de rendimento, as lições são concretas e acionáveis. Primeiro: perguntar quem verifica as reservas e se há um único provedor — um verificador único é um ponto único de falha. Segundo: distinguir os quatro riscos da tabela; um protocolo pode ser perfeitamente solvente e, ainda assim, incapaz de devolver seu dinheiro a tempo. Terceiro: desconfiar do desajuste de prazos — rendimento alto sobre ativos ilíquidos com promessa de retirada instantânea é uma combinação que só funciona até o primeiro susto. E quarto: o selo "de grau institucional" não é uma garantia; o msUSD o utilizava, e bastou a rescisão de um contrato de serviços para apagar 88% de seu valor. Ampliamos o mapa completo desses perigos no guia de riscos das stablecoins. A conclusão de fundo do episódio de junho é que, na geração atual de stablecoins "institucionais", o risco não vive mais apenas na conta de reservas: vive também na tubulação que as verifica.

Fontes e links: Incrypted — msUSD perde a paridade após ruptura com seu verificador · crypto.news — MainStreet defende o lastro do msUSD · The Block — Altura encerra seu vault de stablecoins · Protos — drama apaga 69 milhões de valor do msUSD e AVLT · Crypto Times — Altura encerra vault de 39 milhões · rekt.news — «Digging for Gold», investigação sobre a Altura