Em janeiro de 2025 uns homens tiraram David Balland de dentro de casa. Balland cofundou a Ledger, que fabrica hardware wallets, o que significa que, entre todas as pessoas do mundo, ele estava entre as que mais provavelmente tinham pensado com cuidado em como guardavam o próprio bitcoin.
Levaram a mulher dele também. Cortaram um dedo dele e mandaram o dedo, para deixar claro que a exigência era séria. Ele foi libertado por uma unidade de elite da polícia nacional francesa. A mulher foi libertada mais ou menos um dia depois. A essa altura um resgate já tinha sido pago, não por Balland e sim por um associado dele, e a maior parte foi recuperada depois porque parte do dinheiro passou por uma stablecoin centralizada cuja emissora podia congelá-la a pedido. Algo em torno de 5% nunca voltou.
Uma coisa nesse parágrafo é verificável de forma independente. Um congelamento de emissora deixa registro público. O resto, ou seja, quem pagou, quanto, e como foi a recuperação, se apoia no relato das partes envolvidas, e eu não tenho como auditar isso.
O que de fato o tirou de lá
Fique um momento com o formato da coisa, e não com o horror dela.
Um defensor profissional da autocustódia foi atacado mesmo assim, presumivelmente com o melhor arranjo de autocustódia que dinheiro e competência conseguem montar. Riqueza não impediu. Proeminência não impediu. Competência exatamente nesse problema, do tipo que quase ninguém mais tem, não impediu.
E quando acabou, as duas coisas que desfizeram o estrago foram uma unidade de elite da polícia estatal e uma emissora centralizada com botão de congelamento. Nenhuma das duas faz parte do credo. As duas são, na maior parte dos dias, coisas que o credo existe para contornar.
É isso que torna o caso digno de ser escrito, e é também por isso que ele incomoda. Se você defende a autocustódia, como eu defendo, este é o caso que você precisa conseguir encarar sem desviar o olhar.
A lição não é que Balland errou. Quero ser exato nisso, porque o reflexo deste meio é ler todo incidente como história de competência. Devia ter usado multisig, devia ter se mudado, devia ter ficado mais quieto. Nada do que foi publicado sugere que ele tenha feito algo errado, e o argumento aqui não precisa que ele tenha feito.
O que o arranjo dele alcançava e o que não alcançava
Nada no arranjo de autocustódia de Balland teve influência nenhuma sobre homens aparecerem na casa dele. Escolha de alvo roda em cima do que é visível de fora: um nome, uma empresa, um cargo público, um banco de dados que alguém vazou. Nenhuma configuração de carteira encosta nisso.
Nem determinou quanto tempo eles ficaram, e é aqui que gente como eu vende o argumento por mais do que ele vale. Comece pela impossibilidade em que os dois papers se apoiam. Não dá para provar que você esqueceu, então um atacante dentro da sala parte do princípio de que tem mais, e parte disso independentemente do que você construiu e do que você diga a ele. Daí em diante a duração do encontro é a aritmética dele e não a sua: mais uma hora vale ou não vale o risco que custa. Um protocolo é um conjunto de objetos virtuais e de regras de uso. Ele não para uma chave inglesa.
O que se pode cobrar de um projeto de autocustódia começa antes de tudo isso, em descrever o atacante com honestidade. O modelo com que os papers trabalham põe uma cláusula na frente, antes de qualquer coisa sobre poder de cálculo ou orçamento: ele sabe como o seu arranjo funciona. Ler o manual é de graça e o manual é público, então parta do princípio de que ele leu. É esse o terreno de que trata The Denial Spiral, e é aí que uma categoria inteira de produto falha, porque isca, PIN de coação e história ensaiada todas precisam que ele não tenha lido. Obscuridade já funcionou, e é disso que trata um texto anterior desta série: houve uma janela em que quase ninguém estava te procurando e ninguém conseguia te separar da multidão, e lá dentro ficar quieto era quase uma defesa completa. Vale dizer por que a cultura se apega a isso em vez de rir de quem se apega. Mas conhecimento se espalha (Kerckhoffs), e modelo de negócio criminoso que dá dinheiro é replicado (Mises). A janela fechou e não vai reabrir.
Modele ele desse jeito e aparece uma coisa desagradável. Alguns arranjos, rodando contra um atacante que sabe exatamente o que eles são, dão a ele um motivo para te matar que ele não teria de outro jeito. É isso que The Deadly Race precifica: quando o caminho que ele tem ainda funciona mas não está concluído, quem foi solto é um concorrente pelo mesmo dinheiro, e um concorrente ao alcance sai mais barato remover do que superar na corrida. Balland foi solto vivo, então esse movimento não chegou aqui. O ponto é que alguns projetos o fabricam, e o nome que The Deadly Race dá a essa classe é pior que inútil. A expressão é estreita de propósito: um esquema que entrega tudo de forma limpa ganha de um esquema que deixa uma lacuna. Antes de tentar ajudar, não piore.
Só com esses dois na mão é que vale fazer a pergunta com que todo mundo começa, que é quanto do estoque dá para colocar fora de alcance, e a segunda metade dessa pergunta é a parte que se pula: sem comprar essa redução ao preço de uma corrida.
O que isso compra é menor do que a versão que as pessoas querem, e acertar o tamanho disso é o que falta neste texto.
Nada disso é um argumento contra a autocustódia, e seria um argumento barato se fosse. É um argumento sobre a ordem em que se fazem as coisas na autocustódia: descreva o atacante como alguém que já leu o seu manual, repare em quais das coisas que você poderia construir precificariam a sua própria morte, e só então comece a perguntar quanto você consegue pôr fora de alcance.
Por que nenhuma busca termina
Os dois papers raciocinam sobre um atacante deliberadamente pouco lisonjeiro. Ele sabe como o seu arranjo funciona, tem um orçamento de tempo e de risco, e parte do princípio de que sempre há mais a obter. Chame ele de atacante idealizado. Um projeto tem que sobreviver a ele, porque projeto que só sobrevive a adversário desatento não sobreviveu a nada.
Para ele existe uma pergunta que não consegue responder e não consegue parar de fazer.
Tem outra cópia?
Você não consegue provar que esqueceu. Também não consegue provar que não existe um backup, e o motivo não é o atacante ser burro ou sádico. É que a coisa que ele precisaria descartar é minúscula e pode estar em qualquer lugar. Um cartão SD. Notas esteganográficas num livro na estante. O login e a senha decorados de uma conta de e-mail com um arquivo cifrado dentro. Qualquer uma dessas basta para reconstituir o acesso, e nenhuma delas pode ser excluída revirando uma casa.
Então ele supõe que existe uma, diga você o que disser, do jeito que disser. É essa a posição racional, não a paranoica.
Siga mais um passo e você chega a um lugar de que The Deadly Race não foge. Para ter certeza de que não sobrou cópia nenhuma, ele teria que estabelecer o que está e o que não está na sua memória. Orwell deu a medida do último lugar privado: nada era seu, a não ser os poucos centímetros cúbicos dentro do seu crânio. Um atacante capaz de ler isso excederia o supremo literário do poder de vigilância, que concedeu o crânio expressamente.
É esse o fim da estrada em que o projeto te coloca, para esse atacante. Segure essa ressalva, porque ela trabalha mais do que parece.
Quem eles levam nem sempre é quem guarda
Um associado pagou. Não Balland, e não pelo arranjo do próprio Balland. Esse detalhe é fácil de passar batido e é o segundo argumento do caso.
Codificado à mão a partir do registro de Jameson Lopp: em 12 dos 351 incidentes, 3,4%, a pessoa levada não era portadora de nada, e sim um parente levado para coagir alguém. Um pai ou mãe, um cônjuge, um filho adulto. A triagem levantou dezesseis candidatos e quatro foram descartados na leitura, incluindo um em que "filho de" acabou nomeando um autor e não uma vítima, então os doze são auditados e não casados por palavra-chave.
Duas coisas nesse subconjunto importam mais que o tamanho dele.
Ele é recente e está se concentrando. Onze dos doze caem em 2023 ou depois, e nove deles são na França, onde os incidentes registrados foram de cerca de um por ano até 2024 para 22 em 2025 e 34 até agosto de 2026. Seja qual for a parte dessa alta que é incidência real e não a imprensa francesa prestando atenção, isto não é dispersão histórica. A tática está sendo adotada.
E 3,4% é um piso, não uma estimativa. A codificação lê uma manchete de uma linha, então um incidente que por acaso não menciona um parente não é prova de que não havia nenhum envolvido. O número só pode estar subestimado.
O que isso delimita
O arranjo delegado é uma resposta real à coação, e o honesto é dizer isso antes de tirar qualquer coisa dele. É também o ponto em que a autocustódia silenciosamente deixa de ser autocustódia. Coloque o poder de liberar os fundos com alguém longe que vai te recusar, e um atacante na sua sala não tem ninguém que compense machucar. Isso passa no critério. O texto companheiro diz isso com todas as letras.
O que este caso precifica são as letras miúdas. Esse arranjo só funciona enquanto o delegado estiver genuinamente fora de alcance, e o delegado que uma pessoa real de fato nomeia é um cônjuge, um pai, um filho adulto, um associado de confiança. Que é exatamente a lista que este subconjunto mostra sendo levada.
Então um delegado alcançável não é um segundo corredor. É uma segunda vítima.
A rota não está refutada, está delimitada: ela precisa de uma inalcançabilidade estrutural, e não suposta, e a maioria das pessoas que acha que tem isso apenas supôs. Pergunte quem você nomearia de verdade, e depois pergunte se essa pessoa poderia ser encontrada numa tarde por alguém que já te encontrou.
O atacante do modelo não é o atacante da sala
O atacante idealizado nunca para, e é exatamente para isso que ele serve. Os reais param o tempo todo, por motivos ordinários: orçamento, um risco de ser pego que cresce a cada hora, uma aritmética sobre a próxima hora e não sobre o prêmio inteiro.
Um atacante real também pode ser informado, coisa que o idealizado nunca precisa ser. Três coisas que ele pode vir a saber, e nenhuma delas exige acreditar no que a pessoa na frente dele diz:
- Que existe uma construção dessas. Não é alegação da vítima, é fato público sobre o que está disponível para construir.
- Que quem guarda muito plausivelmente usa, e os parentes também, para o grosso do que têm somando tudo.
- Então o valor esperado de mais uma hora cai, e junto com ele o valor esperado de começar.
Isso não é promessa, e a ressalva continua de pé: quem tem dinheiro suficiente tem uma parcela menor, mais solta, menos guardada, e na aritmética do atacante só ela já pode cobrir o risco do crime. O que se move é a aritmética sobre o grosso. Um Balland hipotético cuja autocustódia passasse pelos três ainda poderia ter sido escolhido, ainda poderia ter sido levado, e os parentes dele ainda poderiam ter pago o que estivesse ao alcance. O que mudaria é o que os atacantes dele poderiam acabar constatando: que o resto está fora de alcance operacional como propriedade da construção, e não como história que ele está contando para eles.
Projete para o atacante que nunca para. A dissuasão passa pelo que para.
O que sobra
Contra um atacante decidido e disposto a te segurar por muito tempo, as opções vendidas hoje se resumem a duas: um resgate estatal e uma emissora disposta a congelar. As duas funcionaram aqui. Nenhuma das duas é autocustódia, e nenhuma das duas é algo que você requisita quando precisa. Um credo cujo plano B são as instituições dos outros não é a coisa autossuficiente que vendem.
A alternativa que vale construir não é recuperação melhor depois do fato. É retirar a alavanca antes: nenhum aparelho de prontidão para apreender, nenhum token que funcione como refém, nenhum delegado posicionado para pagar. Se isso é alcançável é a afirmação que os papers fazem e defendem, e você deveria lê-los com ceticismo em vez de aceitar de um post de blog.
Balland recuperou a maior parte do dinheiro e ficou com a vida. Não recuperou o dedo. Essa é a parte do balanço que ninguém congela.
O caso, o subconjunto de vítimas interpostas, a auditoria por trás dele e o argumento da duração estão em The Denial Spiral, acesso aberto, sem cadastro. O companheiro dele, The Deadly Race, é onde a impossibilidade que deixa uma negativa inverificável, e o teste que ela rende, são desenvolvidos direito.
Detalhes do caso da DL News, arquivado. Contagens de incidentes do registro de Jameson Lopp, uma amostra de imprensa que perde o que não é noticiado. Nada aqui vai além do que foi publicado.
Se isso valeu seu tempo. Mande para quem te disse que uma hardware wallet era o fim do problema. Uma ⭐ no Great Wall, na pesquisa ou nestes textos não custa nada e faz o trabalho ser encontrado. E se você quiser financiá-lo, o apoio aceita ⚡ Lightning e on-chain, sem cadastro, sem níveis e sem contrapartida nenhuma.