Ponto Único de Falha: O que o setor bancário continua nos ensinando e o livro-razão que manteve o sistema funcionando.

Dois endereços, uma semana

Na terça-feira, 3 de novembro, o Banco Central do Paraguai suspendeu as operações do Banco Ueno. O aplicativo parou de funcionar em 2,9 milhões de celulares. Escrevi sobre o que aconteceu em seguida : uma fuga para o USDT, um ágio que nunca foi tão grande quanto a manchete indicava, e uma garantia de depósitos que começou a pagar em 48 horas e cobrirá integralmente 97% dos depositantes. Um sistema funcionando, respondendo em cerca de uma semana.

Na sexta-feira, 6 de novembro, por volta das 13h30, no oeste do Japão, um equipamento de comunicação apresentou falha no centro de operações da Shinkin Joint Center. Esse centro opera o sistema principal da maioria dos bancos Shinkin do Japão, as cooperativas de crédito regionais utilizadas por pequenas empresas e aposentados. Cento e vinte e oito deles ficaram sem serviço simultaneamente. São 3.430 agências. Todos os caixas eletrônicos que operam, incluindo alguns compartilhados com lojas de conveniência, também foram afetados. O internet banking e os aplicativos ficaram fora do ar. Débitos automáticos foram suspensos. O serviço foi restabelecido pouco depois das 19h. Foi uma falha de hardware, não um ataque, e ninguém perdeu um iene. Cinco horas e meia de espera.

Dois países diferentes, duas causas diferentes, um solvente e o outro não. As manchetes chamaram ambos de crise. Nenhum era. O que eles eram, na linguagem que usei durante quinze anos antes de construir esta empresa, era a mesma coisa.

O que é um Ponto Único de Falha?

Em projeto de sistemas, um ponto único de falha é um componente sem redundância. Quando ele falha, tudo o que depende dele falha junto, por mais íntegro que esteja o restante do sistema. Os exemplos clássicos são um servidor de banco de dados, um switch de rede, um certificado que expira à meia-noite. Você pode ter mil serviços bem construídos em cascata, e um único componente em uma sala de servidores pode derrubar todos eles.

Engenheiros dedicam suas carreiras a eliminar esses problemas. Você adiciona um segundo servidor, uma segunda região, uma segunda rota. Você parte do princípio de que todos os componentes falharão e projeta tudo de forma que nenhuma falha seja visível para o usuário. Essa é toda a disciplina. É caro e tedioso, e é por isso que seu telefone funciona.

O setor bancário possui disciplina interna em cada instituição, mas quase nenhuma entre elas. Cada banco é razoavelmente redundante internamente. Mas o cliente tem um único banco, um único aplicativo, um único cartão, um único sistema de liquidação, e se o que tudo isso exige parar de funcionar, o cliente fica sem nada. Os bancos Shinkin do Japão consolidaram seus sistemas principais em dois centros em 2010 e 2011 para economizar dinheiro. Sensato. Isso também significou que, quando um equipamento no centro ocidental falhava, 128 bancos falhavam junto. É isso que a consolidação proporciona: eficiência até o dia em que ela custa tudo de uma vez.

O Paraguai é o outro tipo. O Ueno era o banco digital. Era onde os salários eram depositados, onde o Estado depositava US$ 850 milhões, onde residiam quase metade das contas do país. Não foi uma falha técnica. Foi uma falência. Mas, da perspectiva do cliente, os dois parecem idênticos. O aplicativo não abre. O cartão não funciona. O dinheiro existe, mas você não consegue acessá-lo.

O Registro Bancário

Quero ser justo com os bancos aqui, porque a questão não é que eles sejam mal administrados. A questão é que o histórico é mais longo do que as pessoas se lembram, e cada registro nele era suportável para quem tinha uma segunda opção de pagamento e caro para quem não tinha.

Leia a terceira coluna. Um gabinete. Uma atualização. Uma migração. Uma ferrovia. Um banco. Cada um deles uma única dependência, cada um com milhões de pessoas do outro lado que não tiveram voz em como foi construído.

E a quarta coluna é a que importa. Trinta e três dias é o número apresentado pelo Comitê do Tesouro do Reino Unido para nove bancos ao longo de dois anos. Isso não se trata de um ano ruim em um banco ruim. Essa é a condição operacional normal de um sistema bancário maduro e bem regulamentado, medida pelo próprio parlamento.

O registro do Ledger, honestamente

Agora, o outro lado da moeda, e vou lhe dar o número completo, em vez de apenas um elogio.

Desde o lançamento de sua rede principal em 2018, a rede Tron produz um bloco aproximadamente a cada três segundos. Nesse período, houve apenas uma interrupção. Das 22h14 UTC de 1º de novembro de 2020 até cerca de 01h40 UTC de 2 de novembro, durante uma atualização de rotina, um contrato malicioso explorou uma falha e os produtores de bloco pararam. A interrupção durou cerca de três horas. Não houve perda de fundos, nada foi revertido e a cadeia foi retomada do bloco em que parou. Desde então, a cada seis horas, há um intervalo programado de seis segundos para a atualização da rotação de produtores, o que, por vezes, é interpretado por sistemas de monitoramento mal configurados como uma interrupção. Não se trata de uma interrupção. Você pode acompanhar o tempo de publicação dos blocos em tempo real em nossa página de status .

O contrato USDT nessa blockchain está ativo desde abril de 2019. Pelo que consta nos registros públicos, ele nunca foi pausado. Processou transferências durante o colapso da FTX, durante o ataque hacker à Binance há duas semanas, durante todas as interrupções bancárias mencionadas na tabela acima e durante esta semana no Paraguai, onde foi o único dólar em circulação no país na tarde de quarta-feira.

Então: uma paralisação de três horas em cerca de oito anos, contra 33 dias em dois anos para nove bancos. Não acho que essa comparação me obrigue a vender a ideia. Acho que preciso ter cautela ao analisá-la, porque a cadeia não representa todo o sistema, e as partes ao seu redor têm um histórico pior.

Os pontos únicos que restam

Se eu parasse por aqui, estaria apresentando a versão desse argumento que prejudica as pessoas. O fato de o sistema estar em funcionamento não é o mesmo que você ter acesso ao seu dinheiro. Entre você e esse sistema existe uma pilha de informações, e cada camada dessa pilha é um ponto único de falha que eu já presenciei.

• A exchange. Em 29 de outubro, a Binance perdeu US$ 6,3 bilhões de suas carteiras online e suspendeu os saques por cerca de 48 horas. A Binance cobriu todos os seus usuários. Muitas exchanges não conseguiram. Durante esses dois dias, o saldo na Binance era exatamente tão acessível quanto o saldo na Ueno, e a blockchain subjacente continuou gerando blocos o tempo todo. Eu também escrevi sobre isso.
• O emissor. USDT é um ativo sobre a Tether, e a Tether pode congelar um endereço. Isso aconteceu 9.172 vezes na Tron desde 2020, quase que exclusivamente por fundos roubados e solicitações legais, e a Tether libera o endereço em cerca de uma a cada dez vezes. O conjunto de dados completo está aqui. Para um detentor comum, o risco é remoto. Mesmo assim, é um ponto único de falha, e quem disser o contrário está vendendo.
• O banco emissor. Em março de 2023, a Circle tinha US$ 3,3 bilhões em reservas de USDC no Silicon Valley Bank quando este faliu, e o USDC chegou a ser negociado a 87 centavos durante um fim de semana. O único ponto de falha de uma stablecoin pode ser um banco. A ironia é completa.
• A camada de acesso. Seu aplicativo de carteira se comunica com a blockchain por meio de um provedor RPC. O TronGrid, o mais comum, já teve suas próprias interrupções, e quando está fora do ar, sua carteira exibe uma roda giratória enquanto a blockchain por trás dela funciona perfeitamente. O livro-razão estava funcionando normalmente. Sua janela de acesso a ele, não.
• Você. A perda da frase mnemônica significa uma interrupção permanente do serviço, sem garantia de depósito. O banco redefinirá sua senha. Ninguém redefinirá sua chave.

Observe o que está e o que não está nessa lista. A cadeia não está nela. Todo o resto está. Essa é a verdadeira essência do sistema: um livro-razão muito confiável envolto em camadas que são quase tão confiáveis quanto as de um banco, algumas delas até menos.

Garantir o acesso

Portanto, a questão não é banco ou rede. É quantas coisas precisam dar errado antes que você não consiga pagar o jantar. No Paraguai, esta semana, para a maioria das pessoas, a resposta foi uma. O objetivo é chegar a três ou quatro.

Fique com o banco. Fique com a chave.

Eu dirijo uma empresa cujo produto principal é tornar a cadeia de valor mais barata, então você deve ler tudo o que eu escrevo sobre isso tendo isso em mente. Esta é a versão que eu contaria a um amigo.

A garantia de depósitos do Paraguai funcionou. Os bancos japoneses voltaram a operar normalmente até o jantar. Na maioria das vezes, na maioria dos países, o banco funciona normalmente e a interrupção causa apenas algumas horas de transtorno e o reembolso da taxa. Nada neste texto afirma o contrário, e uma stablecoin não vem com um fundo de garantia.

Mas cada uma dessas interrupções foi causada pela falha de uma única dependência, e as pessoas que conseguiram superá-las sem custos foram aquelas que tinham um caminho alternativo que não compartilhava dessa dependência. O livro-razão sob USDT tem sido esse caminho alternativo em todas as entradas da tabela, com um registro de apenas uma interrupção em oito anos. Não é um substituto para o banco. É o que mantém o sistema funcionando enquanto o banco está sendo consertado, o que é uma tarefa diferente e, no dia em que você mais precisa, muito mais importante.

Em software, não discutimos se o servidor primário irá falhar. Partimos do princípio de que irá e garantimos que a transição para o servidor de contingência seja estável. É só isso. Uma transição estável para o servidor de contingência, pelo seu dinheiro. Configure-a em um dia de baixa atividade.

Ping. Ainda estou aqui.

Fontes: Nippon.com e BigGo Finance sobre a interrupção do Shinkin em 6 de novembro de 2026 · Bloomberg Line sobre a garantia da Ueno · Which? sobre dados de interrupções no Reino Unido (Comitê do Tesouro e FCA) · Bloomberg sobre a interrupção do Zengin em 2023 ·The Register sobre o Mizuho em 2021 · Crypto Briefing sobre a suspensão do Tron em novembro de 2020 · Luganodes via KuCoin sobre a lacuna de rotação de seis horas · Wikipedia sobre a interrupção do CrowdStrike · Wikipedia sobre a desvinculação do USDC em março de 2023.