Na versão preliminar do projeto de lei “CLARITY” (texto consolidado) divulgada por Lummis a 22 de julho de 2026, surgiu uma cláusula antes discreta de cibersegurança — prevendo a criação de um white-hat rewards program (programa de recompensas para “chapéus brancos”) através de um “digital asset cybersecurity coordination mechanism” (mecanismo de coordenação da cibersegurança de ativos digitais). Isto não é uma forma de incentivar “caçadores de recompensas” a invadir sistemas sem autorização; é a primeira vez que um mecanismo de divulgação de vulnerabilidades já maduro no Web2 (bug bounty) é incorporado no corpo do texto da lei federal dos mercados de cripto nos EUA.

A lógica da cláusula é clara: investigadores de segurança encontram vulnerabilidades por canais autorizados e fazem divulgação responsável (responsible disclosure) de falhas em bolsas, sistemas de custódia, carteiras, contratos inteligentes, pontes cross-chain, liquidação/compensação, gestão de chaves privadas e outras infraestruturas; após validação e um período de reparação suficiente, podem receber recompensas, e ficam definidos, de forma explícita, os limites legais entre “investigação de segurança” e “intrusão maliciosa”. A ideia segue a linha do antigo presidente da CFTC, Giancarlo, que defendia que a resiliência dos mercados vem da transparência na divulgação; e a proteção do consumidor é avançada um passo para além — saindo do mero “impedir a plataforma de desviar ativos dos clientes” para também “evitar que falhas do sistema zere de uma noite para a outra os ativos dos clientes”.

Porque entra agora na lei? As falências do tipo FTX e Celsius expuseram o “fosso” da confusão de registos (accounting mixing), enquanto, no último ano, os roubos via pontes e contratos de custódia atingiram frequentemente centenas de milhões, demonstrando que o simples incentivo estabelecido de forma voluntária pelas empresas não é suficiente. O projeto de lei empacota o isolamento dos ativos dos clientes, o isolamento em caso de falência, a proibição de desvio e os incentivos para white-hats — o que equivale a adicionar uma barreira técnica adicional à “proteção do consumidor”.

Mas a implementação ainda tem áreas cinzentas: a dimensão do fundo de prémios é definida pelas regras da CFTC/SEC — é repartido pelas bolsas? Os limites de isenção de responsabilidade, os critérios de divulgação e os níveis das recompensas ainda não estão detalhados; o projeto inteiro continua dependente do limiar de 60 votos no Senado e, se falhar a passagem antes do recesso de agosto, a cláusula de white-hats também pode ser afinada em alterações durante o debate.

Se, no fim, se tornar lei, o significado não será apenas “ganhar legalmente com hacking” — sinaliza que a regulação cripto dos EUA passa de “caçar burlões depois do ocorrido” para “comprar/mitigar vulnerabilidades antes de acontecer”. O papel das empresas de auditoria, das seguradoras e dos custodientes em conformidade também será reavaliado.