Knight Capital: o código esquecido que encontrou o caminho de volta

Na abertura do mercado americano em 1º de agosto de 2012, o sistema da Knight Capital passou a gerar operações que não deveria. A SEC descreveu aproximadamente 45 minutos de negociação errônea e perdas superiores a US$460 milhões. O intervalo mede a atividade descontrolada; não é um cronômetro que registra a realização de toda a perda. Fonte 2

O gatilho estava em um servidor que não recebeu uma atualização. Mas essa omissão só se tornou devastadora porque encontrou código antigo acessível, controles incompletos e uma resposta que agravou a situação.

Descontinuado não significava removido

O SMARS dividia ordens principais em ordens menores e as encaminhava ao mercado. Dentro dele permanecia o Power Peg, uma função abandonada em 2003. Em 2005, uma mudança deslocou o acompanhamento das quantidades executadas, sem retestar aquela função antiga. Ela continuava disponível, mas já não operava corretamente. Fonte 1

Anos depois, uma funcionalidade nova reutilizou o sinal que antes ativava o Power Peg. O significado desse sinal dependia da versão instalada. Em sete servidores, acionava o comportamento novo. No oitavo, que ficou sem a atualização, despertava o código antigo.

A implantação era uma barreira, não a única

Segundo a ordem da SEC, não houve uma segunda revisão da instalação nem um procedimento escrito que a exigisse. A diferença entre os servidores chegou ao mercado. Fonte 1

Outras barreiras também não contiveram o erro. Controles anteriores ao roteador não bastavam para limitar as ordens produzidas pelo próprio roteador. O acompanhamento posterior dependia de pessoas e sofria atrasos quando o volume aumentava.

Isso muda a pergunta sobre segurança: validar o pedido que entra é diferente de limitar o que uma máquina defeituosa consegue produzir depois. O sistema precisava conseguir reconhecer a própria falha enquanto ela acontecia.

Noventa e sete mensagens antes da abertura

Antes de o mercado abrir, um sistema enviou 97 mensagens que mencionavam um erro relacionado ao roteador. Elas não haviam sido concebidas como alertas operacionais e não provocaram a intervenção que poderia ter interrompido a cadeia. Fonte 2

Chamar isso de “97 alarmes deliberadamente ignorados” acrescentaria uma intenção que os documentos não demonstram. O problema documentado é que a informação existia, mas não se transformou em diagnóstico e ação.

Durante a resposta, a equipe retirou o código novo dos sete servidores atualizados. A medida ampliou o problema ao expor mais servidores ao comportamento antigo. Voltar à versão anterior não restaurava um estado seguro: aquela versão também continha a função defeituosa. Fonte 1

O prejuízo não foi uma falência instantânea

O relatório anual da Knight registra US$457,6 milhões em perdas de negociação e US$7 milhões em despesas relacionadas. Esses valores têm apresentação diferente da cifra resumida pela SEC. O mesmo relatório registra uma captação bruta de US$400 milhões em 6 de agosto; ela não apaga a perda nem equivale a receita operacional. Fonte 3

A síntese editorial do Causa Raiz é que o servidor esquecido explica a ativação do defeito, enquanto as demais barreiras explicam sua escala. Código sem uso ainda pode ser alcançável. Uma atualização pode estar correta em quase todas as máquinas. E uma reversão pode multiplicar o dano quando o estado anterior nunca foi seguro.

Essa distância entre enviar uma mudança e comprovar seu resultado também aparece na investigação sobre a Equifax.