OffSec Gauntlet Vaultfall

O que o 2º lugar do Brasil no OffSec Gauntlet (DEF CON 2026) me ensinou sobre atacar sob pressão

Em agosto de 2026 terminei em 2º lugar no Brasil no OffSec Gauntlet da DEF CON, um formato de competição que foge do CTF tradicional: em vez de dezenas de desafios isolados valendo pontos soltos, os participantes enfrentam uma única cadeia de ataque completa contra um alvo fictício — reconhecimento, acesso inicial, engenharia reversa e criptoanálise, todos amarrados em sequência. Não escrevo este texto para detalhar a solução do desafio (Vaultfall, o nome do ambiente), mas para registrar o raciocínio por trás dele — o que, na minha experiência, vale mais do que qualquer walkthrough.

Por que o formato de attack chain é diferente

CTFs tradicionais recompensam largura: quanto mais categorias você domina, mais flags você captura, e cada uma é relativamente independente das outras. O Gauntlet inverte essa lógica. Cada fase depende do resultado da anterior — um erro de interpretação no reconhecimento se propaga e compromete todo o resto da cadeia. Isso muda completamente a forma como você aloca tempo e atenção: não dá para "pular" uma fase difícil e voltar depois, como em um CTF de múltiplos flags. Você precisa resolver, mesmo que de forma imperfeita, antes de seguir adiante.

Essa característica aproxima o exercício de um pentest real muito mais do que um CTF pontual costuma aproximar. Em um teste de intrusão de verdade, também não existe a opção de "pular" o acesso inicial e já partir para pós-exploração — cada etapa é pré-requisito da seguinte, e o tempo perdido em uma fase é tempo que falta em todas as outras.

Como decidi prioridades sob pressão de tempo

O maior desafio não foi técnico, foi de gestão de tempo dentro de cada fase. Quando uma abordagem não avança, a decisão mais difícil é reconhecer isso e trocar de estratégia — não insistir por orgulho, nem abandonar cedo demais por impaciência. O critério que uso vem de outra área da minha rotina: acompanhamento de processos judiciais. Um processo parado há 15 dias sem movimentação não é anormal — é dentro da variação natural do trâmite. Um processo parado há 2 meses é outra história: ali algo saiu do esperado, e é hora de agir. A diferença não está em "está parado ou não", está em quanto tempo de estagnação ainda é ruído e quando isso vira sinal.

Apliquei a mesma lógica a cada fase da cadeia de ataque: um intervalo curto sem progresso é esperado — faz parte de testar uma hipótese. Mas quando esse intervalo se estica muito além do que a complexidade da fase justificaria, isso deixa de ser "ainda não achei o caminho" e passa a ser "esse caminho provavelmente está errado". Reconhecer essa virada — sem insistir pelo tempo já investido — foi o que, na prática, me manteve competitivo, mais do que qualquer técnica isolada de exploração.

Onde perdi tempo (e o que eu faria diferente)

A fase de engenharia reversa foi onde mais demorei, e em retrospecto, o motivo não foi falta de conhecimento técnico, mas falta de uma hipótese inicial clara antes de abrir o binário. Comecei a analisar sem antes formular o que esperava encontrar, e isso me fez explorar caminhos que um reconhecimento mais estruturado teria descartado mais cedo. Da próxima vez, o ajuste é simples: escrever a hipótese antes de tocar na ferramenta, não durante.

O que essa combinação (direito + segurança ofensiva) muda na forma de documentar

Um ponto que poucos participantes provavelmente carregam para esse tipo de competição é a formação jurídica. Sete anos advogando em litígio me acostumaram a formalizar por e-mail, ou por algum outro tipo de anotação, as motivações de cada decisão e as opções que estavam sobre a mesa antes de escolher uma — não só o que foi decidido, mas por que aquela opção e não as outras. Apliquei o mesmo hábito ao Gauntlet: cada mudança de hipótese, cada abordagem descartada, ficou registrada junto com o motivo da troca e as alternativas que eu tinha cogitado. Isso não mudou o resultado técnico, mas mudou a qualidade da retrospectiva que consigo fazer agora — e é também o tipo de disciplina que sustenta relatórios de pentest auditáveis, onde o "porquê" de cada decisão importa tanto quanto o "o quê".

Resumo

Terminar em 2º lugar no Brasil em um formato que privilegia raciocínio sob pressão, mais do que amplitude de conhecimento, reforçou algo que já vinha suspeitando: a parte mais difícil da segurança ofensiva raramente é a técnica isolada — é decidir bem, rápido, com informação incompleta. É essa combinação de raciocínio técnico e disciplina de documentação, entre outras coisas herdadas da advocacia, que tenho buscado aplicar tanto em CTFs quanto em pentests reais.