Quem realmente guarda as suas cripto, e o que acontece se essa empresa quebrar

A escolha mais consequente em cripto não é qual ativo ter. É quem o guarda. Quase todo o resto — prática de segurança, comparação de plataformas, avaliação de risco — decorre dessa resposta, e a maioria das pessoas nunca a fez de forma explícita.

Duas coisas genuinamente diferentes

Num arranjo com custódia — o padrão em praticamente toda corretora — a plataforma guarda as chaves privadas. O seu saldo é um registro no banco de dados daquela empresa e um crédito contratual contra ela. Você é credor.

Numa carteira sem custódia, as chaves são suas. Não há crédito nem contraparte, porque não há ninguém no meio. Você tem posse no único sentido que a rede reconhece.

Não são dois graus da mesma coisa. São posições jurídicas e técnicas diferentes que por acaso mostram um número idêntico numa tela, e esse número é a razão pela qual a distinção passa tão facilmente despercebida.

Como é de fato uma insolvência

Quando um custodiante quebra, a questão é se os ativos dos clientes estavam segregados dos da própria empresa e como a lei aplicável os trata. Se as posições dos clientes forem tratadas como propriedade da empresa, os clientes viram credores quirografários — atrás dos credores com garantia, dividindo o que sobrar.

Três detalhes pesam mais do que se imagina. Os processos levam anos, não semanas. Os créditos costumam ser avaliados em moeda fiduciária na data da quebra, então uma alta posterior do preço beneficia a massa e não você. E a jurisdição que rege a plataforma, que quase ninguém verifica antes de depositar, determina tudo isso.

O setor demonstrou repetidamente que uma plataforma pode parecer solvente, bem capitalizada e muito usada até o exato momento em que não é nada disso. Isso não é um argumento para nunca usar um custodiante — é um argumento para saber que, enquanto o usa, você é um dos seus credores.

Saques suspensos são o sinal precoce

Antes de uma insolvência costuma haver um congelamento de saques, anunciado como um problema técnico, uma janela de manutenção ou uma atualização. Às vezes é exatamente isso. Às vezes é o último momento em que qualquer coisa poderia ter sido movida.

A diferença não é visível de forma confiável de fora, e esse é precisamente o problema: quando fica inequívoca, a opção já se fechou. Os termos de serviço quase sempre reservam o direito de suspender saques, e ler essa cláusula antes de depositar é mais útil do que tentar interpretar um comunicado depois.

O que a prova de reservas prova e o que não prova

A prova de reservas é a principal resposta do setor à questão da solvência, e é rotineiramente superinterpretada.

Uma atestação de reservas demonstra controle de ativos num momento no tempo, muitas vezes com uma estrutura criptográfica que permite a uma pessoa verificar que o próprio saldo foi incluído no total. Isso é genuinamente útil e melhor do que nada.

O que ela não mostra são os passivos. Uma plataforma pode ter ativos equivalentes aos saldos dos clientes e ainda assim estar profundamente insolvente se dever mais em outro lugar. Sem um lado do passivo atestado, uma prova de reservas responde metade da pergunta. Ela também não consegue distinguir ativos próprios de ativos emprestados trazidos para a foto, e nada diz sobre os dias de um lado e de outro.

Uma prova de reservas sem uma prova correspondente dos passivos, feita por uma parte independente, é um artefato de marketing. Com as duas, e repetida regularmente, é um sinal significativo. Trate-a como um indício positivo fraco, e não como garantia, e note que no momento não conseguimos verificar por conta própria a atestação de nenhuma plataforma — por isso a nossa Metodologia lista a verificação de reservas entre as coisas que explicitamente não testamos.

O que a autocustódia desloca em vez de remover

Guardar as próprias chaves elimina completamente o risco de contraparte. Não elimina o risco; converte-o em risco operacional, que as pessoas subestimam de forma consistente porque parece controlável.

Perca a frase de recuperação e os fundos são irrecuperáveis — não há suporte, não há redefinição, não há exceção. Assine uma aprovação maliciosa e um contrato poderá drenar a carteira depois, com carteira física ou sem. Envie para um endereço errado e é irreversível. E há um modo de falha que ninguém planeja: chaves guardadas apenas por uma pessoa, sem caminho de recuperação documentado, tornam-se permanentemente inacessíveis se essa pessoa ficar incapacitada.

O enquadramento honesto é que a custódia por terceiros confia na solvência e na conduta de uma empresa, enquanto a autocustódia confia nos seus próprios processos ao longo de décadas. Nenhuma é universalmente correta. O que é incorreto é não saber qual você escolheu.

O meio-termo que a maioria ignora

A escolha costuma ser apresentada como binária, e não é. Dividir as posições por finalidade tira quase toda a força da decisão: um saldo de trabalho numa plataforma para negociar ou converter, e as posições de longo prazo em autocustódia, que nunca tocam um contrato desconhecido. Assim, a quebra de uma corretora custa o saldo de trabalho em vez de tudo, e um erro na autocustódia acontece sobre a parte que você decidiu de forma deliberada.

Para valores maiores mantidos pessoalmente, arranjos de multiassinatura que exigem mais de uma chave para mover fundos removem o ponto único de falha nos dois sentidos — uma chave roubada não basta para roubar, e uma chave perdida não basta para perder. São mais complexos de montar e de recuperar, o que é um custo real, mas a complexidade fica toda no começo e a falha alternativa é permanente.

O que não funciona é manter um saldo grande numa plataforma indefinidamente porque movê-lo dá trabalho. Isso é uma decisão por omissão, e é a que mais custou dinheiro às pessoas.

O que estabelecer antes de depositar

Onde a plataforma está constituída e qual lei rege a sua relação com ela. Se os ativos dos clientes são segregados e se isso consta em contrato ou apenas no marketing. O que os termos dizem sobre suspender saques. Se as reservas são atestadas junto com os passivos, por quem e com que frequência. E o que acontece com o seu saldo se a sua conta for encerrada ou restringida.

Esses são os campos que pretendemos publicar para cada plataforma que cobrirmos, tirados da própria documentação do operador e datados, marcando como “Não divulgado” tudo o que não estiver publicado em vez de estimar. Até que esses dados atinjam o padrão, publicamos o raciocínio em vez de uma tabela — a posição exposta no nosso centro de comparações.