Novas tecnologias e formas de trabalhar trazem enormes oportunidades, e vêm para mudar o status quo, mas trazem consigo também riscos, e como sempre digo, muito importante que conheça seus riscos e saiba como mitigá-los, para fazer uma verdadeira gestão dos seus riscos. Pois é sobre isto que queria refletir e falar um pouco mais abaixo.
Queria então falar sobre as operações que usam blockchains ou outras tecnologias de negociação distribuída, que lá fora chamam de: DLTs, que como disse vêm junto com riscos consideráveis relacionados às operações, segurança, governança, legalidade, conformidade – incluindo riscos de lavagem de dinheiro e financiamento do terrorismo, e de liquidações.
Acho que tudo começa (como sempre) por entender as operações, e a sua natureza descentralizada e aberta dessas tecnologias, que muitas vezes dependem de partes desconhecidas, torna difícil para os bancos realizarem a devida diligência e supervisão, o que, por sua vez, exige novas estratégias de gestão de riscos e salvaguardas, mas também bom lembrar das práticas atuais para mitigar esses riscos, que ainda estão em estágios variados de desenvolvimento e não foram testadas em condições de estresse.
Falando nisto recentemente o BIS escreveu um paper (14) sobre o tema, que vou usar como base deste texto, e que recomendo a leitura.
Mas vamos ao que interessa, pois vou tentar listar alguns dos principais riscos relacionados, tais como:
Risco de Governança
A governança do blockchain é pelo seu design e características descentralizada, o que representa um desafio para as entidades reguladas que precisam estabelecer linhas claras de responsabilidade e conduzir a devida diligência em terceiros.
A governança distribuída pode complicar a resposta a falhas de segurança ou bugs, além de aumentar o risco de perda de ativos na blockchain, assim como a ocorrência de "forks" (divisões da blockchain) pode levar à criação de múltiplas versões de um ativo, com impactos significativos sobre a volatilidade de preços e a capacidade de cumprir requisitos de capital.
Os pontos de atenção aqui são:
Descentralização e Dificuldade de Supervisão: A governança em blockchains é por design, distribuída entre múltiplos participantes, o que contrasta fortemente com os modelos tradicionais de governança bancária, onde existem estruturas hierárquicas claras e linhas de responsabilidade bem definidas. Em um blockchain qualquer alteração no protocolo, como atualizações ou correções de segurança, requer o consenso entre os nós participantes. Isso pode ser problemático.
Falta de Responsabilidade Central: A ausência de uma entidade central que possa ser responsabilizada dificulta a aplicação de práticas de due diligence. Os bancos, que são obrigados a realizar avaliações de risco e auditorias rigorosas, podem encontrar obstáculos significativos ao tentar supervisionar as atividades de uma rede distribuída, onde as responsabilidades são difusas.
Risco de Forks: A discordância entre participantes pode resultar em forks, ou seja, divisões na blockchain, criando duas versões distintas do registro. Esse fenômeno pode levar à duplicação de ativos digitais, onde um único ativo pode existir simultaneamente em duas blockchains diferentes, causando instabilidade no valor dos ativos e problemas na liquidação.
Governança Off-Chain: Muitas decisões em blockchains ocorrem fora da própria rede (off-chain), como em fóruns de discussão ou através de influências informais de grandes participantes. Isso cria desafios adicionais, pois essas decisões off-chain podem ser opacas e sujeitas a conflitos de interesse, dificultando ainda mais a supervisão e a reação rápida em situações de emergência.
Para tentar mitigar este risco acima, seguem algumas dicas:
Estabelecimento de Critérios de Avaliação de Governança: Os bancos devem desenvolver critérios claros para avaliar a governança de um blockchain antes de se envolverem. Isso inclui a análise da estrutura de governança existente, a distribuição de poder entre os nós e a capacidade de resposta em situações de emergência.
Monitoramento Contínuo e Participação Ativa: Participar ativamente na governança das redes em que operam pode ajudar os bancos a influenciar decisões críticas e a estar mais bem informados sobre mudanças ou atualizações iminentes. A participação em fóruns, conferências e grupos de trabalho relacionados à governança de blockchain é importante neste momento.
Parcerias com Provedores de Auditoria de Blockchain: Contratar serviços de auditoria especializada em blockchain pode fornecer uma visão externa e independente da governança da rede, ajudando a identificar e mitigar riscos de governança.
Preparação para Forks: Os bancos devem desenvolver planos de contingência para lidar com forks em blockchains, incluindo a manutenção de registros off-chain que possam ser usados para reconciliar transações e determinar a versão do ledger que será seguida.
Diversificação de Ativos: Para mitigar o impacto de um fork, os bancos podem diversificar seus ativos digitais entre vários blockchains ou utilizar versões tokenizadas de ativos que estejam menos suscetíveis a forks.
Risco Tecnológico e de Vulnerabilidade a Ataques
Os blockchains são particularmente vulneráveis a ataques, como o ataque de "51%", onde um grupo consegue controlar mais de 50% dos nodos de validação, manipulando assim quais blocos são adicionados à blockchain. A dependência de partes desconhecidas para processar transações cria um risco adicional, pois é difícil garantir que todos os participantes agirão de maneira honesta. Além disso, blockchains permissionless podem sofrer outros tipos de ataques específicos a essa infraestrutura.
Os pontos de atenção aqui são:
51% Attack e Outras Vulnerabilidades: Um dos riscos mais discutidos em blockchains é o ataque de 51%, onde um grupo ou indivíduo malicioso controla mais de 50% do poder de validação (ou poder de mineração, no caso de blockchains baseadas em proof-of-work). Isso lhes permite reverter transações, gastar o mesmo ativo duas vezes (double spending), ou bloquear transações legítimas de serem confirmadas. Apesar de blockchains maiores, como Bitcoin e Ethereum, terem defesas mais robustas contra esses ataques devido à sua descentralização e ao tamanho da rede, blockchains menores e menos descentralizadas são mais vulneráveis.
Dependência de Partes Desconhecidas: Os bancos que utilizam blockchains dependem de validadores desconhecidos para processar e validar transações. Embora os incentivos financeiros dentro da blockchain, como recompensas de mineração ou staking, geralmente motivem os participantes a agir de forma honesta, sempre há o risco de que atores mal-intencionados possam subverter o sistema. Isso é particularmente perigoso em contextos onde ataques podem não ser motivados apenas por ganhos financeiros diretos, mas sim por danos econômicos ou reputacionais intencionais.
Riscos de Outras Vulnerabilidades: Além do ataque de 51%, existem outros tipos de ataques e vulnerabilidades únicos aos blockchains, como ataques "Sybil" (onde um único participante cria múltiplas identidades falsas para ganhar influência na rede), ataques de envenenamento (onde transações maliciosas são inseridas para prejudicar o funcionamento da rede), e ataques de consenso manipulados através de pools de mineração ou staking centralizados. Essas vulnerabilidades tornam a segurança de redes permissionless um desafio contínuo e dinâmico.
Para tentar mitigar este risco acima, seguem algumas dicas:
Avaliação de Segurança de Redes: Antes de transacionar em um blockchain, os bancos devem avaliar o nível de descentralização da rede e a segurança do mecanismo de consenso. Redes maiores e mais descentralizadas tendem a ser menos vulneráveis a ataques de 51%.
Implementação de Monitoramento de Rede: Utilizar ferramentas de monitoramento contínuo da rede pode ajudar a identificar atividades suspeitas, como tentativas de concentração de poder de validação ou comportamentos anômalos entre os nós, permitindo uma resposta rápida.
Criação de Respostas Automáticas a Ataques: Desenvolver protocolos automáticos que possam, por exemplo, pausar transações ou redirecionar atividades para uma rede alternativa em caso de detecção de um ataque iminente.
Exigir Contratos Inteligentes com Controle Interno: Bancos podem utilizar contratos inteligentes (chamados: smart contracts) com recursos que permitem bloquear ou reverter transações em caso de comportamento suspeito, aumentando o controle sobre as partes envolvidas.
Uso de Provedores de Serviços de Reputação de Nós: Colaborar com provedores que avaliam e classificam a reputação dos nós validadores pode ajudar os bancos a evitar interações com partes de má reputação.
Realizar Testes de Penetração: Bancos devem realizar testes de penetração regulares nas redes blockchain em que operam para identificar vulnerabilidades potenciais e garantir que as medidas de segurança sejam robustas.
Estabelecimento de Relações com Especialistas em Segurança de Blockchain: Ter especialistas em segurança de blockchain na equipe ou como consultores externos pode garantir que a instituição esteja sempre atualizada com as últimas técnicas de defesa contra ataques cibernéticos.
Risco Legal e de Conformidade de Lavagem de Dinheiro e Financiamento ao Terrorismo:
A anonimização dos participantes dos blockchains complica a conformidade com regulamentos de "Conheça seu Cliente" (KYC) e monitoramento, onde a transação com contrapartes anonimizadas aumenta o risco de envolvimento com entidades ilícitas. Adicionalmente, as taxas de transação podem ser pagas a entidades ilícitas que fornecem serviços de validação de forma pseudonimizada.
Os pontos de atenção aqui são:
Lavagem de Dinheiro e Financiamento ao Terrorismo (ML/FT): A natureza pseudônima das transações em blockchains, onde as identidades dos participantes são mascaradas por identificadores artificiais, representa um grande desafio para os bancos que precisam cumprir com regulamentos de PLD. A pseudonimização impede que as instituições financeiras realizem uma identificação precisa das partes envolvidas nas transações, aumentando o risco de envolvimento inadvertido em atividades ilícitas.
Risco de Transações com Contrapartes Ilícitas: A possibilidade de transacionar com contrapartes desconhecidas ou pseudonimizadas aumenta o risco de o banco se envolver com entidades ou indivíduos que possam estar sujeitos a sanções ou envolvidos em atividades criminosas.
Taxas Pagas a Entidades Ilícitas: Em blockchains os validadores recebem taxas de transação pela validação das transações. Se essas taxas forem pagas a validadores que operam de forma ilícita ou estão localizados em jurisdições sancionadas, o banco pode inadvertidamente violar regulamentações internacionais.
Para tentar mitigar este risco acima, seguem algumas dicas:
Integração com Soluções de Compliance Baseadas em Blockchain: Bancos devem integrar soluções de compliance que utilizem a tecnologia blockchain para rastrear transações e identificar atividades suspeitas, garantindo o cumprimento das regulamentações de PLD.
Verificação de Identidade e Listas de Bloqueio (Denylisting): Implementar sistemas de verificação de identidade combinados com funcionalidades de denylisting pode evitar transações com endereços conhecidos por estarem envolvidos em atividades ilícitas.
Risco de Liquidação e Finalidade Probabilística:
Em muitos casos a liquidação das transações é probabilística, o que significa que a probabilidade de uma transação ser revogada nunca chega a zero. Isso cria incerteza sobre o estado final da liquidação, o que pode levar a mal-entendidos entre as partes envolvidas, especialmente em jurisdições onde a liquidação legal é definida de forma precisa.
Os pontos de atenção aqui são:
Risco de Liquidação e Finalidade Probabilística: Em muitos blockchains a liquidação de transações é "probabilística", o que significa que a certeza de que uma transação será finalizada aumenta com o tempo, mas nunca atinge 100%. Isso cria um risco significativo para os bancos, que operam em ambientes onde a certeza jurídica da liquidação é crítica.
Desalinhamento entre Liquidação Técnica e Finalidade Legal: Mesmo que uma transação seja tecnicamente confirmada na blockchain, pode haver uma desconexão entre o que é considerado final na rede e o que é juridicamente reconhecido como final em uma jurisdição específica. Isso pode levar a litígios e incertezas jurídicas.
Blocos Órfãos e Riscos Associados: Em blockchains os chamados blocos órfãos (blocos que são rejeitados da blockchain principal) podem causar reversões inesperadas de transações. Isso ocorre, por exemplo, quando dois mineradores encontram uma solução para um bloco ao mesmo tempo, mas apenas um bloco é eventualmente aceito pela rede. As transações no bloco órfão são devolvidas ao pool de transações pendentes, criando incerteza sobre o status das transações.
Para tentar mitigar este risco acima, seguem algumas dicas:
Desenvolvimento de Protocolos de Finalidade de Liquidação: Bancos podem colaborar com desenvolvedores de blockchain para criar protocolos que forneçam garantias de finalização da liquidação, reduzindo a incerteza sobre o status das transações.
Uso de Redes Blockchain com Finalidade Definitiva: Optar por redes blockchain que ofereçam finalização técnica não probabilística pode mitigar o risco de liquidações incertas.
Privacidade, Confidencialidade e Proteção ao Consumidor:
A transparência inerente ao blockchain, onde registros de transações podem ser visualizados publicamente, levanta preocupações sobre privacidade e confidencialidade. Apesar da pseudonimização, existem limitações substanciais que não garantem plenamente a privacidade. Além disso, a capacidade de visualizar as transações dos usuários pode aumentar o risco de ataques cibernéticos.
Os pontos de atenção aqui são:
Privacidade, Confidencialidade e Proteção ao Consumidor: Embora as transações em blockchains sejam pseudônimas, a transparência dessas redes significa que todas as transações podem ser visualizadas publicamente. Isso levanta sérias preocupações sobre a privacidade e confidencialidade dos dados transacionais, especialmente quando informações sensíveis estão envolvidas.
Risco de Exposição de Dados: A transparência das transações pode expor os dados dos usuários a ataques cibernéticos, onde hackers podem usar informações visíveis publicamente para orquestrar ataques direcionados.
Desafios na Proteção ao Consumidor: A capacidade de ver e potencialmente manipular a ordem das transações em um bloco (um fenômeno conhecido como: Maximal Extractable Value) pode resultar em práticas injustas contra os consumidores, violando regulamentações de proteção ao consumidor e criando riscos reputacionais para os bancos envolvidos.
Para tentar mitigar este risco acima, seguem algumas dicas:
Implementação de Soluções de Privacidade: Bancos podem adotar tecnologias de preservação da privacidade, como provas de conhecimento zero (zero-knowledge proofs) e criptografia, para proteger as informações transacionais sensíveis de seus clientes.
Auditorias Regulares de Privacidade e Segurança: Realizar auditorias periódicas das práticas de privacidade e segurança em blockchains pode ajudar a identificar falhas e implementar melhorias necessárias.
Educação do Cliente: Fornecer educação contínua aos clientes sobre como proteger suas informações e transações em redes blockchain pode reduzir o risco de exposição a ataques.
Riscos Adicionais
Os pontos de atenção aqui são:
Risco de Liquidez e o “Paradoxo da Transparência”: A transparência das transações em redes pode exacerbar os riscos de liquidez, especialmente em momentos de estresse do mercado. A visibilidade de transações pode desencadear ou agravar corridas sobre criptoativos, uma vez que os participantes podem ser incentivados a retirar seus ativos rapidamente se perceberem que outros estão fazendo o mesmo.
Incerteza Política, Legal e Regulatória: Mudanças nas leis, regulamentações ou políticas em relação aos criptoativos podem alterar repentinamente o comportamento dos validadores ou a operação das blockchains, tornando as redes operacionalmente instáveis. Proibições ou restrições à mineração de criptoativos em certas jurisdições podem reduzir o poder computacional disponível para proteger a blockchain, aumentando o risco de ataques de 51%.
Para tentar mitigar este risco acima, seguem algumas dicas:
Monitoração de Liquidez em Tempo Real: Implementar sistemas de monitoramento de liquidez em tempo real pode ajudar os bancos a detectar e responder rapidamente a situações de stress de liquidez em blockchains permissionless.
Diversificação de Ativos e Redes: Mitigar o risco de liquidez pode ser alcançado através da diversificação de ativos entre várias redes blockchain e outras plataformas financeiras tradicionais.
Implementação de Protocolos de Limitação de Saques: Durante eventos de stress, utilizar mecanismos que limitem temporariamente os saques ou redistribuam transações pode ajudar a estabilizar a rede e evitar colapsos de liquidez.
Monitoramento de Regulações Globais: Manter um acompanhamento contínuo das mudanças regulatórias e políticas em várias jurisdições permite aos bancos adaptar rapidamente suas operações e evitar riscos legais imprevistos.
Diversificação de Infraestrutura: Para mitigar o impacto de mudanças súbitas nas políticas, os bancos podem operar em várias jurisdições com diferentes infraestruturas de blockchain, reduzindo a dependência de uma única estrutura regulatória.
Colaboração com Reguladores e Legisladores: Engajar-se proativamente com reguladores e legisladores pode ajudar os bancos a moldar o ambiente regulatório de forma a permitir a inovação enquanto se minimizam os riscos legais.
Como deu para ver acima temos desafios significativos para a gestão de riscos em bancos, particularmente em áreas como governança, segurança, conformidade legal e finalização de liquidações, assim como a mitigação dos riscos associados ao uso destas novas tecnologias de negociação e registro requer uma abordagem integrada que combine planejamento de continuidade de negócios, implementação de controles tecnológicos avançados, permissão, e também a adoção de novas tecnologias para a proteção da privacidade e gerenciamento da liquidez. Além disto a maioria destas estratégias atuais para mitigar esses riscos ainda estão em evolução e não foram amplamente testadas em condições de estresse.
Por fim deixo o link para o paper (em inglês) que havia comentado do BIS que trata disto em:
https://www.bis.org/bcbs/publ/wp44.pdf
Fonte de consulta: Okai.
