Em serviços de criptoativos, a segurança começa por separar, comprovar e monitorar os ativos virtuais. Para aderir à regulação, é essencial segregar os recursos do cliente e manter prova de reservas. Para tanto, a regulação também exige a adoção de algumas medidas complementares.
Separação de dinheiro e de criptoativos (cliente x empresa)
- Recursos financeiros do cliente: contas individualizadas em nome do cliente, ofertadas pela própria instituição (se autorizada) ou via banco ou outra instituição parceira (BaaS), com conciliação diária.
- Ativos virtuais: carteiras segregadas das carteiras próprias; política escrita deve tratar segregação, PoR (com reporte mensal no período de transição), auditoria independente bienal (relatório público) e planos de continuidade/transferência para outro custodiante ou para o próprio cliente em caso de descontinuidade.
- Ativos próprios misturados: se houver uso de ativos próprios para liquidez imediata, até 5%, sempre livres, identificados e sem ônus, com transparência contratual e controles.
Prova de Reservas (PoR)
- Objetivo: demonstrar que a instituição detém os ativos declarados em nome dos clientes.
- Boas práticas: metodologia documentada; snapshot (demonstração dos saldos e passivos em um momento específico), com verificação independente; cobertura por ativo; reconciliação com passivos; divulgação de escopo e limitações.
Carteiras quente / morna / fria e chaves
- Quente: conectada 24/7 para depósitos/saques imediatos; manter só o mínimo operacional; limites e monitoramento contínuos.
- Morna: conectada com controles adicionais (múltiplas aprovações, time-lock, allowlist, enclaves); repõe a hot e atende saques maiores.
- Fria: offline para reserva/lastro; acesso físico controlado (cofres), movimentação por cerimônia registrada.
- Gestão de chaves: HSM e/ou multisig (ex.: 2-de-3); fragmentos guardados em locais distintos; trilhas de aprovação e de emergência; rotação periódica e testes de restauração.
Segurança e continuidade
- Acesso (IAM – Identity and Access Management, gestão de identidades e acessos): princípio do menor privilégio, MFA (autenticação multifator), sessões com tempo limitado, bloqueio preventivo em suspeitas.
- Monitoramento: telemetria (coleta automática de dados de operação), alertas, CSIRT (Computer Security Incident Response Team, com equipe de resposta a incidentes), playbooks de resposta (roteiros padronizados), exercícios periódicos (simulados).
- Prevenção: segregação de ambientes (produção vs. teste), gestão de mudanças (processo formal de alterações), hardening (configuração segura), revisão de smart contracts (auditoria de contratos inteligentes), testes de robustez (carga/falhas), testes de vulnerabilidade e de estresse anuais; planos de continuidade (simulação de picos/ataques).
- Continuidade: RTO/RPO (Recovery Time Objective/Recovery Point Objective, metas de tempo e ponto de recuperação), backups, redundância (componentes/links duplicados); e, para custodiantes, repositório de dados no Brasil, auditável e acessível ao BCB.
Indicadores úteis (KPIs)
- Tempo médio de conciliação on-chain: quanto a operação demora para bater saldos entre blockchain e sistemas internos.
- Taxa de falhas de saque: percentual de saques que não concluem no prazo/forma esperados.
- Tempo de recuperação pós-incidente: quanto leva para restabelecer serviços e controles após um evento.
- Percentual de ativos próprios nas carteiras de clientes (≤5%, se adotado): fração de “float” da instituição misturado às carteiras de clientes, dentro do limite permitido.
- Cobertura e frequência de PoR/auditoria: quais ativos entram na Prova de Reservas e com que periodicidade (ex.: trimestral, semestral), indicando robustez da verificação.
Exemplos práticos
- Operação diária: manter um float operacional (saldo para liquidações imediatas) em carteira quente; manter as reservas dos clientes em morna/fria para reduzir risco; usar multisig 2-de-3 (duas chaves necessárias entre três possíveis), com guardas de chaves em locais/cofres distintos para evitar ponto único de falha.
- Descontinuidade (plano de saída): ter política de transferência assistida para outro custodiante, com comunicação proativa aos clientes (prazos, passos, canais) e instruções de saque simples (endereços, prazos de processamento, equipe de suporte dedicada).
