A possibilidade de manter criptomoedas sem depender de bancos, corretoras ou outros intermediários é uma das características centrais da tecnologia blockchain. A chamada autocustódia permite ao investidor controlar diretamente seus ativos, mas transfere para ele também a responsabilidade pela segurança das chaves que permitem movimentá-los.
O risco ficou novamente em evidência após um episódio envolvendo dispositivos da marca Coldcard no fim de julho. Uma falha na geração de chaves aleatórias teria reduzido a complexidade criptográfica necessária para descobrir determinadas frases de acesso, resultando no desvio de cerca de R$ 600 milhões em Bitcoin e atingindo pelo menos 7.300 endereços globalmente. O episódio não teria envolvido uma invasão à rede do Bitcoin, mas uma vulnerabilidade relacionada ao processo de geração das chaves no dispositivo.
O caso ajuda a mostrar uma diferença importante entre a segurança da própria blockchain e a forma como o investidor protege o acesso aos ativos. Uma carteira de criptomoedas não armazena os bitcoins ou demais moedas digitais propriamente ditos. Ela guarda as credenciais necessárias para movimentar os ativos registrados na blockchain.
A chave pública, ou endereço, pode ser comparada aos dados de uma conta utilizados para receber recursos. Já a chave privada é a informação que autoriza as transações. Na prática, ela costuma ser representada por uma seed phrase, sequência normalmente formada por 12 ou 24 palavras que permite recuperar o acesso à carteira.
Quem controla essa chave controla os ativos. A vantagem é eliminar a necessidade de confiar a custódia a um intermediário. A contrapartida é que perda, exposição ou armazenamento inadequado da chave privada pode resultar na perda definitiva dos recursos.
“A autocustódia exige que o investidor seja o seu próprio gerente de segurança”, afirma Pedro Fontes, analista de Research do Mercado Bitcoin. Segundo ele, diferentemente dos serviços financeiros centralizados, não existe uma estrutura à qual o usuário possa recorrer para recuperar uma chave privada perdida.
Estimativas do setor apontam que aproximadamente 1,57 milhão de bitcoins, avaliados em mais de R$ 500 bilhões, podem ter sido perdidos definitivamente ao longo dos anos por problemas relacionados à administração das chaves, incluindo perda de anotações e falhas de armazenamento.
As carteiras utilizadas na autocustódia são geralmente divididas entre hot wallets e cold wallets. As primeiras são aplicativos conectados à internet e oferecem maior facilidade para transações frequentes, mas ficam mais expostas a ameaças como malware, phishing e páginas fraudulentas.
As cold wallets, por sua vez, são dispositivos desenvolvidos para manter as chaves privadas fora da internet e realizar internamente a assinatura das transações. Essa característica reduz determinados vetores de ataque, mas não elimina todos os riscos. Problemas no próprio equipamento, falhas na geração das chaves, perda física ou erros cometidos pelo usuário continuam sendo fatores que precisam ser considerados.
Autocustódia ou custódia institucional?
A escolha depende principalmente do conhecimento técnico, da frequência das movimentações e do nível de responsabilidade que o investidor está disposto a assumir.
Investidores experientes podem optar pela autocustódia para manter controle integral sobre os ativos, especialmente em posições de longo prazo. Outra possibilidade é adotar um modelo misto, mantendo valores destinados às transações em plataformas ou hot wallets e a parcela de longo prazo em armazenamento offline.
Já a custódia por corretoras ou instituições especializadas transfere parte do risco operacional para uma estrutura profissional. Nesse modelo, o investidor deixa de administrar diretamente suas chaves, mas passa a depender da segurança, governança e solidez do custodiante.
Essa opção também é utilizada por investidores institucionais. Nos Estados Unidos, grande parte dos ETFs de Bitcoin à vista utiliza empresas especializadas para custodiar os ativos dos fundos. O movimento mostra que a decisão entre autocustódia e custódia institucional não se resume à escolha entre maior ou menor segurança, mas envolve diferentes formas de administrar riscos.
Para quem utiliza uma instituição, a avaliação deve incluir aspectos como segregação dos recursos dos clientes, auditorias independentes, mecanismos de armazenamento e governança, além do cumprimento das exigências regulatórias.
A principal diferença está, portanto, em quem assume a responsabilidade operacional. Na autocustódia, o próprio investidor controla as chaves e responde integralmente pela sua proteção. Na custódia institucional, essa função é delegada a terceiros. Não existe uma alternativa adequada para todos os perfis: o nível de segurança depende tanto da tecnologia utilizada quanto da capacidade de administrar corretamente os riscos associados a cada modelo.
