Due diligence de provedores de infraestrutura cripto

A due diligence de um provedor de infraestrutura cripto (custodiante, plataforma, processador de pagamentos ou auditor) deve responder a cinco perguntas: ele é autorizado a prestar o serviço? Os ativos dos clientes ficam segregados? Os controles foram examinados por terceiro independente, e o que esse exame de fato cobre? O que acontece se o provedor, ou um subcontratado dele, falhar? Sob qual jurisdição e contrato se resolverá uma disputa? Certificações ajudam, mas não substituem o exame do contrato e da estrutura. Este texto é um roteiro de verificação, não uma recomendação de provedor.

Por que avaliar o provedor, e não só o ativo

Quando a empresa usa um terceiro para guardar ou movimentar ativos digitais, passa a depender dos controles dele. O histórico de falências de exchanges mostra que falhas de governança, de segregação e de transparência nos provedores foram parte relevante dos danos. Por isso, a análise do provedor segue o mesmo rigor aplicado a qualquer fornecedor crítico. O artigo sobre due diligence em tokenização trata do ativo e do emissor; este foca em quem opera a infraestrutura.

Tipos de provedor e o que muda

• Custodiantes: guardam chaves ou ativos em nome de terceiros; o ponto central é segregação e controle de acesso (ver modelos de custódia).
• Plataformas e corretoras: intermediam compra, venda e troca; o ponto central é a conduta com ativos de clientes, a liquidez e os conflitos de interesse.
• Processadores e provedores de pagamento: convertem e liquidam; o ponto central é integridade, conformidade e continuidade operacional.
• Auditores e certificadores: emitem opinião sobre demonstrações, reservas ou controles; o ponto central é independência e escopo do trabalho.

1. Autorização e jurisdição

No Brasil, a Resolução BCB 520/2025 disciplina as sociedades prestadoras de serviços de ativos virtuais e a prestação desses serviços por outras instituições autorizadas, e a Resolução BCB 519/2025 trata dos processos de autorização. Está em vigor desde 2 de fevereiro de 2026. A norma prevê (art. 22) que a instituição financeira já atuante no mercado de ativos virtuais deve comunicar o Banco Central em 270 dias contados da vigência (prazo que corresponde a 30 de outubro de 2026), com certificação técnica independente. A regulamentação específica dessa certificação, a que a norma remete, não foi localizada para este texto. O que verificar:

• Se o provedor é prestadora autorizada, ou instituição financeira autorizada com comunicação formal ao BCB, e se há informação pública a respeito (a Resolução 519 trata dos processos de autorização).
• Qual a entidade jurídica que presta o serviço (nem sempre é a marca que aparece no aplicativo) e em que país está constituída.
• Qual a lei aplicável e o foro do contrato. O FSB constatou, em outubro de 2025, “lacunas e inconsistências significativas” na implementação de seu arcabouço em diferentes países, o que torna relevante saber sob qual regime o provedor opera.

2. Segregação e uso dos ativos

A Resolução 520 exige que as prestadoras tenham mecanismos de separação entre seus ativos virtuais e os dos clientes (arts. 29 e 30), com política documentada, e, em regra, veda o uso de ativos de clientes em operações próprias (art. 31), com exceções previstas, como staking e operações com investidores qualificados ou profissionais que concordem expressamente. Para a empresa, isso se traduz em perguntas contratuais:

• Os ativos ficam em carteiras separadas das do provedor? Há carteiras individualizadas por cliente ou conta consolidada?
• O contrato autoriza o provedor a reutilizar, emprestar ou dar em garantia os ativos? Há exceções em uso?
• Como os ativos são tratados em insolvência do provedor?
• Existe prova de reservas (mecanismo para demonstrar que o provedor possui os ativos declarados) e qual o seu escopo? Ela comprova a titularidade, mas não necessariamente a ausência de passivos.

3. Certificações e relatórios: o que cada um atesta

A tabela é uma síntese editorial. Sobre cada item:

SOC 2. O AICPA descreve o SOC 2 como exame, por contadores públicos, de controles em organização prestadora de serviços, útil para que clientes avaliem riscos de terceirização, e o associa a cinco categorias de critérios. As páginas consultadas não detalham a distinção entre relatórios que cobrem um ponto no tempo e relatórios que cobrem um período; ao ler o relatório, confira qual é o tipo, o período, o escopo do sistema e as exceções registradas, e confirme a diferença no guia do AICPA. A própria entidade alerta que serviços de SOC devem ser avaliados com cuidado e que há preocupação com ofertas “rápidas” e com auditores sem licença ou sem revisão por pares.

ISO/IEC 27001. Segundo a ISO, a norma define requisitos para um sistema de gestão de segurança da informação (ISMS), e a certificação é uma forma de demonstrar a clientes que a organização gere a informação de modo seguro; um certificado emitido por organismo de certificação acreditado acrescenta uma camada de confiança. A edição vigente é a de outubro de 2022 e, conforme o IAF, o prazo de transição de certificados da edição de 2013 terminou em 31 de outubro de 2025. Verifique, portanto, que o certificado é da edição vigente, emitido por organismo acreditado, e peça o escopo (que pode ser parcial) e a data de validade. O texto integral da norma é pago e não foi consultado.

4. Seguros e garantias

A Resolução 520 impõe à prestadora informar, na oferta de ativos virtuais, a ausência de cobertura do FGC, do FGCoop e de fundos análogos (art. 68), e, pelo art. 53, a prestar informações claras sobre a existência ou ausência de cobertura, fundos garantidores ou seguros para seus serviços. Pergunte:

• Existe seguro? Contra quais eventos (furto externo, fraude interna, falha de chaves)? Quais as exclusões e os limites?
• Quem é o segurado: o provedor ou o cliente? Qual o valor frente ao total sob custódia?
• Os termos de cobertura são verificáveis? Ver seguros e garantias na custódia.

5. Continuidade e plano de saída

A mesma norma prevê hipóteses em que os ativos dos clientes devem ser transferidos para outra prestadora ou para o próprio cliente em caso de interrupção ou descontinuidade do serviço, e exige divulgação do relatório de auditoria independente, em bases bienais. Para a empresa:

• Existe plano documentado de continuidade e de recuperação de desastres, com testes?
• Qual o prazo e o procedimento para retirar os ativos?
• Há dependência de uma única pessoa, de uma única nuvem ou de um único fornecedor?

6. Subcontratação

Provedores raramente operam sozinhos: usam nuvem, custodiantes secundários, provedores de liquidez, de dados e de segurança. A Resolução 520 trata da contratação de “serviços relevantes”: o provedor continua responsável perante os clientes (art. 35), responde pela integridade, confiabilidade, segurança e sigilo das transações (art. 36), deve informar clientes sobre contratados que possam representar risco (art. 41) e garantir ao BCB acesso à documentação e dependências do contratado (art. 40). Pergunte quem são os subcontratados críticos, onde operam e se o contrato dá à empresa direitos de auditoria.

O que não é verdade

• Uma certificação não equivale a ausência de risco.
• A autorização não é garantia de que o ativo ofertado seja adequado.
• A existência de prova de reservas não elimina a necessidade de contrato e de segregação claros.

Checklist (síntese editorial)

O que observar

• Se as respostas vêm por documento verificável e não apenas por material comercial.
• Se o provedor aceita cláusulas de saída, auditoria e notificação de incidentes.
• Se há concentração em um único provedor.
• Se a equipe jurídica e a de segurança revisaram o contrato.

Fechamento

A due diligence de provedores combina verificação regulatória, contratual e técnica. Nenhum item isolado basta: o que reduz risco é a soma de evidências, revisada periodicamente.

Este conteúdo é informativo e não constitui recomendação de investimento nem aconselhamento jurídico.