Due diligence em tokenização: o que verificar

A due diligence em tokenização é a verificação independente de oito frentes antes de emitir, estruturar ou adquirir um ativo tokenizado: o ativo subjacente e sua titularidade, a estrutura jurídica e os direitos do token, o emissor e a plataforma, a custódia, o contrato inteligente, a liquidez, a regulação aplicável e os riscos operacionais. O objetivo não é provar que a operação é boa, e sim identificar o que pode dar errado e quem arca com isso.

Por que a análise precisa ir além da tecnologia

Um token é uma representação digital. O Parecer de Orientação CVM nº 40/2022 adota, em nota de rodapé, a definição da IOSCO de tokenização (representar digitalmente um ativo ou a propriedade de um ativo), afirma que a tokenização em si não depende de aprovação ou registro prévio na CVM e trata a análise de cada criptoativo como funcional: importam os direitos conferidos e a forma de oferta, não o rótulo. Por isso, a verificação começa fora da blockchain, nos documentos e nas pessoas jurídicas, e só depois chega ao código.

Esta lista é um ponto de partida geral. Cada operação exige análise jurídica, contábil, tributária e técnica específica, feita por profissionais habilitados.

1. Ativo subjacente e titularidade

2. Estrutura jurídica e direitos do token

Pergunta central: o que, exatamente, o titular do token pode exigir, e de quem?

• Qual é o veículo (securitizadora, fundo, sociedade, contrato)? A Lei nº 14.430/2022 prevê, na securitização, o regime fiduciário e o patrimônio separado, que segrega o lastro do patrimônio comum da securitizadora (arts. 25 e 26). Verifique se a estrutura analisada de fato usa um mecanismo de segregação e se ele está formalizado em documento.
• O documento da oferta (termo, regulamento, contrato) descreve o direito do token de forma clara, inclusive o que ocorre em inadimplência, insolvência e encerramento?
• Existe agente fiduciário, administrador ou outro responsável pela defesa dos interesses dos titulares?
• A jurisdição e o foro aplicáveis estão definidos?
• O token representa o ativo ou uma pretensão contra a plataforma? A diferença muda tudo em caso de insolvência.

3. Emissor e plataforma

• Identidade e histórico dos controladores e administradores; situação cadastral, fiscal e judicial.
• Demonstrações financeiras e, quando houver, parecer de auditor independente.
• Autorizações e registros relevantes. A CVM tem competência regulatória sobre criptoativos considerados valores mobiliários; verifique se há registro ou dispensa de oferta, e se os intermediários são autorizados.
• Governança: quem decide, quem controla as chaves administrativas, como se resolvem conflitos de interesse.
• Plano de continuidade: o que acontece com os titulares se a plataforma encerrar as atividades?

4. Custódia

Há duas camadas: a custódia do ativo subjacente e a custódia do token.

• Quem guarda o ativo real (cofre, depositário, registro) e como isso é comprovado e auditado?
• Quem guarda as chaves que controlam os tokens do titular? Se for um terceiro, em que regime? A Lei 14.478/2022 (arts. 2º e 5º, IV) exige autorização prévia para prestadoras que custodiem ativos virtuais de terceiros, e a Resolução BCB nº 520/2025, em vigor desde 2/2/2026, detalha as regras. As empresas que já operavam têm 270 dias, contados dessa data, para pedir autorização (até 30/10/2026) e, se pedirem no prazo, podem continuar operando até a conclusão do processo (art. 88). Essa autorização, porém, não cobre atividades com valores mobiliários representados por tokens, que seguem a regulação da CVM (Lei 14.478, art. 1º, parágrafo único). Confirme a situação de autorização da prestadora no momento da análise.
• Há segregação entre bens de clientes e patrimônio da empresa?
• Quais são os controles de acesso, os procedimentos de recuperação e as coberturas de seguro, se houver?

Para valores mobiliários, o Ofício-Circular CVM/SSE nº 4/2023, de 4 de abril de 2023, lembra que se aplicam as disposições sobre escrituração, custódia, depósito centralizado, registro, compensação e liquidação.

5. Contrato inteligente e infraestrutura técnica

Contratos inteligentes são programas executados na blockchain. Uma vez implantados, o código normalmente não pode ser alterado, e falhas não são simplesmente corrigidas.

Uma auditoria reduz risco, mas não o elimina. O que importa é se os poderes administrativos do contrato correspondem ao que a documentação jurídica promete.

6. Liquidez e mercado secundário

• Existe mercado para revender o token? Em que plataforma, sob quais regras e com que volume?
• Há restrições de transferência (investidor qualificado, prazo de carência, lista de endereços permitidos)?
• Quem faz a formação de preço? Como é informado o preço de referência?
• O que acontece com a liquidez se a plataforma de negociação parar?

Segundo o BIS, em análise de títulos de dívida tokenizados, liquidez e custos não pareceram ser barreiras, mas a incerteza jurídica e regulatória e a pouca experiência de mercado continuam sendo desafios. Nada garante que haverá comprador pelo preço esperado.

7. Regulação aplicável

Questões para o parecer jurídico:

• O token é valor mobiliário? A CVM indica que isso ocorre quando ele representa digitalmente um valor mobiliário previsto em lei ou se enquadra como contrato de investimento coletivo, e que a caracterização independe de manifestação prévia da CVM.
• A oferta é pública? A área técnica da CVM (SSE) entende, no ofício de 2023, que a propaganda de investimento em tokens de recebíveis pode ser caracterizada como oferta pública mesmo se dirigida apenas a pessoas previamente cadastradas, quando a comunicação for massificada. Os ofícios-circulares (4/2023 e o complemento 6/2023) são orientações das superintendências, sem caráter normativo.
• Há regras específicas para intermediários, escrituração e custódia?
• Há implicações tributárias, cambiais, de prevenção à lavagem de dinheiro e de proteção de dados?
• Há novidades regulatórias em andamento? A Resolução CVM nº 249, de 13/10/2026 (publicada no DOU de 14/10/2026), instituiu em caráter experimental o Programa Piloto DLT CVM, com testes sem investidores reais, sem valores mobiliários em circulação e sem movimentação de recursos reais. Participar do programa não é autorização para atividade regulada nem garante tratamento regulatório futuro, e o programa não torna irregulares outras iniciativas de mercado. Acompanhe o tema, que está em evolução.

8. Riscos operacionais

• Perda ou roubo de chaves privadas, internas ou do investidor.
• Dependência de poucos fornecedores (nuvem, custodiante, provedor de dados).
• Falhas de conciliação entre o registro on-chain e os registros oficiais.
• Risco de fraude interna, ataque cibernético e engenharia social.
• Falta de plano de resposta a incidentes e de comunicação aos titulares.

O que a due diligence não faz

Ela não elimina risco, não prevê desempenho do ativo e não substitui a aprovação de autoridades quando exigida. Também depende da qualidade das informações recebidas: documentos incompletos ou desatualizados limitam a conclusão. É comum registrar, ao final, o que não pôde ser verificado, em vez de tratá-lo como se estivesse aprovado.

O que observar na prática

• Peça os documentos originais, e não apenas apresentações comerciais.
• Cruze o que a plataforma afirma com registros oficiais e consultas públicas.
• Separe quem emite, quem custodia, quem negocia e quem audita; concentração de papéis exige atenção redobrada.
• Compare o poder técnico do contrato com o direito descrito no contrato jurídico.
• Documente as conclusões, as pendências e as premissas.

Para estruturar esse processo em empresas, a consultoria para empresas trata de organização, governança e critérios de análise. Este conteúdo é informativo e não constitui assessoria jurídica, tributária ou recomendação de investimento.