Saltar para o conteúdo principal

As Guerras de Custódia Institucional: Por Que uma Carta Federal Supera um Software Mais Rápido

· 15 min de leitura
Dora Noda
Dora Noda
Software Engineer

Na corrida para a custódia de ativos cripto institucionais, há uma questão de 109 mil milhões de dólares que separa os vencedores dos figurantes: a sua arquitetura de segurança consegue sobreviver a uma auditoria federal? À medida que o mercado de custódia de cripto explode de 5,52 mil milhões de dólares em 2025 para uns projetados 109,29 mil milhões de dólares até 2030, os players institucionais estão a descobrir que a conformidade regulatória cria fossos mais profundos do que qualquer vantagem tecnológica. E em 21 de setembro de 2026 — a menos de sete meses de distância — as regras mudam permanentemente.

As guerras da custódia não são apenas sobre quem tem a melhor tecnologia. São sobre quem consegue provar o controlo exclusivo das chaves privadas de uma forma que satisfaça o Office of the Comptroller of the Currency (OCC), a Securities and Exchange Commission (SEC) e os Federal Information Processing Standards do NIST. A resposta está a remodelar o cenário competitivo e a forçar questões desconfortáveis: a Computação Multipartidária (MPC) é suficiente? Ou as instituições precisam de Módulos de Segurança de Hardware (HSMs)? E o que é que um alvará bancário federal lhe oferece que milhares de milhões em capital de risco não conseguem?

O Padrão de Custodiante Qualificado: Por que o Software Sozinho Não Será Suficiente​

Quando a SEC expandiu a sua regra de custódia para abranger ativos digitais, criou um teste claro (bright-line test): os custodiantes qualificados devem provar o "controlo exclusivo" dos ativos dos clientes. Para as cripto, isso significa provar o controlo exclusivo das chaves privadas — não apenas reivindicá-lo, mas demonstrá-lo através de uma infraestrutura técnica verificável.

A carta da Anchorage Digital para a SEC tornou o caso explícito: "A prova de controlo exclusivo é definitivamente demonstrável ao confiar em módulos de segurança de hardware (HSMs) isolados (air-gapped) para gerar e garantir a custódia de chaves privadas." Isto não é uma sugestão — está a tornar-se o padrão regulatório.

A distinção é importante porque os HSMs fornecem hardware físico resistente a adulterações que gera e armazena chaves num enclave seguro. A certificação FIPS 140-3 Nível 3 exige mecanismos de segurança física que tornam a extração ou modificação de chaves matemática e fisicamente proibitivas. O MPC baseado em software, por contraste, distribui partes das chaves (key shares) por várias partes — uma criptografia elegante, mas fundamentalmente diferente do paradigma de hardware isolado (air-gapped) que os reguladores compreendem e confiam.

Aqui está o problema: Em 21 de setembro de 2026, todos os certificados FIPS 140-2 existentes serão arquivados. Após essa data, apenas a validação FIPS 140-3 contará para contratos do governo dos EUA, trabalhos do governo canadiano e a maioria das instituições financeiras reguladas. Os custodiantes que não conseguirem demonstrar conformidade com o FIPS 140-3 Nível 3 apoiado por hardware ver-se-ão excluídos do mercado institucional.

O Fosso do Alvará Federal: A Vantagem Regulatória da Anchorage​

O Anchorage Digital Bank recebeu o primeiro alvará nacional de confiança (national trust charter) da OCC para uma empresa de cripto em janeiro de 2021. Cinco anos depois, continua a ser o único banco de ativos digitais com alvará federal — uma posição de monopólio que amplia a sua vantagem competitiva a cada trimestre que passa.

O que é que um alvará federal oferece? Três coisas que nenhum montante de financiamento de capital de risco pode replicar:

  1. Estatuto de Custodiante Qualificado Inequívoco: Os bancos com alvará federal sob a alçada da OCC cumprem automaticamente a definição de custodiante qualificado da SEC. Os consultores de investimento não enfrentam riscos interpretativos ao selecionar a Anchorage — o tratamento regulatório é lei estabelecida.

  2. Isolamento de Falência: Os ativos dos clientes mantidos por um banco de confiança com alvará federal são segregados do balanço do custodiante. Se a Anchorage falhasse, os ativos dos clientes estariam legalmente protegidos contra reivindicações de credores — uma distinção crítica para fiduciários que gerem fundos de pensões e dotações.

  3. Infraestrutura HSM Validada por FIPS: A Anchorage oferece "tecnologia HSM validada por FIPS" como base, porque os alvarás bancários federais exigem uma gestão de chaves apoiada por hardware que cumpra os padrões do NIST. Não há opcionalidade regulatória aqui — é um requisito de conformidade.

A OCC tem sido seletiva. Em fevereiro de 2026, aprovou vários novos alvarás de bancos nacionais de confiança para a custódia de ativos digitais — BitGo Trust Company, Bridge National Trust Bank, First National Digital Currency Bank e Ripple National Trust Bank — mas estes continuam a ser um clube restrito. A barreira à entrada não é apenas capital ou tecnologia; é um desafio regulatório de vários anos que inclui exames de prontidão operacional, revisões de adequação de capital e verificação da gestão.

Flexibilidade do MPC Versus a Certeza do HSM​

A Fireblocks, o principal provedor de custódia MPC do mercado, construiu uma avaliação de $ 8 bilhões em uma filosofia arquitetônica diferente: distribuir a confiança entre várias partes em vez de centralizá-la em enclaves de hardware.

O algoritmo MPC-CMP da Fireblocks elimina pontos únicos de falha ao garantir que "as fatias de chave (key shares) MPC nunca sejam geradas ou reunidas durante a criação de chaves, rotação de chaves, assinatura de transações ou adição de novos usuários". A abordagem oferece vantagens operacionais: assinatura de transações mais rápida, políticas de gerenciamento de chaves mais flexíveis e nenhuma necessidade de gerenciar clusters físicos de HSM.

Mas os compradores institucionais estão fazendo perguntas mais difíceis. O MPC sozinho pode satisfazer o padrão de "controle exclusivo" da SEC para custódia qualificada? A Fireblocks reconhece a preocupação ao oferecer o KeyLink, uma camada de middleware que conecta a plataforma Fireblocks aos HSMs Thales Luna, "garantindo que as chaves privadas permaneçam dentro de hardware certificado FIPS 140-3 Nível 3 e Common Criteria". Esta abordagem híbrida — MPC para flexibilidade operacional, HSMs para conformidade regulatória — reflete a realidade regulatória do mercado.

A escolha não é puramente técnica. Trata-se do que auditores, reguladores e comitês de risco institucionais aceitarão:

  • HSMs fornecem finalidade: As chaves são geradas e armazenadas em hardware resistente a violações, certificado de acordo com um padrão governamental. Quando um auditor pergunta: "Você pode provar o controle exclusivo?", a resposta é "Sim, e aqui está o certificado FIPS".

  • MPC requer explicação: Fatias de chaves distribuídas e assinaturas de limiar (threshold signatures) são criptograficamente sólidas, mas exigem que os stakeholders entendam os protocolos de computação multipartidária (multi-party computation). Para fiduciários avessos ao risco, essa explicação é um sinal de alerta.

O resultado é um mercado de dois níveis. O MPC funciona para fundos nativos de cripto, mesas de negociação e protocolos DeFi que priorizam a velocidade operacional. A custódia apoiada por HSM é o requisito básico para fundos de pensão, companhias de seguros e RIAs que gerenciam dinheiro de clientes sob a supervisão da SEC.

A Lacuna de Cobertura de Seguro: Infraestrutura Versus Ativos​

O marketing de custódia institucional de cripto está repleto de números de seguros impressionantes: 250milho~esnaBitGo,"maisde250 milhões na BitGo, "mais de 1 bilhão" em outras. Mas os CFOs que leem as letras miúdas descobrem uma distinção crítica: cobertura de infraestrutura versus cobertura de ativos.

A cobertura de infraestrutura protege contra violações dos sistemas do custodiante — hacks externos, conluio interno, roubo físico de mídias de armazenamento. A cobertura de ativos protege as participações do cliente — se o Bitcoin desaparecer, o seguro paga ao cliente.

A lacuna importa porque a maioria das apólices de grande valor segura a infraestrutura do custodiante, não os ativos individuais dos clientes. Uma apólice de $ 1 bilhão pode cobrir uma violação sistêmica que afete vários clientes, mas a recuperação individual do cliente está sujeita a regras de alocação, franquias e exclusões. As exclusões típicas incluem:

  • Perdas decorrentes de transferências autorizadas, mas equivocadas
  • Bugs de contratos inteligentes ou falhas de protocolo
  • Negligência do próprio custodiante em seguir procedimentos de segurança
  • Ativos mantidos em carteiras quentes (hot wallets) versus armazenamento a frio (cold storage) (a cobertura geralmente é limitada ao frio)

Para instituições que avaliam provedores de custódia, as perguntas mudam de "Quanto seguro?" para "O que é realmente coberto?" e "Qual é o limite de recuperação por cliente?". Como observam as análises do setor, custodiantes com infraestruturas de conformidade e segurança mais robustas podem garantir melhores termos de apólice porque as seguradoras avaliam um risco menor.

Isso cria outra vantagem para custodiantes com carta federal (federally chartered). Bancos com supervisão do OCC passam por exames contínuos, o que dá às seguradoras confiança nos controles de risco. O resultado: melhores termos de cobertura, limites mais altos e menos exclusões. Custodiantes não bancários podem anunciar números de destaque mais elevados, mas a cobertura efetiva — o que realmente é pago — muitas vezes favorece o banco regulado e tradicional.

A Corrida pelo AUM: Onde os Ativos Institucionais Estão Pousando​

O mercado de custódia de cripto não é do tipo "o vencedor leva tudo", mas está se consolidando rapidamente. A Coinbase Custody domina a participação no mercado institucional, aproveitando seu status de empresa pública, relacionamentos regulatórios e infraestrutura de negociação integrada. A Anchorage Digital atende instituições com "uma plataforma de custódia construída para segurança, conformidade regulatória e flexibilidade operacional" — um código para "temos a carta federal e os HSMs validados pelo FIPS que você precisa para sua auditoria".

A Fireblocks fornece "infraestrutura de ativos digitais de nível institucional centrada em custódia segura baseada em MPC", conquistando clientes que priorizam a velocidade das transações e a flexibilidade da API em detrimento do status de carta federal.

A dinâmica competitiva está se tornando clara:

  • Coinbase vence no ecossistema: custódia, staking, negociação, corretagem prime (prime brokerage) e rampas de entrada/saída institucionais sob o mesmo teto. Para gestores de ativos, a simplicidade operacional vale o custo.

  • Anchorage vence na certeza regulatória: a carta federal elimina o risco interpretativo para RIAs, pensões e fundações (endowments) que precisam de um status inequívoco de custodiante qualificado.

  • Fireblocks vence na agilidade: o MPC permite uma iteração de produto mais rápida, políticas mais flexíveis e melhor integração de API para fundos nativos de cripto e protocolos DeFi.

Mas o prazo de setembro de 2026 para o FIPS 140-3 está forçando a consolidação. Custodiantes que dependiam de certificados FIPS 140-2 devem atualizar ou integrar HSMs — projetos caros e demorados que favorecem players maiores com capital e recursos de engenharia. Provedores de custódia menores estão sendo adquiridos ou fazendo parcerias com fornecedores de infraestrutura HSM para atender ao novo padrão.

O resultado é um mercado em formato de "halteres" (barbell market): grandes bancos com carta federal em uma extremidade, provedores ágeis de MPC com parcerias HSM na outra, e um meio em encolhimento de custodiantes subcapitalizados que não podem arcar com a atualização.

O que Setembro de 2026 Significa para Compradores de Custódia​

Os compradores institucionais de cripto que avaliam provedores de custódia em 2026 enfrentam um checklist que é mais longo e mais técnico do que nunca:

  1. Certificação FIPS 140-3 Nível 3: O custodiante utiliza HSMs validados pelo FIPS 140-3 ou ainda está no FIPS 140-2 (que expira em 21 de setembro)?

  2. Status de Custodiante Qualificado: Se você é um consultor de investimentos registrado na SEC, o seu custodiante atende de forma inequívoca à regra de custódia da SEC? Bancos com carta patente federal e empresas de confiança aprovadas pelo OCC atendem. Outros exigem interpretação jurídica.

  3. Detalhes da Cobertura de Seguro: Qual é o limite de recuperação por cliente? O que está excluído? A cobertura se aplica a ativos em hot wallets ou apenas em cold storage?

  4. Distanciamento de Falência: Se o custodiante falhar, os seus ativos estão legalmente segregados das reivindicações de credores? Bancos fiduciários com carta patente federal oferecem isso por estatuto.

  5. Flexibilidade Operacional: Você precisa de assinatura de transações via API para estratégias de negociação? A custódia baseada em MPC (Multi-Party Computation) destaca-se aqui. Se você segue a estratégia de comprar e segurar (buy-and-hold), a custódia baseada em HSM é mais simples.

Para fundos de pensão, dotações e seguradoras — instituições que priorizam a certeza regulatória sobre a velocidade operacional — o checklist aponta cada vez mais para custodiantes com carta patente federal e infraestrutura apoiada por HSM. Para fundos de hedge nativos de cripto, formadores de mercado (market makers) e protocolos DeFi, provedores baseados em MPC com parcerias de HSM oferecem o melhor dos dois mundos: agilidade operacional com conformidade regulatória quando necessário.

O Fim do Jogo da Custódia: Conformidade como Fosso Competitivo​

As guerras de custódia institucional não são sobre quem tem a criptografia mais elegante ou a assinatura de transação mais rápida. São sobre quem consegue satisfazer auditores, reguladores e comitês de risco de que o dinheiro está seguro e os sistemas atendem aos padrões federais.

A vantagem de cinco anos da Anchorage Digital com sua carta patente do OCC criou um fosso que o software sozinho não consegue superar. Os concorrentes podem construir uma UX melhor, APIs mais rápidas e protocolos MPC mais flexíveis — mas não podem replicar o status inequívoco de custodiante qualificado que vem com uma carta patente bancária federal. É por isso que a recente aprovação do OCC para as cartas de bancos fiduciários da BitGo, Bridge e Ripple é tão consequente: ela quebra o monopólio da Anchorage ao mesmo tempo que reforça o manual regulatório.

Fireblocks e outros provedores de MPC não estão perdendo; eles estão se adaptando. Ao integrar HSMs para casos de uso críticos do ponto de vista regulatório, mantendo o MPC para flexibilidade operacional, eles estão construindo arquiteturas híbridas que atendem tanto a clientes institucionais quanto nativos de cripto. Mas o prazo do FIPS 140-3 em setembro de 2026 é o fator determinante: custodiantes que não puderem demonstrar segurança de chaves apoiada por hardware ficarão fora do mercado institucional.

Para instituições que constroem posições em ativos digitais, a mensagem é clara: a custódia não é uma commodity e a conformidade não é negociável. O provedor mais barato ou aquele com a melhor documentação de API não é necessariamente a escolha certa. A escolha certa é aquela que pode responder "sim" quando o seu auditor perguntar se você atendeu ao padrão de custodiante qualificado da SEC — e pode provar isso com um certificado FIPS 140-3 Nível 3.

As guerras de custódia estão longe de terminar, mas os vencedores estão se tornando visíveis. E em 2026, a conformidade regulatória é a diferenciação definitiva do produto.

Fontes:

Share on Twitter