Custódia de Bitcoin para empresa e quem pode mover o saldo

A custódia de Bitcoin para empresa é o conjunto de arranjos técnicos e de governança que definem quem, na pessoa jurídica, pode de fato mover as moedas do balanço. Não é o número de Bitcoin declarado que importa, é quantas assinaturas são necessárias para gastar e quem detém cada uma. Uma tesouraria pode ter o melhor mNAV do mundo e ainda ser um ponto único de falha, se uma pessoa sozinha consegue transferir tudo.

A pergunta que quase ninguém faz antes de investir numa empresa que acumula Bitcoin é simples. Como esse Bitcoin fica guardado, e quem pode mexê-lo. As peças sobre tesourarias explicam por que a empresa compra Bitcoin e como o mercado precifica esse estoque. Esta explica o elo operacional que falta. A diferença entre ter Bitcoin no balanço e controlar Bitcoin no protocolo.

O número no balanço não é posse

Um relatório trimestral pode dizer que a empresa detém mil Bitcoin. Esse número é uma afirmação contábil. Ele não informa nada sobre a estrutura de controle das chaves que movem esses mil Bitcoin. No protocolo, a posse acompanha a chave privada, não a linha do balanço. Quem controla a chave controla a moeda, e o resto é promessa. Tratamos desse princípio para a pessoa física em o que é multisig, e ele vale igual para a pessoa jurídica.

Por isso a mesma quantidade de Bitcoin no balanço pode significar coisas muito diferentes. Se uma única pessoa detém a chave que assina sozinha, o poder de gasto está concentrado numa cadeira. Se o estoque inteiro está numa corretora ou custodiante terceirizado, a empresa detém um saldo numa tela, não moedas no protocolo. E se o gasto exige o acordo de várias pessoas independentes, o mesmo número passa a representar um controle distribuído. O balanço mostra o quanto. A custódia mostra o quem.

As três formas de uma empresa guardar Bitcoin

Na prática, uma pessoa jurídica guarda Bitcoin de três maneiras, com perfis de risco muito distintos. A primeira é o custodiante terceirizado, um custodiante qualificado que detém as chaves em nome da empresa. A segunda é a autocustódia com chave única sob um responsável, que concentra todo o poder de gasto numa pessoa. A terceira é o multisig institucional, que exige múltiplas assinaturas de detentores diferentes para mover qualquer valor.

O custodiante terceirizado transfere o risco operacional para um especialista regulado, o que reduz a chance de erro interno. Em troca, introduz risco de contraparte. A empresa passa a depender da solvência e da honestidade de um terceiro, e volta ao problema que o Bitcoin foi criado para resolver. A chave única sob um responsável elimina a contraparte, mas cria um ponto único de falha humano. Um executivo capturado, coagido ou desonesto move tudo sozinho. O multisig institucional é a tentativa de ficar com o melhor dos dois, sem contraparte e sem cadeira única de poder.

Multisig institucional e o quórum

O multisig, abreviação de multisignature ou múltiplas assinaturas, é o arranjo em que gastar exige mais de uma chave. Numa configuração de M de N existem N chaves ao todo e são necessárias M delas para assinar uma transação. Para a empresa, isso significa desenhar um quórum de assinaturas que reflita a governança societária, em vez de deixar o poder de gasto numa só pessoa. Explicamos o mecanismo de base em o que é multisig.

Considere um exemplo numérico. Uma empresa monta um arranjo de três de cinco. As cinco chaves ficam distribuídas entre o diretor financeiro, o diretor executivo, um conselheiro independente, um parceiro de custódia regulado e um cofre geográfico offline em outra praça. Para assinar uma transação, três dessas cinco precisam concordar. Nenhum executivo, sozinho, move um satoshi. Se o diretor financeiro for coagido, uma chave não basta. Se um dispositivo pegar fogo, sobram quatro chaves e o quórum de três permanece viável.

Compare com o oposto. Numa estrutura de uma de uma sob um único diretor, aquele mesmo número de mil Bitcoin no balanço está a uma assinatura de distância de sair inteiro. O quórum é a variável que separa uma tesouraria robusta de uma que apenas parece robusta. E ele não precisa ser alto para funcionar. Precisa ser distribuído entre pessoas que não coincidem numa mesma sala, num mesmo interesse ou num mesmo ponto de chantagem.

“A pergunta certa sobre uma tesouraria não é quanto Bitcoin ela tem. É quantas assinaturas independentes são necessárias para mover esse Bitcoin, e se elas estão de fato em mãos que não coincidem.”

Segregação de chaves entre sócios e diretores

Distribuir chaves não é sortear dispositivos entre executivos. É segregar poder. A ideia é que nenhum indivíduo, e nenhum grupo pequeno de indivíduos com interesses alinhados, reúna sozinho o quórum. Um arranjo em que o diretor financeiro guarda três das cinco chaves é multisig no nome e chave única na prática. A segregação vale pelo que ela impede, não pelo número de dispositivos.

Por isso os desenhos sérios misturam eixos de independência. Independência de pessoa, com chaves em mãos de funções distintas. Independência geográfica, com dispositivos guardados em locais diferentes. Independência de fabricante, com hardware wallets de marcas diferentes para não depender de uma única implementação. E, em alguns casos, independência de organização, com uma chave em poder de um parceiro externo que ajuda a atingir o quórum sem nunca controlar os fundos sozinho.

Governança de assinaturas

A parte técnica é só metade. A outra metade é a política que rege quando e como as assinaturas acontecem. Uma tesouraria madura documenta quem pode iniciar uma transação, quem precisa aprovar, quais valores exigem quórum maior e o que acontece se um detentor de chave sai da empresa. Sem essa camada, o multisig vira teatro, porque na hora do aperto as regras são improvisadas.

A mecânica que permite juntar assinaturas de chaves guardadas em lugares diferentes é a transação parcialmente assinada. A transação é montada uma vez e circula entre os detentores, cada um adicionando a sua assinatura, até reunir o quórum. Explicamos esse formato em o que é um PSBT. Do lado prático da montagem, o passo a passo de um arranjo de duas de três está em como montar uma carteira multisig 2-de-3, e a lógica escala para os quóruns maiores de uma tesouraria.

• Rotação de chaves quando um diretor ou conselheiro deixa a empresa, para que o quórum antigo não sobreviva à saída.
• Segregação de funções entre quem inicia a transação e quem a aprova, evitando que uma só pessoa faça as duas coisas.
• Limites por valor, em que transferências maiores exigem quórum maior ou aprovações adicionais.
• Plano de continuidade para o caso de perda, morte ou incapacidade de um detentor de chave.

Prova de reservas e o que ela não prova

A prova de reservas é a tentativa de mostrar ao mercado que o Bitcoin declarado existe mesmo. Numa forma comum, a empresa divulga endereços ou uma chave pública estendida, o xpub, que permite a qualquer pessoa verificar o saldo diretamente na cadeia. É um avanço de transparência real sobre o simples número num relatório, porque troca a palavra da empresa pela verificação independente.

O erro é achar que a prova de reservas prova tudo. Ela mostra ativos, não passivos. Uma empresa pode provar que controla mil Bitcoin e dever mil e quinhentos em obrigações, e a prova de reservas sozinha não revela isso. Ela é também um retrato de um instante, que pode ser encenado para uma data específica. E não diz quem detém as chaves nem se elas estão duplicadas fora do arranjo declarado. A verificação de reservas é necessária. Não é suficiente. Por isso ela caminha junto de auditoria independente e da análise financeira completa que detalhamos em como analisar uma treasury company de Bitcoin.

O risco de centralizar tudo num custodiante

A saída mais cômoda para uma empresa é entregar tudo a um custodiante terceirizado e reportar o saldo. Ela é legítima e, para muitas operações, sensata. Mas ela recria o risco de contraparte que o Bitcoin nasceu para dispensar. Se o custodiante quebra, é fraudado ou tem os fundos bloqueados, a empresa vira credora numa fila, com um saldo que virou promessa. Um número no balanço lastreado num custodiante único é tão forte quanto esse custodiante.

É aqui que o ângulo se fecha. Uma tesouraria pode ter métricas impecáveis e ainda embutir um risco que não aparece na planilha. Se todo o Bitcoin está sob um custodiante, ou se uma pessoa assina sozinha, o investidor não comprou exposição a Bitcoin. Comprou exposição à confiança em quem guarda as chaves. Para entender por que a estrutura de capital e o desfecho de uma tesouraria dependem de decisões humanas, vale ler o que é uma treasury company.

O erro comum

O erro mais frequente é tratar a quantidade de Bitcoin como se fosse a segurança da posição. O investidor vê mil Bitcoin no balanço e conclui que há mil Bitcoin protegidos. Mas a segurança não está na quantidade, está na estrutura de controle. Dois balanços idênticos, com o mesmo estoque, podem carregar riscos operacionais opostos, um distribuído em quórum e outro concentrado numa cadeira ou num terceiro.

O segundo erro é confundir prova de reservas com prova de solidez. Ver o endereço na cadeia tranquiliza, mas não diz nada sobre dívidas, sobre quem assina nem sobre o que acontece num cenário de estresse. A custódia corporativa robusta é a combinação de quórum bem distribuído, governança de assinaturas documentada, prova de reservas e auditoria. Falta uma dessas peças e a robustez é aparente.

O que o investidor brasileiro deveria perguntar

Para quem no Brasil avalia expor parte do patrimônio a uma empresa que carrega Bitcoin, a estrutura de custódia é due diligence, não detalhe técnico. Vale perguntar, antes de qualquer métrica de valuation, como o Bitcoin está guardado e quem pode movê-lo. As respostas separam uma exposição a Bitcoin de uma exposição à confiança na gestão.

• O Bitcoin está em autocustódia com multisig ou sob um custodiante terceirizado, e qual o nome dele.
• Qual é o quórum de assinaturas e como as chaves estão segregadas entre pessoas e localidades.
• Existe prova de reservas verificável na cadeia, e ela é acompanhada de auditoria independente.
• Que governança rege as assinaturas, e o que acontece quando um detentor de chave deixa a empresa.

Nenhuma dessas perguntas garante retorno, e nada aqui é recomendação de investimento. Elas apenas revelam o risco operacional que costuma ficar fora da conversa sobre tesourarias. É o tipo de análise de custódia e de estrutura que a Fugazzi Research faz nos seus estudos, unindo a prática de autocustódia própria à leitura crítica das empresas que carregam Bitcoin no balanço.

Perguntas frequentes sobre custódia de Bitcoin para empresa

Como uma empresa guarda Bitcoin no balanço na prática?

De três formas principais. Sob um custodiante terceirizado que detém as chaves em nome da empresa, em autocustódia com chave única sob um responsável, ou em multisig institucional, no qual várias assinaturas de detentores diferentes são necessárias para mover qualquer valor. O número no balanço é o mesmo nos três casos, mas o risco operacional é muito diferente.

Quem pode mover o Bitcoin de uma treasury company?

Depende inteiramente da estrutura de custódia, não do balanço. Se o arranjo é de chave única, uma pessoa move sozinha. Se é multisig de três de cinco, são necessárias três assinaturas de detentores diferentes. Se está sob custodiante terceirizado, quem move na prática é o custodiante, mediante instrução da empresa. Descobrir qual desses casos vale é parte da análise antes de investir. Isto não é recomendação de investimento.

Prova de reservas garante que o Bitcoin da empresa está seguro?

Não sozinha. A prova de reservas mostra que os ativos existem na cadeia, mas não mostra os passivos, não diz quem detém as chaves e é um retrato de um instante que pode ser encenado para uma data. Ela é necessária e precisa vir acompanhada de auditoria independente e da análise da estrutura de capital. Isto não é recomendação de investimento.