A JCBA propõe 347 práticas para reforçar a custódia de criptomoedas

A Associação de Negócios de Criptoativos do Japão (JCBA) apresentou, em 20 de outubro, um rascunho com 347 práticas de segurança para custodiantes de criptoativos, um passo que visa padronizar os controles em um setor com riscos específicos não cobertos por auditorias tradicionais. A iniciativa, embora não vinculativa, reflete a crescente pressão regulatória global sobre a custódia de ativos digitais, um serviço fundamental para investidores institucionais e de varejo. Contexto O Japão, um dos primeiros países a regular os criptoativos — com a aprovação da Lei de Serviços de Pagamento em 2017 —, tem mantido uma abordagem proativa na supervisão do setor. A JCBA, entidade que agrupa mais de 100 empresas do ecossistema local, incluindo exchanges e provedores de custódia, tem sido um ator fundamental na elaboração de padrões voluntários antes que estes sejam adotados por reguladores como a Agência de Serviços Financeiros (FSA). O anúncio ocorre em um contexto de maior escrutínio sobre a segurança dos custodiantes após incidentes como o colapso da FTX em 2022 ou a invasão da Poly Network em 2021, que expuseram vulnerabilidades na gestão de chaves privadas. Em nível global, jurisdições como a UE — com o regulamento MiCA — e os EUA — com propostas da SEC — avançaram em marcos que exigem maiores controles dos provedores de custódia. No Japão, porém, a regulamentação atual não detalha requisitos técnicos específicos para esses serviços, o que levou a JCBA a propor um quadro de referência. O mercado de criptoativos, segundo dados da CryptoScore Pro em 21 de outubro, mostrava uma leve recuperação, com o Bitcoin (BTC) cotado a $83.498 (+2,48% em 24 horas) e o Ethereum (ETH) a $2.468 (+3,54%). O índice Crypto Fear & Greed, que mede o sentimento do mercado, situava-se em 63/100 ("ganância"), refletindo um otimismo moderado, mas sem euforia. Os fatos O rascunho publicado pela JCBA em 20 de outubro inclui 347 práticas de segurança distribuídas em dez áreas, conforme informado pelo CoinPost e confirmado pelo DiarioBitcoin . Estas áreas abrangem: Governança corporativa. Gestão de pessoal. Segurança física das instalações. Continuidade do negócio (BCP). Gestão de subcustódia. Gestão de chaves privadas (separada das operações de assinatura). Operações de assinatura (distintas da gestão de chaves). Cinco áreas adicionais não detalhadas nas informações disponíveis. A proposta classifica os serviços de custódia em cinco modelos: holding , intermediário , suministro , referência e outros . No entanto, o documento não especifica quais obrigações correspondem a cada categoria nem como seria determinada a classificação de um provedor, de acordo com as informações publicadas. Junto ao rascunho, a JCBA incluiu duas ferramentas práticas: um formulário de autoavaliação em formato Excel e um registro para documentar as verificações. Estas ferramentas visam que os custodiantes revisem seus controles internos, embora a associação tenha esclarecido que o material é um rascunho e não uma norma obrigatória nem um mecanismo de certificação. Não foi estabelecido um cronograma para sua implementação, nem foi indicado se os 347 pontos serão exigíveis no futuro. Um dos aspectos mais destacados do documento é a sua crítica aos relatórios de asseguração de terceiros, como o SOC2 . A JCBA argumenta que estes relatórios, embora úteis para avaliar controles gerais de segurança empresarial, não abordam riscos específicos dos criptoativos, como a gestão do ciclo de vida das chaves privadas. A associação não descarta completamente a utilidade do SOC2, mas insiste que eles não são suficientes por si sós para garantir a segurança na custódia de ativos digitais. As informações disponíveis não esclarecem se a JCBA planeja realizar avaliações externas dos custodiantes nem como seria verificada a conformidade com as práticas propostas. Também não foi detalhado se o formulário de autoavaliação servirá como base para futuras auditorias ou se a associação publicará versões atualizadas do rascunho. Entender as noções-chave Custodiante de criptoativos Um custodiante é uma entidade que armazena e protege ativos digitais em nome de terceiros, como investidores ou empresas. Diferente de uma exchange, que facilita a compra e venda, o custodiante foca na segurança dos fundos, evitando sua perda ou roubo. Por exemplo, um fundo de investimento que compra Bitcoin pode contratar um custodiante para gerir as chaves privadas de seus ativos, reduzindo o risco de hacks ou erros humanos. Chaves privadas e operações de assinatura As chaves privadas são códigos criptográficos que permitem autorizar transações em uma blockchain. Quem as controla, controla os ativos. As operações de assinatura, por outro lado, são o processo técnico através do qual se valida uma transação usando essas chaves. Separar ambas as funções — como propõe a JCBA — busca evitar que uma única pessoa ou sistema tenha acesso total aos fundos, reduzindo riscos de fraude ou erros. SOC2 O relatório SOC2 (Service Organization Control 2) é um padrão de auditoria que avalia os controles de segurança, disponibilidade, integridade e confidencialidade de uma empresa. É emitido por firmas externas e é comum em setores como a banca ou a tecnologia. No entanto, a JCBA sinaliza que o SOC2 não cobre riscos específicos de criptoativos, como a gestão de chaves privadas, que requerem protocolos mais especializados. Modelos de custódia Os cinco modelos propostos pela JCBA (holding, intermediário, fornecimento, referência e outros) refletem a diversidade de serviços no setor. Por exemplo, um custodiante de holding poderia armazenar ativos sem interagir com eles, enquanto um intermediário poderia facilitar transações. A falta de definição clara no rascunho deixa dúvidas sobre as responsabilidades de cada modelo, um aspecto que poderia ser esclarecido em versões futuras. Análise: o que está em jogo A proposta da JCBA introduz um quadro de segurança sem precedentes na custódia de criptoativos, com implicações…