Custódia fria de RWA: quem detém o ativo tokenizado?

O que significa realmente "custódia" para um ativo do mundo real tokenizado?

Se comprar um fundo do mercado monetário tokenizado numa blockchain, não está a comprar uma moeda que vive on-chain da mesma forma que Bitcoin. Está a comprar um direito digital contra uma entidade jurídica, e essa entidade, por sua vez, detém dinheiro, bilhetes do Tesouro ou outros instrumentos num depositário regulado. O token é um recibo. Os dólares estão algures totalmente fora da cadeia.

Esta distinção é importante porque a maioria dos compradores de retalho imagina uma carteira cheia de "obrigações do Tesouro tokenizadas" da mesma forma que imagina uma carteira cheia de ETH. Essa imagem está errada. O saldo de tokens na sua carteira reflete o que os registos do emitente dizem que possui, e esses registos apontam, em última instância, para o balanço de um custodiante.

A expressão "armazenamento a frio de RWA" é, por isso, um pouco enganadora. Os ativos do mundo real não são armazenados numa carteira cripto fria em nenhum sentido relevante. Ficam numa conta de custódia num banco ou custodiante qualificado, tal como as unidades de um fundo tradicional do mercado monetário. O que é "frio" ou "on-chain" é o registo que indica quem detém cada fração.

O que pode realmente correr mal: os riscos reais da custódia de RWA

Os riscos nos ativos do mundo real tokenizados não são os riscos que as pessoas esperam. Não são "alguém hackeia a blockchain". São riscos jurídicos, operacionais e de contraparte que se parecem quase exatamente com os riscos da gestão tradicional de fundos.

Primeiro, existe o risco de incumprimento do emitente. Se o emitente de OUSG, BUIDL ou produtos semelhantes tiver problemas, o seu direito vale apenas tanto quanto a estrutura jurídica que envolve o fundo. Historicamente, os detentores tiveram meios de recurso limitados em eventos de tensão, e a recuperação depende da estrutura isolada de insolvência da SPV subjacente, um veículo de finalidade especial separado das outras responsabilidades do emitente.

Segundo, existe o risco de falha do custodiante. Mesmo quando um emitente usa um custodiante qualificado reputado, esse custodiante é uma entidade regulada que pode falhar, ser sancionada ou congelar levantamentos. Exemplos incluem as tensões no setor bancário cripto em 2023, que restringiram brevemente a emissão e o resgate de vários produtos tokenizados, mostrando que a tokenização não isenta um fundo da infraestrutura do sistema bancário.

Terceiro, existe o risco de smart contract e de registo. Embora o dinheiro e os títulos fiquem fora da cadeia, o registo on-chain pode ter bugs, chaves de atualização ou poderes de administração que permitem ao emitente emitir, queimar ou congelar saldos. Um fundo de obrigações do Tesouro tokenizado é tão descentralizado quanto a sua governação permitir.

Quarto, existe o risco de resgate. Mesmo quando tudo funciona, converter uma obrigação do Tesouro tokenizada de volta em USD depende de o emitente ou os seus agentes estarem dispostos e aptos a efetuar o resgate. Fora do horário de expediente, fins de semana e feriados bancários podem atrasar a liquidação, o que é uma diferença real face a deter USD efetivos numa conta bancária.

Três modelos de custódia e o que cada um realmente protege

Quando as pessoas comparam opções de custódia de RWA, normalmente estão a comparar três coisas muito diferentes. Protegem camadas diferentes, e confundi-las é um dos erros mais comuns cometidos por investidores de retalho.

Autocustódia multisig

Uma carteira multisig é um smart contract que exige várias assinaturas de chaves privadas para movimentar fundos. Em contextos de RWA, isto significa normalmente que a tesouraria operacional do emitente, como as reservas que suportam uma stablecoin ou o fundo de maneio de um fundo tokenizado, é mantida numa carteira controlada por vários signatários.

O que protege: protege contra o comprometimento de uma única chave e contra roubo interno ao nível do emitente. É uma salvaguarda útil para reservas on-chain e fundo de maneio operacional.

O que não protege: não faz a custódia do ativo real subjacente. Uma multisig que controla ETH ou stablecoins não é o mesmo que uma obrigação do Tesouro mantida numa conta de custódia elegível pela Federal Reserve. A classe de ativo importa: uma multisig é adequada para reservas nativas de cripto e é irrelevante para as posições off-chain em obrigações do Tesouro de um fundo tokenizado.

Custodiante qualificado e custodiante de ativos digitais

Um custodiante qualificado é uma entidade regulada, normalmente um banco, uma sociedade fiduciária ou um corretor-negociante, que detém ativos de clientes em contas segregadas e está sujeita a supervisão regulamentar específica. Um custodiante de ativos digitais segue a mesma ideia, mas especializa-se em guardar chaves privadas e saldos cripto, em vez de títulos tradicionais.

O que protege: proporciona segregação regulada de ativos, controlos auditados e enquadramentos legais, como a Custody Rule da Securities and Exchange Commission para ativos tradicionais ou regimes estaduais de sociedades fiduciárias para ativos digitais. Para obrigações do Tesouro tokenizadas, é aqui que ficam o dinheiro e os títulos reais.

O que não protege: não protege o token on-chain se os smart contracts ou as chaves de administração do emitente forem usados indevidamente. Também não protege os investidores de outras responsabilidades do emitente, razão pela qual os emitentes acrescentam uma SPV por cima.

SPV remota à falência com agente de transferência e adesão à DTC

Muitos produtos de obrigações do Tesouro tokenizadas envolvem as suas posições numa SPV remota à falência, que é uma entidade de finalidade especial cuja estrutura é concebida para que, se o emitente-mãe entrar em falência, os credores da empresa-mãe não consigam alcançar os ativos da SPV. A SPV usa frequentemente um agente de transferência, uma entidade que mantém o registo oficial de propriedade de um título, e pode ter adesão à DTC, o que significa que pode liquidar através da Depository Trust Company, o depositário central de títulos nos EUA.

O que protege: protege os ativos subjacentes dos outros credores do emitente e proporciona uma separação jurídica clara. Se o emitente for hackeado, processado ou entrar em falência, as posições da SPV estão, em princípio, fora de alcance.

O que não protege: não altera quem detém o dinheiro. A SPV continua a precisar de um custodiante ou de uma conta bancária. A remoticidade à falência é neutra em termos de custódia: é uma estrutura jurídica acrescentada por cima de qualquer acordo de custódia que seja usado.

Como os produtos identificados realmente encaixam tudo isto

Olhar para exemplos concretos torna a infraestrutura mais clara e mostra que o modelo está a convergir em torno dos mesmos blocos de construção.

Ondo Finance e OUSG

O token OUSG da Ondo está estruturado como um direito sobre um fundo que detém obrigações do Tesouro dos EUA de curta duração. Os títulos subjacentes ficam num custodiante qualificado, e a Ondo usa uma estrutura de SPV para isolar os ativos. O token OUSG em si é um direito de recebimento, não um título mantido na sua carteira, e o resgate depende da capacidade do emitente de o processar através dos canais off-chain.

Securitize e BUIDL

A Securitize emite produtos tokenizados, incluindo BUIDL, o fundo de obrigações do Tesouro tokenizado da BlackRock. O fundo é estruturado através de veículos financeiros tradicionais com um custodiante qualificado e um agente de transferência. O token é uma representação digital da propriedade do fundo registada numa blockchain, e os títulos reais são mantidos off-chain da mesma forma que num fundo institucional normal do mercado monetário.

Outros produtos institucionais (CC, JTRSY, JAAA)

Produtos de emitentes como o CC da Circle e o JTRSY e JAAA da JPMorgan seguem o mesmo padrão geral. O token é uma entrada de registo, o subjacente fica com custodiantes qualificados e agentes de transferência, e a camada on-chain existe para tornar a transferência e o reporte mais rápidos, não para substituir a custódia.

Mountain Protocol e modelos emergentes com custodiantes on-chain

A Mountain Protocol e alguns emitentes mais recentes estão a experimentar modelos em que o componente on-chain está mais próximo do próprio ativo, por vezes mantendo reservas numa combinação de contas bancárias e instrumentos on-chain, e por vezes estabelecendo parcerias com custodiantes de ativos digitais especializados em títulos tokenizados. Estes modelos ainda estão em desenvolvimento e comportam mais risco idiossincrático do que as estruturas institucionais estabelecidas.

Porque é que a carteira on-chain é normalmente apenas um ponteiro de registo

Um modelo mental útil é pensar no token on-chain como um código de barras numa caixa, não como a própria caixa. O código de barras diz-lhe quem é o dono da caixa, onde ela se encontra e como a consultar. A caixa, no caso de uma obrigação do Tesouro tokenizada, fica numa conta de custódia numa grande instituição financeira.

Isto é importante por uma razão prática: perder a sua seed phrase pode continuar a deixá-lo sem acesso ao ativo tokenizado, mesmo que o subjacente esteja com um custodiante. O custodiante não sabe quem você é. O emitente ou o agente de transferência só sabe o que o registo on-chain lhe diz. Se perder as chaves, perde a capacidade de provar a propriedade e de resgatar.

Também é importante para compreender o resgate. Quando resgata OUSG ou BUIDL por USD, não está a "enviar o conteúdo da carteira" para um banco. Está a apresentar o seu direito tokenizado ao emitente ou ao agente de transferência e a pedir que liquidem através dos canais off-chain. A transação na blockchain é essencialmente uma notificação, não uma transferência de valor.

Como ler criticamente alegações sobre custódia de RWA

A linguagem de marketing em torno da custódia de RWA é frequentemente vaga de propósito. Quando um produto afirma ser "totalmente garantido", "de nível institucional" ou "em autocustódia", vale a pena fazer três perguntas.

Primeiro, quem é o custodiante qualificado ou o banco, e em que enquadramento regulamentar opera? Procure nomes específicos e licenças específicas. Linguagem vaga sobre "parceiros regulados" é um sinal de alerta.

Segundo, o emitente está envolvido numa SPV remota à falência, e o que diz o parecer jurídico? Uma verdadeira estrutura remota à falência terá um parecer jurídico de uma sociedade de advogados credível. Um diagrama num site não é suficiente.

Terceiro, quais são as chaves de administração on-chain e os poderes de atualização, e quem os controla? Se uma única multisig puder criar ou congelar saldos à vontade, a narrativa de descentralização é mais fraca do que o marketing sugere.

Nada disto significa que os RWA tokenizados sejam maus. São uma inovação útil, e a infraestrutura está a melhorar. Significa apenas tratá-los com o mesmo ceticismo que aplicaria ao prospeto de um fundo tradicional do mercado monetário, porque ao nível da detenção de ativos, é isso que eles são.

Acompanhe a história da custódia de forma inteligente

Os debates sobre custódia de RWA evoluem rapidamente, e os custodiantes, agentes de transferência e estruturas de SPV nomeados mudam à medida que o mercado amadurece. Acompanhar que emitente usa que custodiante, e como os poderes administrativos on-chain evoluem, é difícil de fazer manualmente. O Zippfeed destaca notícias sobre ativos tokenizados com classificação de sentimento (bullish, neutral ou bearish) e uma avaliação de importância, para que possa perceber que mudanças de custódia realmente importam e quais são apenas ruído.