Custódia custodial vs não custodial: qual modelo escolher

Toda equipe que constrói um produto de cripto e fiat chega cedo à mesma bifurcação, e não é uma decisão de interface. É quem guarda as chaves. Essa única escolha define sua postura de segurança, sua responsabilidade, sua conversa sobre licenciamento e como um banco parceiro ou um auditor vai enxergar você.

A palavra “custódia” confunde porque soa como uma questão de armazenamento. Na verdade é uma questão de controle. Quem controla as chaves privadas controla o dinheiro, não importa qual marca apareça no app. Este guia separa os dois modelos, percorre as razões pelas quais uma carteira não custodial se encaixa na infraestrutura B2B e lista o que avaliar antes de decidir. Para o panorama completo, veja o artigo base sobre como criar uma fintech de pagamentos cripto e fiat.

Custodial vs não custodial em uma linha

Custódia é o controle das chaves privadas. Em um modelo custodial, um terceiro tem essas chaves e pode movimentar fundos pelo usuário. Em um modelo não custodial, o usuário tem suas próprias chaves e cada movimentação precisa da sua aprovação. Todo o resto, tipo de carteira, stack de segurança, seguros, deriva dessa única distinção.

Segue a comparação de relance.

Dimensão	Custodial	Não custodial
Quem tem as chaves	O provedor ou a plataforma	O usuário final
Quem aprova uma transferência	O provedor, em nome do usuário	O usuário assina cada movimentação
Risco de contraparte	Concentrado no provedor	Eliminado no nível do provedor
Carga de guarda	No balanço do provedor	Reduzida no nível do provedor
Exposição típica a licenciamento	Maior (retém fundos do cliente)	Geralmente menor (agente de parceiros licenciados)
Recuperação se as chaves se perdem	O provedor costuma poder ajudar	Depende do backup do usuário
Melhor para	Simplicidade, tesouraria gerenciada	Controle, menor superfície regulatória

Nenhuma coluna está certa por si só. A resposta correta depende do que você constrói, quem são seus usuários e quais mercados você atende. O que vem a seguir explica por que o modelo não custodial virou o padrão na infraestrutura de pagamentos B2B, e onde o custodial ainda ganha seu espaço.

6 razões pelas quais um modelo não custodial se encaixa na infraestrutura fintech B2B

1. Elimina o risco de contraparte no nível da plataforma

Quando os usuários guardam suas próprias chaves, você não é um cofre concentrado de fundos de clientes. O maior modo de falha desse setor, uma plataforma hackeada ou insolvente que não consegue devolver saldos, não se aplica da mesma forma quando você nunca chega a guardar o dinheiro. O usuário carrega o próprio ativo diretamente, em vez de um direito contra você.

2. Reduz sua superfície regulatória

Reter fundos de clientes te coloca em cheio nas regras de salvaguarda e transmissão de dinheiro. Um design não custodial significa que você nunca assume a custódia, o que para muitos produtos é a diferença entre precisar de uma licença pesada por conta própria e operar como agente de parceiros licenciados. Isso não apaga o compliance, mas muda a conversa. Mapeie esse perímetro com um advogado desde cedo, e veja nosso guia sobre licenças para movimentar cripto e fiat.

3. Reduz o que você precisa proteger

Quanto menos dinheiro de clientes toca o seu balanço, menor sua superfície de ataque e seu escopo de auditoria. Você continua rodando segurança séria, mas está protegendo infraestrutura e acessos, não um cofre central com os ativos de todo mundo. Essa é uma postura muito mais fácil de defender diante de um banco parceiro.

4. Mantém as obrigações de compliance intactas onde pertencem

Não custodial não é um atalho de compliance. KYC e KYB no cadastro, triagem de sanções e PEP, monitoramento de transações e dados de travel rule continuam se aplicando. O ponto é que uma arquitetura não custodial deixa esses controles rodarem no fluxo sem também fazer de você o guardião dos fundos do cliente. Para ver como esses controles funcionam de ponta a ponta, leia como funcionam KYC e AML em pagamentos cripto e fiat.

5. Ainda suporta produtos reais, incluindo cartões

Um mito comum é que não custodial significa limitado. Não é. Um cartão pode gastar direto de um saldo não custodial, com a carteira conectada à rede de cartões para que as compras liquidem contra o saldo em tempo real, mais limites, controles de bloqueio e 3-D Secure. Veja emissão de cartões que gasta do saldo cripto ou fiat.

6. Dá aos usuários o controle que cada vez mais esperam

Depois de várias quedas famosas de plataformas, “sem suas chaves, não são suas moedas” já é uma expectativa de mercado, não um slogan de nicho. Oferecer controle real é um sinal de confiança, e para muitos clientes B2B é um requisito de compra, não um diferencial opcional.

4 pontos a considerar antes de decidir por não custodial

Não custodial não está livre de trade-offs. Avalie-os com honestidade.

1. A recuperação de chaves é mais difícil

Se um usuário perde suas chaves e seu material de recuperação, os fundos podem ficar irrecuperáveis. Provedores custodiais costumam conseguir restabelecer o acesso; a autocustódia pura, não. Esquemas modernos como computação multipartidária e recuperação social ou por políticas suavizam isso, mas o design de recuperação agora é sua responsabilidade, não um detalhe para depois.

2. A experiência do usuário exige cuidado

Pedir que os usuários aprovem cada movimentação e guardem uma frase de recuperação adiciona fricção. Bons produtos não custodiais escondem a criptografia atrás de fluxos limpos e padrões sensatos, mas você precisa desenhar para o momento em que um usuário não técnico enfrenta uma solicitação de assinatura ou uma etapa de backup.

3. Alguns casos de uso realmente precisam de custódia

Tesouraria gerenciada, certos produtos regulados e fluxos em que uma empresa precisa movimentar fundos de clientes em seu nome podem exigir um arranjo custodial ou um custodiante regulado. A resposta honesta é que muitas plataformas terminam em um híbrido, não custodial para os saldos dos usuários e um custodiante regulado para fundos institucionais ou agrupados específicos.

4. Segregação e tesouraria continuam importando no B2B

Mesmo sendo não custodial, uma plataforma B2B que lida com qualquer fundo operacional ou próximo do cliente precisa de segregação limpa, movimentação auditável e uma política de tesouraria clara. A não custódia reduz a superfície; não elimina seu dever de operar os fundos com transparência e provar isso quando solicitado. Isso combina naturalmente com contas multimoeda e um ledger unificado.

Tipos de carteira de relance: quente, fria e de hardware

Uma carteira é apenas onde as chaves vivem e como elas assinam. A escolha é um equilíbrio entre a frequência de movimentação dos fundos e o quanto está em jogo.

Tipo de carteira	Conectividade	Uso típico	Trade-off
Carteira quente	Online	Saldos ativos, movimentação frequente	Cômoda, maior superfície de ataque
Carteira fria	Offline	Posições de longo prazo, reservas	Muito segura, mais lenta de usar
Carteira de hardware	Dispositivo offline	Posições pessoais e de tesouraria	Forte isolamento das chaves, exige cuidado físico

A maioria das montagens sérias combina as três: um pequeno saldo quente para o dia a dia e o grosso em frio ou hardware. A mesma lógica vale para a tesouraria de uma empresa, em que o caixa operacional fica quente e as reservas ficam frias.

Segurança por dentro: MPC, multiassinatura e HSM

A segurança da custódia trata, acima de tudo, de como a autoridade de assinatura é protegida e dividida. Três técnicas dominam, e elas podem ser combinadas.

• Multiassinatura (multisig): uma transação precisa de várias chaves independentes para ser aprovada, então nenhuma chave ou pessoa sozinha movimenta fundos.
• Computação multipartidária (MPC): a chave de assinatura nunca é montada em um único lugar; partes independentes calculam juntas uma assinatura, eliminando o ponto único de falha.
• Módulos de segurança de hardware (HSM): hardware resistente a violação que guarda as chaves e executa a assinatura, para que as chaves em bruto nunca saiam do limite seguro.

Para um provedor de infraestrutura, a meta é que nenhum dispositivo, servidor ou funcionário consiga movimentar fundos sozinho, e que cada aprovação siga uma política e fique registrada. Essas técnicas servem tanto a designs custodiais quanto não custodiais; a diferença é quem fica dentro da política de aprovação.

Custódia, regulação e compliance (com uma nota sobre o Brasil)

Decisões de custódia são inseparáveis da regulação, e as regras variam conforme o mercado. Como princípio geral, cada vez mais jurisdições distinguem entre plataformas que retêm cripto de clientes (o que atrai deveres de guarda, capital e reporte) e software não custodial que nunca controla os fundos do usuário.

No Brasil, a atividade com ativos virtuais está enquadrada no Marco Legal dos Criptoativos (Lei nº 14.478/2022), com o Banco Central do Brasil (BCB) como principal autoridade sobre as prestadoras de serviços de ativos virtuais, e a CVM regulando os ativos que se enquadram como valores mobiliários. Reter ou operar ativos virtuais por conta de clientes carrega obrigações específicas. Trate isso apenas como uma orientação geral, porque os limiares, as autorizações e o perímetro exato mudam com o tempo e conforme a atividade. Confirme a posição vigente para o seu modelo com um advogado regulatório local antes de se apoiar nela.

Dois pontos se sustentam em todos os mercados. Primeiro, custodiantes regulados ou “qualificados” existem justamente para instituições que precisam delegar a custódia sob supervisão, muitas vezes com seguro sobre os ativos sob custódia, ainda que os termos e limites de cobertura variem e nunca devam ser presumidos. Segundo, seja qual for o modelo escolhido, as obrigações de KYC, AML e monitoramento seguem a atividade, não o rótulo de custódia.

Boas práticas para chaves e recuperação

Qualquer que seja o modelo escolhido, algumas práticas são inegociáveis.

• Proteja a frase de recuperação como o próprio ativo. É a chave mestra. Guarde-a offline, nunca em texto simples e nunca em uma captura de tela ou nota na nuvem.
• Separe quente e frio. Mantenha online só os saldos de trabalho; guarde as reservas em frio ou em hardware.
• Desenhe a recuperação antes de lançar. Defina como um usuário (ou sua tesouraria) recupera o acesso após perder um dispositivo, usando multiassinatura, MPC ou recuperação por políticas, e teste isso.
• Aplique políticas de aprovação. Exija vários aprovadores para movimentações grandes ou incomuns, e registre cada assinatura para auditoria.
• Comprove a segregação quando solicitado. Mantenha os fundos de clientes e os operacionais claramente separados e conciliáveis a qualquer momento.

Onde a Tokelia se encaixa

A Tokelia é não custodial por design: os usuários finais mantêm o controle dos próprios fundos e cada movimentação precisa da sua aprovação, então você lança um produto de pagamentos real, contas virtuais, trilhos unificados de cripto e fiat, emissão de cartões e pagamentos transfronteiriços, sem ter o dinheiro do cliente no seu balanço. O compliance vem incorporado no stack base em vez de ser vendido como add-on. Os serviços de dinheiro são prestados pela Tokelia LLC, uma empresa registrada como Money Services Business junto à FinCEN, com a operação bancária regulada entregue por instituições licenciadas.

Se você está avaliando custodial contra não custodial para o seu próprio produto, a forma mais rápida de testar isso na prática é percorrer um fluxo real com nossa equipe. Fale conosco e mapeamos para o seu caso de uso e seus mercados.