Uma falha operacional em uma prestadora de serviços cripto raramente começa no momento em que o sistema sai do ar. Em geral, ela nasce antes, quando acessos não são revisados, fornecedores críticos não são avaliados ou procedimentos de emergência existem apenas na memória da equipe. Paulo de Matos Junior, empresário do segmento financeiro com atuação em câmbio e intermediação de criptoativos, avalia que a segurança operacional precisa ser tratada como parte do serviço, não como uma promessa tecnológica.
O erro mais recorrente é imaginar que uma plataforma segura é apenas aquela que investe em criptografia e autenticação. Esses recursos são necessários, mas não respondem sozinhos a perguntas decisivas: quem pode autorizar uma movimentação, como a empresa detecta uma anomalia, em quanto tempo recupera uma função essencial e como informa os clientes? A regulamentação do Banco Central inclui segurança, controles internos e responsabilidades institucionais no perímetro das prestadoras de serviços de ativos virtuais.
Concentrar tudo na equipe de tecnologia
Quando a segurança fica restrita ao departamento técnico, a administração perde a visão do risco de negócio. A equipe pode saber que um servidor está disponível, mas a diretoria precisa saber se a indisponibilidade impede saques, afeta a custódia ou compromete obrigações com clientes. Essa tradução operacional é o que permite definir prioridades e tomar decisões antes que um incidente se agrave.
A correção passa por uma responsabilidade compartilhada. Tecnologia deve proteger infraestrutura e aplicações; operações precisam definir rotinas de contingência; compliance deve avaliar impactos regulatórios; e a administração precisa acompanhar indicadores e incidentes. Paulo de Matos Junior observa que essa divisão reduz a dependência de indivíduos específicos, uma vulnerabilidade comum em empresas que cresceram mais rapidamente que seus processos.
Tratar acesso como assunto meramente técnico
Outro erro é criar permissões uma vez e presumir que elas continuarão adequadas. Em empresas que movimentam ativos virtuais, mudanças de cargo, desligamentos, terceirizações e novos produtos alteram continuamente o mapa de acesso. Uma credencial que era justificável ontem pode se tornar excessiva amanhã, sobretudo quando permite iniciar, aprovar e liquidar a mesma operação.
O controle precisa combinar menor privilégio, autenticação reforçada, segregação de funções e revisão periódica. Além disso, registros de acesso devem permitir identificar o que foi feito, por quem e em qual contexto. Essa trilha não serve apenas para investigar um incidente depois da ocorrência. Ela também ajuda a perceber comportamentos anômalos enquanto ainda existe tempo para interromper a operação.
Como uma rotina de recuperação pode ajudar a mitigar falhas em momentos de pressão?
Nenhuma estrutura séria parte da expectativa de que falhas nunca acontecerão. O problema está em investir somente em barreiras preventivas e não testar como a empresa funcionará durante uma indisponibilidade, uma perda de fornecedor ou uma suspeita de comprometimento de chaves. Sem ensaio, o plano de continuidade costuma revelar suas lacunas justamente quando a pressão é maior.
Uma rotina de recuperação deve definir serviços críticos, responsáveis, canais alternativos e critérios para retorno seguro. Também precisa estabelecer quando suspender movimentações, como preservar evidências e de que maneira atualizar clientes e autoridades. A classificação prudencial das SPSAVs como Tipo 3 aproxima o segmento de instituições submetidas a regras de gerenciamento de riscos, capital e divulgação de informações, com aplicação gradual do novo enquadramento.
Confiar em fornecedores sem supervisioná-los
A terceirização não transfere integralmente a responsabilidade da prestadora. Serviços de nuvem, custódia tecnológica, análise de blockchain, atendimento e prevenção a fraudes podem sustentar partes essenciais da operação. Se a empresa não conhece os níveis de serviço, os controles de acesso, os planos de contingência e os procedimentos de comunicação do fornecedor, ela não sabe exatamente qual risco está aceitando.
A supervisão deve ser proporcional à criticidade. Contratos precisam prever responsabilidades, disponibilidade, auditoria, comunicação de incidentes e encerramento da relação. Avaliações periódicas completam esse processo, porque a segurança de um parceiro não é uma característica permanente. Ela muda quando a arquitetura, a equipe ou o volume processado muda.
Transformar segurança em rotina de gestão
Segurança operacional madura não depende de um documento isolado nem de uma certificação apresentada ao mercado. Ela aparece em decisões repetidas: revisar permissões, testar cópias, simular incidentes, corrigir vulnerabilidades, avaliar terceiros e discutir indicadores em instâncias de governança. Cada rotina reduz a distância entre o risco conhecido e a capacidade de resposta.
Esse é o ponto que associa o mercado formal de criptoativos a uma cultura de consistência. Paulo de Matos Junior conclui que a revolução regulatória representa uma oportunidade para que as empresas sejam avaliadas também pela qualidade de seus processos. Quanto mais previsível for a resposta a uma falha, maior será a confiança para clientes, parceiros e investidores.
