Sua própria exchange de cripto: como guardar os fundos dos clientes em carteiras quentes e frias, verificar os saques e cumprir as regras da UE

Decida como os fundos dos clientes serão guardados antes de desenhar a tela de negociação. Mantenha a maior parte das criptomoedas dos seus clientes em carteiras frias, cujas chaves ficam longe de qualquer computador conectado à internet, e exija que várias pessoas aprovem cada transferência que sair delas. Uma pequena carteira quente paga os saques do dia a dia e é reabastecida a partir do armazenamento frio com transferências planejadas que têm um limite máximo. Todo saque passa por verificações antes que alguém o assine. Na UE, a exchange também precisa de autorização pelo MiCA e tem de repassar os dados do remetente e do destinatário junto com as transferências.

Do que uma exchange de cripto precisa além do matching engine?

O matching engine casa as ordens de compra e de venda. Ao redor dele, uma exchange mantém vários outros sistemas:

• Um registro interno que guarda quanto de cada moeda pertence a cada cliente e que muda a cada negócio, depósito e saque
• O tratamento dos depósitos: um endereço para cada cliente e um software que acompanha cada blockchain e credita um depósito quando ele tem confirmações suficientes
• As carteiras que guardam as próprias moedas: quentes, mornas e frias, explicadas abaixo
• O tratamento dos saques: as verificações, a assinatura e o envio de cada transferência para a rede
• As verificações de identidade e de prevenção à lavagem de dinheiro, sobre os clientes e sobre os endereços para os quais enviam e dos quais recebem

Um negócio entre dois clientes muda apenas o registro interno. As moedas só se movem em uma blockchain quando um cliente deposita ou saca. Por isso, as moedas nos endereços da exchange precisam cobrir o que, segundo o registro, pertence aos clientes. Pergunte a quem for construir como essa comparação roda todos os dias e o que acontece quando os números não batem.

Quanto deixar em carteiras quentes e quanto em frias?

Uma carteira quente guarda as chaves em um servidor conectado à internet, por isso consegue assinar saques sem uma pessoa. Essa rapidez também é o seu risco: quem tomar o servidor também consegue assinar. Uma carteira fria guarda as chaves offline, e uma transferência costuma precisar da aprovação de várias pessoas. Uma carteira morna fica entre as duas: em uma configuração comum ela fica online, mas uma pessoa aprova cada transferência.

Deixe na carteira quente só o que um dia normal de saques exige e reabasteça-a a partir do armazenamento frio com transferências planejadas que tenham um limite máximo fixo. Nenhuma proporção serve para todas as exchanges. Ela depende de quanto os clientes sacam e de quão rápido esperam receber as moedas, então peça a quem for construir que calcule isso a partir dos volumes que você espera.

O MiCA é o regulamento da UE sobre criptoativos: o Regulamento (UE) 2023/1114, consultado em 27 de outubro de 2026, como as demais fontes deste artigo. Ele descreve o objetivo e deixa o método por conta da empresa. O seu artigo 75 pede que a empresa que guarda criptoativos de clientes tenha uma política de custódia. Essa política precisa “minimizar o risco de perda dos criptoativos dos clientes, dos direitos relacionados com esses criptoativos ou dos meios de acesso aos criptoativos por fraude, ciberameaças ou negligência”. O mesmo artigo exige que, “no registo distribuído, os criptoativos dos seus clientes sejam detidos separadamente dos seus próprios criptoativos”. Assim, as moedas próprias da exchange e as dos clientes ficam em endereços diferentes.

O que o roubo da Bybit mostrou sobre carteiras frias?

Em 21 de fevereiro de 2025, a exchange de cripto Bybit fez o que chamou de “uma transferência de rotina de uma das nossas carteiras frias multisig de Ethereum para uma carteira morna”. Uma carteira multisig precisa de várias chaves para aprovar uma transferência. Os aprovadores assinaram o que parecia uma transferência normal, mas a transação mudou a lógica da própria carteira e deu o controle dela aos atacantes. A Bybit estimou a perda em US$ 1,46 bilhão. O FBI a estimou em cerca de US$ 1,5 bilhão e disse que a Coreia do Norte foi a responsável.

A linha do tempo do incidente publicada pela Bybit cita relatórios preliminares da Sygnia Labs e da Verichains. Eles apontaram para um “código JavaScript malicioso na plataforma da Safe{Wallet}”, o serviço externo que os signatários usavam, e não encontraram nenhuma vulnerabilidade na infraestrutura da própria Bybit. As aprovações não impediram o roubo, porque o que era mostrado aos signatários não era o que eles assinavam.

Para uma exchange nova, a lição diz respeito a como as aprovações funcionam, não só a quantas são:

• Cada aprovador confere os detalhes de uma transferência em um dispositivo que a interface web não controla, como a tela de um dispositivo de assinatura por hardware
• Uma transferência para fora do armazenamento frio tem um limite máximo, de modo que uma única transação aprovada não consegue esvaziar uma carteira inteira
• Alguém monitora as carteiras frias o tempo todo e pode pausar os saques

Como um saque deve ser verificado antes de ser assinado?

Um pedido de saque deve passar por verificações automáticas antes que qualquer chave o assine:

• O saldo do cliente no registro interno cobre o valor e a taxa da rede
• O valor cabe no limite diário do cliente e no limite por transferência
• O endereço está na lista de endereços salvos do cliente, ou um período de espera vale para um endereço novo
• O endereço é checado contra listas de endereços sancionados e de alto risco
• Os dados que as regras de transferência exigem são coletados e enviados junto com a transferência

Saques pequenos que passam por todas as verificações podem ser assinados automaticamente pela carteira quente. Os maiores vão para pessoas que os aprovam a partir da carteira morna ou da fria. Depois que a transferência é enviada, o sistema espera as confirmações na rede e só então marca o saque como concluído no registro interno.

O que a Travel Rule da UE exige de uma exchange?

O Regulamento (UE) 2023/1113, muitas vezes chamado de Travel Rule, vale “a partir de 30 de dezembro de 2024”. Ele exige que a exchange do cliente que envia cripto repasse os dados das duas partes. Sobre o remetente, eles incluem “o nome do ordenante” e o endereço dele na blockchain e o número da conta. Também incluem “o endereço do ordenante, incluindo o nome do país, o número do documento pessoal oficial e o número de identificação do cliente ou, em alternativa, a data e o local de nascimento do ordenante”. Sobre o destinatário, incluem o nome, o endereço na blockchain e o número da conta.

Os dados precisam ser enviados “antes da transferência de criptoativos, ou simultânea ou concomitantemente com ela”, mas não precisam estar incluídos na própria transação da blockchain. As exchanges trocam esses dados entre si por serviços de mensagens separados, então quem constrói a sua precisa conectá-la a eles.

Saques para uma carteira que o próprio cliente controla, que o regulamento chama de endereço autoalojado, têm mais uma regra. Ela vale para “uma transferência de um montante superior a 1 000 EUR para um endereço autoalojado”. Nesse caso, a exchange deve “tomar medidas adequadas para avaliar se esse endereço é detido ou controlado pelo ordenante”. Uma forma comum é pedir que o cliente prove que controla o endereço, por exemplo assinando com ele uma mensagem curta.

De qual licença uma exchange de cripto precisa na UE?

Pelo MiCA, operar uma plataforma de negociação de criptoativos é um serviço de criptoativos, e a empresa precisa de autorização como prestadora de serviços de criptoativos. Esse serviço fica na mais alta das três classes de capital do anexo IV do regulamento, com um requisito de capital mínimo de 150 000 EUR.

As empresas que já prestavam esses serviços com base na lei nacional antes de 30 de dezembro de 2024 podiam continuar em um regime de transição. Ele valia “até 1 de julho de 2026 ou até que lhes seja concedida ou recusada uma autorização”, o que acontecesse primeiro. Essa data já passou. Uma exchange que queira clientes na UE deve planejar a autorização desde o início.

O MiCA também molda o software. O artigo 75 exige:

• Um acordo de custódia com cada cliente
• Um registro das posições de cada cliente
• Um extrato das posições “pelo menos uma vez a cada três meses”
• Procedimentos para devolver aos clientes os seus criptoativos “o mais rapidamente possível”

A empresa responde por perdas causadas por incidentes atribuíveis a ela, com uma responsabilidade “limitada ao valor de mercado do criptoativo perdido no momento em que ocorreu a perda”. O artigo 70 acrescenta uma regra sobre o dinheiro dos clientes em euros ou em outras moedas. A menos que a própria empresa seja um banco, uma instituição de pagamento ou uma instituição de moeda eletrônica, esse dinheiro precisa ser depositado “numa instituição de crédito ou num banco central” até o fim do dia útil seguinte.

Fora da UE, as regras dependem de cada país, e este artigo não é aconselhamento jurídico. Consulte um advogado em cada mercado que pretende atender antes de decidir onde registrar a empresa.

Carteiras próprias ou um provedor de custódia?

Há três configurações comuns:

• Carteiras próprias: você controla cada etapa e cada custo, e arca com todo o risco, as auditorias e as pessoas que guardam as chaves
• Um provedor de custódia: guardar as chaves e assinar é o trabalho dele, mas cada saque depende dos sistemas e das taxas dele
• As duas coisas: carteiras quentes internas para ganhar rapidez e armazenamento frio com um provedor para a maior parte dos fundos dos clientes

Pelo MiCA, o provedor que guarda os criptoativos dos clientes para uma exchange precisa ter autorização própria. O artigo 75 só permite que a empresa use provedores “autorizados nos termos do artigo 59”, e a empresa precisa informar aos clientes que usa um.

Com uma exchange white-label, pergunte qual configuração o provedor usa e quem guarda as chaves. Se for o provedor, as moedas dos seus clientes dependem de uma empresa que você não controla.

O que perguntar à empresa que constrói as carteiras da exchange?

• Onde as chaves são criadas e guardadas, e quantas pessoas aprovam uma transferência de cada carteira?
• Como cada aprovador confere o que está assinando sem depender da interface web?
• Como o registro interno é comparado com os saldos em cada blockchain, e com que frequência?
• O que acontece com os saldos dos clientes quando uma blockchain se divide ou um token é substituído por uma nova versão?
• Como os dados da Travel Rule chegam às outras exchanges, e o que acontece quando eles faltam?
• Vocês conseguem mostrar o fluxo de saque em um sistema que funciona hoje?

A pergunta sobre a divisão de uma blockchain importa por causa do MiCA. Os clientes têm direito a qualquer criptoativo novo criado por uma mudança desse tipo, na proporção das suas posições, a menos que o acordo deles com a exchange diga outra coisa.

Onde a amBrain se encaixa?

A amBrain, que publica este blog, descreve essa parte do seu trabalho em uma linha: “A amBrain constrói exchanges de cripto: matching engine, carteiras, depósitos e saques.” Ela constrói software desde 2019 e trabalha em três formatos: entrega completa, time dedicado ou engenheiros embarcados no seu time. A frase dela sobre propriedade é: “O cliente mantém a propriedade integral do produto e do código, exceto dos nossos componentes reutilizáveis.”

Este artigo não é um estudo de caso e não descreve nenhum trabalho para clientes. Ele não diz quais exchanges a amBrain construiu, para quem nem como as carteiras delas estão organizadas, e não traz preços nem prazos. Também não é aconselhamento jurídico. Se a amBrain estiver na sua lista curta, faça a ela as mesmas perguntas que faria a qualquer outra empresa.