Comparação de modelos de custódia: a Fedimint como a quarta via

Pergunta à maioria dos utilizadores de Bitcoin como deves gerir os teus bitcoins e vais receber uma de três respostas: guardas as tuas próprias chaves, deixas-as nas mãos de uma empresa ou, cada vez mais, usas algum tipo de configuração «multisig».

Poucos sabem, mas existe uma quarta opção, que já está em funcionamento na cadeia principal do Bitcoin há alguns anos: a custódia comunitária, o modelo subjacente a todas as Federações Fedimint.

A Fedimint distribui o controlo de uma carteira por um grupo de pessoas de confiança («Guardiões»), em vez de o concentrar nas mãos de uma única pessoa ou empresa.

Este artigo apresenta uma visão geral dos vários tipos de custódia de Bitcoin e como a Fedimint se destaca em relação aos demais.

Custódia própria

A auto-custódia significa que és tu que controlas pessoalmente as chaves privadas que autorizam as transações.

Não há nenhuma empresa entre ti e o teu dinheiro. Ninguém te pode impedir de aceder aos teus bitcoins.

Dito isto, muitas vezes também não há ninguém a quem ligar quando algo corre mal com a gestão das tuas chaves. Isto acontece especialmente com as carteiras de assinatura única.

Autocustódia com assinatura única

A configuração mais comum é uma carteira de assinatura única: uma frase-semente, uma chave e uma assinatura necessária para transferir fundos.

Carteiras como a Blue Wallet, a Sparrow Wallet e a Blockstream Green permitem-te criar este tipo de carteira em poucos minutos. A Blue Wallet e a Green funcionam no teu telemóvel, enquanto a Sparrow funciona no teu computador.

Por predefinição, estas são carteiras «ativas», o que significa que a chave privada fica num dispositivo ligado à Internet. É prático para fazer compras, mas a tua chave fica num computador ou telemóvel comum, que pode ser infetado por malware, roubado ou alvo de phishing.

As carteiras de hardware, ou carteiras «frias», oferecem uma camada extra de proteção. Dispositivos como o Trezor, o Foundation Passport e o Blockstream Jade geram e armazenam a tua chave num dispositivo de hardware dedicado que nunca a expõe à Internet. Cria-se uma transação numa aplicação de software associada, assina-se no dispositivo e, em seguida, envia-se. A tua chave nunca fica exposta a nenhum malware que possa existir no teu portátil.

A utilização de carteiras de hardware pode acarretar o riscode um «ataque à cadeia de abastecimento». Um ataque à cadeia de abastecimento é um ciberataque em que os autores maliciosos conseguem aceder a um fornecedor externo para obter informações sobre potenciais vítimas.

Isto também pode acontecer quando um hacker consegue informações dos clientes (por exemplo, nomes, números de telefone, endereços de e-mail) para, depois, atacar o cliente com um ataque físico ou de engenharia social. Isto aconteceu recentemente com a ShipMonk, um dos fornecedores de serviços de envio da Trezor.

As carteiras de hardware também só são tão seguras quanto a qualidade do seu firmware. Os malfeitores podem explorar falhas no código e, como resultado, os fundos podem ser roubados das carteiras, como vimos recentemente com o ataque à carteira de hardware Coldcard.

Tanto as carteiras «quentes» como as «frias» são sem custódia. A diferença está no local onde a chave fica guardada e quem tem acesso a ela. Seja «fria» ou «quente», a assinatura única funciona da mesma forma: um segredo, guardado por uma única pessoa. Se perderes a frase-semente, o bitcoin desaparece. Estima-se que cerca de 20% de todo o bitcoin esteja perdido para sempre, grande parte devido a cópias de segurança extraviadas e códigos PIN esquecidos. Além disso, os ataques a detentores de bitcoin/criptomoedas cujas informações foram obtidas por pessoas mal-intencionadas têm vindo a aumentar, levando frequentemente à perda de fundos.

Autocustódia com assinaturas múltiplas («Multisig»)

A assinatura múltipla distribui o risco por várias chaves. Este tipo de carteiras pode ser criado com diferentes limiares de assinatura.

Uma carteira do tipo «2 de 3» precisa de duas das suas três chaves para assinar antes de os fundos serem transferidos, por isso, perder uma chave não é grave.

Podes criar uma tu mesmo com o Nunchuk ou o Sparrow, combinando dois ou três dispositivos de hardware nesse processo. Também podes usar um serviço de custódia colaborativa como o Casa ou o Unchained, em que o prestador guarda uma chave e te ajuda a recuperar a tua caso a percas. No entanto, ambas as empresas cobram uma taxa considerável pelo serviço. Os planos básicos custam algumas centenas de dólares por ano, e os planos premium chegam aos milhares.

O BitKey, uma configuração multisig 2 de 3 que inclui um dispositivo físico da Block, é talvez a solução multisig mais fácil de usar e uma das mais acessíveis do mercado atual (a Block não cobra qualquer taxa de subscrição anual pelo BitKey), embora tenha as suas próprias vantagens e desvantagens no que diz respeito à confiança. 

Os utilizadores têm de confiar no software da BitKey para criarem e guardarem as suas chaves de forma segura, uma vez que os dispositivos BitKey não permitem que os utilizadores guardem uma frase-semente. Em vez disso, a BitKey disponibiliza os seus próprios mecanismos de recuperação, como um «Kit de Saída de Emergência» que permite aos utilizadores transferirem os seus fundos de forma independente caso o Block ou a aplicação da BitKey fiquem indisponíveis.

A multisig é mesmo uma melhoria, mas também dá mais trabalho: vários dispositivos, vários cópias de segurança, vários locais. Como o The Bitcoin Adviser refere, uma configuração de multisig mal feita pode ser pior do que uma simples configuração de assinatura única. Mesmo que um serviço guarde uma chave, tu ficas com a maioria delas, por isso grande parte do trabalho continua a recair sobre ti.

Custódia por terceiros

A alternativa que a maioria das pessoas escolhe é deixar os seus bitcoins numa plataforma de câmbio ou numa aplicação como a River, a Bitnob, a Strike ou a Cash App. É a plataforma de câmbio que guarda as chaves. O que tu tens é um saldo num ecrã, que é uma nota promissória, uma promessa de te dar bitcoins quando pedires.

Essa promessa já foi quebrada tantas vezes que daria para encher um livro de história.

Entre 2009 e 2024, as bolsas de ativos digitais sofreram pelo menos 220 incidentes de segurança de grande impacto, com perdas superiores a 8,4 mil milhões de dólares, de acordo com Frontiers in Blockchain.

A Mt. Gox perdeu 850 000 bitcoins quando foi alvo de um ataque informático em 2014. Descobriu-se que a FTX não tinha mais de 8 mil milhões de dólares em ativos digitais que deveria ter em custódia em nome dos seus clientes quando faliu, em novembro de 2022.

No entanto, os ataques informáticos e a fraude nas plataformas de câmbio são apenas duas formas de falha.

Depois, há os dados pessoais. Abrir uma conta significa fornecer o teu nome, morada e documentos de identificação. Em maio de 2025, agentes de apoio da Coinbase, subornados, divulgaram nomes de clientes, números de segurança social parciais e saldos, e os atacantes exigiram um resgate de 20 milhões de dólares. Uma fuga de informação como essa transforma uma lista de clientes numa lista de alvos.

O Bitcoin permite que as pessoas guardem e transfiram dinheiro sem dependerem de um único intermediário. Com a custódia por terceiros, uma única empresa controla as chaves, o que cria um ponto único de falha.

Custódia Comunitária (via Fedimint): A Quarta Via

O Fedimint é o mais recente dos quatro tipos de custódia abordados neste artigo. O programador de Bitcoin Eric Sirion lançou o primeiro protótipo, então chamado MiniMint, em 2021, combinando os projetos do eCash de David Chaum, de 1983, com uma carteira multisig de Bitcoin.

O resultado do trabalho do Sirion é uma forma nova e única de custódia — a custódia comunitária. E este tipo de custódia está disponível através da Fedi, uma empresa que o Sirion cofundou com o Obi Nwosu em 2022.

A unidade de custódia comunitária é uma Federação. Uma Federação forma-se quando pelo menos quatro pessoas de confiança, chamadas Guardiões, gerem cada uma um nó Fedimint num portátil ou num servidor doméstico, como um dispositivo Umbrel ou Start9. Juntos, criam simultaneamente uma carteira de bitcoin com assinatura múltipla e uma casa de moeda de ecash. A movimentação de fundos requer o acordo de mais de dois terços dos Guardiões, pelo que o modelo de custódia não depende de um único Guardião, dispositivo ou frase-semente.

E é precisamente essa coordenação necessária entre os Guardiões que faz toda a diferença. Numa carteira de assinatura única, o ponto de falha és tu. Numa bolsa, é a própria bolsa. Numa Federação, o risco é partilhado por definição, e o trabalho técnico fica a cargo dos Guardiões, em vez de recair sobre cada utilizador. Se quiseres sair, fazes o levantamento na cadeia ou através da Lightning para uma carteira à tua escolha.

Para te juntares a uma Federação não precisas de dar o teu nome, morada nem identificação, por isso não há nada que possa vazar mais tarde. Os pagamentos dentro de uma Federação são feitos em ecash, por isso as tuas transações não são divulgadas num registo público nem registadas com a tua identidade por um depositário. Nenhuma das outras formas de custódia oferece isso por predefinição.

No entanto, a custódia comunitária tem as suas vantagens e desvantagens. Estás a confiar que os Guardiões não vão entrar em conluio, não vão perder as suas frases-semente, não vão emitir mais ecash do que a Federação detém em bitcoin e vão manter os seus nós online. Se muitos nós ficarem fora de serviço, os fundos ficam congelados até que voltem a funcionar.

A distribuição de chaves não significa, automaticamente, que todas as fontes de risco técnico sejam distribuídas. Se todos os Guardiões utilizarem a mesma implementação de software, uma vulnerabilidade nessa implementação pode afetar toda a Federação. E, para sermos totalmente transparentes, as bases de código da Fedimint ou da aplicação Fedi podem ser pontos únicos de falha, o que também se aplica a qualquer protocolo ou software relacionado com o Bitcoin. Vimos recentemente a exploração da Liquid Network, que levou à subtração de fundos no valor de mais de 320 milhões de dólares da federação.

É aqui que a diversidade de implementações se torna uma parte importante da discussão sobre a custódia. Várias implementações independentes do mesmo protocolo reduzem o risco de todos os participantes ficarem com o mesmo bug de software. 

As equipas que trabalham tanto no Fedimint como no Fedi analisam constantemente o código-fonte do protocolo e da aplicação com a ajuda de ferramentas avançadas de IA, para evitar pontos de falha que possam levar a uma exploração de vulnerabilidades. Também incentivamos vivamente a existência de várias implementações de qualquer protocolo que guarde fundos.

Qual é a melhor opção para ti?

Todas as questões relacionadas com a custódia resumem-se à mesma: quem é que tem as chaves?

Se os guardares tu mesmo, tens controlo total, mas também responsabilidade total. Isso é ideal para quem tem conhecimentos técnicos, é cuidadoso e está disposto a manter uma configuração durante décadas. Se usares uma configuração multisig, os teus fundos ficam talvez mais seguros, mas isso ainda implica um certo nível de responsabilidade e confiança em terceiros. Se os entregares a uma bolsa, ganhas comodidade, mas também ficas sujeito aos riscos de solvência e segurança dessa empresa.

A custódia comunitária situa-se entre estas três opções e, para muitos, é a opção mais adequada.

Pensa em todas as pessoas que conheces que nunca vão gravar doze palavras num pedaço de aço e guardá-las para o resto da vida, ou naquelas que talvez não tenham meios para pagar uma mensalidade por uma carteira colaborativa com assinatura múltipla. Hoje em dia, elas deixam os seus bitcoins numa bolsa ou evitam-nos completamente. Uma Federação oferece-lhes segurança com assinatura múltipla e privacidade real nas transações desde o primeiro dia, sem frase-semente para perder e sem nenhuma empresa a guardar os seus dados de identificação.

A quarta opção — a custódia comunitária — destina-se a quem quer manter os seus fundos sob a sua própria custódia, apenas com a ajuda de algumas pessoas de confiança.