Due diligence

O que é due diligence em criptomoedas?

Due diligence é o processo estruturado de investigar uma criptomoeda, um protocolo blockchain, token, carteira, contrato inteligente, prestador de serviços ou oportunidade de investimento antes de comprometer dinheiro, dados ou autoridade de assinatura.

Esse processo envolve verificar afirmações importantes, identificar riscos, analisar as evidências disponíveis e decidir se a oportunidade está alinhada aos objetivos e à tolerância a risco do usuário.

A due diligence em cripto vai além de verificar se o preço de um token subiu recentemente.

Ela analisa a tecnologia, a economia, a governança, a segurança, a custódia, a liquidez, a estrutura jurídica e as pessoas por trás do projeto.

Também considera o que pode dar errado depois que o usuário compra o ativo ou conecta uma carteira.

As orientações de pesquisa de investimentos do Investor.gov descrevem due diligence como pesquisar uma oportunidade antes de investir e analisar informações além das afirmações do promotor.

A due diligence não garante lucro nem elimina todos os riscos.

Seu objetivo é reduzir erros evitáveis e deixar a incerteza mais visível antes que uma decisão se torne difícil de reverter.

Por que a due diligence é essencial em cripto

Usuários de criptomoedas podem transferir ativos valiosos diretamente por meio de transações em blockchain, sem depender de um processo centralizado de estorno de pagamentos.

Essa liberdade atribui mais responsabilidade à pessoa que controla a carteira ou a conta.

Uma transação assinada com uma chave privada válida pode continuar irreversível mesmo que o usuário tenha entendido errado o endereço de destino ou a permissão do contrato.

Um token pode perder a maior parte do valor devido à inflação, à baixa demanda, à liquidez reduzida, a falhas de segurança, a disputas de governança ou a restrições regulatórias.

Um protocolo tecnicamente funcional ainda pode ser um investimento ruim se seu token não capturar valor decorrente do aumento de uso.

Um serviço aparentemente lucrativo pode falhar se a organização que mantém os ativos dos clientes se tornar insolvente ou suspender os saques.

O aviso de risco da CFTC sobre moedas virtuais destaca a volatilidade, os ataques hackers, as fraudes, as proteções limitadas e a dificuldade de recuperar fundos perdidos.

A due diligence ajuda a distinguir riscos de mercado de riscos técnicos, de custódia, jurídicos, operacionais e de fraude.

Due diligence vs. DYOR

DYOR significa “Do Your Own Research” (faça sua própria pesquisa), enquanto due diligence descreve um processo de investigação e tomada de decisão mais organizado.

Ambos os conceitos incentivam os usuários a verificar as informações de forma independente.

DYOR costuma ser usado como lembrete geral, enquanto a due diligence normalmente envolve perguntas documentadas, evidências, análise de riscos e critérios de aprovação.

Uma busca casual na internet pode fazer parte da due diligence, mas raramente é suficiente por si só.

Um processo completo compara documentos primários, registros de blockchain, código-fonte, pesquisas independentes, informações jurídicas e dados de mercado.

Também deve identificar quais fatos continuam desconhecidos.

As expressões “DYOR” ou “não é aconselhamento financeiro” não isentam um promotor da responsabilidade por fazer afirmações enganosas.

Diferentes tipos de due diligence em cripto

A due diligence de investimento analisa se um ativo cripto tem uma finalidade econômica razoável, uma avaliação adequada, uma estrutura de oferta e um perfil de risco aceitáveis.

A due diligence técnica avalia a arquitetura da blockchain, o código-fonte, os contratos inteligentes, as premissas de segurança, a infraestrutura e a manutenção do software.

A due diligence operacional analisa como uma organização gerencia carteiras, chaves, funcionários, fornecedores, transações, backups e resposta a incidentes.

A due diligence jurídica examina direitos de propriedade, entidades corporativas, licenças, contratos, restrições geográficas e possível tratamento regulatório.

A due diligence de contraparte avalia a solidez financeira, a segurança, a reputação e as obrigações contratuais de um custodiante, emissor, tomador, validador ou prestador de serviços.

A due diligence on-chain utiliza dados públicos de blockchain para verificar a oferta de tokens, a atividade do tesouro, o controle de contratos, a liquidez e as afirmações sobre transações.

Análises institucionais podem combinar todas essas áreas e exigir aprovação das equipes técnica, jurídica, financeira, de compliance e de risco.

Defina a decisão antes de pesquisar

Um processo útil de due diligence começa pela definição exata da decisão em análise.

Comprar um token exige pesquisas diferentes de depositar ativos em um contrato inteligente de empréstimo.

Operar um validador exige pesquisas diferentes de usar uma carteira de autocustódia.

Uma operação de curto prazo dá grande importância à liquidez, à execução, à estrutura de mercado e às próximas mudanças na oferta.

Um investimento de longo prazo exige uma análise mais aprofundada da governança, adoção, segurança, concorrência e emissão futura de tokens.

Uma integração empresarial deve considerar disponibilidade, finalidade das transações, contabilidade, obrigações jurídicas, suporte e recuperação operacional.

O volume e a profundidade da pesquisa devem aumentar conforme o valor, a duração, a complexidade e a irreversibilidade da decisão.

Use uma hierarquia de fontes

Uma due diligence sólida atribui mais peso a fontes diretas, verificáveis, atuais e independentes.

As fontes primárias incluem código-fonte, registros de blockchain, endereços de contratos inteligentes, especificações oficiais, documentos jurídicos, demonstrações financeiras, propostas de governança e bases de dados de órgãos reguladores.

As fontes secundárias incluem artigos de pesquisa, análises técnicas, reportagens, análises de mercado e materiais educativos.

Sites promocionais, publicações patrocinadas, mensagens anônimas e afirmações de influenciadores exigem verificação adicional, pois quem as divulga pode se beneficiar da decisão do usuário.

Uma fonte controlada pelo projeto pode descrever corretamente o design pretendido e, ao mesmo tempo, omitir pontos fracos ou conflitos.

Uma fonte independente também pode estar incorreta, desatualizada ou ser tendenciosa.

Por isso, conclusões importantes devem se basear em várias formas de evidência, e não em um único documento atraente.

Entenda a finalidade do projeto

A primeira pergunta sobre o projeto deve ser qual problema a tecnologia afirma resolver.

O projeto deve identificar os usuários pretendidos, o problema que enfrentam e por que uma blockchain oferece uma melhoria significativa.

Um caso de uso válido pode envolver verificação compartilhada, ativos programáveis, resistência à censura, escassez digital, liquidação ou coordenação entre partes que não confiam plenamente umas nas outras.

Uma blockchain pode acrescentar custo e complexidade desnecessários quando uma única organização confiável já controla todos os componentes importantes do serviço.

A explicação do projeto deve ser compreensível sem depender inteiramente de jargões técnicos ou financeiros.

Os usuários devem distinguir o produto atual do roadmap futuro.

Um plano para lançar um recurso não comprova que ele funciona nem que os clientes o utilizarão.

Verifique se o produto existe

Uma análise de due diligence deve confirmar se a blockchain, o aplicativo, a carteira ou o protocolo anunciado está operacional.

Uma mainnet, testnet pública, repositório de código, explorador de blockchain, interface de aplicativo ou documentação para desenvolvedores pode fornecer evidências de desenvolvimento.

Os usuários devem testar o produto com uma pequena quantia quando isso for seguro e legal.

Um vídeo de demonstração não comprova que o produto público oferece os mesmos recursos.

Atividade artificial de transações pode fazer uma rede inativa parecer popular.

Um aplicativo funcional também não comprova que seu token tenha preço justo ou seja necessário.

O avaliador deve registrar quais funções operam hoje, quais continuam experimentais e quais dependem de desenvolvimento futuro.

Leia o white paper com senso crítico

Um white paper deve explicar a arquitetura do sistema, o modelo econômico, a governança, as premissas de segurança e os usuários pretendidos.

O avaliador deve identificar afirmações que possam ser testadas de forma independente.

Afirmações sobre velocidade de transação devem explicar o tipo de transação, o hardware, as condições da rede, a finalidade e o método de teste.

Afirmações sobre descentralização devem identificar quem opera a infraestrutura, desenvolve o software, controla atualizações e detém poder de governança.

Afirmações sobre demanda por tokens devem explicar por que os usuários precisam adquirir ou manter o ativo.

Um white paper pode ficar desatualizado após mudanças no software, na tokenomics ou na governança.

Ele deve ser comparado com o código, os registros de implantação, a documentação e as decisões de governança atuais.

Analise o código-fonte

O código-fonte público pode permitir que desenvolvedores e pesquisadores analisem o funcionamento de um protocolo ou aplicativo.

O avaliador deve verificar se o repositório pertence à organização legítima do projeto.

O histórico de commits pode mostrar se o desenvolvimento está ativo, concentrado em poucos colaboradores ou dependente de componentes copiados.

Problemas em aberto podem revelar defeitos não resolvidos, problemas de compatibilidade e decisões de design contestadas.

Tags de lançamento e instruções de compilação ajudam a determinar se o software implantado pode ser associado ao código-fonte público.

Código público não significa automaticamente que o sistema seja seguro.

Poucas pessoas podem ter analisado o código, e a versão implantada pode ser diferente daquela disponível no repositório.

Avalie a manutenção do software

Softwares que controlam criptomoedas exigem manutenção contínua porque sistemas operacionais, dependências, redes e técnicas de ataque mudam.

O avaliador deve verificar as datas e o conteúdo dos lançamentos recentes.

Commits frequentes não são suficientes quando contêm apenas alterações de formatação ou atualizações automatizadas de dependências.

Entre os sinais importantes estão correções de segurança, melhorias nos testes, documentação, resolução de problemas e trabalho de compatibilidade.

Um projeto pode continuar operando depois que sua equipe original sai, mas softwares sem manutenção se tornam cada vez mais arriscados.

A análise deve identificar se várias pessoas independentes compreendem o código crítico.

Um sistema que depende inteiramente de um desenvolvedor apresenta risco significativo de continuidade.

Due diligence de contratos inteligentes

A due diligence de um contrato inteligente começa pela verificação da blockchain correta e do endereço completo do contrato.

Tokens fraudulentos podem copiar o nome e o símbolo de um ativo legítimo, mas usar código sem relação com ele.

Quando a blockchain permite a verificação, o contrato deve ser analisado para confirmar se o código-fonte foi verificado.

O avaliador deve identificar funções de emissão, congelamento, pausa, inclusão em lista de bloqueio, alteração de taxas, transferência de propriedade, atualização e saque de emergência.

As atuais considerações de segurança do Solidity descrevem riscos como reentrância, chamadas externas, limites de gas, exposição de dados privados e erros de autorização.

Um contrato pode funcionar exatamente como foi programado e ainda assim produzir um resultado inesperado pelo usuário.

Por isso, o design econômico e de governança deve ser analisado junto com o código.

Risco de contratos atualizáveis

Um contrato inteligente atualizável permite alterar sua lógica depois que os usuários começam a interagir com ele.

A possibilidade de atualização pode permitir corrigir vulnerabilidades e adicionar recursos.

Também pode permitir que um administrador altere regras de saque, taxas, comportamento do token ou controles de acesso.

O avaliador deve identificar quem detém a autoridade de atualização e quantas assinaturas são necessárias.

Um período de espera pode dar aos usuários a oportunidade de analisar uma atualização planejada antes de ela entrar em vigor.

Uma atualização de emergência sem período de espera pode reduzir o tempo de resposta durante um ataque, mas aumenta a confiança depositada no administrador.

A existência de poderes de atualização significa que os usuários confiam tanto no código atual quanto nas decisões futuras da autoridade responsável.

Auditorias de contratos inteligentes

Uma auditoria de contrato inteligente é uma análise especializada destinada a identificar pontos fracos de segurança e de design.

O avaliador deve verificar a empresa de auditoria, a data do relatório, a versão do código, o escopo, os métodos de teste e as descobertas não resolvidas.

Uma auditoria de uma versão do contrato não se aplica automaticamente a implantações ou atualizações posteriores.

Um projeto pode exibir o logotipo de uma auditoria sem disponibilizar o relatório completo.

As descobertas declaradas como resolvidas devem ser conferidas no código corrigido, em vez de aceitas apenas com base em uma resposta por escrito.

Uma auditoria reduz a incerteza, mas não comprova que todas as vulnerabilidades possíveis estejam ausentes.

Protocolos de alto valor devem combinar auditorias com testes, monitoramento, programas de bug bounty, permissões limitadas e procedimentos para incidentes.

Analise as chaves administrativas

Chaves administrativas podem controlar atualizações, emissão de tokens, transferências do tesouro, pausas de contratos, configurações de oráculos ou funções de emergência.

O avaliador deve determinar se uma única chave privada pode executar uma ação crítica.

Uma configuração multisig pode exigir a aprovação de vários signatários, mas sua segurança depende da independência e da proteção desses signatários.

Uma carteira com cinco assinaturas controlada por cinco funcionários que usam o mesmo sistema comprometido pode oferecer menos proteção do que o número sugere.

Timelocks, limites de gastos, separação de funções e monitoramento público podem reduzir o risco administrativo.

O projeto deve explicar o que acontece se uma chave administrativa for perdida ou roubada.

Poderes de controle ocultos ou mal documentados são um importante sinal de alerta em uma due diligence.

Analise a equipe de desenvolvimento

A due diligence da equipe verifica se afirmações profissionais e técnicas importantes podem ser confirmadas de forma independente.

As evidências relevantes podem incluir produtos anteriores, contribuições públicas de código, trabalhos acadêmicos, histórico profissional, registros jurídicos e apresentações técnicas.

Uma identidade pública pode aumentar a responsabilização, mas não garante comportamento honesto ou competente.

Uma equipe anônima não é automaticamente fraudulenta, embora o anonimato limite as verificações de antecedentes e os recursos jurídicos.

O avaliador deve verificar se os fundadores abandonaram projetos anteriores ou fizeram afirmações sem comprovação.

Pode haver conflitos quando membros da equipe controlam a oferta de tokens, ativos do tesouro, acordos de criação de mercado e votos de governança.

O projeto deve ter um plano confiável de continuidade caso uma pessoa importante saia.

Identifique a entidade jurídica

Um site de cripto pode ser operado por meio de uma ou várias empresas, fundações, associações ou grupos informais de desenvolvimento.

A due diligence deve identificar qual entidade jurídica assina contratos, emprega funcionários, emite tokens, detém propriedade intelectual e controla os ativos do tesouro.

O país em que a entidade foi constituída pode afetar a resolução de disputas, as obrigações de divulgação, a tributação e os direitos dos credores.

Os termos de serviço devem indicar qual legislação rege a relação com o usuário.

Uma interface descentralizada ainda pode ser mantida por uma empresa identificável.

Uma fundação pode apoiar o desenvolvimento de um protocolo sem assumir responsabilidade por todos os aplicativos criados na rede.

Responsabilidades jurídicas pouco claras podem dificultar a recuperação após fraude, insolvência ou falha operacional.

Entenda a utilidade do token

A utilidade de um token descreve como o ativo é usado em uma blockchain ou aplicativo.

Um token pode pagar taxas de transação, proteger o mecanismo de consenso, fornecer direito a votos de governança, liberar acesso a serviços, representar outro ativo ou servir como garantia.

O avaliador deve determinar quais funções estão ativas atualmente.

Um uso planejado não gera demanda no presente.

O projeto deve explicar por que o token é necessário, em vez de usar um ativo existente ou um sistema comum de contas.

Um protocolo útil pode ter um token que captura pouco valor da atividade do protocolo.

Por isso, a due diligence deve separar a utilidade do produto do valor do token como investimento.

Analise a oferta de tokens

A análise da oferta de tokens examina a oferta circulante, a oferta total, a oferta máxima, a emissão futura, as queimas e a autoridade para emitir tokens.

Um preço baixo por token significa pouco sem considerar o número de unidades existentes.

Um protocolo sem oferta máxima ainda pode ter uma taxa de emissão previsível.

Um token que afirma ter uma oferta máxima fixa pode conter uma função administrativa capaz de criar mais unidades.

O avaliador deve comparar os números de oferta divulgados com os dados on-chain do contrato.

Tokens wrapped, transferidos por bridge, bloqueados ou queimados podem complicar os cálculos de oferta.

Qualquer incerteza sobre como a oferta é calculada deve ser documentada.

Analise a distribuição de tokens

A distribuição de tokens mostra como a oferta é dividida entre fundadores, funcionários, investidores, usuários, fundações, tesouros e programas de incentivo.

Uma distribuição muito concentrada pode gerar pressão vendedora e concentração de poder de governança.

A linguagem sobre alocação para a comunidade pode esconder o fato de que um grupo pequeno controla a distribuição.

Quando possível, o avaliador deve identificar os endereços ou contratos que detêm grandes alocações.

Entidades relacionadas podem dividir suas participações entre vários endereços.

As porcentagens de alocação devem ser calculadas com base no número de oferta adequado.

O projeto deve explicar como os tokens ainda não distribuídos podem ser usados e quem aprova sua liberação.

Vesting e desbloqueio de tokens

O vesting restringe a transferência de tokens até que determinadas datas ou condições sejam atingidas.

Um período de cliff é um intervalo durante o qual nenhum token alocado fica disponível.

Grandes desbloqueios podem aumentar a oferta circulante e gerar possível pressão vendedora.

O avaliador deve mapear as próximas datas de desbloqueio, os destinatários, as quantidades e os métodos de liberação.

O cronograma divulgado deve ser comparado com os contratos de vesting efetivos ou com a atividade das carteiras.

Acordos informais podem ser mais fáceis de alterar do que restrições aplicadas por código.

O risco de desbloqueio deve ser considerado mesmo quando a capitalização de mercado circulante atual do projeto parece modesta.

Capitalização de mercado e valor totalmente diluído

A capitalização de mercado é comumente calculada multiplicando-se o preço do token pela oferta circulante.

O valor totalmente diluído estima o valor usando uma oferta maior, que pressupõe que os tokens futuros já estejam em circulação.

Nenhum desses números representa a quantia em dinheiro que poderia ser retirada do mercado.

Um token negociado com pouca liquidez pode apresentar uma avaliação elevada com base em poucas transações.

O valor totalmente diluído pode revelar o risco de diluição, mas não mostra quando a oferta futura entrará em circulação.

O avaliador deve comparar a avaliação com o uso, a receita, as taxas, os ativos protegidos, o desenvolvimento e a concorrência.

As métricas de avaliação devem ser interpretadas de forma diferente para ativos de pagamento, tokens de governança, stablecoins e direitos tokenizados.

Due diligence de liquidez

A liquidez mede a facilidade de comprar ou vender um ativo sem provocar uma grande variação de preço.

O volume diário divulgado não comprova que o usuário possa executar uma negociação de grande porte perto do preço exibido.

O avaliador deve analisar a profundidade do livro de ordens, as reservas dos pools de liquidez, os spreads, o slippage e a disponibilidade de saques.

A liquidez pode estar concentrada em uma única plataforma, blockchain ou par de negociação.

Os formadores de mercado podem retirar ordens durante períodos de estresse.

Um pool de liquidez também pode estar exposto a riscos de contrato inteligente, de token e de precificação.

Um relatório de due diligence deve estimar o provável impacto na execução para o tamanho de posição pretendido.

Concentração de detentores

A concentração de detentores mede quanto da oferta é controlada por grandes endereços ou entidades relacionadas.

Um grande detentor pode influenciar o preço ou a governança.

Um endereço de blockchain pode representar o tesouro de um protocolo, um contrato de vesting, uma bridge, um custodiante ou vários usuários individuais.

Vários endereços também podem pertencer ao mesmo proprietário.

Por isso, rótulos de endereços devem ser tratados como evidências, não como confirmação de identidade.

Pesquisadores devem analisar transferências entre grandes carteiras e compará-las com os registros de distribuição.

Uma concentração elevada não é automaticamente inaceitável, mas deve ser compatível com o plano declarado de descentralização e distribuição.

Analise os ativos e os gastos do tesouro

O tesouro de um projeto pode financiar funcionários, desenvolvimento, subsídios, análises de segurança, marketing e programas do ecossistema.

A due diligence deve identificar endereços do tesouro, ativos, signatários, políticas de gastos e estimativa de prazo de operação.

Um tesouro composto principalmente pelo próprio token pode perder poder de compra durante a mesma queda que reduz a atividade do projeto.

Ativos estáveis podem reduzir a volatilidade, mas introduzem riscos de emissor, custódia e regulamentação.

Grandes transferências sem explicação devem ser investigadas com base nos registros de governança e relatórios financeiros oficiais.

Saldos transparentes on-chain não revelam todos os passivos ou acordos off-chain.

Uma governança sólida do tesouro inclui orçamentos, aprovações, relatórios e separação de funções.

Receita e sustentabilidade econômica

Um projeto cripto sustentável precisa de uma fonte confiável de financiamento ou demanda econômica.

A receita do protocolo pode vir de taxas de transação, juros de empréstimos, taxas de negociação, assinaturas, armazenamento, emissão ou outros serviços.

Recompensas em tokens criadas por meio da inflação não são o mesmo que receita paga por usuários externos.

Um rendimento elevado pode depender da emissão contínua de tokens ou de novos depósitos.

O avaliador deve identificar quem paga, quem recebe valor e quais despesas precisam ser cobertas.

Incentivos temporários podem aumentar a atividade sem criar demanda duradoura.

A due diligence econômica deve modelar o que acontece quando os subsídios diminuem.

Due diligence de governança

A governança determina como um protocolo muda e quem controla as decisões importantes.

Os sistemas possíveis incluem votação com tokens, adoção por validadores, decisões de fundações, coordenação de desenvolvedores, aprovação multisig ou combinações desses métodos.

O avaliador deve identificar quem pode apresentar propostas e como o poder de voto é calculado.

Tokens delegados podem concentrar poder em um pequeno número de representantes.

Uma participação baixa dos eleitores pode permitir que uma minoria da oferta aprove mudanças importantes.

Algumas votações são consultivas, enquanto os administradores realizam a execução final.

A pesquisa de governança deve distinguir as regras formais da influência prática de fundadores, desenvolvedores, grandes detentores e prestadores de serviços.

Avalie as afirmações de descentralização

Descentralização não é uma característica que possa ser definida apenas como presente ou ausente.

Uma blockchain pode descentralizar a validação de transações e, ao mesmo tempo, concentrar o desenvolvimento de software ou a hospedagem da infraestrutura.

Um protocolo pode ter muitos detentores de tokens enquanto um único administrador controla as atualizações.

Um aplicativo descentralizado pode depender de um site hospedado centralmente e de uma fonte de preços centralizada.

A due diligence deve analisar a distribuição de validadores, a diversidade de clientes, o poder de governança, as chaves administrativas, as dependências de dados e as opções de saída dos usuários.

O avaliador deve perguntar qual parte pode interromper, censurar, alterar ou redirecionar o sistema.

Afirmações de descentralização devem ser respaldadas por evidências operacionais atuais.

Due diligence on-chain

Os registros públicos de blockchain podem verificar emissão de tokens, transferências do tesouro, implantações de contratos, atividade de governança, liquidez e distribuição de detentores.

A análise on-chain pode revelar comportamentos diferentes das declarações promocionais.

Também pode ser interpretada incorretamente quando uma transferência é apresentada sem contexto.

Uma transferência entre endereços não representa necessariamente uma compra, venda ou mudança de propriedade beneficiária.

Bridges, carteiras de custódia, reorganizações internas e migrações de contratos podem gerar grandes movimentações.

O avaliador deve combinar dados de blockchain com o código dos contratos, comunicados do projeto e informações jurídicas.

Toda conclusão relevante deve preservar os hashes de transação e os endereços correspondentes para verificação posterior.

Due diligence de custódia

A due diligence de custódia determina quem controla as chaves privadas e como os ativos podem ser recuperados, transferidos ou congelados.

A autocustódia dá controle direto aos usuários, mas os torna responsáveis pelos backups e pela segurança das transações.

A custódia por terceiros cria dependência da segurança, solvência, políticas e obrigações jurídicas do prestador.

O boletim da SEC sobre custódia de criptoativos recomenda perguntar quem detém as chaves, como os ativos são armazenados e o que acontece se o prestador sofrer um ataque hacker ou falir.

O avaliador deve examinar regras de saque, arquitetura das carteiras, alegações de seguro, segregação, recuperação de chaves e tratamento em caso de insolvência.

O saldo de uma conta em uma plataforma pode representar um crédito contratual, e não um ativo on-chain identificável separadamente.

Due diligence de autocustódia

Uma análise de autocustódia deve examinar a origem da carteira, o processo de atualização, o sistema de recuperação, as redes compatíveis e a exibição das transações.

Os usuários devem verificar se a carteira gera as chaves localmente e se outra parte pode acessar os backups.

As frases de recuperação devem permanecer offline e nunca ser inseridas em sites comuns.

Aplicativos experimentais devem ser testados com uma carteira separada e um saldo pequeno.

Dispositivos de hardware devem ser adquiridos por canais de fornecimento confiáveis e verificados quanto a sinais de pré-configuração.

O processo de recuperação deve ser testado antes que ativos significativos dependam dele.

A autocustódia elimina uma contraparte, mas aumenta a responsabilidade operacional.

Due diligence de contraparte

A due diligence de contraparte avalia qualquer pessoa ou organização que deva custodiar ativos, devolver fundos, emitir um token, prestar um serviço ou honrar um resgate.

A análise deve identificar a entidade jurídica e a jurisdição responsável.

Demonstrações financeiras, relatórios de reservas, passivos, auditorias, propriedade, administração e transações com partes relacionadas podem ser relevantes.

Uma verificação pontual de prova de reservas não mostra necessariamente todos os passivos ou ativos emprestados.

O alerta da SEC sobre riscos de criptoativos adverte que mecanismos de prova de reservas podem não oferecer proteções comparáveis às de uma auditoria de demonstrações financeiras.

Os termos devem explicar como os ativos dos clientes são tratados em caso de insolvência.

Uma marca forte ou uma grande base de usuários não elimina o risco de contraparte.

Due diligence de stablecoins

A due diligence de stablecoins analisa o mecanismo destinado a manter o valor de referência do token.

Para tokens lastreados em reservas, a análise deve abranger os ativos de reserva, os custodiantes, a liquidez, os direitos de resgate, os relatórios e a propriedade jurídica.

Em designs com garantia em criptoativos, a análise deve examinar a qualidade das garantias, a sobrecolateralização, a liquidação, os oráculos e o estresse de mercado.

Designs algorítmicos podem depender de incentivos e de tokens relacionados, em vez de reservas totalmente resgatáveis.

Uma stablecoin pode ser negociada abaixo do valor-alvo quando os usuários duvidam das reservas, do resgate ou da liquidez do mercado.

Os poderes de congelamento e inclusão em lista de bloqueio devem ser identificados.

A palavra “estável” descreve um objetivo, não uma garantia.

Due diligence de staking

A due diligence de staking analisa como as recompensas são geradas e quais riscos se aplicam ao capital principal.

As recompensas podem vir da emissão do protocolo, das taxas de transação ou de ambas.

O avaliador deve compreender as obrigações dos validadores, os períodos de bloqueio, o prazo de saque, o slashing e os requisitos de software.

O staking delegado acrescenta risco de contraparte ou de desempenho do validador.

Ativos de staking líquido introduzem riscos adicionais de contratos inteligentes, liquidez e desvio de preço.

Uma taxa percentual anual elevada pode ser anulada pela inflação do token ou pela queda de seu valor de mercado.

As recompensas de staking não devem ser descritas como juros sem risco.

Due diligence de DeFi

A due diligence de finanças descentralizadas deve analisar toda a cadeia de protocolos conectados.

Um aplicativo de empréstimo pode depender de tokens de garantia, stablecoins, oráculos de preços, bridges, software de liquidação, governança e liquidez externa.

Uma falha em um componente pode se propagar por toda a posição.

O avaliador deve examinar fatores de garantia, penalidades de liquidação, regras de taxa de juros, limites de saque e possibilidade de atualização do contrato.

O rendimento anunciado deve ser dividido entre taxas, incentivos em tokens, alavancagem e exposição ao preço.

A composabilidade cria funções financeiras úteis, mas aumenta o risco de dependência.

Um protocolo deve ser testado com uma pequena quantia antes do depósito de capital significativo.

Due diligence de oráculos

Um oráculo fornece informações externas ou calculadas a um contrato inteligente.

Protocolos dependentes de preços podem falhar quando o oráculo está atrasado, é manipulado, fica indisponível ou se baseia em um mercado sem liquidez.

O avaliador deve identificar os mercados de origem, a frequência de atualização, o método de agregação, as regras de contingência e os poderes administrativos.

Uma fonte de preços derivada de um único mercado com pouca liquidez é mais fácil de manipular do que uma fonte diversificada.

Cálculos ponderados pelo tempo podem reduzir algumas formas de manipulação, mas reagem mais lentamente a mudanças reais de preço.

O protocolo deve definir o que acontece quando o oráculo deixa de atualizar os dados.

A segurança do oráculo deve ser avaliada junto com as regras de liquidação e de garantia.

Due diligence de bridges

Uma bridge de blockchain transfere ou representa valor entre redes diferentes.

A bridge pode bloquear um ativo em uma rede e emitir um token relacionado em outra.

A due diligence deve examinar a custódia, os validadores, os contratos inteligentes, a verificação de mensagens, as chaves de atualização, os limites e os controles de emergência.

Uma bridge pode introduzir riscos mesmo que ambas as blockchains conectadas continuem seguras.

O ativo wrapped pode perder valor se o lastro bloqueado for roubado ou ficar inacessível.

Os usuários devem confirmar qual organização ou contrato pode pausar saques ou substituir signatários.

A exposição a bridges deve ser limitada conforme a segurança e a liquidez do sistema completo.

Due diligence regulatória

A regulamentação cripto varia conforme a localização, a atividade, o produto e o tipo de cliente.

O tratamento de um token pode variar de acordo com a forma como ele é oferecido e utilizado.

Custódia, pagamentos, empréstimos, derivativos, stablecoins e ativos tokenizados podem estar sujeitos a diferentes regimes jurídicos.

A due diligence deve verificar registros ou licenças em fontes oficiais dos órgãos reguladores, em vez de confiar na página de marketing de uma empresa.

A mais recente atualização da FATF de 2026 sobre ativos virtuais informa que continuam se expandindo o licenciamento, o registro, a avaliação de riscos, a supervisão e a implementação da Travel Rule.

O acesso a um serviço pode mudar quando leis ou restrições geográficas são alteradas.

Atividades significativas ou transfronteiriças podem exigir aconselhamento jurídico.

Due diligence de AML e sanções

A due diligence de prevenção à lavagem de dinheiro analisa se uma empresa cripto identifica clientes, monitora transações, verifica listas de sanções e informa atividades suspeitas quando exigido.

O avaliador deve verificar se as políticas são compatíveis com as jurisdições e os serviços envolvidos.

Uma política por escrito tem valor limitado quando a organização não dispõe de funcionários treinados, sistemas e mecanismos de aplicação.

Transações com carteiras autocustodiadas podem passar por análises adicionais de acordo com as regras aplicáveis.

Um compliance fraco pode expor um serviço a ações regulatórias, restrições bancárias, congelamento de ativos ou perda de acesso operacional.

A coleta excessiva de dados também pode criar riscos de privacidade e segurança cibernética.

Os usuários devem entender quais informações pessoais e transacionais o prestador coleta e por quanto tempo as mantém.

Due diligence tributária

Transações cripto podem gerar obrigações de manutenção de registros e tributárias mesmo quando os valores permanecem on-chain.

Vendas, trocas, pagamentos, recompensas de staking, renda de mineração, airdrops e doações podem receber tratamentos diferentes.

As atuais orientações do IRS sobre ativos digitais afirmam que contribuintes dos EUA devem declarar rendimentos e alienações de ativos digitais aplicáveis e guardar os documentos comprobatórios.

As atuais regras de declaração também utilizam o Formulário 1099-DA para atividades de corretoras abrangidas pelos requisitos aplicáveis.

Um formulário fiscal pode não conter todos os dados necessários para calcular o custo de aquisição.

Os usuários devem guardar datas de aquisição, quantidades, valores, taxas, transferências entre carteiras e finalidades das transações.

As regras fiscais dependem da jurisdição e das circunstâncias pessoais; pode ser necessário buscar orientação qualificada.

Investigue o histórico de segurança

O histórico de segurança de um projeto pode mostrar como sua equipe reage sob pressão.

O avaliador deve analisar exploits anteriores, interrupções, perda de chaves, bugs de software e práticas de divulgação.

Um incidente não comprova automaticamente que o sistema atual seja inseguro.

A resposta deve explicar a causa, os usuários afetados, as mudanças corretivas, a compensação e as lições aprendidas.

Equipes que ocultam incidentes ou culpam os usuários sem evidências geram preocupação adicional.

Falhas repetidas relacionadas à mesma fragilidade de controle indicam uma gestão de risco deficiente.

Um projeto sem incidentes divulgados pode ser seguro, recente, pouco testado ou pouco transparente.

Segurança cibernética e controles operacionais

Organizações que mantêm ou controlam criptoativos devem usar controles operacionais e de segurança cibernética em várias camadas.

Entre os controles relevantes estão autenticação multifator, chaves protegidas por hardware, revisão de acessos, limites de transação, separação de aprovações, monitoramento, backups e resposta a incidentes.

Funcionários com acesso privilegiado devem passar por verificações de antecedentes e treinamento de segurança, quando apropriado.

Dependências críticas de software devem ser catalogadas e monitoradas.

Os backups devem ser testados, não apenas criados.

A recuperação de desastres deve considerar a perda de instalações, contas na nuvem, funcionários, dispositivos e sistemas de comunicação.

A due diligence deve verificar se as alegações de segurança descrevem práticas operacionais, e não apenas intenções futuras.

Identifique conflitos de interesse

Promotores, pesquisadores, desenvolvedores, influenciadores e consultores podem se beneficiar financeiramente da adoção ou da valorização de um token.

Um conflito não torna automaticamente falsas as declarações dessa pessoa.

Ele afeta o grau de confiança que se deve depositar nessas declarações sem evidências independentes.

O avaliador deve identificar participações em tokens, remunerações, acordos de indicação, alocações para investidores, relações de criação de mercado e cargos em conselhos.

Um projeto pode pagar por um relatório de pesquisa favorável sem deixar o patrocínio claro.

Membros da equipe podem conseguir vender tokens enquanto incentivam o público a comprar.

Conflitos importantes devem ser divulgados claramente e considerados na avaliação final de risco.

Reconheça sinais de fraude

Promessas de lucro garantido e afirmações de que um investimento não pode gerar perdas são importantes sinais de alerta.

A pressão para enviar criptomoedas imediatamente costuma ter o objetivo de impedir uma investigação cuidadosa.

Pedidos de chaves privadas ou frases de recuperação devem ser tratados como tentativas de controlar a carteira.

Parcerias falsas, biografias copiadas, auditorias fabricadas e capturas de tela editadas são recursos promocionais comuns.

As orientações da FTC sobre golpes com criptomoedas alertam sobre retornos garantidos, pagamentos antecipados em cripto, falsidade ideológica e ofertas de investimento inesperadas.

Um projeto legítimo deve dar tempo aos usuários para analisar as evidências e não deve solicitar informações secretas da carteira.

Perder uma oportunidade especulativa causa menos prejuízo do que transferir fundos para um endereço fraudulento.

Crie um registro de riscos

Um registro de riscos documenta os riscos identificados, sua probabilidade, o impacto potencial, as evidências, o responsável e os possíveis controles.

Os riscos cripto podem ser agrupados em categorias técnicas, de mercado, custódia, governança, jurídicas, de liquidez, contraparte e operacionais.

Cada risco deve incluir uma descrição clara, e não uma classificação vaga.

Um contrato inteligente de alto risco com uma pequena alocação de teste pode ser aceitável para experimentação.

O mesmo risco pode ser inaceitável para as reservas do tesouro.

O registro deve identificar os riscos que não podem ser reduzidos.

Assim, quem toma a decisão pode comparar os benefícios esperados com a exposição restante.

Use análise de cenários

A análise de cenários pergunta como o investimento ou protocolo se comporta em condições adversas.

Os cenários possíveis incluem uma queda de 70% no token, a perda de paridade de uma stablecoin, uma falha de bridge, a pausa de um contrato inteligente ou a venda por um grande detentor.

Outros cenários incluem a indisponibilidade do site, o comprometimento de uma chave administrativa, uma restrição jurídica, a interrupção de um validador ou a suspensão de saques.

O avaliador deve estimar se o usuário conseguirá sair da posição e a que custo.

Uma posição que parece segura em condições normais pode se tornar impossível de encerrar durante um período de estresse.

A análise de cenários deve incluir falhas correlacionadas, pois vários riscos cripto podem ocorrer ao mesmo tempo.

A alocação final deve continuar suportável diante de resultados severos realistas.

Documente a tese de investimento

Uma tese de investimento explica por que o ativo pode valorizar ou preservar seu valor.

Ela deve identificar a adoção esperada, a demanda econômica, o comportamento da oferta, a vantagem competitiva e o horizonte de tempo.

A tese deve indicar quais evidências a invalidariam.

Uma alta de preço não comprova que todas as premissas estejam corretas.

Uma queda de preço não comprova automaticamente que a tecnologia tenha fracassado.

Premissas documentadas facilitam a reavaliação da decisão sem reescrever a história.

A tese deve ser atualizada quando fatos relevantes mudarem.

Due diligence contínua

A due diligence não termina depois que um token é comprado ou um protocolo é aprovado.

Projetos mudam por meio de atualizações, votações de governança, desbloqueios de tokens, novas lideranças, incidentes e desenvolvimentos jurídicos.

Os usuários devem monitorar mudanças administrativas, transferências do tesouro, implantações de contratos, lançamentos de software e comunicados de segurança.

O tamanho da carteira deve ser reavaliado quando movimentos de preço criam uma concentração indesejada.

Um prestador que era financeiramente estável no início do relacionamento pode enfrentar problemas de liquidez posteriormente.

Os limites de risco e os critérios de saída devem ser revisados em uma frequência definida.

Continuar mantendo um ativo é uma nova decisão sempre que evidências importantes mudam.

Exemplo de um processo de due diligence em cripto

Suponha que um usuário esteja pensando em depositar stablecoins em um novo protocolo de empréstimo.

Primeiro, o usuário verifica o site oficial, a blockchain, os endereços dos contratos e os termos jurídicos.

Depois, lê a documentação e identifica como os credores obtêm rendimento.

O usuário analisa o código do contrato, as auditorias, a autoridade de atualização, o oráculo, as regras de garantia e o processo de liquidação.

Também examina os depósitos e saques atuais, a concentração de tomadores, os fundos do tesouro e os incidentes históricos.

O usuário verifica separadamente os riscos de reserva e resgate da stablecoin.

Calcula a possível perda decorrente de um exploit de contrato inteligente, da perda de paridade da stablecoin ou de um atraso nos saques.

Em seguida, começa com uma pequena quantia e monitora o protocolo antes de aumentar a exposição.

Erros comuns de due diligence

Um erro comum é confiar apenas nas informações produzidas pelo próprio projeto.

Outro erro é presumir que um produto funcional torna seu token um bom investimento.

Um terceiro erro é tratar uma auditoria de contrato inteligente como garantia.

Um quarto erro é ignorar as chaves administrativas e os poderes de atualização.

Um quinto erro é analisar a oferta atual sem estudar os futuros desbloqueios de tokens.

Um sexto erro é medir a liquidez apenas pelo volume de negociação divulgado.

Um sétimo erro é tratar endereços públicos de blockchain como identidades jurídicas confirmadas.

Um oitavo erro é ignorar as consequências de custódia, tributárias e regulatórias.

Um nono erro é concluir a pesquisa uma vez e nunca acompanhar mudanças posteriores.

Um décimo erro é deixar que o medo de ficar de fora substitua uma tomada de decisão baseada em evidências.

Perguntas frequentes

O que significa due diligence em cripto?

Significa investigar sistematicamente um projeto, ativo, protocolo ou serviço de criptomoedas antes de comprometer fundos ou assinar transações.

Por que a due diligence em cripto é importante?

Ela ajuda os usuários a identificar fraudes, vulnerabilidades técnicas, tokenomics enganosas, problemas de custódia, limites de liquidez e incertezas jurídicas.

Due diligence é a mesma coisa que DYOR?

Os conceitos são estreitamente relacionados, embora due diligence normalmente descreva um processo mais estruturado, documentado e voltado à tomada de decisão.

Due diligence garante lucro?

Não. Ela reduz incertezas evitáveis, mas não prevê todos os movimentos de mercado, falhas de software ou acontecimentos futuros.

Por onde começar a due diligence em cripto?

O processo deve começar pela decisão exata, a finalidade do projeto, os documentos primários, o produto atual, a equipe, o código, os contratos e a estrutura do token.

O que são fontes primárias em pesquisas cripto?

Fontes primárias incluem registros de blockchain, código-fonte, endereços de contratos inteligentes, especificações oficiais, documentos jurídicos, propostas de governança e relatórios de auditoria.

Um white paper é suficiente para fazer due diligence?

Não. Um white paper apresenta o design e as afirmações do projeto, que devem ser conferidos com o código atual, as implantações, o uso e evidências independentes.

Código aberto comprova que um projeto é seguro?

Não. O código público pode conter vulnerabilidades e ser diferente do software ou dos contratos efetivamente implantados.

Uma auditoria garante a segurança de um contrato inteligente?

Não. Uma auditoria pode reduzir o risco, mas pode deixar de identificar vulnerabilidades ou ficar desatualizada após uma atualização.

O que deve ser verificado em um contrato de token?

Os usuários devem analisar emissão, congelamento, pausa, taxas, listas de bloqueio, propriedade, atualizações, oferta e permissões administrativas.

O que é due diligence de tokenomics?

É a análise da utilidade do token, oferta, emissão, distribuição, vesting, incentivos, governança e captura de valor econômico.

Por que os desbloqueios de tokens são importantes?

Os desbloqueios podem aumentar a oferta circulante e permitir que fundadores, funcionários ou investidores vendam tokens antes restritos.

Um preço baixo por token significa que ele está subvalorizado?

Não. A avaliação depende da oferta, da liquidez, da demanda, da utilidade, da emissão futura e da atividade econômica do projeto.

O que é due diligence de liquidez?

É a análise da profundidade de mercado, dos spreads, do slippage, das reservas dos pools, do acesso a saques e do custo provável de abrir ou encerrar uma posição.

O que é due diligence on-chain?

Ela usa registros públicos de blockchain para verificar a oferta de tokens, a concentração de detentores, a atividade do tesouro, os contratos, a liquidez e o comportamento de governança.

Os dados on-chain identificam todos os donos de carteiras?

Não. Uma pessoa pode controlar vários endereços, e um endereço pode representar vários usuários.

O que é due diligence de custódia?

Ela analisa quem controla as chaves privadas, como os ativos são armazenados, como funcionam os saques e o que acontece após roubo, perda ou insolvência.

O que verificar antes de usar um custodiante?

Os usuários devem analisar a entidade jurídica, a segurança, a segregação de ativos, as regras de saque, a situação financeira, os controles de chaves e os termos aplicáveis em caso de insolvência.

A prova de reservas é suficiente?

Não. Um retrato das reservas pode não revelar todos os passivos, ativos emprestados, disputas de propriedade ou obrigações off-chain.

O que deve ser verificado em uma stablecoin?

A due diligence deve abranger reservas, direitos de resgate, risco do emissor, custodiantes, liquidez, contratos inteligentes, termos jurídicos e poderes de congelamento.

O que verificar antes de fazer staking?

Os usuários devem analisar as fontes de recompensa, a inflação, os períodos de bloqueio, os saques, o slashing, o risco do validador, o risco do contrato e a volatilidade do preço do token.

Quais são os principais sinais de fraude em cripto?

Entre os principais sinais estão retornos garantidos, exigências de pagamento urgente, pedidos de frases de recuperação, parcerias falsas e poderes de controle ocultos.

A regulamentação comprova que um produto cripto é seguro?

Não. O status regulatório pode acrescentar supervisão e obrigações jurídicas, mas não elimina riscos de mercado, segurança, custódia ou operação.

A due diligence deve incluir impostos?

Sim. Os usuários devem compreender as obrigações de registro e o possível tratamento tributário antes de negociar, fazer staking, obter rendimentos, trocar ou gastar ativos digitais.

Com que frequência a due diligence deve ser atualizada?

Ela deve ser atualizada sempre que ocorrerem eventos relevantes e por meio de revisões regulares adequadas ao valor e ao risco da posição.

Qual é a regra mais importante de due diligence?

A regra mais importante é verificar afirmações relevantes com evidências confiáveis antes de transferir fundos ou assinar uma autorização irreversível.

Conclusão

Due diligence é o processo baseado em evidências de avaliar um ativo de criptomoeda, protocolo, carteira, prestador de serviços ou transação antes de aceitar seus riscos.

Uma análise completa considera tecnologia, contratos inteligentes, oferta de tokens, liquidez, governança, custódia, contrapartes, segurança, legislação, tributação e controles operacionais.

Fontes primárias como registros de blockchain, código, especificações, documentos jurídicos e endereços de contratos oferecem o melhor ponto de partida.

Afirmações promocionais devem ser comparadas com análises independentes e atividades observáveis.

Um produto funcional, uma equipe pública, uma auditoria de contrato inteligente ou uma grande comunidade podem fornecer evidências úteis, sem garantir sucesso ou segurança.

Uma due diligence sólida identifica poderes administrativos, futuros desbloqueios de tokens, dependências ocultas, acordos de custódia e condições realistas de saída.

Também registra questões não resolvidas e analisa como a posição pode se comportar durante um estresse severo de mercado ou técnico.

O processo deve continuar após a decisão inicial porque protocolos, pessoas, regulamentações e condições financeiras mudam.

A due diligence não elimina a incerteza nem garante lucro.

Ela pode ajudar os usuários de cripto a substituir o hype, a urgência e as promessas sem comprovação por fatos verificáveis, riscos definidos e decisões mais disciplinadas.