Risco e due diligence de tokens de RWA

Um token de RWA combina dois conjuntos de riscos: os do ativo subjacente e de sua estrutura jurídica, tão antigos quanto as finanças, e os do token, de seu contrato inteligente e de sua blockchain, que são novos. A due diligence falha com mais frequência na interseção entre os dois, onde ninguém se responsabiliza pela questão. Esta aula aborda cada área de risco e termina com uma lista de verificação que pode ser usada para uma decisão de investimento, aceitação como garantia ou integração à custódia.

O ativo subjacente e seu custodiante

Comece pelo ativo, não pelo token. Pergunte exatamente o que lastreia cada token, onde está custodiado e quem confirma sua existência.

• Existência e titularidade. Para um fundo, as evidências são as demonstrações financeiras auditadas, o relatório de posições do banco custodiante e o cálculo do NAV pelo administrador. Para um token de commodity, são uma lista de barras com números de série, a localização do cofre e uma inspeção independente. Para uma carteira de empréstimos, são a carteira de empréstimos (a lista de empréstimos com tomador, valor, vencimento e situação) e os relatórios do agente de administração.
• Segregação. O ativo é mantido em nome do fundo, trust ou SPV, separado do patrocinador e dos ativos próprios do custodiante? Isso determina o que os detentores recuperam em caso de insolvência, conforme discutido na aula Estruturas jurídicas para ativos tokenizados.
• Reconciliação. Alguém reconcilia, pelo menos diariamente, o número de tokens em circulação com as cotas no registro do fundo e os ativos no custodiante? Quem é responsável se houver divergência e o que acontece com o token nesse caso?

Uma atestado mensal de uma firma de contabilidade confirma os saldos em um determinado momento; não é uma auditoria dos controles nem das demonstrações financeiras completas. A aula Risco de contraparte e prova de reservas explica por que uma verificação pontual não comprova solvência.

NAV, precificação e oráculos

Um contrato inteligente não sabe quanto vale um token. O valor chega à blockchain por meio de um oráculo, um serviço que publica dados externos à blockchain nela. Para tokens de RWA, o principal dado costuma ser o valor patrimonial líquido (NAV) por token, calculado pelo administrador do fundo.

Três perguntas são importantes:

1. Com que frequência o NAV é apurado? Um fundo do mercado monetário apura o NAV diariamente. Um fundo de crédito privado ou imobiliário pode fazê-lo mensal ou trimestralmente. Entre duas apurações, o preço on-chain fica desatualizado por definição.
2. Quem o publica on-chain e ele pode estar errado? Se o próprio emissor publica o NAV, não há verificação independente. Se for usada uma rede de oráculos de terceiros, verifique as fontes, as regras de atualização e o que acontece quando o feed para de funcionar.
3. Para que o preço é usado? Se um protocolo de empréstimo aceita o token como garantia pelo seu NAV, um NAV desatualizado ou incorreto pode permitir empréstimos excessivos.

Exemplo prático: um token de crédito privado tem um NAV de $1,00, publicado mensalmente. Um protocolo de empréstimo o aceita com um desconto de 20%, então o detentor de 10.000.000 de tokens pode tomar emprestados $8 milhões. No dia 5 do mês, um tomador da carteira entra em inadimplência e o valor real cai para $0,85. Até a próxima apuração do NAV, o oráculo continua mostrando $1,00. A garantia vale, na verdade, $8,5 milhões para um empréstimo de $8 milhões, então resta uma cobertura de apenas 6%, em vez dos 20% que o desconto deveria proporcionar, e ninguém consegue ver isso on-chain. Se o valor real cair abaixo de $0,80, o empréstimo fica subcolateralizado, embora ainda pareça saudável. Uma integração sólida usa descontos conservadores para ativos precificados com pouca frequência, limita a exposição e exige que o emissor informe eventos de crédito imediatamente.

Condições de resgate e limites

A maioria dos tokens de RWA só vale seu NAV porque os detentores podem resgatá-los junto ao emissor. As condições de resgate, e não a mecânica do token, definem o perfil real de liquidez.

A falha clássica é um descasamento de liquidez: um token que é negociado ou promete resgate diário, mas é lastreado por ativos que só podem ser vendidos ao longo de meses. Em condições normais, isso funciona. Em momentos de estresse, o limite é imposto e os preços no mercado secundário caem bem abaixo do NAV.

Riscos de contratos inteligentes e chaves administrativas

O contrato do token é um software, e os tokens de RWA dão deliberadamente ao emissor poderes amplos: emitir, queimar, pausar, congelar endereços e forçar transferências. Esses poderes são necessários para a conformidade legal (ordens judiciais, chaves perdidas, sanções), mas quem os controla controla o ativo.

Verifique:

• Possibilidade de atualização. Muitos contratos de token ficam por trás de um proxy que permite ao emissor substituir o código. Quem pode fazer atualizações, com qual aprovação, e existe um bloqueio temporal (um atraso antes de as alterações entrarem em vigor) que dê aos detentores tempo para reagir?
• Gerenciamento de chaves para funções administrativas. A chave de emissão é mantida em uma configuração multisig ou MPC com vários aprovadores independentes, ou por uma única pessoa? As funções são separadas (emissão, pausa, atualização)? Os controles descritos na aula Níveis de carteira, políticas de transação e fluxos de assinatura se aplicam aqui.
• Auditorias. Qual firma auditou qual versão do código, e as descobertas foram corrigidas? Uma auditoria de uma versão anterior não diz nada sobre o código implantado hoje.
• Riscos de blockchain e de ponte. Produtos emitidos em várias blockchains ou são emitidos nativamente em cada uma ou usam uma ponte. Uma ponte acrescenta o risco de um ataque que crie tokens sem lastro em uma blockchain, como demonstraram as falhas de pontes discutidas na aula Avaliação de riscos de DeFi.

Permissões e liquidez no mercado secundário

A exigência de permissões protege a posição jurídica do emissor, mas tem consequências para o detentor. Uma carteira removida da lista de permissões, porque uma atualização de KYC falhou ou por causa de um alerta de triagem de sanções, pode ficar impossibilitada de transferir ou resgatar os tokens até que o problema seja resolvido. Tokens enviados por engano para um endereço que não está na lista de permissões podem ficar retidos até que o agente de transferência intervenha.

Os mercados secundários para a maioria dos tokens de RWA têm pouca liquidez. Apenas detentores elegíveis podem comprá-los, poucas plataformas listam os tokens e há poucos formadores de mercado. Espere spreads amplos e possíveis descontos em relação ao NAV, especialmente em momentos de estresse. As métricas de liquidez em uma página do token (detentores, transferências) muitas vezes contabilizam movimentações internas entre as próprias carteiras do emissor e superestimam as negociações reais.

Exequibilidade jurídica

Por fim, confirme se o token concede ao detentor um direito juridicamente exequível:

• Quem é a contraparte? O fundo, um SPV, um trust ou uma empresa operacional?
• Qual é o direito? Propriedade, participação beneficiária, crédito ou apenas uma promessa contratual de resgate?
• Qual legislação rege o token e sua relação com o ativo, e onde seria julgado um litígio?
• Situação regulatória. O produto é um valor mobiliário registrado ou isento de registro, um fundo, um token de moeda eletrônica? O emissor está autorizado na jurisdição em que o produto é vendido a você?
• Tratamento tributário e contábil do token, de seu modelo de renda e de seu resgate.

Lista de verificação de due diligence

Foco no exame: comece pelo ativo subjacente e seu custodiante (existência, segregação, reconciliação diária dos tokens com o registro e os ativos); atestado versus auditoria; frequência do NAV, desenho do oráculo e como um NAV desatualizado pode deixar a garantia com cobertura insuficiente; condições de resgate (quem pode resgatar, horário-limite, limites, suspensão) e o risco de descasamento de liquidez; poderes administrativos, possibilidade de atualização, bloqueios temporais e gerenciamento de chaves para funções administrativas; risco de pontes em emissões multichain; remoção da lista de permissões e mercados secundários com pouca liquidez; questões de exequibilidade jurídica; estrutura de uma lista de verificação de due diligence e evidências a solicitar para cada área.