Recentemente, o setor de ativos digitais sofreu uma série de incidentes de segurança, com múltiplos ataques e roubos de fundos novamente colocando a segurança da plataforma no centro das atenções do mercado. À medida que as técnicas de ataque continuam a evoluir, os riscos não se limitam mais a uma única carteira ou vulnerabilidade técnica, mas podem envolver múltiplos aspectos, como permissões de conta, gerenciamento de chaves privadas, transferência de ativos e infraestrutura de terceiros.
Para os usuários, uma questão mais realista do que “a plataforma é segura?” é: a plataforma consegue detectar e bloquear riscos mais cedo quando incidentes realmente ocorrem? Existem mecanismos adequados de autorização e controle para operações críticas? Quando os ativos se expandirem para categorias diferentes, como ações dos EUA e RWA, o sistema de segurança e gestão de riscos conseguirá acompanhar os novos limites de negócios?
Neste contexto, a plataforma global de serviços financeiros digitais BIT (anteriormente Matrixport) lançou oficialmente o White Paper da Confiança BIT V2.0, apresentando sistematicamente a governança de riscos, arquitetura de segurança, conformidade regulatória e mecanismos de verificação independente da BIT, centrados em segurança, conformidade, transparência e verificabilidade, além de abranger disposições regulatórias, de governança e de transparência em diferentes cenários de negócios, como ações da bolsa dos EUA, RWA e gestão de ativos.
Quando uma plataforma suporta cada vez mais ativos e negócios, como a segurança e a confiança se expandem simultaneamente?
O que a plataforma pode fazer antes que o risco realmente ocorra?
Nenhuma plataforma pode eliminar todos os riscos com apenas uma declaração de “segurança”. Para os usuários, o que merece mais atenção é: existem defesas antes que os riscos ocorram e mecanismos para identificar e limitar riscos rapidamente quando anomalias acontecerem?
BIT enfatiza no whitepaper que a gestão de riscos não é apenas uma ação pós-evento, mas deve ser integrada à avaliação pré-transação, monitoramento durante a transação e processamento pós-transação. Em cenários específicos de financiamento e garantia, esse mecanismo é aplicado em detalhes nas etapas de due diligence, definição de parâmetros de risco, monitoramento em tempo real, alertas de risco e liquidação em caso de inadimplência.
Esses mecanismos se traduzem finalmente em segurança de conta e ativos mais perceptíveis para os usuários. Por exemplo, o BIT realiza monitoramento dinâmico 24 horas por dia em comportamentos de alto risco, como logins anômalos, dispositivos anômalos e saques anômalos, e aciona alertas, processamento atrasado ou revisão manual conforme o nível de risco. O sistema de segurança não se limita a “descobrir事后 o que aconteceu”, mas sim a identificar riscos e intervir oportunamente durante a ocorrência de anomalias.
Em termos de proteção de ativos digitais, a maioria dos ativos é armazenada em cold wallets; as chaves privadas são armazenadas em módulos de segurança de hardware (HSM) de nível 3 FIPS 140-3 e não podem ser acessadas ou exportadas em texto claro.
Mas a questão mais crítica do que as ferramentas técnicas é: quando há um conflito entre o avanço dos negócios e os requisitos de segurança, quem tem o direito de dizer "não"?
O whitepaper revela que, se houver riscos de segurança significativos na proposta do produto, na arquitetura do sistema ou nas alterações de lançamento, ou se não forem atendidos os padrões de segurança e requisitos de conformidade, a equipe de segurança da BIT possui o poder de veto; para operações críticas, como transferências de ativos, alterações de permissões e instruções de negociação, aplica-se o princípio dos "quatro olhos", exigindo a participação conjunta de pelo menos dois funcionários autorizados.
A lógica por trás desse mecanismo não é prometer que os riscos “não ocorrerão”, mas sim antecipar a segurança antes do risco — identificar anomalias mais cedo, estabelecer restrições mais cedo e minimizar o impacto de erros pontuais.
De ativos digitais a ações dos EUA, como a segurança acompanha os novos limites de negócios?
À medida que os negócios se expandem de ativos digitais para áreas como ações dos EUA, RWA e gestão de ativos, o significado de "segurança" também muda. Os usuários não se preocupam mais apenas com a segurança da conta e o armazenamento de ativos digitais, mas também com quem opera os negócios, quais regulamentações os governam e por quais etapas os ativos passam.
Using the U.S. stock business as an example, BIT further disclosed the regulatory, account, clearing, and asset custody arrangements for the relevant business in the new version of the white paper. BIT’s securities business is operated by Matrix Gelephu Pte Ltd and is regulated by the Gelephu Financial Services Office (GFSO); the relevant business receives corresponding compliance and infrastructure support through applicable regulatory and licensing arrangements, client asset protection mechanisms, and participation by licensed third-party financial institutions.
O usuário vê uma única "compra", mas por trás estão ligados vários processos, como operações, regulamentação, execução de negociações, liquidação e custódia de ativos. Para plataformas financeiras, quanto mais ampla a fronteira dos negócios, mais necessário é que os mecanismos de governança de risco e conformidade se estendam simultaneamente, e não apenas adicionar novas entradas de produtos.
A mesma lógica se estende a outras operações da BIT. O novo whitepaper adiciona informações regulatórias e de governança da Matrixport Asset Management (MAM) e apresenta a presença regulatória das instituições do grupo BIT em várias jurisdições, incluindo Hong Kong, Butão, Cingapura, Suíça, Reino Unido, Estados Unidos e Ilhas Virgens Britânicas.
Da criptoativos a ativos financeiros tradicionais, o BIT não apresenta um mecanismo de segurança pontual para um único produto, mas sim um quadro de governança de risco e confiança que se expande à medida que os limites do negócio se ampliam.
Além da segurança, por que a confiança precisa ser “verificável”?
O gerenciamento de riscos lida com como os riscos são identificados e controlados, mas para uma plataforma financeira que abrange múltiplos ativos e negócios, simplesmente informar aos usuários “temos gerenciamento de riscos” ainda não é suficiente. Se segurança, conformidade e organização de ativos só puderem ser explicadas pela própria plataforma, a confiança permanecerá apenas no nível de “acreditar no que a plataforma diz”.
Portanto, a BIT considera a conformidade e a infraestrutura regulatória, os mecanismos de auditoria e verificação independentes e a transparência técnica e operacional como os três pilares do sistema de confiança, permitindo que a “confiança” seja decomposta em questões mais específicas: por quem a plataforma é regulada? Como os ativos são protegidos? Como os riscos são controlados? Esses mecanismos podem ser verificados independentemente?
No nível de auditoria e atestação, a BIT estabelece um sistema de verificação multilayer e complementar por meio de mecanismos como auditoria de sistemas de gestão ISO, atestação independente SOC, auditoria financeira anual e auditoria interna, adaptando-se ao escopo aplicável a diferentes entidades e linhas de negócios, evitando a dependência excessiva de um único mecanismo de auditoria ou atestação.
A transparência resolve se as informações podem ser vistas; a verificabilidade vai além e responde se essas informações podem ser verificadas independentemente.
Quando a indústria novamente coloca a "segurança" diante de todas as plataformas, o que realmente importa talvez não seja repetir a frase "somos seguros", mas sim se é possível permitir que os usuários vejam os mecanismos por trás dessa frase.
A confiança não vem de um único compromisso ou auditoria, mas sim de um funcionamento contínuo e prolongado de instituições e validação externa. A segurança exige operação contínua; a confiança exige validação contínua.
Link para a versão completa da White Paper de Confiança do BIT V2.0: https://www.bit.com/whitepaper