Conta omnibus

Nada na blockchain marca seus bitcoins como seus; o livro contábil interno da plataforma faz isso, e seus termos tornam esse livro contábil o registro definitivo. O anexo de fideicomisso da Bitstamp faz a aritmética: mantenha GBP 100 dentro de um fundo comum de GBP 1.000 e você é dono de um décimo dele. Essa fração também é como as perdas chegam até você, porque um déficit em qualquer parte do fundo comum recai sobre todas as contas que o integram.

Como funciona

Uma conta omnibus separa dois registros que a maioria das pessoas supõe serem um só: o que a blockchain mostra e o que você possui. A blockchain mostra bitcoins em endereços que a plataforma controla. O que você possui é uma linha em um banco de dados que diz quanto daquele monte é alocado ao seu número de conta, e o contrato que você aceitou no cadastro decide quanto vale essa linha.

A Bitstamp Europe S.A. chama a parte cripto de "omnibus wallet(s) in the name of Bitstamp", e a Bitstamp Global Ltd diz que seus ativos "will be held in omnibus accounts held by us with sub-custodians". Três cláusulas do anexo de fideicomisso da Global Ltd detalham o que a adesão a esse fundo comum faz com seus direitos.

• Seu direito é uma parte, não um bitcoin. Seu interesse pode ser "a proportional share in a pool of fungible intangible property" em vez de "rights to or interests in specific underlying, individually identifiable Virtual Assets", e esses direitos "may be contractual rather than proprietary in nature".
• Os livros do operador dimensionam essa parte. Seus livros contábeis internos "shall be deemed to be accurate, complete and binding on you and us, except in the case of manifest error".
• Você não pode escolher seu canto do fundo comum. Você não tem o direito de exigir que seus ativos fiquem com um subcustodiante específico, nem o direito de exigir que seu dinheiro fique em um banco específico, porque cada fideicomisso de moeda é tratado como um único fundo comum.

O anexo de fideicomisso da Bitstamp faz então a aritmética com suas próprias palavras. Se ela mantém GBP 1.000 no fideicomisso de moeda em comunhão, sendo GBP 100 mantidos para você e GBP 900 para outros membros, você tem direito a uma parte pro rata de um décimo dos bens desse fideicomisso. A segunda ilustração do mesmo documento é a que dói: suponha que o dinheiro esteja em três bancos, A, B e C, e o banco A quebre com tudo o que havia lá perdido, então cada membro do fideicomisso compartilha pro rata o fundo comum reduzido que resta em B e C. Ser o cliente cujo depósito acabou sendo encaminhado para B não lhe serve de nada, porque há um só fundo comum e uma só fração. A diversificação dentro de uma estrutura omnibus é a diversificação do operador, não a sua.

Por que isso importa quando você compra bitcoin

A reunião dos fundos em um fundo comum é o padrão sempre que uma plataforma guarda seus bitcoins após a compra, então a pergunta útil raramente é se uma corretora faz comunhão de fundos, mas o que aconteceu quando seu fundo comum ficou curto. Dos 63 registros de corretoras neste site, nove trazem um registro de segurança com data, e são esses os que têm essa pergunta respondida por escrito em vez de suposta. O padrão não é universal: o registro da Relai aqui descreve um aplicativo suíço cujas compras são liquidadas por padrão em uma carteira cujas chaves ficam no seu celular e não nos servidores da Relai, o que não deixa nenhum fundo comum para compartilhar.

A Bitstamp é o caso que vale a pena ler, porque seu contrato e sua história apontam em direções opostas. Os termos dizem que um déficit é compartilhado: a Bitstamp Global Ltd pede que você aceite que, se apenas parte do que é mantido puder ser recuperada, você "share the loss proportionately to your share in the Virtual Assets held in the omnibus account", e que, se um subcustodiante quebrar, "you may have only an unsecured claim against" ele. O que a análise da Bitstamp neste site registra sobre a única ocasião em que o fundo comum de fato se esvaziou não é isso.

Dois pontos práticos decorrem disso. Sair do fundo comum significa sacar, e um saque nem sempre está disponível sob demanda: a Bitstamp Europe S.A. reserva até quatorze dias a partir do início de uma Instant Purchase antes que esses bitcoins possam ser retirados, o que são duas semanas de participação no fundo comum com as quais ninguém conta. E sacar só elimina essa fração se o destino for uma chave que você guarda, o que vale a pena conferir nas 41 análises de carteiras deste site: o registro da Wallet of Satoshi diz que o aplicativo é custodial, então um saldo transferido para lá é um crédito contra a Living Room of Satoshi Pty Ltd em vez de bitcoins que você controla.

Os 18.866 BTC que a Bitstamp absorveu

O roubo da carteira quente da Bitstamp em janeiro de 2015 é o teste mais claro do que uma cláusula de déficit significa na prática, e o resultado não foi o que uma cláusula dessas descreve. A análise da corretora neste site registra a sequência: os atacantes aplicaram phishing em seis funcionários ao longo de várias semanas no fim de 2014, pegaram um arquivo de carteira de um servidor e sua frase secreta de outro, e em 4 de janeiro de 2015 esvaziaram 18.866 BTC da carteira quente, no valor de 5.263.614 dólares ao preço de liquidação de 279 dólares por bitcoin.

A cláusula de déficit citada acima é a atual, e lida ao pé da letra impõe a todo cliente com saldo em bitcoin um corte proporcional no momento em que o fundo comum fica curto. Janeiro de 2015 seguiu o caminho oposto. A Bitstamp suspendeu o serviço, reconstruiu a plataforma em hardware novo, reabriu em 9 de janeiro de 2015 com carteiras de multiassinatura em funcionamento, e honrou cada saldo integralmente. A empresa absorveu a perda.

Manter os dois fatos ao mesmo tempo é o propósito desta página. O contrato fixa o piso, que é uma fração do que sobreviver. O balanço de uma empresa, seu seguro e sua disposição de assumir dano reputacional determinam o que de fato acontece, e nenhum desses três elementos é uma promessa que você possa fazer valer. Onde um operador nunca foi posto à prova, o piso é tudo o que você tem.

Conta omnibus vs carteira custodial

Uma conta omnibus e uma carteira custodial descrevem metades diferentes de uma mesma relação. Uma carteira custodial é o que você guarda, um saldo de conta em uma empresa que controla as chaves. Uma conta omnibus é como essa empresa armazena os bitcoins que respaldam cada um desses saldos, o que é um punhado de carteiras grandes em seu próprio nome em vez de uma carteira por cliente.

A distinção fica prática nos endereços de depósito. A maioria das corretoras entrega a cada cliente um endereço de bitcoin único, e é fácil ler isso como um compartimento seu. É uma etiqueta de roteamento. Os bitcoins enviados para lá são varridos para a carteira compartilhada, e depois dessa varredura o endereço prova por onde um depósito entrou e nada sobre onde o saldo está agora. Uma segregação que você pudesse verificar significaria um endereço que você pode abrir em um explorador de blocos contendo seu saldo e o de mais ninguém, algo que uma estrutura omnibus, por definição, nunca produz.

Conta omnibus vs prova de reservas

A prova de reservas é uma consequência da contabilidade omnibus, não uma alternativa a ela. A comunhão de fundos é precisamente a razão pela qual você não pode conferir suas próprias reservas em um explorador de blocos, e uma prova de Merkle é a solução alternativa: o operador publica um total para o fundo comum, e você verifica que seu saldo foi contado dentro desse total.

O que a técnica não alcança é tudo o que os termos dizem sobre sua parte. Uma prova atesta o que o fundo comum continha em um instante. Ela fica em silêncio sobre se seu direito é de propriedade ou meramente contratual, sobre qual livro contábil prevalece quando dois números discordam, e sobre como um déficit é dividido depois que existe. A Bitstamp mostra a lacuna pelos dois lados: nossa análise registra um envio único para si mesma em maio de 2014 que provou o controle de 183.497 BTC e nunca foi repetido segundo um cronograma, e uma publicação de novembro de 2022 que descreve uma auditoria de prova de reservas como um objetivo e não como uma prática existente, sem nenhuma forma de um cliente individual conferir sua própria inclusão.