Uma carteira de custódia dupla é uma carteira em que cada transação tem de ser assinada por duas chaves separadas — uma detida por si e outra detida pelo fornecedor da carteira — de modo a que nenhuma das partes consiga mover os fundos sozinha. Não é custodial, porque o fornecedor detém apenas uma das duas chaves exigidas e nunca pode assinar sozinho, e também não é a auto-custódia clássica de chave única, porque você não é o único signatário. Não é o mesmo que multisig opcional: numa conceção permanente, a exigência de duas chaves é fixa, e não uma política que você configura, pelo que não existe nenhum modo em que se reduza a um único signatário. O lugar honesto para a colocar é o meio do espetro da custódia — um modelo dois-de-dois em que você nunca pode ser excluído e o fornecedor nunca pode agir unilateralmente. Em contraste, a WATS não é uma carteira de custódia dupla: a extensão para Chrome, a aplicação móvel e a Hot Wallet da WATS são totalmente não custodiais, é você quem detém as chaves e a seed phrase, a WATS nunca detém uma chave, e o WATS NFC Metal Card acrescenta um fator físico de autenticação por toque em vez de uma segunda assinatura exigida.
Este rótulo gera mais confusão do que quase qualquer outro termo no marketing de carteiras, porque há visivelmente uma empresa envolvida e as pessoas recorrem à palavra familiar mais próxima. Acertar exige apenas uma pergunta, feita com precisão: quem tem de assinar para que os fundos se movam? Responda a isso e cada carteira do mercado cai exatamente num só lugar.
Resposta curta: onde se situa a custódia dupla no espetro da custódia
A custódia não é um interruptor binário; é um espetro definido por essa única pergunta. Num extremo, um serviço custodial assina inteiramente por si. No outro, a auto-custódia pura significa que só você assina, com uma chave derivada da sua seed phrase. A custódia dupla situa-se entre ambos com uma propriedade específica e verificável: duas chaves separadas têm ambas de assinar, e uma delas é sempre sua.
É essa única propriedade que torna a categoria fácil de rotular erradamente. As pessoas chamam-lhe "custodial" porque há uma empresa envolvida, ou "auto-custódia" porque detêm uma chave — mas nenhum dos rótulos é preciso. A descrição rigorosa é uma exigência de duas chaves que está sempre ativa, em que você nunca pode ser excluído das suas próprias transações e o fornecedor nunca pode agir sozinho. Se quiser primeiro o mapa mais amplo, o artigo explicativo sobre carteiras custodiais versus não custodiais apresenta os dois extremos entre os quais este artigo se encaixa.
Custodial vs auto-custódia: a base de partida
Para situar a custódia dupla, precisa de ter os dois pontos de partida claramente traçados, porque a custódia dupla define-se inteiramente pela forma como difere de cada um deles.
Custodial. Um serviço custodial detém as chaves privadas que controlam as suas criptomoedas. O seu saldo é, na prática, um registo na base de dados da empresa — um direito sobre o fornecedor, em vez de propriedade direta. Você inicia sessão com email e palavra-passe, o fornecedor assina em seu nome, e ele pode congelar a sua conta, impor limites de levantamento ou ser comprometido enquanto os seus ativos estão nos seus livros. É este o significado de "not your keys, not your coins": você detém um IOU, não o ativo.
Auto-custódia. Uma carteira não custodial entrega-lhe as chaves diretamente. Criar uma gera uma seed phrase que deriva todas as chaves privadas, e quem detém essa frase controla os fundos — mais ninguém, incluindo o criador da carteira, lhe pode aceder ou restaurá-la. Nenhuma empresa pode congelar o seu saldo ou bloqueá-lo, mas também não há reposição de palavra-passe: perca a frase e os fundos desaparecem para sempre. A análise mais aprofundada sobre o que é uma carteira não custodial cobre os pormenores técnicos. O traço definidor da auto-custódia é a autoridade exclusiva: uma parte — você — assina, e um único segredo carrega tudo.
Tenha estes dois em mente, porque a custódia dupla pega no poder de veto do utilizador próprio da auto-custódia, ao mesmo tempo que tenta remover a sua fragilidade de ponto único de falha, sem nunca chegar a um custodiante capaz de mover fundos por conta própria.
O que é a custódia dupla permanente (duas chaves, sem botão de desligar)
A custódia dupla divide a autoridade de assinatura por duas chaves distintas: uma gerada e detida por si, e outra detida pelo fornecedor. Uma transação só é válida quando ambas as chaves a assinam. Trata-se de um esquema dois-de-dois — ambos os signatários exigidos têm de participar, sempre, sem substituições de quórum.
A expressão que mais importa é sempre ativa. Numa conceção genuína de custódia dupla, a exigência de duas chaves não é uma definição, um nível, ou um extra que se ativa para mais segurança. É como a carteira funciona em todos os momentos, em todas as transações. Não existe nenhum modo em que se reduza a uma única chave, e não há nenhum botão para desligar a segunda chave. Descrevê-la como uma funcionalidade que se ativa seria um erro de categoria — todo o ponto é que o segundo signatário é estruturalmente permanente.
Daqui decorrem diretamente duas consequências, e são elas que tornam o modelo honesto:
- O fornecedor não pode agir sozinho. Detendo apenas uma de duas chaves exigidas, o fornecedor nunca pode mover os seus ativos por si só, por mais pressionado que seja. É precisamente por isso que não é custodial.
- Você não pode ser excluído. Como a sua chave é sempre um dos dois signatários exigidos, nenhuma transação pode acontecer sem si. Não é um passageiro; é um cossignatário permanente.
A troca é explícita: abdica de ser o único signatário em troca de um segundo fator que resiste a um só segredo frágil. Há uma contraparte em cada transação — esse é o custo, e inclui risco de disponibilidade, porque um fornecedor inacessível é uma assinatura que você não consegue obter. O que ganha é que perder ou expor apenas uma chave não entrega os seus fundos a um atacante.
Custódia dupla vs multisig / 2-de-3
A custódia dupla é uma forma de multiassinatura no sentido técnico amplo — é exigida mais do que uma chave — mas confundi-la com as carteiras multisig que a maioria das pessoas tem em mente gera confusão, por isso vale a pena separar com clareza.
O multisig clássico é algo que o utilizador configura. Você escolhe uma política como 2-de-3 (quaisquer duas de três chaves podem assinar) ou 3-de-5, decide quem ou o que detém cada chave, e pode alterar a política mais tarde. É flexível, opcional e autodirigido — toda a configuração é sua para desenhar, e pode deter todas as chaves se quiser, o que a mantém firmemente em auto-custódia.
A custódia dupla permanente difere em três eixos:
| Propriedade | Multisig opcional (ex. 2-de-3) | Custódia dupla permanente (2-de-2) |
|---|---|---|
| É opcional? | Sim — você escolhe configurá-la | Não — é fixa e está sempre ativa |
| Política de assinatura | Quórum flexível (2-de-3, 3-de-5, etc.) | Dois-de-dois fixo |
| Quem detém as chaves | Quem você designar; podem ser todas suas | Uma chave sua, uma chave do fornecedor — sempre |
| Pode reduzir-se a um signatário? | Pode desenhá-la para isso, ou deter você próprio um quórum | Não — ambas as chaves exigidas têm de assinar sempre |
| Perda de uma chave | Um 2-de-3 continua a assinar com as duas restantes | As assinaturas param até essa chave ser reposta |
| Onde se situa na custódia | Auto-custódia, se você detiver o quórum | O meio honesto — nenhuma das partes assina sozinha |
A forma mais clara de o dizer: o multisig 2-de-3 é uma política flexível na qual você opta e poderia gerir inteiramente sozinho; a custódia dupla permanente é uma divisão dois-de-dois fixa entre si e um fornecedor específico, que não pode desligar. Uma configuração 2-de-3 tolera a perda de uma chave e ainda assina com as duas restantes; um dois-de-dois estrito não, e essa é a troca deliberada que a custódia dupla faz em troca de garantir que nenhuma das partes é alguma vez a autoridade exclusiva.
É auto-custódia ou custodial? O meio honesto
Esta é a pergunta que toda a categoria recebe, e a resposta honesta recusa ambos os rótulos.
Não é custodial, pela definição estrita: um custodiante pode mover os seus fundos por conta própria, e um fornecedor de custódia dupla que detém uma de duas chaves exigidas não pode. Nunca pode assinar sozinho, apreender unilateralmente, ou entregar os seus ativos a alguém, porque matematicamente lhe falta uma assinatura sempre.
Também não é auto-custódia pura, pela definição estrita: a auto-custódia significa autoridade exclusiva, e na custódia dupla você não é o único signatário. Uma contraparte participa em cada transação. Chamar-lhe "auto-custódia" sem mais seria encobrir o facto de uma segunda parte estar sempre envolvida.
Assim, o enquadramento preciso é uma posição intermédia deliberada: você nunca pode ser excluído, e o fornecedor nunca pode agir sozinho. Em comparação com um custodiante, ganha poder de veto sobre cada transação e a garantia de que nenhuma entidade controla sozinha os seus fundos. Em comparação com a auto-custódia de chave única, abdica de ser o único signatário e aceita uma contraparte, em troca de remover a fragilidade do tudo-ou-nada de uma só seed phrase isolada. Qual das trocas lhe convém depende de qual risco prefere assumir — a mesma lente que o guia sobre carteiras custodiais versus não custodiais aplica aos dois extremos. A marca de um produto honesto é declarar esta posição intermédia claramente, em vez de pedir emprestado o rótulo mais lisonjeiro.
Como situar qualquer carteira no espetro em três perguntas
Pode classificar uma carteira a partir da sua própria documentação, sem confiar no vocabulário de marketing:
- O fornecedor pode mover fundos sem si? Se sim, é custodial — mais nada no produto altera isso.
- Você pode mover fundos sem o fornecedor? Se sim, é o único signatário e trata-se de auto-custódia. Se não, é estruturalmente exigido um segundo signatário.
- Esse segundo signatário é opcional e reconfigurável? Se foi você que o configurou e pode alterá-lo ou removê-lo, isso é multisig. Se é fixo e não pode ser desligado, isso é custódia dupla permanente.
Uma clarificação mantém a análise limpa: a custódia tem a ver com quem tem de assinar para que os fundos se movam, e nada mais. É independente de como as taxas são pagas, de como a recuperação funciona, de existir ou não um acessório de hardware e de quais cadeias são suportadas. Misturar esses eixos é a forma mais comum de a linguagem da custódia ficar confusa.
A WATS usa custódia dupla? Não — e a diferença é instrutiva
A WATS é um exemplo prático útil precisamente porque é fácil de rotular erradamente. A WATS não usa custódia dupla em nenhum dos seus produtos. A auto-custódia aplica-se em toda a linha: na extensão para Chrome, na aplicação móvel e na Hot Wallet da WATS, você gera e detém as suas próprias chaves e seed phrase, é o único signatário, e a WATS nunca detém uma chave. Não há qualquer segundo signatário exigido nem qualquer esquema dois-de-dois em parte alguma da gama, em nenhuma das cadeias que a WATS suporta — Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain, Solana e TON. Aplique as três perguntas acima e a WATS responde "não, sim, não aplicável": auto-custódia pura. O argumento mais amplo a favor desse modelo encontra-se em o que é uma carteira não custodial.
O que a WATS oferece em vez disso é uma camada de autenticação física — um eixo completamente diferente. Cada WATS NFC Metal Card tem um ID único. A primeira vez que o aproxima do seu telefone na aplicação móvel da WATS, o cartão emparelha com esse dispositivo específico; a partir daí só funciona com esse telefone emparelhado, agindo como um segundo fator de autenticação por toque. O cartão não guarda qualquer chave privada, e um cartão separado do telefone com que foi emparelhado não autentica nada. Isso torna-o mais próximo de uma chave de segurança física do que de um cofre de armazenamento a frio — e, sobretudo, mais próximo de uma chave de segurança do que de um segundo signatário.
Enquadrar isto no âmbito deste artigo mantém as categorias limpas:
- A custódia dupla é uma conceção de custódia. Responde a "quem tem de assinar para que os fundos se movam": duas chaves, uma delas detida pelo fornecedor.
- O emparelhamento cartão-dispositivo é uma conceção de autenticação. Responde a "o que tem de estar fisicamente presente para o acesso": o cartão e o telefone emparelhados. A autoridade de assinatura nunca sai do utilizador.
Assim, no espetro da custódia que este artigo traça, a WATS situa-se no extremo da auto-custódia pura, com um fator de hardware sobreposto para o controlo de acesso. A funcionalidade de token de taxa única da Hot Wallet, em que as taxas de rede são pagas num só token chamado ATS — usando abstração de contas ERC-4337 nas cadeias EVM e LayerZero OFT para manter um único saldo utilizável em várias redes — é igualmente independente da custódia: altera qual token paga a taxa de rede, não quem detém as suas chaves, e não é um desconto sobre o custo subjacente. O modelo de taxas ATS explicado aborda esse lado por si só. Manter a custódia, a autenticação e as taxas em caixas separadas é exatamente o tipo de precisão que lhe permite avaliar qualquer carteira com clareza.
Conclusão
A custódia dupla permanente é um modelo de assinatura dois-de-dois: uma transação precisa tanto da sua chave como da chave do fornecedor, sempre, sem opção de desligar o segundo signatário. Não é custodial, porque o fornecedor nunca pode agir sozinho. Não é a auto-custódia clássica de chave única, porque você não é o único signatário. E não é multisig opcional, porque a exigência de duas chaves é fixa, e não um quórum flexível que você configura. O lugar rigoroso onde a colocar é o meio do espetro da custódia, definido por duas garantias que valem em todos os momentos: você nunca pode ser excluído, e o fornecedor nunca pode agir unilateralmente. Se, depois de ler esse compromisso, preferir ser o único signatário e acrescentar segurança como camada física em vez de uma segunda chave, a WATS é o exemplo concreto a observar: a extensão para Chrome, a aplicação móvel e a Hot Wallet mantêm as chaves e a seed phrase consigo em Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain, Solana e TON, e o NFC Metal Card emparelha com um único dispositivo na aplicação móvel, de modo que um toque físico o autentica sem que o cartão alguma vez detenha uma chave — auto-custódia no eixo da custódia, hardware no eixo da autenticação, e nenhuma ambiguidade sobre quem assina. O passo seguinte concreto é ler como a Hot Wallet da WATS lida com as chaves e como o WATS NFC Metal Card emparelha com o seu dispositivo, e depois aplicar você mesmo as três perguntas acima.
Perguntas frequentes
O que é uma carteira de custódia dupla?
Uma carteira de custódia dupla é aquela em que cada transação tem de ser assinada por duas chaves separadas — uma detida por si e outra detida pelo fornecedor da carteira — de modo a que nenhuma das partes consiga mover os fundos sozinha. Numa conceção permanente, essa exigência de duas chaves é fixa e não uma funcionalidade que se ativa, o que a torna um modelo dois-de-dois fixo: ao fornecedor falta sempre uma assinatura, e a si também.
Uma carteira de custódia dupla é custodial ou de auto-custódia?
Nenhuma das duas, em rigor. Não é custodial, porque o fornecedor detém apenas uma de duas chaves exigidas e nunca pode mover os seus fundos sozinho. Também não é auto-custódia pura, porque você não é o único signatário — uma contraparte participa em cada transação. A descrição rigorosa é uma posição intermédia deliberada: um modelo dois-de-dois em que você nunca pode ser excluído e o fornecedor nunca pode agir unilateralmente.
O que significa custódia dupla "sempre ativa"?
Significa que a exigência de duas chaves é fixa e permanente, não uma definição que se ativa ou um nível de segurança para o qual se faz upgrade. Cada transação precisa tanto da sua chave como da chave do fornecedor, sempre, sem nenhum modo que se reduza a um único signatário. Chamar-lhe opcional, ou algo em que se opta, seria um erro de categoria, porque o segundo signatário permanente é todo o ponto da conceção.
Em que difere a custódia dupla do multisig 2-de-3?
O multisig clássico como o 2-de-3 é uma política flexível na qual você opta e que configura — escolhe o quórum, atribui as chaves, e poderia até detê-las todas, o que a mantém em auto-custódia. A custódia dupla permanente é uma divisão dois-de-dois fixa entre si e um fornecedor específico, que não pode desligar. Uma configuração 2-de-3 ainda consegue assinar depois de perder uma chave; um dois-de-dois estrito não, e essa é a troca que faz para garantir que nenhuma das partes assina alguma vez sozinha.
O fornecedor pode mover os meus fundos sem mim numa carteira de custódia dupla?
Não. Num modelo genuíno de custódia dupla, o fornecedor detém apenas uma das duas chaves exigidas para assinar, pelo que lhe falta sempre uma assinatura e nunca pode mover os seus ativos por si só. Pela mesma lógica, você também nunca pode ser excluído, porque a sua chave é sempre um dos dois signatários exigidos. Essa restrição mútua é o que coloca o modelo entre custodial e auto-custódia.
A WATS usa custódia dupla permanente em algum dos seus produtos?
A WATS não usa custódia dupla em nenhum produto. Cada produto WATS — a extensão para Chrome, a aplicação móvel e a Hot Wallet — é totalmente não custodial: você gera e detém as suas próprias chaves e seed phrase, é o único signatário, e a WATS nunca detém uma chave. A camada de segurança física que a WATS oferece é de natureza diferente: cada NFC Metal Card tem um ID único e emparelha com um único dispositivo na aplicação móvel da WATS, funcionando apenas com esse telefone emparelhado como fator de autenticação por toque, e não guarda qualquer chave privada. Isso é uma conceção de autenticação, não de custódia — a autoridade de assinatura permanece inteiramente consigo.
Se eu não quiser um segundo signatário exigido, o que devo procurar em alternativa?
Procure uma carteira que o mantenha como único signatário e acrescente segurança no eixo da autenticação, e não no da custódia. A WATS é um exemplo concreto: a sua extensão para Chrome, a aplicação móvel e a Hot Wallet são não custodiais em Ethereum, Arbitrum, Optimism, Base, Polygon, BNB Chain, Solana e TON, e o NFC Metal Card — emparelhado com exatamente um dispositivo — exige um toque físico para autenticar sem nunca deter uma chave privada. Você mantém a autoridade exclusiva; o hardware apenas controla o acesso a ela.