Como analisar os riscos de um projeto de tokenização

Um projeto de tokenização costuma chegar com uma apresentação bonita, o nome de uma blockchain conhecida e a promessa de acesso fácil a um ativo antes restrito. Nada disso diz se o projeto é sólido.

Este texto propõe um roteiro de análise em sete camadas. Ele não repete por que a tecnologia não elimina risco; isso está em por que tokenizar um ativo não elimina o risco. Aqui o foco é prático: o que pedir, onde conferir e quais respostas acendem um alerta. As referências são relatórios da Organização Internacional das Comissões de Valores (IOSCO) e do Conselho de Estabilidade Financeira (FSB), além de normas da Comissão de Valores Mobiliários (CVM) consultadas em 8 de outubro de 2026.

O roteiro em sete camadas

Camada	Pergunta central
1. Ativo	O que existe por trás do token e quanto ele rende ou vale, sem a tecnologia?
2. Estrutura jurídica	Contra quem é o seu direito, e qual registro vale?
3. Regulação da oferta	A oferta está sob as regras de algum regulador?
4. Código	O contrato inteligente faz o que promete, e quem pode alterá-lo?
5. Custódia	Quem guarda o ativo real e quem guarda as chaves?
6. Dados externos	De onde vêm as informações que movem o contrato?
7. Saída	Como e a que preço você consegue sair?

A ordem importa. As três primeiras camadas decidem se o projeto merece análise técnica. Se o ativo é frágil ou o direito é vago, uma auditoria de código impecável não salva o investimento.

1. O ativo: analise como se não houvesse token

Comece descrevendo o ativo com suas próprias palavras: um imóvel alugado, um conjunto de recebíveis, uma dívida de empresa, um estoque de commodity. Depois faça as perguntas que faria sem blockchain nenhuma.

• De onde vem o retorno? Aluguel, juros, venda futura, valorização?
• O que derruba esse retorno? Vacância, inadimplência, queda de preço, problema operacional.
• Quem avaliou o ativo, e com qual método? Uma avaliação feita pela própria empresa que vende o token tem conflito evidente.

Se a resposta para “de onde vem o retorno” for vaga, ou depender de novos compradores entrando, pare aqui. Retorno que depende só da entrada de dinheiro novo é o padrão das pirâmides financeiras.

2. A estrutura jurídica: o que o token dá a você

Um token é um registro. O que importa é o direito que esse registro representa e contra quem ele pode ser cobrado. Peça o documento jurídico da operação (contrato, termo de emissão, regulamento) e procure três respostas.

• Quem é o emissor, com nome empresarial e CNPJ, e se o ativo está em nome dele ou de uma sociedade criada só para a operação.
• Qual registro vale juridicamente. A IOSCO observou, em relatório de novembro de 2025, que operadores adotam caminhos diferentes: alguns tratam um registro fora da blockchain como a fonte oficial de propriedade, outros combinam os dois, outros dão prioridade ao registro na rede. Segundo o relatório, essa variação pode confundir o investidor sobre qual é o registro oficial do seu ativo e gerar disputas, se não for bem informada (IOSCO, 2025).
• O que acontece se o emissor falir. O ativo fica separado do patrimônio da empresa ou entra na massa falida?

No caso de imóveis, a diferença entre token e propriedade é tema de um token representa a propriedade legal de um imóvel?.

3. A regulação da oferta: confira antes de confiar

No Brasil, a CVM afirma que o fato de um ativo ser digital ou estar em blockchain “é irrelevante” para decidir se ele é valor mobiliário. O que conta é a natureza econômica (CVM, Parecer de Orientação 40, 2022). Se o token funciona como investimento coletivo oferecido ao público, a oferta precisa seguir as regras do mercado de capitais.

Um caminho comum para ofertas menores é o crowdfunding de investimento, regido pela Resolução CVM 88. No texto consolidado consultado em 8 de outubro de 2026, essa via exige plataforma registrada na CVM, captação de até R$ 15 milhões e prazo de até 180 dias. O investidor não qualificado tem limite de R$ 20 mil por ano nessas ofertas, com exceções previstas na norma, e assina um termo de ciência de risco. A própria resolução manda a plataforma avisar que “a CVM não analisa previamente as ofertas”. A norma está em revisão; o contexto está em tokenização imobiliária no Brasil: quem regula o quê.

Na prática:

• Verifique se a plataforma está registrada. A CVM publica a lista no portal de dados abertos (Plataformas de Crowdfunding: Informação Cadastral).
• Leia as informações essenciais da oferta, em especial a seção de alertas sobre riscos que a Resolução 88 exige.
• Desconfie de quem diz que “token não precisa de regulação”. Pode ser verdade em um caso específico, mas a afirmação genérica contraria o que a CVM diz.

4. O código: o que o contrato faz e quem manda nele

O contrato inteligente é o programa que controla o token na blockchain. Ele pode limitar quem compra, bloquear transferências e distribuir pagamentos. Como isso funciona em ativos reais está em contratos inteligentes aplicados a ativos reais.

Para analisar o risco, pergunte:

• Houve auditoria de código por empresa independente? Peça o relatório completo, não só um selo, e veja se os problemas apontados foram corrigidos.
• O contrato pode ser atualizado, e por quem? O poder de atualização permite corrigir falhas, mas também mudar regras depois que você comprou.
• Quem tem as chaves administrativas? Uma única pessoa com poder de congelar ou mover tokens é um ponto único de falha.

A IOSCO lembra que erros de código podem fazer transações não serem executadas como previsto e que, em blockchains públicas sem permissão, corrigir esses erros depois da implantação não é simples. Falhas também podem ser exploradas por atacantes.

5. A custódia: dois cofres para conferir

Há sempre duas guardas: a do ativo real e a do token. Pergunte quem guarda cada uma, sob qual regulador, e se os ativos dos investidores ficam separados do patrimônio de quem guarda. As camadas de guarda estão detalhadas em custódia de ativos tokenizados: quem controla o quê.

O FSB lista os custodiantes entre os terceiros de que a tokenização depende, ao lado de oráculos e de serviços de conversão entre o sistema tradicional e a blockchain (FSB, outubro de 2024). Cada terceiro é uma empresa que pode falhar.

6. Os dados externos: quem informa o contrato

O código não enxerga o mundo físico. Pagamentos de aluguel, valor de cota e saldo em custódia chegam à rede por meio de oráculos, serviços que gravam na blockchain dados vindos de fora. O FSB aponta que as regras para provedores de dados no mercado tradicional podem não cobrir inteiramente os oráculos e que eles podem ser alvo de ataques e manipulação.

A pergunta-chave é simples: quem alimenta o contrato, e quem confere essa fonte? Se a resposta for “a própria emissora”, você está confiando na palavra dela, agora em formato digital. O tema completo está em oráculos: como o ativo físico chega à blockchain.

7. A saída: como você deixa o investimento

Avalie a saída antes da entrada. Existe resgate pelo emissor, com prazo e preço definidos? Existe mercado secundário, com compradores reais, ou só a promessa de um? A Resolução 88 obriga a plataforma a alertar sobre a dificuldade de vender valores mobiliários de empresa não registrada na CVM que não são negociados em mercado regulamentado. Em qualquer caso, considere que pode não haver comprador e que é possível perder todo o valor aplicado.

Conflitos de interesse: a camada que atravessa todas

Em muitos projetos, a mesma empresa origina o ativo, avalia, emite o token, opera a plataforma, guarda as chaves e informa os dados ao contrato. A IOSCO observa que, quando a separação entre funções desaparece, podem surgir conflitos de interesse difíceis de administrar, como quando um agente negocia por conta própria e liquida tanto as próprias operações quanto as de outros participantes.

Pergunte quais funções estão concentradas em uma só empresa ou grupo e quem, de fora, confere cada uma.

Sinais de alerta

• Retorno prometido ou “garantido”, sem explicar de onde vem.
• Emissor sem nome empresarial, CNPJ ou endereço verificáveis.
• Plataforma que não aparece na lista da CVM oferecendo algo que funciona como investimento coletivo.
• Documento jurídico ausente, ou só um white paper técnico.
• Auditoria de código citada, mas não divulgada.
• Uma pessoa com poder de congelar, emitir ou mover tokens, sem controle externo.
• Pressa para decidir e bônus para quem traz outros investidores.

Para reconhecer fraudes conhecidas, veja golpes com criptomoedas: como identificar e denunciar.

O que levar deste texto

• Analise o projeto de fora para dentro: ativo, direito jurídico e regulação primeiro; código, custódia e dados depois.
• Em cada camada, a pergunta decisiva é quem responde se algo der errado, e se essa resposta está por escrito.
• A recusa em mostrar documentos, auditorias ou registros já é, por si só, uma informação sobre o risco.