A autocustódia funciona porque só quem tem a chave pode mover os ativos. Isso é uma propriedade de segurança em vida e um problema de transmissão depois, e é a única parte de ter ativos digitais que ninguém consegue consertar depois do fato, a nenhum preço.
Uma chave que só você tem significa que ninguém pode tomar as suas posições. Significa também que ninguém consegue encontrá-las. Não há instituição para quem escrever, nem conta a reclamar, nem processo pelo qual um familiar comprove um direito e receba um saldo. As chaves existem em algum lugar localizável ou os ativos estão perdidos, e não há um terceiro estado.
Isso não é um defeito do desenho; é o desenho funcionando exatamente como pretendido. Mas ele foi construído para resolver o problema de um terceiro tomar ou perder os seus ativos, e não foi construído para resolver o problema de você não estar. O segundo problema é seu, e as ferramentas para ele são procedimentais e não técnicas.
A escala da versão não resolvida merece ser dita. Uma proporção significativa da oferta total dos ativos digitais mais antigos é considerada permanentemente inalcançável, e se parte disso são chaves perdidas em vida, outra parte são detentores que morreram sem deixar nada localizável. Esse desfecho é comum, e é inteiramente evitável.
Não há instituição para quem escrever nem conta a reclamar. As chaves são localizáveis ou os ativos estão perdidos, e não há um terceiro estado.
O problema é mais difícil do que parece porque tem dois modos de falha que puxam em sentidos opostos. O primeiro é ninguém conseguir encontrar nem usar as chaves depois da sua morte, e as posições se perderem. O segundo é alguém conseguir encontrá-las e usá-las enquanto você vive, e as posições serem roubadas.
Toda solução ingênua falha em um dos dois. Escrever a frase de recuperação e dizer a um familiar onde ela está resolve o primeiro e cria o segundo. Não dizer nada a ninguém resolve o segundo e garante o primeiro. Todo plano que não trata conscientemente dos dois resolve metade do problema com a sensação de ter resolvido tudo.
O enquadramento que ajuda é pensar em termos de condição e não de segredo: o acesso deveria ficar disponível quando algo específico for verdadeiro, e não antes. Tudo o que vem abaixo é um jeito de implementar essa condição com trocas diferentes entre complexidade e robustez.
Três componentes, e a maioria dos planos tem só o primeiro. Um inventário: o que existe, onde, e mais ou menos quanto, para que quem cuidar dos seus assuntos saiba que há algo a procurar. Sem ele, posições podem se perder simplesmente porque ninguém soube que era preciso perguntar, que é a falha mais evitável de todas.
Instruções de acesso: como chegar a cada coisa, escritas para alguém que não sabe o que nada disso é. Não uma frase de recuperação num envelope, mas o procedimento, em linguagem comum, sem supor familiaridade com o vocabulário. Quem executar isso pode ser um advogado ou um cônjuge sem nenhuma base técnica, e as instruções precisam funcionar para essa pessoa.
E a camada jurídica: o que a sua jurisdição exigir para que os ativos passem às pessoas que você pretende. Essa parte é genuinamente específica de cada jurisdição, ela interage com um direito sucessório que difere enormemente entre países, e é a parte em que um profissional qualificado na sua própria jurisdição não é um conselho opcional mas a exigência em si.
A ideia estrutural mais útil é separar o que existe de como chegar até lá. Um inventário sem nenhum segredo pode ser guardado com os seus outros documentos importantes, compartilhado com quem cuidar dos seus assuntos, e atualizado sempre que algo mudar, tudo isso sem nenhum risco de segurança.
O material de acesso, que é a parte perigosa, pode então ser tratado à parte e com proteção muito mais forte, porque ele não precisa ser legível nem atualizável do mesmo jeito. O inventário diz ao inventariante que algo existe e onde mora o procedimento de acesso; o procedimento é protegido pelo mecanismo que você escolheu.
Essa separação também resolve um problema prático que a mera divisão de segredo não resolve. As posições mudam com o tempo, as praças mudam, as carteiras são substituídas, e um plano que exija reconstruir um segredo toda vez que algo muda não será mantido. Um inventário livremente atualizável, apontando para um mecanismo de acesso que raramente muda, será.
O mecanismo clássico é dividir o material de acesso em partes, distribuídas de modo que um número definido delas juntas o reconstrua e qualquer número menor não revele nada. Dividido em cinco com três exigidas, duas pessoas não podem conluiar para chegar lá, e perder duas partes não perde as posições.
A matemática disso é bem estabelecida e as implementações são amplamente disponíveis. A dificuldade é inteiramente humana: os portadores precisam guardar as partes deles por anos sem perdê-las, não devem saber o bastante para valer um ataque individual, precisam ser localizáveis na hora, e precisam ser informados claramente do que fazer sem saber o bastante para agir cedo demais.
A falha mais comum não é criptográfica mas organizacional: partes distribuídas a pessoas que se mudaram, esqueceram, jogaram fora numa mudança, ou morreram antes. Uma divisão que nunca é ensaiada é uma divisão cuja falha você nunca vai descobrir, e a descoberta acontece no pior momento possível para as pessoas menos equipadas para lidar com ela.
Um arranjo de multiassinatura pode servir ao mesmo fim de forma mais elegante, porque ele nunca reconstrói um segredo único. Ativos sob um arranjo que exija duas assinaturas de três podem ser estruturados de modo que você tenha uma, uma pessoa de confiança tenha outra, e uma terceira fique com um profissional ou num local seguro.
Em vida você pode transacionar com a sua própria chave mais uma outra, e depois da sua morte as outras duas podem agir juntas sem você. Ninguém jamais tem o bastante sozinho, nenhum segredo é jamais remontado num objeto único e vulnerável, e o arranjo é visível na cadeia em vez de depender de um documento que talvez ninguém encontre.
O custo é a complexidade: montá-lo corretamente exige cuidado, os participantes precisam entender o papel deles, e recuperar-se da perda de uma parte exige um procedimento que precisa ele mesmo ser documentado. É a estrutura mais forte disponível e é genuinamente mais trabalho, e ela combina melhor com posições substanciais que com modestas.
Uma terceira família de abordagens condiciona o acesso ao tempo e não a pessoas. Vários mecanismos permitem que um acesso se abra após um período em que você não sinalizou que ainda está ali, seja por um serviço, por um contrato, ou por um advogado com instrução de abrir um envelope lacrado após um período de não contato confirmado.
A atração é que eles não exigem confiança contínua na discrição de outra pessoa. A fraqueza é que exigem ação contínua sua, indefinidamente, e todo mecanismo que falha se você esquecer de apertar um botão por alguns meses introduziu um novo jeito de as coisas darem errado que não existia antes.
Onde eles funcionam melhor é em combinação e não sozinhos: uma condição de tempo que governe quando um profissional é instruído a agir, em vez de uma liberação de fundos totalmente automatizada. O passo humano fornece um julgamento que um temporizador não consegue, particularmente sobre a questão de se a condição de disparo é de fato verdadeira.
Ativos numa plataforma e não sob as suas próprias chaves seguem um caminho completamente diferente, e ele é mais próximo de uma conta financeira convencional. Há uma instituição, há um processo, e o espólio de um titular falecido geralmente pode apresentar um pedido acompanhado da documentação que a jurisdição exigir.
Isso é genuinamente mais simples e é uma das vantagens honestas da posse custodiada, particularmente para quem tem herdeiros sem base técnica. A troca é a troca comum da custódia, tratada à parte, e nenhum dos dois lados é obviamente o certo para todo mundo.
O que isso significa na prática é que o inventário importa ainda mais para posições em plataforma, porque elas são recuperáveis mas só se alguém souber que existem. Uma conta que ninguém conhece não é reclamada por ninguém, e posições em plataforma que ninguém sabe procurar estão tão efetivamente perdidas quanto uma frase de recuperação queimada.
Posições em plataforma são recuperáveis por um processo. Elas não são recuperáveis por um herdeiro que nunca soube que a conta existia.
O passo que separa planos que funcionam de planos que existem é o ensaio, e quase ninguém faz. Pegue a pessoa que vai cuidar dos seus assuntos, dê a ela as instruções como estão escritas, e faça com que ela tente recuperar uma posição pequena sem a sua ajuda. Observe onde ela trava.
Os resultados são consistentemente humilhantes. Instruções que pareciam completas supõem um vocabulário que o leitor não tem, referenciam um aparelho que ele não acha, ou exigem um passo que você faz sem pensar e nunca escreveu. Cada um desses é uma falha total no evento real, porque no evento real não há você a quem perguntar.
Ensaiar tem também um benefício secundário que se subestima: força a conversa. Muitos planos falham porque a pessoa que deveria agir não sabia que tinha sido designada, não levou a sério, ou não entendeu que o tempo podia importar. Um ensaio torna essas três coisas visíveis enquanto ainda são consertáveis.
Escreva o inventário primeiro, hoje, sem nenhum segredo dentro: o que existe, mais ou menos quanto, onde o procedimento de acesso está documentado, e quem contatar. Esse único documento elimina a falha mais comum, que é ninguém saber que havia algo a procurar, e ele não carrega risco nenhum porque não contém nada utilizável.
Depois escolha um mecanismo de acesso proporcional ao tamanho do que você tem. Posições modestas não justificam um arranjo de multiassinatura com participantes profissionais; posições substanciais não merecem uma frase numa gaveta. E então converse com um profissional qualificado na sua própria jurisdição sobre a camada jurídica, porque o direito sucessório é onde o conselho geral de um artigo deixa de servir.
Por fim, coloque uma data no calendário para revisar anualmente. As posições mudam, as pessoas mudam, os aparelhos são substituídos, e um plano escrito uma vez e nunca revisto descreve uma situação que deixou de ser verdadeira anos atrás. A revisão leva vinte minutos e é a diferença entre um plano e um documento.
Nada automático. Não há instituição para quem escrever nem conta a reclamar: as chaves existem em algum lugar localizável ou os ativos ficam inalcançáveis para sempre. Uma proporção significativa dos ativos mais antigos é considerada perdida, e parte disso são detentores que morreram sem deixar nada localizável.
Porque tem dois modos de falha puxando em sentidos opostos. Ninguém consegue acessar as chaves depois da sua morte e as posições se perdem; ou alguém consegue acessar em vida e elas são roubadas. Toda solução ingênua conserta um e cria o outro.
Três coisas: um inventário do que existe e onde, instruções de acesso escritas para alguém sem base técnica, e o que o direito sucessório da sua jurisdição exigir. A maioria dos planos tem só o primeiro, e muitos têm só o segundo numa forma insegura.
Não como plano único, porque isso resolve o problema da morte criando um problema de roubo. Estruturas melhores condicionam o acesso: dividir o segredo entre várias pessoas de modo que um número definido possa agir junto, ou uma multiassinatura em que nenhuma parte jamais tem o bastante.
O material de acesso é dividido em partes de modo que um número definido juntas o reconstrua e menos não revelem nada. Dividido em cinco com três exigidas, duas não podem conluiar e perder duas partes não perde nada. As falhas são organizacionais: as pessoas se mudam, esquecem, ou descartam a parte delas.
É a estrutura mais forte porque nenhum segredo único é jamais remontado. Duas assinaturas de três deixam você transacionar em vida com outra parte, e deixam as outras duas agirem juntas depois da sua morte. O custo é uma complexidade genuína e combina melhor com posições substanciais.
Sim, e essa é uma vantagem honesta da custódia. Há uma instituição e um processo, e um espólio geralmente pode reclamar com a documentação que a jurisdição exigir. Mas uma conta que ninguém conhece nunca é reclamada, então o inventário importa ainda mais.
O ensaio. Dê as suas instruções a quem vai agir e faça com que recupere uma posição pequena sem a sua ajuda. Instruções que pareciam completas rotineiramente supõem um vocabulário que falta ou um passo que você faz sem pensar. Cada um é falha total no evento real.