A cobertura contra roubo de criptomoedas existe hoje em um punhado de formatos: endossos de crime pessoal oferecidos por um pequeno número de seguradoras especializadas, seguro de custódia mantido por algumas exchanges e custodiantes em nome de seus usuários, e apólices independentes de ativos digitais contratadas diretamente por empresas e indivíduos de alto patrimônio. Nada disso se parece com uma apólice residencial ou de automóvel padrão, e o processo de sinistro reflete isso. As seguradoras nesse espaço ainda estão construindo confiança atuarial em torno de uma categoria de perda que praticamente não existia há uma década, e essa cautela aparece diretamente no que exigem antes de pagar.
Por que esse mercado ainda é cauteloso
As seguradoras precificam uma apólice com base em dados históricos de perdas, e o roubo de criptomoedas tem um histórico mais curto e mais raso do que quase qualquer outro risco segurado. As perdas também variam de forma incomum quanto ao mecanismo: um ataque de phishing, uma chave privada comprometida, a exploração de um contrato inteligente e um dispositivo roubado parecem diferentes no papel, mesmo quando o resultado é o mesmo. Essa variação dificulta a construção de processos padronizados de sinistro, o que explica boa parte de por que as exigências abaixo são mais rigorosas, e mais manuais, do que a maioria dos segurados espera.
O que as seguradoras normalmente exigem
- Um boletim de ocorrência registrado prontamente após a descoberta, com um número de caso ou referência, mesmo em jurisdições com pouca chance de investigar ativamente.
- Uma linha do tempo detalhada do incidente, mostrando quando a perda foi descoberta, como, e quais passos imediatos foram tomados.
- Os identificadores de transação e endereços de carteira específicos de cada transferência não autorizada, cruzados com registros de titularidade de carteira ou conta que comprovem que os fundos eram genuinamente seus.
- Evidência de como os requisitos de segurança da apólice foram cumpridos no momento da perda, como a autenticação de dois fatores estar ativada, as chaves estarem armazenadas conforme a apólice especifica, ou uma carteira de hardware estar em uso quando a apólice pressupõe uma.
- Comprovação do valor do ativo no momento da perda, geralmente dados de cotação de uma exchange reconhecida para a data e o horário relevantes.
- Em muitos casos, um relato de terceiro independente sobre o ocorrido, distinto da própria narrativa do segurado.
As seguradoras frequentemente exigem prova de que as condições de segurança estabelecidas na apólice foram de fato seguidas. Um sinistro pode ser negado não porque o roubo seja colocado em dúvida, mas porque o segurado não consegue demonstrar que cumpriu uma condição específica, como a autenticação multifator estar ativa, no momento da perda.
Onde um relatório de rastreamento profissional se encaixa
Um relatório de rastreamento blockchain não é algo que a maioria das apólices exige explicitamente, mas na prática costuma ser o único documento capaz de mover um sinistro de contestado para aprovado. Seguradoras avaliando uma categoria de sinistro pouco familiar dependem fortemente de evidência técnica independente, e um relatório de rastreamento que documenta exatamente quais carteiras receberam os fundos, se foram movidos para uma exchange identificável, e com que grau de confiança essa cadeia de custódia pode ser estabelecida, dá ao perito algo concreto para embasar sua análise, em vez de depender apenas do relato do próprio segurado sobre o incidente.
Isso é particularmente verdadeiro para sinistros acima de um limiar que aciona escrutínio adicional, e para sinistros em que o mecanismo da perda é contestado, por exemplo, se uma transação foi genuinamente não autorizada ou se pode ter sido um golpe interno em uma carteira empresarial com múltiplos signatários. Um relatório de rastreamento não decide essa questão por si só, mas dá aos próprios investigadores da seguradora um ponto de partida documentado, em vez de uma investigação em aberto.
O que costuma atrasar sinistros
A causa mais comum de atraso não é a suspeita de fraude, é a documentação incompleta enviada logo no início e depois completada aos poucos ao longo de semanas, com cada ida e volta acrescentando tempo à análise. Um segundo problema comum é a lacuna entre o que a apólice realmente cobre e o que o segurado presumia estar coberto, o seguro de custódia mantido por uma exchange, por exemplo, geralmente protege contra falhas operacionais da própria exchange, não contra um ataque de phishing às credenciais de conta de um usuário individual. Ler os gatilhos específicos de cobertura da apólice antes de um incidente ocorrer, não depois, é de longe a melhor forma de evitar uma surpresa desagradável na hora do sinistro.