A conformidade financeira sempre esteve equilibrada numa linha delicada: os reguladores precisam de visibilidade suficiente para manter os maus atores afastados, mas os utilizadores querem que as suas vidas financeiras permaneçam privadas apenas para fazer um pagamento ou uma troca. Em 2025, essa tensão está mais aguda do que nunca. Temos regras mais rígidas de combate à lavagem de dinheiro (AML), regimes de proteção de dados mais abrangentes, mais atividades transfronteiriças e, ao mesmo tempo, tecnologia de privacidade aprimorada como nunca tivemos.
A boa notícia é que já não precisamos sacrificar a privacidade para garantir a conformidade. As provas de conhecimento zero (ZKPs) oferecem uma solução para o chamado paradoxo da privacidade: os reguladores precisam de garantias de que as regras estão a ser seguidas, mas expor identidades completas e detalhes das transações cria riscos de segurança, legais e de proteção de dados. As ZKPs permitem inverter o modelo de “mostre-me os dados” para “mostre-me uma prova”, possibilitando às empresas demonstrar conformidade sem revelar informações subjacentes.
Essa abordagem não foi criada para obscurecer a supervisão regulatória. Em vez disso, moderniza o conjunto de ferramentas de conformidade para que as entidades reguladas possam demonstrar o cumprimento das suas obrigações legais (verificações de sanções, obrigações de KYC, segregação de ativos de clientes, verificações de capital) sem transferir ou expor os dados subjacentes. As ZKPs podem ser melhores para os utilizadores e, a longo prazo, para a conformidade regulatória, porque as provas são verificáveis e à prova de manipulações.
O que a zero-knowledge realmente faz
Uma prova de conhecimento zero é uma forma criptográfica de dizer: “Posso provar-te que segui a regra X, mas não te mostrarei as informações sensíveis normalmente necessárias para provar isso.” No setor financeiro, “regra X” pode ser muito concreta: “esta carteira foi verificada contra a lista de sanções atual”; “este utilizador possui uma credencial KYC válida de um emissor confiável”; “esta bolsa detém ativos de clientes 1:1 e estes reconciliam com passivos”; “esta transação está abaixo (ou dentro) de um intervalo permitido”, e assim por diante.
Hoje, podemos ser obrigados por lei a reportar grandes conjuntos de dados a reguladores específicos. Cumprimos as leis de proteção de dados aplicáveis, mas isso também aumenta o risco de violações de cibersegurança e uso indevido. Uma abordagem baseada em ZK prova o resultado, não todos os inputs. Se um regulador precisar aprofundar, pode ser desenhado um processo para a divulgação seletiva de dados específicos necessários (chaves de visualização, acesso com limite de tempo e logs completos de auditoria, concedidos sob devido processo, conforme necessário), como um portal regulador com permissões ou uma janela de acesso.
Por que isto importa agora
Três tendências estão a convergir.
Na UE, os supervisores estão a tornar os controlos de combate à lavagem de dinheiro (AML) mais granulares, enquanto o GDPR e outros regimes de privacidade enfatizam a minimização de dados e a limitação de finalidades. Estes podem ser complementares em vez de opostos: a conformidade deve fornecer a mesma ou melhor garantia com menos exposição rotineira de dados pessoais. Este objetivo pode ser alcançado utilizando técnicas de reporte que preservam a privacidade.
Em segundo lugar, os quadros de identidade digital (como os previstos na eIDAS 2.0) estão a aproximar-se da realidade. São construídos com os mesmos blocos de construção das ZK: credenciais verificáveis, divulgação seletiva e atestados criptográficos. Isso torna muito mais realista emitir credenciais portáteis de “Passei KYC” ou “Não estou sancionado” que podem ser provadas, não recolhidas novamente, em múltiplos serviços.
Terceiro, os supervisores estão a explorar tecnologias que aumentam a privacidade, incluindo modelos de verificação de provas.
Como uma pilha de conformidade baseada em provas poderia parecer
Já temos exemplos em funcionamento. A prova de reservas aprimorada por ZK é a mais conhecida: uma bolsa prova que possui os ativos para cobrir os passivos dos clientes sem revelar saldos individuais. Essa é uma garantia de conhecimento zero.
Pode fazer o mesmo para a verificação de sanções. Em vez de enviar toda a identidade a cada verificação, uma carteira apresenta uma prova de que foi verificada contra a lista mais recente num momento específico. O regulador, ou um VASP regulado do outro lado, executa um nó verificador para confirmar que a prova é válida e atualizada. É importante notar que os “nós verificadores” são uma proposta de política que operam como uma infraestrutura de supervisão para validar provas sem recolher dados em massa.
Também pode fazer isso para segregação: um custodiante prova que os ativos de clientes não estão misturados com fundos próprios através de uma prova de intervalo ou soma, sem publicar o livro-razão completo. Pode até integrar isso em contratos inteligentes: as transações não são executadas a menos que a prova seja aprovada. Isso é “conformidade programável” – regras aplicadas no momento da transação em “tempo real”, em vez de posteriormente.
Para os reguladores, a mudança principal é de recolher dados brutos para verificar evidências criptográficas. Ainda assim, obtêm garantias, auditabilidade e rastreabilidade quando há uma base legal para desvendar a identidade. Mas não precisam de manter ou processar grandes quantidades de dados pessoais por padrão, reduzindo riscos operacionais e legais.
Respostas às principais questões
Os reguladores já estão a começar a adotar pilotos de ZK direcionados, variando desde provas verificáveis de reservas até ao cumprimento da Travel Rule, que valida atributos do utilizador sem expor conjuntos de dados completos. À medida que esses primitives amadurecem, eles naturalmente se expandem para controles de integridade de mercado, permitindo às empresas demonstrar que estão dentro dos limites de concentração e exposição através de provas de intervalo e soma, sem revelar posições subjacentes.
Crucialmente, ZK não é sinónimo de opacidade; sistemas bem arquitetados utilizam divulgação seletiva via chaves de visualização ou multi-partes. Isso garante que o acesso das forças de segurança seja restrito, verificável e sujeito a devido processo, em vez de permanecer universal e silencioso.
O que os reguladores poderiam exigir
Para funcionar além-fronteiras, precisamos de padrões: tipos de provas padrão (por exemplo, “não está na lista de sanções X a partir de data Y”), formatos de credenciais padrão e lógica de verificador padrão que possam ser inspecionados. Assim, evita-se que cada bolsa, carteira ou banco crie a sua própria versão, complicando desnecessariamente a supervisão.
Concretamente, os reguladores podem beneficiar de seis aspetos:
- Resultados em vez de dados (diga-me o que provou, não tudo o que possui);
- Provas de menor informação (prove apenas o necessário para esta obrigação);
- Verificações programáveis (aplicadas no momento da transação, onde for adequado);
- Mecanismos fortes de disponibilidade de dados e saída (os utilizadores podem sempre confirmar os seus saldos e retirar);
- Lógica verificável do verificador (inspeções, vetores de teste, logs de auditoria);
- Sem backdoors generalizados (divulgação apenas sob processos legais, restritos e registados).
A Binance é uma bolsa global que já usa ZKPs para demonstrar reservas. O nosso sistema de prova de reservas (POR) usa uma árvore de Merkle – uma estrutura criptográfica que condensa muitas entradas de conta num “impressão digital” única – juntamente com provas de conhecimento zero para demonstrar que os ativos dos clientes estão totalmente garantidos, sem revelar saldos individuais. Com cada atualização do POR, os utilizadores podem confirmar que o seu saldo está incluído na árvore, enquanto as ZKPs garantem que os totais gerais estão corretos e que não há saldos negativos ou falsificados. O resultado é uma verificação independente, que preserva a privacidade, de reservas que constrói confiança sem comprometer dados pessoais.
Mas isto é mais do que uma empresa. Se conseguirmos fazer isto bem, podemos tornar a conformidade financeira mais precisa, mais respeitadora da lei de privacidade e mais fácil de supervisionar.
Isto exigirá colaboração. Os reguladores precisarão de desenvolver padrões de prova que aceitem; a indústria precisará de alinhar e incorporar esses padrões, e os organismos de definição de padrões garantirão que os padrões de prova sejam interoperáveis além-fronteiras.
Como é que o sucesso se apresenta
O sucesso é quando um utilizador consegue provar legitimidade sem partilhar excessivamente; um banco, VASP ou bolsa consegue cumprir as obrigações de AML/Travel Rule com menos divulgações de dados; um regulador consegue executar um nó verificador e obter garantias em tempo real; e os maus atores podem ser desmascarados sob condições claras, restritas e legais.
Resumindo, garantia com menos divulgação. À medida que o risco cibernético aumenta, as leis de privacidade evoluem e as finanças digitais transfronteiriças crescem, passar de uma recolha rotineira de dados em massa para provas verificáveis é uma atualização pragmática na prática de supervisão.
