Se o emissor do token falir: quatro formas de posse

Dois produtos iguais na tela, dois destinos na falência

Duas ofertas podem descrever o mesmo lastro, anunciar a mesma janela de resgate e apontar para contratos que qualquer explorador de blocos abre. A diferença entre elas mora numa linha que nenhuma das duas telas mostra: o que aquele token representa juridicamente.

Numa versão, o ativo foi comprado no nome da própria emissora e entrou no balanço dela — o token é a promessa que ela assinou para você. Na outra, o ativo está amarrado a um patrimônio que, por construção, não responde pelas dívidas da emissora, e o token corresponde a uma fatia desse patrimônio. Enquanto o produto funciona, as duas versões entregam a mesma coisa: mesmo saldo, mesmo extrato, mesma taxa, mesma cara.

Elas se separam no dia em que a emissora deixa de pagar alguém e esse alguém pede a falência dela. Na primeira, o ativo tende a ser arrastado para a massa e você entra na fila junto com os outros credores. Na segunda, o ativo em princípio fica fora da massa, e a sua discussão deixa de ser com a empresa que quebrou.

Nada disso é visível na cadeia. Não existe campo «segregado» no contrato, e o balanço da emissora não aparece no explorador. Está no documento da emissão — termo de securitização, regulamento do fundo, prospecto, a seção jurídica do white paper — normalmente no meio dele, numa seção à parte.

Aqui isso tem nome: regime fiduciário e patrimônio separado

Quem já comprou CRI ou CRA conhece esse arranjo sem saber que conhece. A Lei nº 14.430, de 2022, que fixou as regras gerais da securitização de direitos creditórios, descreve com bastante precisão o que precisa estar escrito para a separação existir de fato (texto consolidado no Planalto, aberto em 2026-09).

Pela lei, o regime fiduciário nasce de uma declaração unilateral da companhia securitizadora no termo de securitização, e esse termo tem que cumprir quatro condições: constituir o regime fiduciário sobre os direitos creditórios e as garantias, constituir um patrimônio separado com a totalidade desses bens, nomear um agente fiduciário — nas emissões públicas, instituição financeira ou entidade autorizada pelo Banco Central — e definir de antemão a forma de liquidação desse patrimônio. O termo ainda tem que ser registrado em entidade autorizada pelo Banco Central ou pela CVM a fazer registro ou depósito centralizado.

O efeito está no artigo seguinte, e vale ler devagar. Os bens sob regime fiduciário constituem patrimônio separado que «não se confunde» com o patrimônio comum da securitizadora; «não responderão perante os credores da companhia securitizadora por qualquer obrigação»; e não podem ser dados em garantia a nenhum credor dela, «por mais privilegiados que sejam». É essa frase, e não um adjetivo no material de venda, que tira o ativo da massa.

Tem um detalhe que costuma surpreender: a lei diz que os bens permanecem sob a titularidade da securitizadora, apenas afetados exclusiva e integralmente ao pagamento daquela emissão. Ou seja, a separação não depende de o ativo estar no nome de outra empresa. Depende de estar afetado — e de isso estar registrado.

E a pergunta prática, «se a emissora quebrar, quem toma conta disso?», também está respondida: entre as incumbências do agente fiduciário, a lei lista exercer a administração do patrimônio separado na hipótese de insolvência da securitizadora. Há ainda uma regra que evita efeito em cascata — se os ativos do patrimônio separado não bastarem para pagar os certificados, isso não dá causa à falência dele; convoca-se assembleia dos beneficiários para decidir como administrar ou liquidar.

A consequência para tokenização é direta. Um token que embala um CRI ou um CRA entra dentro dessa moldura e herda esse vocabulário, com cláusulas que você pode procurar por palavra — uma cota de FIDC, não: ela cai na moldura de fundos, que é a quarta forma da próxima seção. Um token emitido por uma companhia registrada fora do país, que apenas se descreve como «bankruptcy remote» num parágrafo de marketing, não herda nada disso: o que vale ali é a lei do lugar onde ela está registrada, e é ali que as quatro condições precisam ter equivalente.

Quatro formas de posse, da mais frágil à mais dura

Colocando as ofertas do mercado lado a lado, o desenho jurídico cai quase sempre em um destes quatro:

• Crédito sem garantia contra a emissora. O ativo está no nome dela, não existe veículo, não existe afetação. Você tem um crédito, geralmente sem garantia nenhuma por trás. É a forma mais barata de montar e a mais comum em produtos que chegaram rápido ao mercado.
• Veículo dedicado ou patrimônio afetado. Uma sociedade de propósito específico que só existe para aquela emissão, ou o regime fiduciário da seção anterior. O objetivo é o mesmo: separar aquele ativo da operação de quem o emitiu. Se separa bem ou mal, depende das cláusulas logo abaixo.
• Propriedade fiduciária por um terceiro. Um terceiro detém o bem em benefício dos titulares. Nas jurisdições que trabalham com trust, tende a ser a separação mais dura de furar; em troca, a estrutura é caríssima, o documento é longo e são poucas as instituições que assumem o papel.
• Cota de fundo regulado. O produto é um fundo e o token é apenas uma forma de escriturar a cota. Aqui você é cotista, não credor: o patrimônio é do fundo, e a quebra do gestor não é a quebra do fundo — troca-se o prestador de serviço. No Brasil essa camada está na Resolução CVM nº 175, que trata da constituição, do funcionamento e da divulgação de informações dos fundos de investimento e traz anexos normativos por tipo — o I para fundos financeiros, o II para FIDC, o III para fundos imobiliários (página de legislação da CVM, consultada em 2026-09).

De cima para baixo, a separação endurece e o custo acompanha. Nenhuma das quatro é «a certa»; o problema é não saber em qual você está. A escada tem ainda um efeito colateral: estrutura mais dura tende a vir acompanhada de restrição de público, e boa parte dessas ofertas só aceita investidor qualificado ou profissional.

Quando a estrutura não é brasileira, procure estas quatro cláusulas

«Segregado», «isolado», «bankruptcy remote» (expressão do mercado para «à prova da falência de quem emitiu») — nenhuma delas é uma propriedade que alguém possa atribuir a si mesmo. Cada uma se desmonta em cláusulas que ou estão no documento, ou não estão:

• A transferência é real ou é garantia? Em finanças estruturadas isso se chama cessão efetiva. Se o ativo apenas foi dado em garantia, ele continua patrimônio da emissora na falência — e quem tem preferência sobre ele é o titular da garantia, que pode não ser você.
• O veículo pode ter outras dívidas? A separação só serve se o próprio veículo não puder ser derrubado por fora. O documento costuma limitar o objeto dele àquela emissão e vedar a captação de outras dívidas. Sem essa cláusula, o isolamento existe só no diagrama.
• Há recurso limitado e vedação a pedir falência? Parecem cláusulas contra o investidor, e são o oposto: impedem que uma das pontas desmonte a estrutura sozinha. Isso não é exótico por aqui — a própria Lei 14.430, no capítulo da Letra de Risco de Seguro, diz em uma linha que os investidores titulares da LRS não poderão requerer a falência ou a liquidação da sociedade emissora.
• Quem governa o veículo? Se os administradores são todos indicados pela emissora, o endereço é o mesmo e a contabilidade é feita junto, sobe a chance de o veículo e a emissora serem tratados como um só devedor — e aí a separação cai. No documento isso aparece como administrador, conselheiro ou agente independente. A lei brasileira, no mesmo espírito, manda a securitizadora manter registros contábeis independentes para cada patrimônio separado.

Faltar uma dessas não condena a estrutura. Faltarem três e o documento ainda chamar o arranjo de segregado é outra conversa. O lado bom é que as quatro se acham por busca de texto no PDF: para ver se a frase existe, não é preciso formação em direito.

Custodiante quebrar é um problema diferente

As duas quebras aparecem juntas em quase toda conversa, e disparam procedimentos distintos.

Emissora quebrando, a pergunta é de titularidade: o ativo é de quem, e você cobra quem. Custodiante quebrando, a pergunta é de escrituração: o ativo continua sendo seu (ou do patrimônio separado), mas está anotado de forma separada na casa dele?

Custódia regulada normalmente exige conta de cliente apartada da conta própria, e nesse desenho os bens do cliente em princípio não entram na massa do custodiante. O ponto fraco desse arranjo raramente é a norma — é o registro. Quando posições de muitos clientes ficam num endereço só e o controle interno não fecha com o extrato, o administrador judicial precisa primeiro estabelecer de quem é o quê, e ninguém recebe antes de essa etapa terminar.

Vale conferir uma coisa a mais: custodiante e emissora são a mesma empresa, ou duas do mesmo grupo? Sendo, a segregação perde parte do sentido, porque os dois problemas chegam juntos e o processo tende a correr junto. Quem custodia e sob qual regulador é o assunto de quem guarda os ativos reais por baixo do token; aqui interessa só o ponto em que os dois temas se encontram.

Em qual falência você está na fila

Suponha o pior: o ativo foi mesmo para a massa da emissora. A primeira coisa que muda é que ninguém age por conta própria. Decretada a falência, a lei de recuperação e falência suspende as execuções contra o devedor e proíbe qualquer retenção, arresto, penhora, sequestro, busca e apreensão ou constrição sobre os bens dele (texto consolidado no Planalto, aberto em 2026-09). Daí em diante, quem distribui é o processo.

A ordem dessa distribuição varia com a lei do lugar da falência, e supor não ajuda. O que dá para afirmar com texto na mão é para quem essa ordem costuma ser desenhada: ao dizer que a afetação do patrimônio separado produz efeito contra quaisquer outros débitos da securitizadora, a Lei 14.430 cita expressamente débitos de natureza fiscal, previdenciária e trabalhista, «em especial quanto às garantias e aos privilégios que lhes são atribuídos». Traduzindo: essas são as filas que passam à frente de um credor comum, e é contra elas que a separação precisa funcionar. Sem separação, é atrás delas que a sua posição fica.

As quatro formas da seção anterior caem, então, em lugares muito distantes. A primeira é crédito comum sem garantia, e em regra recebe o que sobrar depois dos privilégios e das garantias reais. A segunda e a terceira, em teoria, não estão nessa fila — desde que as cláusulas existam. A quarta não é fila de credor: cotista de fundo discute com o patrimônio do fundo, e a insolvência de quem administra tende a produzir substituição de prestador, não uso dos ativos do fundo para pagar dívida alheia.

Então «em que posição eu fico?» é pergunta endereçada ao lugar errado. O que precisa estar resolvido antes é em qual falência você está na fila. Errando essa camada, a ordem seguinte não significa nada.

A lista da cadeia e a lista que o administrador vai usar

Um detalhe concreto: na hora da liquidação, o administrador reconhece os titulares por qual lista?

Parte dos produtos define o registro na cadeia como o livro oficial de titulares, e transferir o token é transferir a titularidade. Outra parte diz, em letras miúdas, que o registro válido é o livro escritural mantido fora da cadeia, e que a camada on-chain é espelho ou comprovante. Quem pode manter esse livro, por sinal, mudou por aqui: entre os três objetos da Lei 14.430 está a flexibilização do requisito de instituição financeira para prestar serviço de escrituração e de custódia de valores mobiliários.

A diferença é bem concreta. Se a lista que vale é a de fora da cadeia, um token comprado num lugar que não faz identificação de titular pode não ter o seu nome na relação, ou exigir um procedimento de reivindicação antes de aparecer nela.

É aí que a restrição de transferência, tão chata no uso diário, mostra para que serve. Estruturas com whitelist só permitem posse por endereços que passaram por identificação, e o contrato barra o resto. Essa amarra é o que mantém as duas listas conciliadas. Um produto que se apresenta com estrutura jurídica rígida e ao mesmo tempo deixa o token circular livremente entre endereços quaisquer está prometendo duas coisas incompatíveis.

Falta a camada de permissões. Congelar, transferir à força, pausar: existindo essas funções no contrato, elas não se desativam porque a emissora entrou em processo. Quem fica com as chaves durante o procedimento, e sob ordem de quem, é decidido pelo processo, não pelo código. Como localizar essas permissões e ver em que mãos estão é o assunto de risco dentro e fora da blockchain.

Onde cada classe costuma cair

A distribuição dessas quatro formas entre as cinco classes é bem desigual, e reconhecer o padrão poupa tempo de leitura.

Título público tokenizado tende a aparecer como cota de fundo ou sob propriedade fiduciária, e há produtos cujo documento é, na prática, o regulamento de um fundo de renda fixa. O lastro já é padronizado e registrado, então encaixar na moldura de fundos que já existe custa menos do que inventar uma estrutura nova — e isso explica parte da elegibilidade restrita nessa classe.

No ouro, a forma jurídica é a discussão secundária: o que importa é em qual cofre a barra está e em nome de quem, o que joga o peso para a segregação na custódia e para a redação do comprovante de propriedade. Guarda alocada e guarda em conta coletiva pesam mais aqui do que em qualquer outra classe.

Imóvel passa quase obrigatoriamente por um veículo que detém a matrícula, e o que você compra é participação nele ou direito ao fluxo — não o imóvel. Somam-se registro de imóveis, tributação e regras locais, e é um dos motivos de essa classe ser tão difícil de montar.

Crédito privado quase sempre chega como fundo ou algo parecido, e traz uma segunda fila dentro de si: quem come o primeiro calote entre as camadas de cota. Essa fila não tem relação com a falência da emissora — o desenho das camadas está em crédito privado tokenizado: quem perde primeiro. Ação tokenizada é o caso de maior variação, de comprovante emitido por veículo dedicado a puro passivo do emissor, e envolve ainda a transmissão de direitos de acionista, que fica fora deste texto. As outras diferenças de mecanismo entre as cinco classes estão linha por linha na tabela de mecanismos.

Abra o documento e procure estas sete coisas

Tudo acima desce para um arquivo só. Ele pode se chamar termo de securitização, regulamento, prospecto, suplemento ou anexo jurídico, mas existe. Com ele aberto, busca de texto resolve mais rápido que leitura corrida:

1. Nome completo e jurisdição da emissora. Documento que traz só a marca, e não a pessoa jurídica, já é um achado. O lugar de registro determina todas as regras de insolvência que vêm depois.
2. A que patrimônio o ativo está afetado. À emissora, a um veículo, a um terceiro fiduciário ou a um fundo. Essa linha define em qual das quatro formas você entrou.
3. Cessão efetiva, regime fiduciário ou apenas garantia. E, havendo regime fiduciário, se o termo foi registrado e onde.
4. Limitação de objeto, recurso limitado, vedação a pedir falência e contabilidade separada. Existir importa mais do que estar bem redigido.
5. Custodiante: quem é, regulado por quem, se é do mesmo grupo da emissora. E como a segregação de contas está escrita.
6. Qual registro de titulares é o oficial. Cadeia ou escriturador, e qual o caminho de reivindicação para quem possui por endereço fora da whitelist.
7. A seção de inadimplemento, liquidação e ordem de pagamento. Quase sempre tem título próprio. Não existir, ou existir em uma frase vaga, já é a resposta que você procurava.

Quanto mais desses sete ficarem sem resposta, menos base você tem para decidir. São cláusulas que não mudam nada em nenhum dia normal e decidem tudo em um único dia ruim — e é justamente por não mudarem nada em dia normal que vale abri-las enquanto nada aperta.

O funcionamento do resgate fora de qualquer crise está em dá para resgatar o ativo de verdade. Este texto trata do que existe depois que esse canal fecha de vez.