Arquitetura de Sistemas de Pagamento em Cripto: As 6 Camadas e Como o Dinheiro Flui por Elas

Se você está construindo infraestrutura de pagamentos com criptomoedas, é tentador tratá-la como uma coisa só: um sistema que move stablecoins do ponto A ao ponto B. Na prática, essa "coisa única" é composta por seis camadas distintas empilhadas umas sobre as outras, cada uma com sua própria função e seu próprio limite de segurança — e dois fluxos de dinheiro distintos percorrendo todas elas.

Também é útil esclarecer equívocos comuns entre camadas logo de início. Um exemplo: assumir que a assinatura MPC por si só torna uma carteira autocustodiada — quando a custódia na verdade depende de quem detém as partes da chave necessárias para atingir o limiar de assinatura, e não de qual técnica dividiu a chave. Outro exemplo: um cliente pagando a você e você pagando a outra pessoa parecem a mesma coisa — uma transferência de stablecoin. Não são. Confundi-los — tratar um pagamento de saída como um de entrada, ou pular uma verificação porque "é só receber dinheiro" — é como fundos contaminados acabam sendo creditados ou como um pagamento sai antes de alguém deveria tê-lo aprovado.

Analisamos isso como parte do nosso guia mais amplo de segurança e conformidade para pagamentos com criptomoedas, o mesmo modelo de seis camadas que esta série usa para mapear a responsabilidade e o limite de segurança de cada camada.

Aqui está cada camada em sequência: a fundação de blockchain e stablecoin, a camada de carteira e custódia, on-ramp/off-ramp, lógica de negócios, conformidade e a camada de aplicação — junto com o limite de segurança relevante em cada uma. Em seguida, percorremos os dois fluxos de dinheiro passo a passo e destacamos os pontos de verificação que são fáceis de implementar de forma incorreta.

1. A Fundação de Blockchain e Stablecoin

A camada de blockchain é a base de todo o sistema de pagamentos e a fonte primária de muitas das vantagens das stablecoins.

O que a diferencia de uma transferência bancária é simples: a transferência de valor e a liquidação/compensação ocorrem no mesmo livro-razão compartilhado e amplamente aceito. Nas finanças tradicionais, transferência e compensação são duas etapas separadas executadas por diferentes intermediários, seguidas de reconciliação entre instituições. Em uma blockchain, uma transferência confirmada é uma liquidação concluída — não há etapa de compensação separada nem reconciliação posterior. Esse mecanismo de "livro-razão compartilhado, transferência equivale a liquidação" é exatamente o que proporciona finalidade em minutos, desintermediação, disponibilidade 24/7 e rastreabilidade.

Nesse livro-razão compartilhado, uma stablecoin é um token ERC-20 emitido pelo emissor que adiciona funções administrativas — mint, burn, blacklist e pause — o que a impede de ser um ativo totalmente descentralizado, já que o emissor mantém controle sobre o token. Detalhamos o que esse controle do emissor significa para uma empresa em stablecoin payments explained.

Multi-chain e cross-chain

As stablecoins existem em diversas redes, cada uma com seu nicho. O Ethereum é o padrão para DeFi e liquidação institucional, o Solana é adequado para pagamentos de alto volume, a TRON domina remessas de baixo custo e mercados emergentes, e L2s como Base e Arbitrum oferecem canais de pagamento de baixo custo. Em maio de 2026, o Ethereum detinha cerca de 52% do fornecimento de stablecoins e a TRON cerca de 28% — nenhuma rede domina completamente, portanto a maioria das empresas acaba precisando de suporte multi-chain.

Quando é necessário mover stablecoins entre redes, três abordagens são comuns: bridges de terceiros, o protocolo nativo de cross-chain de um emissor (como o CCTP da Circle, que usa burn-and-mint para transferência nativa de USDC) ou a movimentação entre redes via depósitos e saques em uma exchange centralizada. Cross-chain não é uma capacidade central de um sistema de pagamentos — escolha conforme necessário. O que importa é a segurança de cada abordagem: bridges de terceiros e seus pools de liquidez bloqueados têm sido alvos de alto valor há muito tempo, enquanto a rota pela exchange carrega risco de contraparte e de congelamento.

2. A Camada de Carteira e Custódia

A camada de carteira e custódia gerencia o armazenamento e a assinatura de fundos, sendo o núcleo da segurança de um sistema de pagamentos.

A primeira decisão aqui: você mesmo guarda as chaves ou as entrega a um terceiro?

• Autocustódia — as chaves necessárias para atingir o limiar de assinatura estão inteiramente em suas próprias mãos, seja você guardando chaves privadas diretamente ou usando MPC para distribuir a chave como partes entre suas próprias pessoas e infraestrutura. Nenhuma parte externa pode movimentar fundos sozinha. A vantagem é não depender de terceiros e não ter risco de contraparte; o custo é que toda a responsabilidade de segurança é sua, e uma chave ou parte perdida ou roubada significa que os fundos são perdidos para sempre.
• Custódia de terceiros (centralizada/qualificada) — um custodiante licenciado detém as chaves, ou as partes que atingem o limiar, e você opera os fundos por meio de contas e APIs. Você terceiriza a segurança das chaves para especialistas, geralmente com credenciais de seguro e conformidade e uma carga operacional mais leve, ao custo do risco de contraparte (o custodiante sendo hackeado, declarando falência ou congelando sua conta) e perda parcial de controle.
• Custódia híbrida/compartilhada — você e o custodiante detêm cada um parte das partes da chave MPC; as partes de nenhum dos lados são suficientes para assinar sozinhas, equilibrando controle com custódia profissional.

Vale esclarecer um equívoco aqui: o MPC é apenas uma técnica que permite que uma chave exista como partes distribuídas e elimina um único ponto de falha — por si só, ele não determina a natureza da custódia. Para identificar qual tipo você realmente tem, observe uma coisa: quem detém as partes da chave necessárias para atingir o limiar de assinatura.

Nem a autocustódia nem a custódia de terceiros é estritamente melhor. Muitas empresas de pagamentos optam por uma estratégia híbrida: autocustodiando carteiras quentes para velocidade e usando custódia de terceiros ou custódia compartilhada para grandes reservas.

A arquitetura de carteira de três níveis

Também é fácil confundir a temperatura de uma carteira (quente / morna / fria) com seu modelo de autorização (MPC / multisig) — mas são duas dimensões independentes. A temperatura decide se a carteira está online e com que rapidez os fundos podem se mover; o modelo de autorização decide quantas partes precisam assinar. A prática do setor combina ambos em uma estrutura de três níveis:

Separado do armazenamento de chaves, há uma questão relacionada: como você gerencia os endereços de recebimento? As carteiras HD (Determinísticas Hierárquicas) resolvem isso gerando um endereço exclusivo por recebimento, mantendo os fundos isolados para evitar contaminação cruzada — o que é importante para o controle de risco do KYT e o rastreamento de fundos. Aprofundamos como a derivação HD, a autocustódia, o MPC e o multisig se encaixam em crypto payment key management.

3. A Camada de On-Ramp / Off-Ramp

A camada de on/off-ramp é a ponte entre as finanças tradicionais e o mundo on-chain.

• On-ramp (fiat → stablecoin) — um usuário paga em fiat por transferência bancária ou cartão, passa pelo KYC e então o emissor emite ou o usuário compra a stablecoin via exchange.
• Off-ramp (stablecoin → fiat) — a stablecoin é queimada ou vendida via exchange, e o fiat é pago ao usuário por meio de um banco.

Três canais de ramp são comuns, cada um com custo e barreira diferentes:

• Emissão/queima direta pelo emissor — menor custo, já que emissão e resgate geralmente são gratuitos ou quase gratuitos, sendo as taxas de transferência bancária a principal despesa, mas geralmente exige credenciais institucionais e de conformidade.
• Depósitos e saques em exchanges — baixa barreira e ampla cobertura de moedas, porém custo mais elevado (cartão é o canal mais caro, transferência bancária é mais barata), e introduz o risco de contraparte e congelamento da exchange.
• Mesas OTC — para conversões de grande porte em nível institucional, precificadas por cotação negociada com spreads definidos pelo tamanho da operação e liquidez, geralmente mais estreitos do que os canais de varejo para grandes volumes. As mesas OTC operam 24/7, aceitam wire/SWIFT e liquidam no mesmo dia, tornando-se o recurso principal para ramps de grande escala.

Aqui está o ponto crítico: as pernas on-chain e fiat de um ramp funcionam em ritmos diferentes. A liquidação on-chain pode ser em minutos, mas a perna fiat ainda está sujeita aos horários de funcionamento e prazos do SWIFT, SEPA e compensação local — portanto, a velocidade real de um ramp é determinada pela perna fiat mais lenta, não pela mais rápida. No lado da conformidade, o ramp é o ponto de controle principal para KYC/KYB, triagem de sanções e revisão da origem dos fundos, todos precisando ocorrer antes que os fundos sejam liberados. Os percursos de pagamento de entrada e saída descritos mais adiante rastreiam os pontos de verificação de triagem dentro de cada fluxo.

4. A Camada de Lógica de Negócios

A camada de lógica de negócios envolve as capacidades subjacentes em um produto de pagamento real. Seus principais componentes:

• Motor de roteamento de pagamentos — seleciona automaticamente o caminho ideal com base na moeda, rede, valor e preço do gas.
• Motor de câmbio (FX) — cotações em tempo real, controle de slippage, janelas de bloqueio de preço.
• Faturamento e gestão de pedidos — criação de solicitações de pagamento, rastreamento de status, tratamento de timeout.
• Reconciliação e liquidação — correspondência automática de transações on-chain com pedidos de negócios, com tratamento de discrepâncias.

Se sua empresa faz mais do que apenas repassar uma transação — se você custodeia e mantém saldos de clientes, assumindo algumas funções semelhantes às de um banco — esta camada também precisa de controles de aprovação de saques. Os saques de clientes passam por aprovação de risco, limites e revisão multipessoa; os fundos dos clientes são segregados dos seus próprios fundos operacionais; e a solvência é garantida em todo momento, significando que sempre há uma reserva correspondente ao que os clientes podem sacar. Isso é tanto uma prática de controle de risco quanto, na maioria dos países e regiões, um requisito de conformidade para a custódia de fundos de clientes.

5. A Camada de Conformidade

A camada de conformidade permeia todas as transações, interceptando em tempo real enquanto uma transação ocorre, em vez de revisá-la após o fato. Suas capacidades incluem KYC/KYB (onboarding de clientes), KYT (monitoramento de transações em tempo real), triagem de sanções e SAR (relatório de atividades suspeitas). Detalhamos como essas capacidades funcionam na prática — e o risco de congelamento de stablecoins que as acompanha — em on-chain compliance for crypto payments.

6. A Camada de Aplicação

A camada de aplicação é a interface para usuários finais e comerciantes: SDKs de comerciantes, páginas de pagamento, consoles administrativos e gateways de API. Existem dois modelos de implantação aqui — somente software, onde a empresa integra bancos e nós on-chain por conta própria, e trilhos agrupados, onde uma plataforma oferece um serviço completo.

O Fluxo de Pagamento de Entrada: Da Solicitação de Pagamento à Liquidação

Com as camadas definidas, veja como o dinheiro realmente se move entre elas. Um fluxo completo de recebimento de stablecoin funciona assim:

1. O comerciante cria uma solicitação de pagamento via API.
2. O sistema gera um endereço derivado de HD — um endereço exclusivo por recebimento.
3. O usuário transfere stablecoin para esse endereço.
4. O sistema monitora on-chain e aguarda 3 a 6 confirmações de bloco (proteção contra double-spend).
5. A pontuação de risco KYT avalia o risco do endereço remetente e seu caminho.
6. Após a aprovação de risco, o pagamento é creditado.
7. Sweep: os fundos espalhados pelos endereços derivados são coletados em uma carteira de coleta e então alocados ao pool operacional (quente) ou de reserva (frio) conforme a política.
8. Opcional: os fundos são automaticamente convertidos e liquidados em fiat ou outra moeda.
9. O comerciante é notificado via webhook.

Cada uma dessas etapas é um ponto de verificação de segurança por si só: a contagem de confirmações é o parâmetro-chave contra double spends, a pontuação de risco KYT decide se os fundos recebidos devem ser aceitos, e o sweep decide em que estado de risco esses fundos entram no pool principal.

Se você quiser examinar o que uma transação on-chain específica realmente fez antes de ser creditada ou varrida, uma ferramenta como o Phalcon Explorer permite que você mergulhe diretamente nos detalhes da transação.

A Etapa de Sweep É Fácil de Implementar de Forma Incorreta

Essa etapa é fácil de ignorar, mas importante. Cada recebimento cai em um endereço derivado separado, e o dinheiro não se consolida sozinho — você precisa ativamente varrê-lo para uma carteira de coleta. Há duas coisas a acertar aqui.

Primeiro, refaça a triagem antes do sweep. Mesmo que os fundos recebidos já tenham passado pelo KYT no momento do crédito, o sweep é o portão onde os fundos entram no pool principal, e fundos de alto risco são difíceis de isolar uma vez misturados — portanto, reconfirme antes de inseri-los.

Segundo, gestão de gas. Um endereço derivado geralmente contém apenas stablecoin e nenhum token nativo para gas, portanto o sweep precisa de um posto de gas ou de um mecanismo de patrocínio de taxas para recarregar o gas — caso contrário, os fundos ficam presos no endereço derivado.

O Fluxo de Pagamento de Saída: Por Que Enviar É Mais Arriscado do Que Receber

Enviar é mais arriscado do que receber, pois os fundos são irreversíveis assim que saem on-chain. Um fluxo completo de pagamento de saída funciona assim:

1. Uma solicitação de pagamento em lote é enviada.
2. Triagem de sanções do destinatário (KYA).
3. Verificação KYT da transação.
4. Acima de um limiar, isso aciona a aprovação multipessoa.
5. Assinatura MPC (ou multisig).
6. A transação é transmitida on-chain.
7. O status é atualizado após confirmação on-chain.
8. O solicitante é notificado via webhook.

Controles Principais Antes de os Fundos Saírem

Os controles principais aqui incluem limites de taxa (tetos por dia e por transação), lista de permissões (pagamentos apenas para endereços pré-aprovados) e aprovação multipessoa (transações grandes precisam que vários signatários confirmem).

O objetivo desses controles não é nenhum deles isoladamente — é que, juntos, eles estabelecem várias linhas de defesa antes de os fundos saírem, de modo que mesmo se um funcionário interno for comprometido ou um sistema for violado, a perda seja contida.

Vários desses controles, como aprovação multipessoa e assinatura MPC, fazem parte das práticas mais amplas que um sistema de pagamentos precisa em torno de seu ambiente de assinatura — abordamos isso em key management and signing infrastructure.

Unindo as Seis Camadas

Alinhando as seis camadas — fundação de blockchain e stablecoin, carteira e custódia, on-ramp/off-ramp, lógica de negócios, conformidade e aplicação — um padrão surge: cada camada tem sua própria responsabilidade e seu próprio limite de segurança. Os dois fluxos de dinheiro então cruzam todas as seis, razão pela qual um ponto de verificação ausente em qualquer fluxo aparece como uma lacuna em uma camada específica, e não como um vago "risco de pagamento". Confundir uma camada com outra (um modelo de custódia com um modelo de autorização, a velocidade on-chain de um ramp com sua velocidade real de ponta a ponta) é onde as lacunas tendem a se abrir. Para uma análise mais aprofundada de como esses limites se traduzem em controles reais, baixe o guia completo para empresas (PDF).

Perguntas Frequentes

Quais são as seis camadas de uma arquitetura de pagamentos com criptomoedas? A fundação de blockchain e stablecoin, a camada de carteira e custódia, a camada de on-ramp/off-ramp, a camada de lógica de negócios, a camada de conformidade e a camada de aplicação. Cada uma tem sua própria responsabilidade e limite de segurança.

Qual é a diferença entre autocustódia e custódia de terceiros na camada de custódia? Na autocustódia, as chaves necessárias para atingir o limiar de assinatura estão inteiramente em suas próprias mãos, de modo que nenhuma parte externa pode movimentar fundos sozinha — mas você carrega toda a responsabilidade de segurança. Na custódia de terceiros, um custodiante licenciado detém as chaves e você opera por meio de contas e APIs, trocando algum controle por segurança profissional das chaves, geralmente com credenciais de seguro e conformidade.

A assinatura MPC torna uma carteira autocustodiada? Não por si só. O MPC é uma técnica para dividir uma chave em partes distribuídas e eliminar um único ponto de falha — ele não determina a custódia. O que determina a custódia é quem detém as partes da chave necessárias para atingir o limiar de assinatura: inteiramente a empresa, inteiramente um custodiante, ou dividido entre ambos.

Por que um on-ramp ou off-ramp pode levar mais tempo do que a liquidação on-chain? Porque as pernas on-chain e fiat funcionam em ritmos diferentes. A liquidação on-chain pode ser em minutos, mas a perna fiat ainda está sujeita aos horários de funcionamento e prazos do SWIFT, SEPA e compensação local, portanto a velocidade real de um ramp é determinada pela perna fiat mais lenta, não pela blockchain.

Por que um fluxo de pagamento de saída de criptomoedas é mais arriscado do que um fluxo de entrada? Como os fundos são irreversíveis assim que saem on-chain, um fluxo de pagamento de saída executa suas verificações — triagem de sanções KYA, KYT, aprovação e assinatura — antes de a transação ser transmitida.

Por que a etapa de sweep precisa de nova triagem se os fundos já passaram pelo KYT? Porque o sweep é o portão onde os fundos se movem de um endereço derivado isolado para o pool principal, e fundos de alto risco são difíceis de isolar uma vez misturados — portanto, reconfirmar o risco antes do sweep, e não apenas no momento do crédito, fecha essa lacuna.

O que acontece se um endereço derivado não tiver gas para concluir o sweep? Os fundos em stablecoin ficam presos nesse endereço derivado, razão pela qual a etapa de sweep precisa de um posto de gas ou de um mecanismo de patrocínio de taxas para recarregar o gas antes que o sweep possa ser executado.