O mercado brasileiro de criptoativos entrou em nova fase regulatória. Exchanges, custodiantes e prestadoras de serviços de ativos virtuais que já operavam quando as normas entraram em vigor precisam protocolar até 30 de outubro de 2026 a primeira fase do pedido de autorização junto ao Banco Central.
A seguir:
- Prazo final: 30 de outubro de 2026 para protocolo da primeira fase junto ao Banco Central
- Exigências envolvem compliance, Travel Rule, segregação de ativos, cibersegurança e evidências de controles
- Mercado brasileiro tem 6,5 milhões de investidores; stablecoins presentes em 90% das transações
As Resoluções BCB nº 519, 520 e 521, publicadas em novembro de 2025 e vigentes desde fevereiro de 2026, estabeleceram o novo marco. Empresas têm 270 dias para protocolar, prazo que encerra em 30 de outubro. A Resolução BCB nº 552, publicada em março, também ampliou exigências relacionadas a conformidade, controles internos, auditoria e cibersegurança.
O cenário: ilicitude e escala
Os números contextuam a urgência regulatória. Segundo Chainalysis, endereços associados a atividades ilícitas receberam pelo menos US$ 154 bilhões em 2025, alta de 162% em relação ao ano anterior. Embora essas operações representem menos de 1% do volume total, reforçam a necessidade de mecanismos de rastreamento.
No Brasil, Crystal Intelligence dimensiona o mercado em aproximadamente 6,5 milhões de investidores. Stablecoins estão presentes em 90% das transações analisadas, indicador de como esses ativos se entranharam na infraestrutura de pagamento cripto.
Para Luiz Claudio, CEO e fundador da LC SEC, especializada em compliance e cibersegurança:
“A regulamentação deixou de ser uma discussão sobre princípios gerais e passou a exigir evidências concretas de que os controles funcionam. Não basta ter uma política de compliance bem escrita: é preciso demonstrar que processos, pessoas e tecnologia estão preparados para identificar, tratar e reduzir riscos.”
1. Fortalecer controles de prevenção à lavagem de dinheiro
Exchanges e custodiantes precisam demonstrar que conhecem seus clientes. Isso inclui classificar riscos, verificar pessoas expostas politicamente, consultar listas restritivas e monitorar comportamentos incompatíveis com perfis cadastrados.
No ambiente cripto, esse trabalho combina informações cadastrais com dados de transações em blockchain. Mais que gerar alertas automáticos, a empresa deve registrar como cada caso foi analisado, qual decisão foi tomada e que medidas foram adotadas diante de movimentações suspeitas.
2. Preparar-se para a Travel Rule
A Travel Rule aumenta exigências de rastreabilidade das transferências de ativos virtuais. Informações sobre originador e beneficiário devem acompanhar operações realizadas entre prestadoras.
Isso exige integração entre cadastro, monitoramento de blockchain, avaliação de contrapartes e registros de auditoria. As empresas também precisam estabelecer procedimentos para informações incompletas, divergências de identidade, transferências envolvendo carteiras autocustodiadas (onde o usuário controla os ativos) e operações com prestadores estrangeiros.
Claudio destaca:
“A Travel Rule exige que as empresas estejam preparadas não apenas do ponto de vista regulatório, mas também tecnológico. É preciso garantir que as informações acompanhem as transferências de forma segura, padronizada e auditável, inclusive quando houver diferentes prestadores envolvidos na operação.”
3. Garantir segregação e segurança dos ativos
A Resolução BCB nº 520 estabelece mecanismos para diferenciar ativos de clientes daqueles da própria prestadora. Para exchanges, exige processos que garantam conciliação, controle de carteiras, continuidade operacional e identificação rápida de divergências.
A separação precisa estar refletida não apenas em políticas internas, mas nos sistemas e controles da empresa. Segurança patrimonial, contabilidade e tecnologia devem trabalhar integradas para assegurar que registros correspondam aos ativos efetivamente mantidos.
4. Transformar cibersegurança em evidência de governança
A nova estrutura aumenta importância de políticas de segurança, gestão de acessos, avaliação de riscos, monitoramento, resposta a incidentes e controles relacionados a contratação de serviços de tecnologia e nuvem.
No mercado de ativos virtuais, esses cuidados alcançam chaves criptográficas, carteiras, APIs, sistemas administrativos, contas privilegiadas, ambientes de desenvolvimento e fornecedores terceirizados. Testes de segurança, revisão de permissões, planos de resposta a incidentes, backups e monitoramento de credenciais passam a integrar a estrutura de governança que deve ser demonstrada.
5. Organizar evidências e processos para autorização
Um dos principais desafios será transformar políticas e procedimentos em evidências verificáveis. O Banco Central avaliará atuação anterior da empresa, idoneidade de controladores, capacidade econômico-financeira e estrutura para administrar riscos.
Por isso, é importante organizar previamente documentos, registros, responsáveis, controles, testes e indicadores que comprovem efetividade dos processos.
Claudio conclui:
“O prazo de 30 de outubro não representa a conclusão da autorização, mas o limite para o protocolo da primeira fase. As empresas que ainda estão estruturando seus controles precisam entender que o trabalho de preparação deve começar agora.”
Próximos passos
O prazo de 30 de outubro marca não o fim, mas o ponto de partida do processo de autorização. Empresas ainda estruturando controles têm cinco meses para demonstrar maturidade em compliance, governança, cibersegurança e gestão de riscos.
A Travel Rule começará a ser implementada progressivamente. Regulação deixou de ser princípio e virou exigência de evidência. O Banco Central quer provas de que os controles funcionam de verdade.
