Prazo para protocolo da primeira fase termina em 30 de outubro de 2026 e exige que prestadoras demonstrem maturidade em compliance, governança, cibersegurança e gestão de riscos
O mercado brasileiro de criptoativos entrou em uma nova fase regulatória, marcada pelo aumento das exigências de prevenção à lavagem de dinheiro, governança, cibersegurança, segregação de ativos e gestão de riscos. De acordo com a LC SEC, especializada em cibersegurança e compliance, esse novo cenário exige que as empresas do setor avancem na estruturação e na comprovação da efetividade de seus controles. Exchanges (plataformas que permitem comprar, vender e negociar criptoativos), custodiantes e outras prestadoras de serviços de ativos virtuais que já estavam em atividade precisam protocolar até 30 de outubro de 2026 a primeira fase do pedido de autorização ao Banco Central e demonstrar controles efetivos nessas áreas. As regras também iniciam a implantação progressiva da Travel Rule, regra que exige maior rastreabilidade das transferências e o compartilhamento de informações sobre quem envia e quem recebe ativos virtuais.
As Resoluções BCB nº 519, 520 e 521, publicadas em novembro de 2025 e, em sua maior parte, vigentes desde fevereiro de 2026, estabeleceram o novo marco para autorização e funcionamento das prestadoras de serviços de ativos virtuais. Empresas que já operavam quando as normas entraram em vigor têm 270 dias para protocolar o pedido inicial de autorização, prazo que se encerra em 30 de outubro de 2026. A Resolução BCB nº 552, publicada em março deste ano, também ampliou a aplicação de regras relacionadas a conformidade, controles internos, auditoria e segurança cibernética às prestadoras autorizadas.
Segundo estimativa da Chainalysis, endereços associados a atividades ilícitas receberam pelo menos US$ 154 bilhões em 2025, alta de 162% em relação ao ano anterior. Embora a empresa ressalte que essas operações representaram menos de 1% do volume total analisado, os números reforçam a necessidade de mecanismos capazes de identificar e rastrear movimentações suspeitas. No recorte brasileiro de seu relatório de 2026, a Crystal Intelligence dimensiona o mercado em aproximadamente 6,5 milhões de investidores e afirma que stablecoins estão presentes em 90% das transações consideradas pelo estudo.
Para Luiz Claudio, CEO e fundador da LC SEC, o momento exige uma mudança de postura das empresas. “A regulamentação deixou de ser uma discussão sobre princípios gerais e passou a exigir evidências concretas de que os controles funcionam. Não basta ter uma política de compliance bem escrita: é preciso demonstrar que processos, pessoas e tecnologia estão preparados para identificar, tratar e reduzir riscos”, afirma.
A seguir, o especialista reúne cinco pontos que devem estar no radar das empresas que buscam se preparar para o processo de autorização:
1. Fortalecer os controles de prevenção à lavagem de dinheiro
Exchanges e custodiantes precisam demonstrar que conhecem seus clientes, empresas clientes e beneficiários finais, além de classificarem riscos, verificarem pessoas expostas politicamente e listas restritivas e monitorarem comportamentos incompatíveis com os perfis cadastrados.
No ambiente cripto, esse trabalho precisa combinar informações cadastrais com dados das transações realizadas em blockchain, tecnologia que registra as movimentações de ativos virtuais e permite rastrear seu histórico. Mais do que gerar alertas automáticos, a empresa deve ser capaz de registrar como cada caso foi analisado, qual decisão foi tomada e quais medidas foram adotadas diante de uma movimentação suspeita.
2. Preparar-se para a Travel Rule
A implementação progressiva da Travel Rule aumenta as exigências de rastreabilidade das transferências de ativos virtuais. As informações sobre originador e beneficiário deverão acompanhar as operações realizadas entre prestadoras, exigindo integração entre cadastro, monitoramento de blockchain, avaliação de contrapartes e registros de auditoria.
As empresas também precisarão estabelecer procedimentos para situações como informações incompletas, divergências de identidade, transferências envolvendo carteiras autocustodiadas, nas quais o próprio usuário mantém o controle dos ativos e das chaves de acesso, e operações com prestadores estrangeiros.
Na avaliação de Luiz Claudio, a adaptação à nova exigência deve envolver não apenas os processos de compliance, mas também a infraestrutura tecnológica necessária para garantir o rastreamento das operações. “A Travel Rule exige que as empresas estejam preparadas não apenas do ponto de vista regulatório, mas também tecnológico. É preciso garantir que as informações acompanhem as transferências de forma segura, padronizada e auditável, inclusive quando houver diferentes prestadores envolvidos na operação”, destaca.
3. Garantir a segregação e a segurança dos ativos dos clientes
A Resolução BCB nº 520 estabelece mecanismos para diferenciar os ativos pertencentes aos clientes daqueles que pertencem à própria prestadora. Para as exchanges, isso exige processos capazes de garantir conciliação, controle de carteiras, continuidade operacional e identificação rápida de eventuais divergências.
A separação precisa estar refletida não apenas em políticas internas, mas também nos sistemas e controles utilizados pela empresa. Segurança patrimonial, contabilidade e tecnologia devem trabalhar de forma integrada para assegurar que os registros correspondam aos ativos efetivamente mantidos.
4. Transformar cibersegurança em evidência de governança
A nova estrutura regulatória aumenta a importância de políticas de segurança, gestão de acessos, avaliação de riscos, monitoramento, resposta a incidentes e controles relacionados à contratação de serviços de tecnologia e nuvem.
No mercado de ativos virtuais, esses cuidados precisam alcançar chaves criptográficas, carteiras, APIs (interfaces que permitem a comunicação e a troca de informações entre diferentes sistemas), sistemas administrativos, contas privilegiadas, ambientes de desenvolvimento e fornecedores terceirizados. Testes de segurança, revisão de permissões, planos de resposta a incidentes, backups, ou cópias de segurança, e monitoramento de credenciais passam a fazer parte da estrutura de governança que precisa ser demonstrada pela empresa.
5. Organizar evidências e processos para o processo de autorização
Um dos principais desafios para as prestadoras será transformar políticas e procedimentos em evidências verificáveis. O Banco Central avaliará aspectos relacionados à atuação anterior da empresa, à idoneidade de controladores e participantes relevantes, à capacidade econômico-financeira e à estrutura necessária para administrar os riscos da operação.
Por isso, é importante organizar previamente documentos, registros, responsáveis, controles, testes e indicadores que comprovem a efetividade dos processos. “O prazo de 30 de outubro não representa a conclusão da autorização, mas o limite para o protocolo da primeira fase. As empresas que ainda estão estruturando seus controles precisam entender que o trabalho de preparação deve começar agora”, pontua Luiz Claudio.