Crypto & Fintech
A entrada das prestadoras de serviços de ativos virtuais no perímetro regulatório do Banco Central transforma PLD/FTP em uma camada operacional da atividade. As novas regras para carteiras autocustodiadas reforçam a necessidade de integrar onboarding, monitoramento blockchain, sistemas e governança.
Equipe Marinho de Gusmão
·
A regulamentação brasileira de ativos virtuais não se limita à necessidade de obter autorização do Banco Central.
Para exchanges, custodiantes e outros prestadores de serviços de ativos virtuais, um dos efeitos mais relevantes do novo regime é a incorporação de obrigações de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (PLD/FTP) à própria arquitetura da operação.
Como analisamos em “Licença SPSAV no Brasil: quem precisa de autorização e como funciona o processo perante o Banco Central”, a Resolução BCB nº 520 trouxe as prestadoras de serviços de ativos virtuais para um ambiente de autorização, supervisão, governança, controles internos e prestação de informações semelhante, em vários aspectos, ao aplicável às demais instituições supervisionadas pelo Banco Central. O próprio regulador destaca que o novo regime alcança proteção ao cliente, PLD/FTP, governança, segurança e controles internos.
Em setembro de 2026, esse arcabouço foi novamente reforçado. A Resolução BCB nº 588 incluiu entre as comunicações específicas ao Coaf as transferências de ativos virtuais para ou de carteiras autocustodiadas em valor igual ou superior ao equivalente a US$ 10 mil. A regra entrou em vigor em 1º de outubro de 2026.
Para os operadores, a consequência prática é clara: compliance em crypto não pode ser tratado como um conjunto de políticas elaborado apenas para o pedido de autorização. KYC, monitoramento on-chain, gestão de alertas, investigação de transações e comunicação às autoridades precisam funcionar dentro dos sistemas e dos fluxos reais da plataforma.
O que muda em PLD/FTP para empresas de ativos virtuais?
A Resolução BCB nº 520 determina que as prestadoras de serviços de ativos virtuais observem a regulamentação específica de prevenção e combate à lavagem de dinheiro, ao financiamento do terrorismo e à proliferação de armas de destruição em massa.
Mas o regime vai além de uma referência genérica às regras tradicionais de PLD/FTP. Nas operações envolvendo ativos virtuais, a SPSAV deve ser capaz de transmitir à instituição receptora informações sobre originador e beneficiário, incluindo dados de identificação, contas envolvidas e identificação das carteiras de ativos virtuais utilizadas na transação.
A mesma regulamentação exige adequação dos controles internos e das políticas de risco, identificação de operações suspeitas ou irregulares e manutenção dos registros das transações pelo prazo mínimo de cinco anos.
Na prática, isso aproxima o ambiente de crypto de uma lógica já conhecida no sistema financeiro, mas com uma diferença relevante: parte das informações necessárias à análise não está apenas no cadastro ou no fluxo bancário — está também na blockchain e na relação entre endereços, wallets, contrapartes e protocolos.
É por isso que simplesmente aplicar um manual bancário tradicional a uma exchange tende a ser insuficiente.
KYC e KYB não terminam no onboarding
No mercado de ativos virtuais, o processo de conhecimento do cliente precisa acompanhar o risco da operação.
Para pessoas físicas, isso significa identificar e qualificar adequadamente o usuário, compreender seu perfil e atribuir classificação de risco compatível com a natureza esperada das transações.
No caso de pessoas jurídicas, o KYB — Know Your Business — exige uma análise adicional: atividade econômica, estrutura societária, beneficiários finais, jurisdições envolvidas, origem dos recursos, natureza das operações pretendidas e eventual exposição a setores ou países de maior risco.
Mas o principal cuidado é não tratar o onboarding como um evento isolado. Uma conta pode ter sido aberta com documentação regular e, posteriormente, passar a apresentar um padrão completamente distinto daquele que justificou sua classificação inicial.
Em crypto, alguns sinais podem surgir no comportamento transacional: aumento abrupto de volume, movimentação incompatível com o perfil econômico, utilização recorrente de determinadas contrapartes, passagem por estruturas que dificultem a rastreabilidade ou interação com endereços relacionados a atividades de maior risco.
O processo, portanto, precisa funcionar como um ciclo: identificação → classificação de risco → monitoramento → alerta → análise → decisão → registro → eventual comunicação. É essa cadeia que precisa ser defensável perante o regulador.
O monitoramento precisa incluir a dimensão on-chain
Um programa de PLD/FTP para ativos virtuais não pode olhar apenas para a movimentação em reais.
Imagine um cliente que realiza um aporte de recursos perfeitamente identificado, converte esses valores em ativos virtuais e, em seguida, transfere os ativos para diferentes wallets externas.
Do ponto de vista bancário, o fluxo inicial pode parecer regular. O risco pode surgir justamente depois da conversão para o ambiente blockchain.
A análise precisa considerar, conforme o modelo de negócio e o risco identificado, elementos como origem e destino dos ativos, histórico de determinados endereços, relacionamento entre wallets, exposição a contrapartes de risco e padrões destinados a reduzir a rastreabilidade.
Isso não significa que toda interação com uma carteira externa seja suspeita. Significa que o sistema de controles precisa ser capaz de distinguir comportamentos ordinários daqueles que exigem investigação adicional, documentando os critérios utilizados.
Essa capacidade é especialmente importante porque a Resolução BCB nº 520 determina que os controles internos e a estrutura de riscos estejam preparados para o cumprimento das regras de monitoramento das operações com ativos virtuais.
O que mudou para as carteiras autocustodiadas em 1º de outubro de 2026?
Uma carteira autocustodiada — ou self-hosted wallet — é aquela em que o próprio usuário controla as chaves privadas que permitem movimentar os ativos, em vez de deixar esse controle com uma exchange ou custodiante.
A Resolução BCB nº 588/2026 alterou a Circular nº 3.978/2020 e incluiu entre as operações sujeitas a comunicação específica ao Coaf as transferências de ativos virtuais para ou de carteiras autocustodiadas em valor igual ou superior ao equivalente a US$ 10 mil.
A norma entrou em vigor em 1º de outubro de 2026. A mudança é relevante porque não depende, para essa hipótese específica de comunicação, da conclusão prévia de que a operação é suspeita.
É importante distinguir duas lógicas. A regulamentação já prevê a comunicação de operações ou situações suspeitas, após análise e decisão fundamentada da instituição. A Resolução nº 588 acrescentou uma hipótese objetiva de comunicação específica relacionada às transferências com carteiras autocustodiadas que atinjam o valor regulamentar.
Isso exige que os sistemas sejam capazes não apenas de monitorar risco, mas também de identificar quando a contraparte é uma carteira autocustodiada, calcular o valor da operação segundo o critério regulamentar e gerar corretamente a obrigação de comunicação.
Carteira autocustodiada passou a ser proibida?
Não. A nova regra não estabelece uma proibição geral de transferências para ou de carteiras autocustodiadas.
O que existe é um aumento da rastreabilidade, identificação e supervisão dessas operações. O próprio Banco Central explica que o tratamento específico decorre da menor disponibilidade de informações nas situações em que o usuário controla diretamente suas chaves privadas, quando comparadas às operações em que os ativos permanecem custodiados por instituição regulada.
Essa distinção é importante também para a comunicação com clientes. Empresas devem evitar transformar obrigações de monitoramento em mensagens genéricas de que “self-custody é proibida” ou, no extremo oposto, presumir que uma transferência para carteira autocustodiada esteja fora do perímetro regulatório.
O tratamento depende da operação, do valor, das informações disponíveis e das regras aplicáveis ao fluxo.
A chamada Travel Rule também passa a fazer parte da operação
Outra dimensão relevante está na circulação das informações que acompanham as transferências.
A Resolução BCB nº 520 exige que, nas operações envolvendo ativos virtuais, sejam fornecidas à instituição receptora informações mínimas sobre o originador e o beneficiário da transação.
Para o originador, a norma prevê, entre outros elementos, nome ou denominação, identificação de conta, endereço, CPF/CNPJ ou identificação internacional equivalente e a carteira envolvida. Para o beneficiário, exige informações mínimas de identificação e da carteira da transação.
Esse tipo de exigência costuma ser associado internacionalmente à denominada Travel Rule.
Para operadores internacionais, a dificuldade prática não está apenas em saber que a informação precisa ser transmitida. É necessário garantir que sistemas globais, integrações com outras VASPs, provedores tecnológicos e fluxos internos consigam coletar, validar, transmitir e armazenar dados no padrão necessário para a operação brasileira, inclusive quando a contraparte esteja localizada em outra jurisdição.
Essa é uma das situações em que compliance, tecnologia e contratos precisam ser estruturados conjuntamente.
A regra de US$ 10 mil não termina em outubro: há outra mudança prevista para 2027
Há uma segunda obrigação relacionada a transferências para carteiras autocustodiadas que merece ser distinguida da Resolução nº 588.
A Resolução BCB nº 584/2026 criou medidas específicas de prevenção a fraudes, com entrada em vigor prevista para 1º de janeiro de 2027.
Entre elas está a retenção cautelar por até 24 horas de determinadas transferências destinadas a entidades do mercado de ativos virtuais no exterior ou a carteiras autocustodiadas quando os valores superarem US$ 10 mil, considerados individualmente ou pelo total movimentado pelo cliente no mesmo dia, além de outras situações que exijam avaliação adicional de risco.
São regras diferentes. A partir de 1º de outubro de 2026, há a nova hipótese de comunicação ao Coaf prevista na Resolução nº 588. A partir de 1º de janeiro de 2027, entra em cena, nas situações previstas na Resolução nº 584, a retenção cautelar para análise adicional de risco de fraude.
Misturar essas obrigações pode gerar desenho operacional incorreto. Para empresas que estão desenvolvendo ou adaptando sistemas agora, porém, faz sentido preparar as duas exigências de forma coordenada.
PLD/FTP também faz parte do processo de autorização da SPSAV
As empresas que já exerciam atividades abrangidas pelo novo marco na data da entrada em vigor das Resoluções BCB nº 519 e 520 devem instruir a fase 1 do processo de autorização até 30 de outubro de 2026, ressalvada a possibilidade regulamentar de prorrogação, mediante pedido justificado, por até sessenta dias a critério do Banco Central.
A Instrução Normativa BCB nº 704 passou a exigir, inclusive para as SPSAVs em atividade, relatório de asseguração razoável elaborado por auditoria independente registrada na CVM. O escopo regulatório contempla verificações relacionadas às políticas, procedimentos e controles de prevenção à lavagem de dinheiro, comunicações às autoridades e registros das operações.
Isso muda a perspectiva sobre compliance. Não basta apresentar ao Banco Central uma política formalmente adequada. A estrutura precisa produzir evidência de funcionamento.
Uma política afirma que a empresa classifica seus clientes por risco; a evidência demonstra como essa classificação é realizada, em quais sistemas, com quais parâmetros, quando é revista e quais decisões decorrem dela.
Uma política afirma que transações são monitoradas; a evidência demonstra quais cenários geram alertas, como os alertas são analisados, quem aprova o encerramento da análise e como as decisões ficam registradas.
É justamente essa passagem de documento para processo verificável que tende a ser decisiva em um ambiente efetivamente supervisionado.
O que uma SPSAV deveria revisar agora?
Para operadores em atividade ou empresas em processo de autorização, a revisão de PLD/FTP deve ser tratada como um projeto multidisciplinar. Os principais pontos são:
governança do programa e definição clara do administrador responsável;
KYC e KYB, incluindo beneficiário final e classificação de risco;
critérios de atualização cadastral e revisão periódica;
monitoramento de transações fiat e on-chain;
identificação e tratamento de carteiras autocustodiadas;
parametrização da comunicação específica ao Coaf prevista na Resolução nº 588;
procedimentos para identificação, investigação e documentação de operações suspeitas;
coleta e transmissão dos dados de originador e beneficiário exigidos pela Resolução nº 520;
guarda de registros e trilha de auditoria;
integração com ferramentas de blockchain analytics e demais provedores tecnológicos;
revisão dos contratos com terceiros que participem de KYC, custódia, monitoramento ou processamento das operações;
preparação dos sistemas para as novas medidas antifraude que entram em vigor em janeiro de 2027; e
organização das evidências que poderão ser examinadas no processo de autorização e pela auditoria independente.
O objetivo não é produzir o maior número possível de políticas. É construir uma estrutura em que a política escrita corresponda ao comportamento do sistema e à rotina real das equipes.
Onde os operadores mais se expõem
Os principais problemas tendem a aparecer na distância entre o desenho jurídico e a execução.
Um programa pode estar formalmente completo e, ainda assim, falhar se a ferramenta de blockchain analytics não estiver integrada aos fluxos da plataforma; se alertas forem encerrados sem fundamentação; se os critérios de risco não forem atualizados; se dados necessários à comunicação não estiverem disponíveis; ou se uma entidade estrangeira do grupo executar parte relevante do monitoramento sem responsabilidades claramente definidas.
Outro risco está na utilização indiscriminada de políticas globais. Uma exchange internacional pode ter um programa de AML sofisticado em sua jurisdição de origem e, ainda assim, precisar adaptar procedimentos para atender às obrigações específicas do Banco Central brasileiro, aos fluxos com instituições locais e às comunicações exigidas no Brasil.
Da mesma forma, terceirizar ferramentas não significa terceirizar responsabilidade regulatória.
O operador continua precisando demonstrar por que determinada solução foi escolhida, quais riscos ela cobre, quais limitações possui e como seus resultados são incorporados às decisões da instituição.
Compliance em crypto passou a ser infraestrutura regulatória
O novo regime brasileiro aproxima definitivamente PLD/FTP da arquitetura central de uma empresa de ativos virtuais.
KYC, KYB, blockchain analytics, identificação de wallets, Travel Rule, gestão de alertas, comunicação ao Coaf e retenção de registros deixam de ser temas periféricos da operação.
Passam a influenciar autorização, relacionamento bancário, tecnologia, produto, contratos e capacidade de permanecer sob supervisão do Banco Central.
As mudanças de outubro reforçam essa conclusão. Desde 1º de outubro, transferências de valor igual ou superior ao equivalente a US$ 10 mil para ou de carteiras autocustodiadas passaram a integrar as hipóteses específicas de comunicação ao Coaf. Em janeiro de 2027, novas medidas antifraude acrescentarão controles adicionais sobre determinados fluxos para o exterior e para self-hosted wallets.
Para os operadores, a pergunta deixou de ser apenas se existe uma política de PLD/FTP.
A pergunta regulatória agora é: a empresa consegue demonstrar, operação por operação, que seus sistemas, pessoas e controles executam efetivamente aquilo que a política determina?
É esse nível de maturidade que o novo ambiente regulatório passa a exigir.
Este artigo tem caráter informativo geral e não substitui a análise jurídica de um caso concreto.
Área de atuação relacionada: Crypto & Fintech.
Fontes oficiais
O que muda em PLD/FTP para empresas de ativos virtuais no Brasil?
As SPSAVs passam a operar sob regras específicas de prevenção à lavagem de dinheiro, ao financiamento do terrorismo e à proliferação de armas de destruição em massa. Isso inclui identificar e qualificar clientes e empresas, monitorar transações fiat e on-chain, transmitir informações sobre originador e beneficiário, investigar alertas, manter registros por pelo menos cinco anos e comunicar operações às autoridades quando aplicável.
Transferências para carteiras autocustodiadas passaram a ser proibidas?
Não. A regulamentação não proíbe a self-custody. Desde 1º de outubro de 2026, transferências para ou de carteiras autocustodiadas em valor igual ou superior ao equivalente a US$ 10 mil estão sujeitas a comunicação específica ao Coaf, além do monitoramento baseado em risco aplicável às demais operações.
Toda transferência de US$ 10 mil para uma carteira autocustodiada é considerada suspeita?
Não. A comunicação específica prevista na Resolução BCB nº 588 é uma obrigação objetiva distinta da comunicação de operação suspeita. A SPSAV precisa identificar o tipo de carteira, calcular o valor segundo o critério regulamentar e cumprir a comunicação, sem presumir automaticamente que a operação seja ilícita.
O que a Travel Rule exige das SPSAVs?
A Resolução BCB nº 520 exige que determinadas informações sobre o originador e o beneficiário acompanhem as transferências de ativos virtuais. A operação deve conseguir coletar, validar, transmitir e armazenar dados de identificação, contas e carteiras, inclusive quando a contraparte estiver em outra jurisdição.
Quais controles entram em vigor em janeiro de 2027?
A Resolução BCB nº 584 prevê, a partir de 1º de janeiro de 2027, retenção cautelar por até 24 horas para determinadas transferências superiores a US$ 10 mil destinadas a entidades de ativos virtuais no exterior ou a carteiras autocustodiadas, além de outras situações que exijam avaliação adicional de risco de fraude.
Como PLD/FTP afeta o processo de autorização da SPSAV?
O Banco Central e a auditoria independente esperam evidências de que os controles funcionam na prática, e não apenas políticas formalmente adequadas. Sistemas, parâmetros de monitoramento, gestão de alertas, decisões, registros, governança e trilhas de auditoria precisam estar integrados à operação e ser demonstráveis.
Compartilhe este artigo