Regulação de ativos virtuais: o que muda para compliance

Boa parte da discussão sobre regulação de ativos virtuais no Brasil se concentra em prazo e em quem precisa de autorização. É a parte administrativa, e ela importa — mas não é onde está o risco.

O risco está numa mudança silenciosa de ônus. Enquanto o setor era zona cinzenta, "não tínhamos como saber a origem daqueles recursos" era uma explicação. Com regime definido e supervisor designado, a mesma frase deixa de ser explicação e passa a ser confissão de falha de controle.

A virada, em três movimentos

1. Definição legal. A Lei nº 14.478/2022, em vigor desde junho de 2023, definiu o que é ativo virtual e o que é prestadora de serviço de ativo virtual, tirando o setor da informalidade jurídica.

2. Designação do supervisor. O Decreto nº 11.563/2023 atribuiu ao Banco Central a competência para regular, autorizar e supervisionar as prestadoras — sem alterar a competência da CVM sobre o que seja valor mobiliário.

3. Regulamentação concreta. O Banco Central publicou em novembro de 2025 as Resoluções BCB nº 519, 520 e 521, em vigor desde 2 de fevereiro de 2026. Elas desenham quem pode operar, sob que requisitos, e enquadram parte das operações com ativos virtuais como mercado de câmbio.

Individualmente, cada passo é burocrático. Juntos, produzem um efeito que nenhum deles produz sozinho: passa a existir um padrão de conduta esperado. E onde há padrão esperado, a ausência de controle deixa de ser circunstância e vira descumprimento.

O que muda na prática

De declarar para demonstrar. Política escrita, treinamento anual e declaração de conformidade sempre foram o mínimo. O que se cobra agora é evidência de aplicação: o que o controle apontou, o que foi feito com o apontamento, e por que a decisão foi aquela. Controle sem trilha é controle que, para efeito de supervisão, não aconteceu.

Conheça o cliente, e a contraparte do cliente. Identificar o titular resolve a pergunta de quem opera a conta. Não resolve a de onde veio o recurso. Em ativo virtual essa segunda pergunta é respondível — o registro é público — e por isso a resposta passa a ser exigível.

O dado deixa de ser opcional. Com o enquadramento de parte das operações como mercado de câmbio, a prestação de informações ao Banco Central sobre elas é obrigatória desde 4 de maio de 2026. A consequência estrutural é a que interessa a compliance: a lacuna deixa de ser invisível. Quando o dado deveria ter sido reportado e não foi, isso aparece.

Autorização é porta, não carimbo. Entre os requisitos do pedido estão idoneidade dos controladores, capital mínimo e conformidade com normas de gerenciamento de risco, segurança cibernética e prevenção à lavagem de dinheiro. Quem entra no regime aceita ser medido por eles continuamente.

O ponto cego

Quase todo programa de compliance de ativos virtuais é montado sobre uma ferramenta de screening — endereço entra, classificação de risco sai. É necessário, e é onde a maioria para.

O que o screening faz bem é responder sobre o endereço. O que ele não faz é responder sobre a estrutura: quem está por trás, que outras entidades compartilham o mesmo comportamento, se aquele fluxo já apareceu antes com outro nome. Endereço limpo e contraparte problemática coexistem sem conflito — e é precisamente aí que a supervisão pergunta o que foi feito além de consultar a lista.

Escala é o outro ponto cego. Volume de transação em ativo virtual não é compatível com análise manual, e alerta que ninguém consegue tratar produz o pior dos mundos: a instituição sabia, registrou que sabia, e não agiu. Do ponto de vista de responsabilização, isso é pior do que não ter o alerta.

O que fazer antes da cobrança

• Mapear exposição real, incluindo o indireto — cliente cuja atividade envolve ativo virtual sem que isso conste do cadastro
• Testar a trilha: escolher um alerta antigo e tentar reconstruir a decisão só com o que está registrado. Se não der, o problema já existe hoje
• Definir o critério de escalonamento — o que sobe para análise aprofundada, quem decide, em que prazo
• Estabelecer capacidade de aprofundamento, interna ou externa, para o caso que o screening não resolve. Alerta que não tem para onde ir vira alerta ignorado
• Checar a situação das contrapartes diante do prazo de autorização, que se encerra em 30 de outubro de 2026 para quem já opera

Em uma frase

A regulação não pede mais documento. Ela pede que, quando perguntarem, exista resposta — e que a resposta esteja registrada desde antes da pergunta.

---

A CyberX atua em inteligência digital aplicada à investigação — OSINT, rastreamento on-chain e antifraude. Este conteúdo é informativo e não constitui orientação jurídica.