O Brasil avançou na regulamentação de ativos virtuais, mas ainda apresenta lacunas na aplicação de sanções e no controle de operações realizadas fora do perímetro das prestadoras de serviços de ativos virtuais (Vasps). A avaliação consta da sétima atualização do Gafi sobre a implementação das normas destinadas ao setor, publicada em julho de 2026.
O estudo The 2026 Crypto Crime Report, da Chainalysis, estima que ao menos US$ 154 bilhões em ativos digitais relacionados a atividades ilícitas foram recebidos em 2025. Relatório produzido pelo Banco Central do Brasil registra uma “terceira onda” do criptocrime e aponta que as stablecoins já representam mais de 80% dessas operações.
Sanções e comunicação ao Coaf
Na avaliação do Gafi, o Brasil é parcialmente conforme e apresenta resposta positiva em quase todos os itens analisados: avaliação de risco, ausência de proibição, exigência de registro ou licenciamento, registro de emissores de stablecoins que se qualifiquem como Vasps, inspeção supervisória e adoção da travel rule. O único item negativo é a adoção de sanção ou de outra medida supervisória contra Vasps.
A lacuna não decorre da falta de previsão legal. A Lei n. 14.478/22 atribui ao regulador competência para supervisionar as prestadoras e aplicar a Lei nº 13.506/2017 em caso de descumprimento. A Resolução nº 520 também submete as PSAVs ao conjunto de regras aplicável às instituições autorizadas pelo Banco Central.
O problema apontado é a ausência de aplicação de medidas sancionatórias. Parte da explicação está no período de transição, durante o qual as prestadoras em atividade ainda podem requerer autorização. Também falta tipificar, em regulamento, as infrações específicas do setor e estabelecer sua gradação.
Outro ponto é a comunicação de operações suspeitas ao Coaf. A operacionalização desse procedimento pelas PSAVs foi descontinuada em setembro de 2022, embora permaneça o dever previsto no art. 9º da Lei n. 9.613/98.
Medidas adotadas e áreas de risco
A Lei nº 14.478/22 incluiu as PSAVs entre os sujeitos obrigados da Lei nº 9.613/98. As Resoluções BCB nº 519, 520 e 521, de novembro de 2025, regulamentaram o regime. A Resolução nº 520 disciplinou a travel rule, a identificação de operações suspeitas e a vedação a ativos desenhados para favorecer o anonimato.
A Resolução nº 521 passou a tratar transferências de ou para carteiras autocustodiadas como operações de câmbio, mesmo sem elemento de internacionalidade. Com isso, a prestadora deve identificar o proprietário da carteira e manter processos para verificar a origem e o destino dos ativos. O reporte periódico dessas transferências ao Banco Central também passou a exigir a identificação do proprietário.
O Gafi registra que apenas 23% das jurisdições coletam métricas de mercado sobre transações diretas entre pessoas. Nesse ponto, o Brasil aparece como caso positivo, porque a regulamentação gera esse tipo de informação.
A Resolução nº 584/2026, com entrada em vigor em janeiro de 2027, prevê retenção cautelar de até 24 horas para transferências destinadas a carteiras autocustodiadas ou a entidades constituídas no exterior quando superarem US$ 10 mil por operação ou no agregado diário.
A Receita Federal também alcançou operações sem intermediação de prestadora. A Instrução Normativa nº 2.291/2025, conhecida como DeCripto, abrange operações acima de R$ 35 mil mensais e atribui ao próprio titular o dever declaratório. O endereço da carteira só é exigido mediante intimação em procedimento fiscal.
Ainda permanecem descobertas as transferências realizadas integralmente fora do circuito das prestadoras, porque as regras alcançam o ponto de contato com a carteira autocustodiada, mas não o que ocorre depois da remessa. Também há limitações no tratamento das stablecoins: a Resolução BCB nº 520 veda stablecoins algorítmicas e ativos de anonimato, mas regula o ofertante, não o emissor.
Os arranjos de finanças descentralizadas não são disciplinados pelas três resoluções do Banco Central. Já as Vasps offshore podem atuar à margem do sistema, acessando o mercado nacional por meio de conta aberta em PSAV licenciada, com aparência de usuária de varejo, em arranjo aninhado.
Propostas preventivas
Entre as medidas sugeridas estão a exigência de comprovação da origem e da finalidade de transferências durante a janela de 24 horas, a comunicação de suspeitas ao Coaf e a atualização das tipologias para identificar fragmentação destinada a evitar o limite de US$ 10 mil.
Também é indicada a retomada da habilitação das prestadoras no Siscoaf, com o envio de dados como hash da transação, classificação de risco dos endereços e distância até serviço ilícito conhecido. Outra proposta é incluir o endereço de destino no reporte ordinário e reunir indicadores em repositório de acesso restrito, com critérios objetivos de inclusão e canal de contestação.
O texto defende ainda a definição de padrão técnico para verificar a titularidade de carteiras autocustodiadas. Entre os métodos citados estão a assinatura criptográfica de mensagem-desafio e a microtransação de valor predefinido, conhecida como Satoshi Test.
Para stablecoins, uma possibilidade seria exigir mecanismo de congelamento, bloqueio ou queima acionável por autoridade competente como condição para oferta no mercado brasileiro. No caso das Vasps offshore, a sugestão é adotar critérios de volume e frequência para identificar contas de varejo que funcionem, na prática, como prestadoras.
As medidas não alcançam transferências integralmente desintermediadas, mas buscam ampliar o controle antes que os ativos deixem o perímetro regulado. A conclusão é que as lacunas preventivas apontadas pelo Gafi exigem coordenação entre as instituições e ajustes regulatórios, sem depender necessariamente de novas leis ou de tipos penais adicionais.
