BCB 519, 520, 521 y 584 para PSAV

Timeline de la operación

Cadena de ataque y TTPs

La lectura técnica del material no describe un ciberataque puntual, sino una cadena de riesgo financiero y operativo que el regulador intenta romper. En esa cadena, el primer eslabón es el ingreso de una PSAV al mercado sin licencia o con estructura incompleta. El segundo es la posibilidad de ofrecer servicios de criptoactivos sin segregación patrimonial, sin capital suficiente, sin gobernanza definida o sin controles de PLD/FT. El tercero es el uso de esas infraestructuras para mover valor hacia el exterior o hacia autocustodia con bajo nivel de fricción.

Las fuentes describen varios TTPs regulatorios, si se puede usar el paralelo. El uso de intercambio entre activos virtuales y moneda, transferencia, custodia, administración y participación en ofertas de servicios financieros relacionados crea superficies distintas de abuso. A eso se suman prácticas como el off-ramping hacia corretoras extranjeras, la fragmentación de transferencias por debajo del umbral o el uso de stablecoins para acelerar salida de fondos. La Resolução 584 apunta precisamente a frenar ese tramo final con retención cautelar.

En el plano de controles, MercGroup detalla que las PSAV deben aplicar travel rule, monitoreo de transacciones y documentación suficiente para que auditores prueben la eficacia de los controles. FinanceFeeds agrega que la auditoría debe llegar antes de la licencia, con un informe de asseguração razonable sobre controles contra lavado, terrorismo y sanciones. La lógica de fondo es crear trazabilidad ex ante y evidencia verificable ex post, para que el operador no pueda alegar simple intermediación técnica.

Tabla TTPs regulatorios y de riesgo

Impacto regional

Panorama regional

El efecto regional de la regulación brasileña no se limita al mercado local, porque Brasil fijó una referencia de supervisión para criptoactivos en el mayor sistema financiero de Sudamérica. La combinación de autorización, capital, auditoría, límites a la actuación y retención cautelar de 24 horas vuelve más difícil usar PSAV como puente rápido entre el sistema bancario y circuitos de salida ilícita. Eso impacta en Brasil, pero también en las rutas de cripto que conectan con otros mercados de la región.

Las fuentes apuntan a una consecuencia concreta sobre la economía ilícita: menos capacidad para mover fondos sin trazabilidad. Contábeis interpreta la Resolução 584 como una estrategia de combate a la evasión fiscal y a la fuga ilícita de capitales, porque encarece y visibiliza rutas típicas de off-ramping. Gov.br, por su parte, enmarca la medida como un refuerzo contra fraudes y golpes. Ambas lecturas convergen en que el regulador privilegia fricción operativa sobre velocidad de liquidación.

La integración de las PSAV al perímetro de PLD/FT también empuja a los actores regionales a revisar su arquitectura de cumplimiento. MercGroup señala que la travel rule, el monitoreo transaccional y la evidencia auditable pasan a ser obligaciones centrales. ANBIMA ayuda a delimitar qué tokens y activos se consideran dentro del perímetro de activos digitales, lo que reduce arbitrajes de clasificación. Para operadores que trabajan con flujos transfronterizos, la ecuación es simple: más visibilidad, más costo de cumplimiento y menor tolerancia a estructuras opacas.

Brasil

Brasil es el único país del material con hechos verificables amplios y sostenidos, y concentra la mayor parte del cambio regulatorio analizado. Las Resoluciones 519, 520 y 521 definieron el régimen de autorización, constitución y modalidades operativas de las PSAV. La 580 reclasificó a esas entidades como instituciones Tipo 3 y fijó una transición prudencial hasta 2028. La 584, a su vez, introdujo la retención cautelar de 24 horas para transferencias cripto de mayor riesgo.

El detalle operativo importa. Según SoulBit, la Resolução 519 exige directores responsables de riesgo y ciberseguridad, política formal de PLD, cumplimiento de sanciones internacionales y contabilidad bajo COSIF. La 520 prohíbe crédito a clientes, captación de recursos del público y uso de terminología engañosa, mientras que también ordena el funcionamiento de las modalidades intermediária, custodiante y corretora. Cointelegraph Brasil agrega que la 520 ya incorpora obligaciones básicas sobre staking. En conjunto, la autoridad no solo habilita licencias, también delimita con precisión qué productos pueden existir y bajo qué contención.

En paralelo, la auditoría pasa a ser un filtro de entrada. FinanceFeeds afirma que la Instrução Normativa BCB 739 exige un informe de asseguração razonable emitido por una firma independiente registrada ante la CVM, con revisión de controles de PLD/FT y sanciones. Portal do Bitcoin informó que las entidades del sector pidieron postergar el plazo final del 30 de octubre de 2026 debido a la carga adicional de las Instrucciones Normativas 734 y 739 sobre el COSIF y la auditoría. VBSO y TJS Auditores coinciden en que el plazo para que las PSAV ya activas presenten su pedido de autorización es el 30 de octubre de 2026.

La 584 completa el cerco sobre los flujos salientes. Okai reproduce el texto oficial y confirma que las transferencias hacia el exterior o a autocustodia quedan sujetas a una espera de 24 horas cuando superan el equivalente a US$ 10.000 por operación o por acumulado diario, con posibilidad de aplicación a valores menores. EmprestimoDigital precisa que la medida no es opcional incluso si no hay indicios aparentes de fraude, mientras que SpaceMoney y el gobierno brasileño la presentan como respuesta directa a fraudes y estafas con activos virtuales. El resultado es una fricción explícita en los corredores de salida de valor.

Argentina

No hay hechos verificables adicionales en el research para Argentina.

Chile

No hay hechos verificables adicionales en el research para Chile.

Paraguay

No hay hechos verificables adicionales en el research para Paraguay.

Bolivia

No hay hechos verificables adicionales en el research para Bolivia.

Perú

No hay hechos verificables adicionales en el research para Perú.

Colombia

No hay hechos verificables adicionales en el research para Colombia.

México

No hay hechos verificables adicionales en el research para México.

Estados Unidos

No hay hechos verificables adicionales en el research para Estados Unidos.

Uruguay

No hay hechos verificables adicionales en el research para Uruguay.

Indicadores técnicos

No se publicaron IOCs técnicos clásicos, como hashes, IPs, dominios o nombres de infraestructura. El material sí aporta indicadores regulatorios y operativos, útiles para detección y priorización.

Análisis para equipos de seguridad

El material describe un cambio regulatorio que obliga a los equipos de seguridad, cumplimiento y riesgo a operar con controles verificables, no solo con políticas declarativas. La principal prioridad es revisar si la operación de una PSAV o de un proveedor vinculado puede sostener autorización, segregación patrimonial, prueba diaria de reservas, auditoría independiente y evidencia suficiente de PLD/FT. Si uno de esos eslabones falla, el problema deja de ser reputacional y pasa a ser de continuidad operativa.

Para detección, la señal más útil no es técnica sino transaccional. Las reglas de la Resolução 584 obligan a identificar transferencias al exterior o a autocustodia por encima del umbral de US$ 10.000 y a someterlas a una retención de 24 horas. Eso implica monitorear intentos de fraccionamiento, concentraciones diarias cercanas al umbral, cambios bruscos en la dirección de retiro y patrones de uso de stablecoins que puedan usarse como vía de off-ramping. La retención cautelar no reemplaza el monitoreo, lo presiona a ser más fino.

En mitigación, el mayor cambio está en la construcción de evidencia. MercGroup insiste en que la travel rule, el monitoreo de transacciones y la documentación deben permitir que un auditor pruebe la eficacia del control. FinanceFeeds agrega que la auditoría debe preceder a la solicitud de licencia. En términos prácticos, conviene preparar trazabilidad de extremo a extremo, mapas de datos de cliente, flujos de aprobación, logs de decisión y evidencia de quién autoriza excepciones. Si eso no existe antes de la solicitud, la fricción regulatoria se traslada al negocio completo.

También hay un frente de arquitectura societaria. VBSO advierte que el nuevo régimen no se restringe a sociedades que actúan directamente en intermediación o custodia, sino que puede alcanzar estructuras vinculadas. Por lo tanto, los equipos de seguridad deben revisar perímetros corporativos, tercerizaciones, proveedores de infraestructura financiera, fintechs integradas y sociedades del mismo conglomerado. El riesgo no está solo en el exchange visible, sino en el grupo que lo soporta.

La priorización operativa debería seguir tres capas. Primero, cumplimiento mínimo de autorización y gobierno, porque sin eso la operación no debería seguir creciendo. Segundo, controles de PLD/FT y sanciones, porque son los que inciden en la relación con el Banco Central y con la auditoría. Tercero, control de flujos salientes y autocustodia, porque ahí aparecen las rutas de mayor riesgo para fraude, evasión y fuga ilícita de capitales. La Resolução 584 convierte ese último tramo en una fricción diseñada por el regulador.

Preguntas frecuentes

¿Qué cambió en Brasil entre las Resoluciones 519, 520 y 521 y la 584?

Las Resoluciones 519, 520 y 521 crearon el régimen de autorización, modalidades y controles básicos para las PSAV, mientras que la 584 añadió una barrera operativa de 24 horas para ciertas transferencias cripto. En conjunto, el Banco Central pasó de ordenar la entrada al mercado a intervenir también sobre la salida de fondos.

¿Por qué la Resolução 580 es relevante si ya existían reglas de autorización?

Porque la 580 mueve a las PSAV al perímetro prudencial, las clasifica como instituciones Tipo 3 y fija exigencias que rigen desde el 1 de enero de 2027. Las resoluciones 519, 520 y 521 siguen siendo la base de autorización y conducta, pero la 580 agrega supervisión de tipo financiero tradicional.

¿Qué operaciones quedan más afectadas por la trava de 24 horas?

Las transferencias de criptoactivos hacia el exterior o a autocustodia cuando superan el equivalente a US$ 10.000 por operación o por acumulado diario. Okai reproduce el texto oficial y EmprestimoDigital aclara que la medida es obligatoria incluso sin indicios aparentes de fraude. El foco está en el tramo de salida de valor.

¿Qué controles de cumplimiento exige el nuevo régimen a una PSAV?

Las fuentes citan segregation patrimonial, prova diária de reservas, directorios responsables de riesgo y ciberseguridad, política formal de PLD, sanciones internacionales, travel rule, monitoreo transaccional y auditoría independiente con informe de asseguração razoável. La exigencia no es solo documental, también es probatoria y auditable.

¿Qué impacto tiene el paquete regulatorio sobre la economía ilícita regional?

Reduce la capacidad de usar criptoactivos para off-ramping rápido, evasión fiscal y fuga de capitales. Contábeis describe la 584 como una fricción sistémica deliberada, mientras que MercGroup y el gobierno brasileño enfatizan la trazabilidad, la prevención de fraude y la evidencia auditable. El efecto es más costo y más visibilidad.

¿A quién alcanza el régimen además de los exchanges visibles?

El alcance no se limita a sociedades que intermedian o custodian directamente. VBSO señala que estructuras societarias y empresas vinculadas también pueden quedar alcanzadas, y Transfero incluye plataformas de negociación, custodios, transferidores, fintechs y proveedores de infraestructura financiera. El perímetro es más amplio que la tienda cripto pública.

Limitaciones del material

El material disponible permite reconstruir con alto nivel de detalle el régimen brasileño, pero no aporta hechos verificables para Argentina, Chile, Paraguay, Bolivia, Perú, Colombia, México, Estados Unidos o Uruguay. Tampoco incluye IOCs técnicos clásicos, víctimas, dominios, hashes ni infraestructura. Algunas referencias secundarias, como Bitzo o Blueconsult, presentan alcances o fechas atribuidos por la fuente como inciertos, por lo que fueron conservados con esa cautela.

Los documentos reunidos describen normativa, interpretaciones de estudios jurídicos, medios especializados y notas oficiales, pero no aportan el texto íntegro de todas las resoluciones citadas. Por eso, en los casos en que una fuente resume o interpreta, el informe preserva ese carácter atribuido y evita convertirlo en una afirmación absoluta cuando no hay reproducción textual directa.

Fuentes