Brasil endurece reglas para PSAV en 2026

Cadena de ataque y TTPs

El material no describe una intrusión técnica, una campaña maliciosa ni un incidente de malware. Lo que sí documenta es una cadena regulatoria y operativa que afecta la infraestructura financiera usada por el sector cripto. En esa cadena, el primer eslabón es la autorización ante el Banco Central, el segundo es la adecuación del funcionamiento interno, y el tercero es el encuadre cambiario y antilavado de ciertas operaciones con activos virtuales.

Desde una perspectiva técnica de operación y control, el equivalente a una superficie de exposición no está en un exploit, sino en la infraestructura de cumplimiento. Las PSAV deben demostrar capacidad financiera, origen lícito de capital, arquitectura tecnológica, gobernanza, controles internos, monitoreo y segregación patrimonial. A eso se suman KYC, KYB, reportes al Coaf y revisiones de ciberseguridad en las instituciones que interactúan con el segmento.

El cambio de TTPs relevantes para equipos de seguridad y cumplimiento es entonces normativo y funcional. La pérdida de acceso a canales bancarios para prestadoras no autorizadas actúa como mecanismo de contención, mientras que el tratamiento de stablecoins y transferencias a wallets autocustodiadas dentro del régimen de câmbio introduce trazabilidad y exigencias de clasificación que antes no estaban explicitadas con ese nivel de detalle.

Impacto regional

Panorama regional

Brasil es el único país del bloque con desarrollo regulatorio verificable en el material, y por eso concentra el grueso del impacto regional. La lectura común de HokenFI, ABBC, Finsiders, Clav y Transfero es que el Banco Central construyó un perímetro específico para las PSAV, con autorización, funcionamiento, controles y clasificación de operaciones dentro del mercado de câmbio. El efecto fue la formalización del sector y una presión inmediata sobre actores que operaban sin licencia o con licenciamiento incompleto.

Esa presión se hizo visible en dos planos. El primero es prudencial, con mayores requisitos de capital, gobernanza, controles internos y auditoría. El segundo es comercial, con cierre progresivo del acceso al sistema financiero regulado para quienes no se adapten. El art. 91 de la Resolução 520, reforzado por la Resolução 589, coloca una barrera concreta para bancos e instituciones de pago. La consecuencia es que operar sin autorización deja de ser una mera infracción administrativa y pasa a implicar una exclusión efectiva de rails bancarios.

El otro plano regional es el cambiario. La Resolução 521 lleva a Brasil a tratar ciertas operaciones con activos virtuales como parte del régimen de cambio y capitales internacionales. Ese movimiento es especialmente sensible para stablecoins y para transferencias hacia wallets autocustodiadas, porque introduce criterios de control que antes estaban más difusos. La cobertura periodística de Investing.com Brasil y Diário do Comércio confirma que el mercado empezó a leer ese cambio como una reclasificación estructural, no como un ajuste menor.

Brasil

Brasil concentró el proceso regulatorio, operativo y sancionatorio más importante del período. La Resolução 519 definió los requisitos de autorización de las SPSAV, la 520 estructuró las reglas de funcionamiento y la 521 extendió el alcance cambiario a determinadas operaciones con activos virtuales. Transfero, Clav y Marinho de Gusmão coinciden en que el nuevo régimen entró en vigor el 2 de febrero de 2026 y alcanzó de lleno a intermediación, custodia y corretaje.

La fase de transición fue corta y estricta. Las empresas ya activas disponían hasta el 30 de octubre de 2026 para protocolar su pedido de autorización. Blueconsult informó que, a semanas del plazo final, solo cinco pedidos habían sido presentados, lo que sugiere una brecha grande entre el universo alcanzado por la norma y los actores efectivamente en trámite. AtlasPublico, por su parte, describió el plazo como de 270 días desde la entrada en vigor.

El cierre regulatorio se consolidó desde el 6 de noviembre de 2026. Bartolo y Clav registran que el art. 91 impide a las instituciones reguladas operar con prestadoras no autorizadas, salvo excepciones expresas. Vault Capital añade que eso bloquea en la práctica el acceso a Pix y a los canales bancarios para PSAV no reguladas. Bocater y Okai muestran además que la Resolução 589 reforzó el frente antilavado y ajustó el texto de la 520, con foco en PLD/FT.

El impacto en el mercado fue visible. Finsiders habla de consolidación del segmento y de una fila de autorización afectada por las nuevas exigencias. ABBC señala que las instituciones financieras debieron revisar auditoría, KYC, KYB, monitoreo, reportes al Coaf, prevención de fraude y ciberseguridad. La reunión de ABRACAM con el Banco Central y el mercado de câmbio confirma que, un año después de las nuevas reglas, seguían abiertos debates prácticos sobre clasificación de operaciones y autorización.

Argentina

No hay un régimen argentino nuevo descrito en el material, pero sí una comparación explícita con Brasil. El Cronista indica que los requisitos de patrimonio mínimo para empresas vinculadas a criptoactivos en Argentina son más bajos, en un rango aproximado de u$s 35.000 a u$s 150.000, y los contrapone con el mayor costo regulatorio brasileño. Esa diferencia ayuda a explicar parte del desplazamiento competitivo dentro del Cono Sur.

El caso más claro es Lemon. Forbes Argentina informó que la fintech cerró sus operaciones en Brasil y reorientó recursos hacia Argentina, Perú y Colombia. The Token Times y Valor Investe precisan que la salida fue acotada al mercado brasileño y que las actividades en Argentina siguieron normales. No hay en el material evidencia de que el marco brasileño haya afectado la operación local de Lemon en Argentina.

La lectura de mercado es, entonces, asimétrica. Brasil endureció autorización, funcionamiento y acceso bancario, mientras que Argentina aparece en el material como una plaza comparativamente menos exigente en términos de capital mínimo. Esa diferencia no significa ausencia de regulación argentina, pero sí un entorno relativamente más liviano frente al nuevo costo de entrada brasileño.

Chile

No se identificaron hechos verificables para Chile en el material provisto.

Paraguay

No se identificaron hechos verificables para Paraguay en el material provisto.

Bolivia

No se identificaron hechos verificables para Bolivia en el material provisto.

Perú

No se identificaron hechos verificables específicos para Perú fuera de la referencia operacional de Lemon, que según Forbes Argentina, The Token Times y Valor Investe mantuvo sus actividades en ese país mientras cerraba Brasil. No hay otros detalles regulatorios o de supervisión disponibles en el research.

Colombia

No se identificaron hechos verificables específicos para Colombia fuera de la continuidad operativa de Lemon, que según The Token Times y Valor Investe siguió activa en ese mercado tras la salida de Brasil. El research no aporta más elementos sobre regulación local o impacto sectorial.

México

No se identificaron hechos verificables para México en el material provisto.

Estados Unidos

No se identificaron hechos verificables para Estados Unidos en el material provisto.

Uruguay

No se identificaron hechos verificables para Uruguay en el material provisto.

Indicadores técnicos

No hay IOCs técnicos clásicos en el material, como hashes, dominios maliciosos, IPs o muestras de malware. El caso es regulatorio y operativo, por lo que los indicadores disponibles son fechas de vigencia, plazos de transición, umbrales de autorización y puntos de control normativo.

Análisis para equipos de seguridad

Para equipos de seguridad, el caso brasileño debe leerse como un cambio de exposición operativa para cualquier empresa que toque flujos de criptoactivos en Brasil. La principal prioridad es verificar si la organización entra en la categoría de PSAV, si ya presentó pedido de autorización y si su modelo depende de canales bancarios locales, especialmente cuentas de liquidación, Pix o integraciones con instituciones de pago.

La primera medida es inventariar productos y flujos. Hay que separar custodia, corretaje, intermediación, administración, transferencias y servicios de conversión, porque el marco del Banco Central no trata todas las actividades del mismo modo. La Resolução 521 obliga a revisar además si alguna operación cae dentro del régimen de câmbio, algo que cambia los requisitos de control y de reporting. Esto es clave para stablecoins y para transferencias a carteras autocustodiadas.

En paralelo, cumplimiento y seguridad deben trabajar juntos. ABBC deja claro que KYC, KYB, monitoreo de transacciones, comunicaciones al Coaf, prevención de fraude y seguridad cibernética pasan a ser parte del control esperado por bancos y entidades que se relacionan con el sector. Si la empresa es una PSAV, no alcanza con tener una política escrita. Hay que demostrar trazabilidad operativa, segregación patrimonial y capacidad real de control.

La segunda prioridad es revisar dependencia bancaria. Desde el cierre de noviembre de 2026, operar con una PSAV no autorizada puede implicar que bancos e instituciones de pago no puedan intermediar fondos. Eso vuelve frágiles los modelos que dependen de rails bancarios tradicionales. Cualquier relación comercial con proveedores cripto en Brasil debería incluir una validación documental del estado regulatorio y de la etapa en que se encuentra el pedido de autorización.

La tercera prioridad es monitoreo de cambios regulatorios. La Resolução 589 muestra que el Banco Central puede seguir ajustando el marco, en especial sobre PLD/FT. No conviene considerar cerrado el tema por la publicación inicial de las resoluciones 519, 520 y 521. El régimen sigue en evolución y ya mostró capacidad de endurecimiento posterior.

Preguntas frecuentes

¿Qué cambió en Brasil entre febrero y noviembre de 2026 para las PSAV?

Brasil pasó de publicar un marco regulatorio específico a volverlo operativo y luego restrictivo. Las resoluciones 519, 520 y 521 entraron en vigor el 2 de febrero de 2026, y el 30 de octubre venció el plazo transitorio para pedir autorización. Desde el 6 de noviembre, las entidades no autorizadas quedaron excluidas del sistema financiero regulado.

¿Qué actividades quedaron dentro del perímetro regulatorio del Banco Central?

El marco brasileño alcanzó custodia, intermediación, corretaje, administración y transferencia de activos virtuales, además de ciertas operaciones que la Resolução 521 llevó al régimen cambiario. Eso incluye pagos internacionales, transferencias a billeteras autocustodiadas y criptoactivos referenciados en moneda tradicional, según los textos citados por Transfero y Diário do Comércio.

¿Por qué se habla de consolidación del mercado cripto brasileño?

Porque la autorización exige capital, gobernanza, infraestructura tecnológica y controles de cumplimiento que no todas las empresas pueden sostener. Finsiders y ABBC describen un efecto de depuración, mientras Blueconsult reportó solo cinco pedidos de licencia a semanas del cierre del plazo. El acceso bancario restringido también favorece a quienes sí regularizaron su situación.

¿Cómo afectó la regulación brasileña a empresas que operan en otros países de la región?

El caso mejor documentado es Lemon. Forbes Argentina, The Token Times y Valor Investe coinciden en que la firma cerró Brasil pero mantuvo operaciones en Argentina, Colombia y Perú. El material no muestra contagio regulatorio equivalente en esos países, aunque El Cronista compara a Argentina con Brasil y la ubica con requisitos de capital más bajos.

¿Qué papel tuvieron las normas de PLD/FT en este proceso?

Fue central. ABBC pidió nuevas rutinas de auditoría con KYC, KYB, monitoreo, reportes al Coaf y ciberseguridad, y Bocater informó que la Resolução 589/2026 reforzó las obligaciones de prevención de lavado y financiamiento del terrorismo. Eso elevó la vara de control para PSAV y para las instituciones financieras que interactúan con ellas.

Limitaciones del material

El research disponible es fuerte en regulación brasileña y comparaciones regionales puntuales, pero no aporta hechos verificables para Chile, Paraguay, Bolivia, México, Estados Unidos ni Uruguay. Tampoco incluye IOCs técnicos clásicos, porque el objeto no es una campaña de malware sino un cambio normativo.

Las fuentes consultadas son mayormente artículos periodísticos, análisis sectoriales y notas de despachos jurídicos. En algunos casos, como Finsiders sobre la Resolução 580/2026 y BitNotícias sobre el número de pedidos, el propio material marca incertidumbre o atribución no del todo confirmada. Esas referencias se conservaron como tales y no se elevaron a hecho duro.

No hay en el material una lista completa de empresas solicitantes, ni un inventario oficial de licencias concedidas o rechazadas. Tampoco se dispone del texto íntegro de todas las resoluciones, solo de descripciones, extractos y citas parciales reproducidas por terceros. Por eso el informe evita inferencias sobre cumplimiento individual o sobre el estado exacto de cada exchange fuera de los casos mencionados.