BCB endurece reglas para cripto y Pix en Brasil

Actualización 15 de septiembre de 2026: El Banco Central de Brasil sumó un plazo final para que las PSAVs pidan autorización y confirmó que, desde el 30 de octubre de 2026, las entidades reguladas no podrán prestarles servicios a las firmas sin permiso ni pedido protocolado. Además, el marco regulatorio ya está en vigor y acelera el cierre de la transición para operadores domésticos y extranjeros.

El Banco Central de Brasil endureció en 2025 y 2026 las reglas para prestadores de servicios de activos virtuales, operaciones de Pix y controles de seguridad del sistema financiero. Entre las medidas ya divulgadas figuran un capital mínimo para cripto de entre R$ 10,8 millones y R$ 37,2 millones, nuevas exigencias de gobernanza y ciberseguridad, ajustes al Mecanismo Especial de Devolución y restricciones automáticas en Pix para dispositivos nuevos.

¿Qué cambió para las empresas cripto?

El Banco Central fijó capital mínimo de hasta R$ 37,2 millones para empresas que operan con criptoactivos en Brasil, según LetsMoney y Valor Econômico, en el marco de las resoluciones BCB nº 519, 520 y 521/2025. Valor informó además que el piso regulatorio quedó entre R$ 10,8 millones y R$ 37,2 millones, según la actividad y los riesgos asumidos.

La regulación definitiva anunciada en noviembre de 2025, de acuerdo con Valor Econômico, exige estructura de gobernanza, controles internos, gestión de riesgos, seguridad, procedimientos de PLD/FT, certificación técnica, auditoría y prestación periódica de información al regulador. Otras coberturas indican que el marco también obliga a segregar activos de clientes, cumplir con Travel Rule y proteger al consumidor.

FCM Law detalló que la Resolução BCB nº 520/2025 regula la constitución y operación de las sociedades prestadoras de servicios de activos virtuales, con requisitos sobre forma societaria, modalidades de operación, outsourcing, ciberseguridad, divulgación y prevención de abuso de mercado. La misma firma señaló que la Resolução BCB nº 521/2025 integra ciertos usos de activos virtuales al régimen cambiario, incluyendo transferencias internacionales con cripto, stablecoins, envíos a carteras autocustodiadas y carga de tarjetas con activos virtuales.

Las Resoluciones BCB n.º 519/2025, 520/2025 y 521/2025 están en vigor desde febrero de 2026 y crean la figura de la Sociedade Prestadora de Serviços de Ativos Virtuais, o SPSAV, según Exame. Esa misma cobertura indicó que las empresas que operen con activos virtuales en Brasil deben estar constituidas en el país, tener sede y administración en territorio nacional y designar directores responsables de riesgos, prevención de lavado de dinero y ciberseguridad.

Exame también informó que las reglas aplican a bancos, instituciones de pago y proveedores de servicios de activos virtuales que permitan a clientes negociar, custodiar o transferir criptomonedas. The Rio Times añadió que custodios, intermediarios y corredores deben cumplir requisitos de capital, gobernanza, ciberseguridad, prevención de lavado de dinero y financiación del terrorismo, y protección al consumidor, en línea con la Ley 14.478/2022.

Medios cripto locales remarcaron que, tras las Resoluciones BCB 519, 520 y 521, pagos y transferencias internacionales con activos virtuales pasan a ser tratados jurídicamente como operaciones cambiarias. Livecoins indicó que eso obliga a gateways de pago y soluciones como BRICS Pay a operar bajo licencias y límites del mercado de cambio, sumando una capa de control regulatorio sobre remesas y pagos transfronterizos basados en cripto.

¿Qué plazo quedó para pedir autorización?

Las firmas de activos virtuales que ya operaban antes del nuevo marco tienen hasta el 30 de octubre de 2026 para pedir la autorización del Banco Central do Brasil, según The Rio Times y FinanceFeeds. Si no presentan la solicitud dentro de ese período de transición, quedan expuestas a salir del mercado regulado.

Obitcoin informó además que, desde el 30 de octubre de 2026, las instituciones reguladas por el Banco Central, incluidos bancos e instituciones de pago, no podrán prestar servicios a PSAVs que no estén autorizadas ni tengan pedido de autorización protocolado ante el regulador. La restricción se apoya en el artículo 91 de la Resolução BCB nº 520.

Ese cierre del período de transición aplica tanto a operadores domésticos como extranjeros. FinanceFeeds lo describió como un punto de corte para exchanges y otras firmas cripto que no hayan regularizado su situación ante el Banco Central.

¿Qué alcance tienen las nuevas reglas de Pix?

Las medidas publicadas en 2026 refuerzan la seguridad del Pix y agregan controles operativos para reducir fraudes, según Globoplay, MixVale, Cryptoid, Hora AGHA, Clearingpost y Gabriel Valerio Advocacia. El cambio más visible es la ampliación del plazo para contestar devoluciones bajo el MED, que pasó de 30 a 80 días corridos desde el 1º de septiembre de 2026.

Cryptoid informó que la Instrução Normativa BCB nº 766/2026 fue publicada el 27 de julio de 2026 y quedó vigente desde el 1º de septiembre, consolidando la versión 8.5 del Manual Operacional do DICT y formalizando el contencioso administrativo del Pix vinculado al MED. Hora AGHA indicó que el nuevo plazo de 80 días corre desde la fecha en que se efectuó la devolución, mientras que Gabriel Valerio Advocacia recordó que el MED pasó a ser obligatorio para las instituciones participantes desde el 2 de febrero de 2026.

MixVale agregó que el Banco Central también endureció reglas del Pix para transferencias realizadas desde celulares y computadoras inéditos, con restricciones automáticas de valor en las primeras operaciones. Clearingpost añadió que la implementación de la Instrução Normativa BCB nº 766/2026 avanza por fases y que esa primera etapa se conecta con la retirada del tope de R$ 500 para pagos por Pix contactless a partir de octubre de 2026.

¿Qué pide el Banco Central en materia de pruebas y seguridad?

El Banco Central también amplió las exigencias de test de intrusión para bancos e instituciones financieras, con un alcance que incluye internet banking, mobile banking, APIs de Pix, ambientes de cloud, Active Directory y sistemas integrados al STR y a la RSFN, según Vantico. Ese alcance también alcanza activos de terceros que soportan operaciones críticas.

El mismo análisis de Vantico indicó que los informes de pentest deben incluir evidencia técnica de explotación por hallazgo, mapeo explícito de la vulnerabilidad frente a los requisitos regulatorios, laudo de reteste que compruebe la remediación y un plan de corrección con responsables y plazos. A eso se suman, según A Revista, nuevas exigencias de seguridad, gobernanza y protección para proveedores de tecnología de la información que atienden a instituciones financieras.

A Revista señaló además, aunque como referencia atribuida a la misma cobertura y no confirmada oficialmente en el material, que la Resolução BCB nº 584 prevé una retención cautelar por hasta 24 horas en determinadas transferencias con activos virtuales superiores al equivalente a US$ 10 mil, destinadas al exterior o a carteras autocustodiadas, con entrada en vigor prevista para enero de 2027. La nota de esa revista también enmarca estas medidas en un endurecimiento general del Banco Central y del Consejo Monetario Nacional sobre seguridad, gobernanza y protección en el sistema financiero.

¿Qué efecto puede tener sobre el mercado?

Las coberturas de Valor Econômico, LetsMoney y medios internacionales coinciden en que el nuevo capital mínimo y los demás requisitos prudenciales reducen el número de participantes viables en el mercado cripto brasileño. Valor incluso indicó que solo diez startups cripto deberían obtener licencia del Banco Central bajo este esquema.

Crypto.news, Mitre, Cryptopolitan y CryptoNews.net describieron un marco donde bancos, custodios, intermediarios y corredores pueden ofrecer exposición a criptoactivos a clientes, pero fuera de sus propios balances y bajo reglas más estrictas de capital, segregación de activos, auditoría independiente, ciberseguridad, PLD/FT, Travel Rule y protección al consumidor. Revista Tópicos añadió que la Resolução BCB nº 519/2025 desplaza parte del deber de debida diligencia hacia el perímetro regulado, especialmente en operaciones con carteras autocustodiadas y flujos transfronterizos en cripto.

Bitnoticias resumió que, para obtener autorización, las empresas deben documentar al menos cinco frentes: modelo de negocio y riesgos, estructura societaria y de gobernanza, políticas de PLD/FT y ciberseguridad, evidencia de capacidad operativa y tecnológica, y organización de evidencias y procesos para el expediente de autorización.