BCB regula PSAV com 519, 520, 521, 580

Timeline da operação

Cadeia de ataque e TTPs

A leitura técnica do material não descreve um ataque cibernético pontual, mas uma cadeia de risco financeiro e operacional que o regulador tenta romper. Nessa cadeia, o primeiro elo é a entrada de uma PSAV no mercado sem licença ou com estrutura incompleta. O segundo é a oferta de serviços de criptoativos sem segregação patrimonial, capital suficiente, governança definida ou controles de PLD/FT. O terceiro é o uso dessas infraestruturas para mover valor ao exterior ou para autocustódia com baixa fricção.

As fontes descrevem vários TTPs regulatórios, se o paralelo puder ser usado. A combinação de troca entre ativos virtuais e moeda, transferência, custódia, administração e participação em ofertas de serviços financeiros relacionados cria superfícies diferentes de abuso. Somam-se a isso práticas como off-ramping para corretoras estrangeiras, fragmentação de transferências abaixo do limite ou uso de stablecoins para acelerar a saída de recursos. A Resolução 584 mira justamente esse trecho final com retenção cautelar.

No plano de controles, a MercGroup detalha que as PSAV devem aplicar travel rule, monitoramento de transações e documentação suficiente para que auditores comprovem a eficácia dos controles. A FinanceFeeds acrescenta que a auditoria precisa anteceder a licença, com relatório de asseguração razoável sobre controles contra lavagem, terrorismo e sanções. A lógica de fundo é criar rastreabilidade ex ante e evidência verificável ex post, para que o operador não possa alegar mera intermediação técnica.

Tabela TTPs regulatórios e de risco

Impacto regional

Panorama regional

O efeito regional da regulação brasileira não se limita ao mercado local, porque o Brasil fixou uma referência de supervisão para criptoativos no maior sistema financeiro da América do Sul. A combinação de autorização, capital, auditoria, limites de atuação e retenção cautelar de 24 horas dificulta o uso de PSAV como ponte rápida entre o sistema bancário e circuitos de saída ilícita. Isso impacta o Brasil, mas também as rotas cripto que se conectam a outros mercados da região.

As fontes apontam uma consequência concreta para a economia ilícita, menos capacidade de mover fundos sem rastreabilidade. A Contábeis interpreta a Resolução 584 como estratégia de combate à evasão fiscal e à fuga ilícita de capitais, porque encarece e torna visíveis rotas típicas de off-ramping. O Gov.br, por sua vez, enquadra a medida como reforço contra fraudes e golpes. As duas leituras convergem na ideia de que o regulador prefere fricção operacional à velocidade de liquidação.

A integração das PSAV ao perímetro de PLD/FT também obriga os atores regionais a revisar sua arquitetura de compliance. A MercGroup afirma que travel rule, monitoramento transacional e evidência auditável passam a ser obrigações centrais. A ANBIMA ajuda a delimitar quais tokens e ativos entram no perímetro de ativos digitais, o que reduz arbitragens de classificação. Para operadores que lidam com fluxos transfronteiriços, a equação é direta, mais visibilidade, mais custo de compliance e menos tolerância a estruturas opacas.

Brasil

O Brasil é o único país do material com fatos verificáveis amplos e contínuos, e concentra a maior parte da mudança regulatória analisada. As Resoluções 519, 520 e 521 definiram o regime de autorização, constituição e modalidades operacionais das PSAV. A 580 reclassificou essas entidades como instituições Tipo 3 e fixou uma transição prudencial até 2028. A 584, por sua vez, introduziu a retenção cautelar de 24 horas para transferências cripto de maior risco.

O detalhe operacional importa. Segundo a SoulBit, a Resolução 519 exige diretores responsáveis por risco e cibersegurança, política formal de PLD, cumprimento de sanções internacionais e contabilidade sob o COSIF. A 520 proíbe crédito a clientes, captação de recursos do público e uso de terminologia enganosa, além de ordenar o funcionamento das modalidades intermediária, custodiante e corretora. A Cointelegraph Brasil acrescenta que a 520 já traz obrigações básicas sobre staking. Em conjunto, a autoridade não apenas habilita licenças, também define com precisão quais produtos podem existir e sob que contenção.

Em paralelo, a auditoria passa a ser um filtro de entrada. A FinanceFeeds afirma que a Instrução Normativa BCB 739 exige um relatório de asseguração razoável emitido por firma independente registrada na CVM, com revisão de controles de PLD/FT e sanções. O Portal do Bitcoin informou que as entidades do setor pediram adiamento do prazo final de 30 de outubro de 2026 por causa da carga adicional das Instruções Normativas 734 e 739 sobre o COSIF e a auditoria. VBSO e TJS Auditores concordam que o prazo para as PSAV já ativas apresentarem o pedido de autorização é 30 de outubro de 2026.

A 584 fecha o cerco sobre os fluxos de saída. A Okai reproduz o texto oficial e confirma que transferências para o exterior ou para autocustódia ficam sujeitas a espera de 24 horas quando superam o equivalente a US$ 10 mil por operação ou por acumulado diário, com possibilidade de aplicação a valores menores. A EmprestimoDigital afirma que a medida não é opcional mesmo sem indícios aparentes de fraude, enquanto SpaceMoney e o governo brasileiro a apresentam como resposta direta a fraudes e golpes com ativos virtuais. O resultado é uma fricção explícita nos corredores de saída de valor.

Argentina

Não há fatos verificáveis adicionais na pesquisa para a Argentina.

Chile

Não há fatos verificáveis adicionais na pesquisa para o Chile.

Paraguai

Não há fatos verificáveis adicionais na pesquisa para o Paraguai.

Bolívia

Não há fatos verificáveis adicionais na pesquisa para a Bolívia.

Peru

Não há fatos verificáveis adicionais na pesquisa para o Peru.

Colômbia

Não há fatos verificáveis adicionais na pesquisa para a Colômbia.

México

Não há fatos verificáveis adicionais na pesquisa para o México.

Estados Unidos

Não há fatos verificáveis adicionais na pesquisa para os Estados Unidos.

Uruguai

Não há fatos verificáveis adicionais na pesquisa para o Uruguai.

Indicadores técnicos

Não foram publicados IOCs técnicos clássicos, como hashes, IPs, domínios ou nomes de infraestrutura. O material, porém, traz indicadores regulatórios e operacionais úteis para detecção e priorização.

Análise para equipes de segurança

O material descreve uma mudança regulatória que obriga equipes de segurança, compliance e risco a operar com controles verificáveis, não apenas com políticas declaratórias. A prioridade principal é verificar se a operação de uma PSAV ou de um fornecedor vinculado consegue sustentar autorização, segregação patrimonial, prova diária de reservas, auditoria independente e evidência suficiente de PLD/FT. Se um desses elos falha, o problema deixa de ser reputacional e passa a ser de continuidade operacional.

Para detecção, o sinal mais útil não é técnico, e sim transacional. As regras da Resolução 584 exigem identificar transferências ao exterior ou para autocustódia acima do limite de US$ 10 mil e submetê-las a retenção de 24 horas. Isso implica monitorar tentativas de fracionamento, concentrações diárias próximas ao limite, mudanças bruscas no endereço de saque e padrões de uso de stablecoins que possam servir como via de off-ramping. A retenção cautelar não substitui o monitoramento, ela o torna mais exigente.

Na mitigação, a maior mudança está na construção de evidências. A MercGroup insiste que travel rule, monitoramento de transações e documentação precisam permitir que um auditor comprove a eficácia do controle. A FinanceFeeds acrescenta que a auditoria deve anteceder o pedido de licença. Na prática, convém preparar rastreabilidade de ponta a ponta, mapas de dados de cliente, fluxos de aprovação, logs de decisão e evidências de quem autoriza exceções. Sem isso antes da solicitação, a fricção regulatória se espalha por todo o negócio.

Também existe uma frente de arquitetura societária. A VBSO alerta que o novo regime não se restringe a sociedades que atuam diretamente em intermediação ou custódia, mas pode alcançar estruturas vinculadas. Por isso, as equipes de segurança devem revisar perímetros corporativos, terceirizações, fornecedores de infraestrutura financeira, fintechs integradas e sociedades do mesmo conglomerado. O risco não está apenas na exchange visível, mas no grupo que a sustenta.

A priorização operacional deve seguir três camadas. Primeiro, conformidade mínima de autorização e governança, porque sem isso a operação não deveria seguir crescendo. Segundo, controles de PLD/FT e sanções, porque são eles que afetam a relação com o Banco Central e com a auditoria. Terceiro, controle de fluxos de saída e autocustódia, porque é aí que aparecem as rotas de maior risco para fraude, evasão e fuga ilícita de capitais. A Resolução 584 transforma esse último trecho em uma fricção desenhada pelo regulador.

Perguntas frequentes

O que mudou no Brasil entre as Resoluções 519, 520 e 521 e a 584?

As Resoluções 519, 520 e 521 criaram o regime de autorização, modalidades e controles básicos para as PSAV, enquanto a 584 acrescentou uma barreira operacional de 24 horas para certas transferências cripto. Em conjunto, o Banco Central passou a ordenar não só a entrada no mercado, mas também a saída de recursos.

Por que a Resolução 580 é relevante se já existiam regras de autorização?

Porque a 580 leva as PSAV ao perímetro prudencial, classifica essas empresas como instituições Tipo 3 e fixa exigências que passam a valer a partir de 1º de janeiro de 2027. As resoluções 519, 520 e 521 seguem como base de autorização e conduta, mas a 580 acrescenta supervisão de tipo financeiro tradicional.

Quais operações ficam mais afetadas pela trava de 24 horas?

As transferências de criptoativos para o exterior ou para autocustódia quando superam o equivalente a US$ 10 mil por operação ou por acumulado diário. A Okai reproduz o texto oficial e a EmprestimoDigital esclarece que a medida é obrigatória mesmo sem indícios aparentes de fraude. O foco está no trecho de saída de valor.

Que controles de compliance o novo regime exige de uma PSAV?

As fontes citam segregação patrimonial, prova diária de reservas, diretorias responsáveis por risco e cibersegurança, política formal de PLD, sanções internacionais, travel rule, monitoramento transacional e auditoria independente com relatório de asseguração razoável. A exigência não é apenas documental, também é probatória e auditável.

Qual é o impacto do pacote regulatório sobre a economia ilícita regional?

Ele reduz a capacidade de usar criptoativos para off-ramping rápido, evasão fiscal e fuga de capitais. A Contábeis descreve a 584 como fricção sistêmica deliberada, enquanto a MercGroup e o governo brasileiro enfatizam rastreabilidade, prevenção a fraude e evidência auditável. O efeito é mais custo e mais visibilidade.

A quem o regime alcança além das exchanges visíveis?

O alcance não se limita às sociedades que intermediam ou custodiam diretamente. A VBSO indica que estruturas societárias e empresas vinculadas também podem ser atingidas, e a Transfero inclui plataformas de negociação, custodianos, transferidores, fintechs e fornecedores de infraestrutura financeira. O perímetro é mais amplo que a loja cripto pública.

Limitações do material

O material disponível permite reconstruir com alto nível de detalhe o regime brasileiro, mas não traz fatos verificáveis para Argentina, Chile, Paraguai, Bolívia, Peru, Colômbia, México, Estados Unidos ou Uruguai. Também não inclui IOCs técnicos clássicos, vítimas, domínios, hashes nem infraestrutura. Algumas referências secundárias, como Bitzo ou Blueconsult, apresentam alcances ou datas atribuídos pela fonte como incertos, por isso foram mantidos com essa cautela.

Os documentos reunidos descrevem normas, interpretações de escritórios jurídicos, veículos especializados e notas oficiais, mas não trazem o texto integral de todas as resoluções citadas. Por isso, nos casos em que uma fonte resume ou interpreta, o relatório preserva esse caráter atribuído e evita transformar a informação em afirmação absoluta quando não há reprodução textual direta.

Fontes