Brasil endurece regras para PSAV em 2026

Cadeia de ataque e TTPs

O material não descreve uma intrusão técnica, uma campanha maliciosa nem um incidente de malware. O que ele documenta é uma cadeia regulatória e operacional que afeta a infraestrutura financeira usada pelo setor cripto. Nessa cadeia, o primeiro elo é a autorização junto ao Banco Central, o segundo é a adequação do funcionamento interno, e o terceiro é o enquadramento cambial e antilavagem de certas operações com ativos virtuais.

Sob a ótica técnica de operação e controle, o equivalente a uma superfície de exposição não está em um exploit, mas na infraestrutura de compliance. As PSAV precisam demonstrar capacidade financeira, origem lícita de capital, arquitetura tecnológica, governança, controles internos, monitoramento e segregação patrimonial. A isso se somam KYC, KYB, relatórios ao Coaf e revisões de cibersegurança nas instituições que interagem com o segmento.

A mudança de TTPs relevantes para equipes de segurança e compliance é, portanto, normativa e funcional. A perda de acesso a canais bancários para prestadoras não autorizadas atua como mecanismo de contenção, enquanto o tratamento de stablecoins e transferências para wallets autocustodiadas dentro do regime de câmbio introduz rastreabilidade e exigências de classificação que antes não estavam explicitadas com esse nível de detalhe.

Impacto regional

Panorama regional

O Brasil é o único país do bloco com desenvolvimento regulatório verificável no material, e por isso concentra a maior parte do impacto regional. A leitura comum de HokenFI, ABBC, Finsiders, Clav e Transfero é que o Banco Central construiu um perímetro específico para as PSAV, com autorização, funcionamento, controles e classificação de operações dentro do mercado de câmbio. O efeito foi a formalização do setor e uma pressão imediata sobre atores que operavam sem licença ou com licenciamento incompleto.

Essa pressão apareceu em dois planos. O primeiro é prudencial, com exigências maiores de capital, governança, controles internos e auditoria. O segundo é comercial, com fechamento progressivo do acesso ao sistema financeiro regulado para quem não se adaptar. O art. 91 da Resolução 520, reforçado pela Resolução 589, cria uma barreira concreta para bancos e instituições de pagamento. Na prática, operar sem autorização deixa de ser apenas uma infração administrativa e passa a implicar exclusão efetiva dos rails bancários.

O outro plano regional é o cambial. A Resolução 521 leva o Brasil a tratar certas operações com ativos virtuais como parte do regime de câmbio e capitais internacionais. Esse movimento é especialmente sensível para stablecoins e transferências para wallets autocustodiadas, porque introduz critérios de controle que antes estavam mais difusos. A cobertura de Investing.com Brasil e Diário do Comércio confirma que o mercado passou a ler essa mudança como uma reclassificação estrutural, e não como um ajuste menor.

Brasil

O Brasil concentrou o processo regulatório, operacional e sancionatório mais importante do período. A Resolução 519 definiu os requisitos de autorização das SPSAV, a 520 estruturou as regras de funcionamento e a 521 ampliou o alcance cambial para determinadas operações com ativos virtuais. Transfero, Clav e Marinho de Gusmão concordam que o novo regime entrou em vigor em 2 de fevereiro de 2026 e alcançou de cheio intermediação, custódia e corretagem.

A fase de transição foi curta e rígida. As empresas já ativas tinham até 30 de outubro de 2026 para protocolar o pedido de autorização. A Blueconsult informou que, a poucas semanas do prazo final, apenas cinco pedidos haviam sido apresentados, o que sugere uma distância grande entre o universo alcançado pela norma e os atores efetivamente em processo. A AtlasPublico, por sua vez, descreveu o prazo como de 270 dias desde a entrada em vigor.

O fechamento regulatório se consolidou a partir de 6 de novembro de 2026. Bartolo e Clav registram que o art. 91 impede as instituições reguladas de operar com prestadoras não autorizadas, salvo exceções expressas. A Vault Capital acrescenta que isso bloqueia, na prática, o acesso ao Pix e aos canais bancários para PSAV não reguladas. Bocater e Okai mostram ainda que a Resolução 589 reforçou a frente antilavagem e ajustou o texto da 520, com foco em PLD/FT.

O impacto no mercado ficou visível. A Finsiders fala em consolidação do segmento e em uma fila de autorização afetada pelas novas exigências. A ABBC afirma que as instituições financeiras precisaram rever auditoria, KYC, KYB, monitoramento, relatórios ao Coaf, prevenção a fraudes e cibersegurança. A reunião da ABRACAM com o Banco Central e o mercado de câmbio confirma que, um ano depois das novas regras, ainda havia debates práticos sobre classificação de operações e autorização.

Argentina

Não há um regime argentino novo descrito no material, mas existe uma comparação explícita com o Brasil. O Cronista indica que os requisitos de patrimônio mínimo para empresas ligadas a criptoativos na Argentina são mais baixos, numa faixa aproximada de US$ 35.000 a US$ 150.000, e os contrapõe ao maior custo regulatório brasileiro. Essa diferença ajuda a explicar parte do deslocamento competitivo no Cone Sul.

O caso mais claro é o da Lemon. A Forbes Argentina informou que a fintech encerrou suas operações no Brasil e reorientou recursos para Argentina, Peru e Colômbia. The Token Times e Valor Investe detalham que a saída foi restrita ao mercado brasileiro e que as atividades na Argentina seguiram normais. Não há no material evidência de que o marco brasileiro tenha afetado a operação local da Lemon na Argentina.

A leitura de mercado, portanto, é assimétrica. O Brasil endureceu autorização, funcionamento e acesso bancário, enquanto a Argentina aparece no material como uma praça comparativamente menos exigente em termos de capital mínimo. Essa diferença não significa ausência de regulação argentina, mas aponta um ambiente relativamente mais leve diante do novo custo de entrada brasileiro.

Chile

Não foram identificados fatos verificáveis para o Chile no material fornecido.

Paraguai

Não foram identificados fatos verificáveis para o Paraguai no material fornecido.

Bolívia

Não foram identificados fatos verificáveis para a Bolívia no material fornecido.

Peru

Não foram identificados fatos verificáveis específicos para o Peru além da referência operacional da Lemon, que, segundo Forbes Argentina, The Token Times e Valor Investe, manteve suas atividades no país enquanto encerrava o Brasil. Não há outros detalhes regulatórios ou de supervisão disponíveis no research.

Colômbia

Não foram identificados fatos verificáveis específicos para a Colômbia além da continuidade operacional da Lemon, que, segundo The Token Times e Valor Investe, seguiu ativa nesse mercado após a saída do Brasil. O research não traz mais elementos sobre regulação local ou impacto setorial.

México

Não foram identificados fatos verificáveis para o México no material fornecido.

Estados Unidos

Não foram identificados fatos verificáveis para os Estados Unidos no material fornecido.

Uruguai

Não foram identificados fatos verificáveis para o Uruguai no material fornecido.

Indicadores técnicos

Não há IOCs técnicos clássicos no material, como hashes, domínios maliciosos, IPs ou amostras de malware. O caso é regulatório e operacional, então os indicadores disponíveis são datas de vigência, prazos de transição, limites de autorização e pontos de controle normativo.

Análise para equipes de segurança

Para equipes de segurança, o caso brasileiro deve ser lido como uma mudança de exposição operacional para qualquer empresa que toque fluxos de criptoativos no Brasil. A prioridade principal é verificar se a organização se enquadra como PSAV, se já apresentou pedido de autorização e se o modelo depende de canais bancários locais, especialmente contas de liquidação, Pix ou integrações com instituições de pagamento.

A primeira medida é inventariar produtos e fluxos. É preciso separar custódia, corretagem, intermediação, administração, transferências e serviços de conversão, porque o marco do Banco Central não trata todas as atividades da mesma forma. A Resolução 521 obriga ainda a revisar se alguma operação entra no regime de câmbio, algo que muda os requisitos de controle e de reporte. Isso é decisivo para stablecoins e para transferências a carteiras autocustodiadas.

Em paralelo, compliance e segurança precisam trabalhar juntos. A ABBC deixa claro que KYC, KYB, monitoramento de transações, comunicações ao Coaf, prevenção a fraudes e segurança cibernética passam a integrar o controle esperado por bancos e entidades que se relacionam com o setor. Se a empresa é uma PSAV, não basta ter uma política escrita. É preciso demonstrar rastreabilidade operacional, segregação patrimonial e capacidade real de controle.

A segunda prioridade é revisar a dependência bancária. Desde o fechamento de novembro de 2026, operar com uma PSAV não autorizada pode fazer com que bancos e instituições de pagamento não possam intermediar fundos. Isso fragiliza modelos que dependem de rails bancários tradicionais. Qualquer relação comercial com provedores cripto no Brasil deve incluir validação documental do status regulatório e da etapa em que o pedido de autorização se encontra.

A terceira prioridade é monitorar mudanças regulatórias. A Resolução 589 mostra que o Banco Central pode seguir ajustando o marco, especialmente em PLD/FT. Não convém tratar o tema como encerrado com a publicação inicial das resoluções 519, 520 e 521. O regime continua em evolução e já mostrou capacidade de endurecimento posterior.

Perguntas frequentes

O que mudou no Brasil entre fevereiro e novembro de 2026 para as PSAV?

O Brasil passou de publicar um marco regulatório específico a torná-lo operacional e, depois, restritivo. As resoluções 519, 520 e 521 entraram em vigor em 2 de fevereiro de 2026, e em 30 de outubro terminou o prazo de transição para pedir autorização. Desde 6 de novembro, as entidades não autorizadas ficaram excluídas do sistema financeiro regulado.

Quais atividades ficaram dentro do perímetro regulatório do Banco Central?

O marco brasileiro alcançou custódia, intermediação, corretagem, administração e transferência de ativos virtuais, além de certas operações que a Resolução 521 levou ao regime cambial. Isso inclui pagamentos internacionais, transferências para carteiras autocustodiadas e criptoativos referenciados em moeda tradicional, segundo os textos citados por Transfero e Diário do Comércio.

Por que se fala em consolidação do mercado cripto brasileiro?

Porque a autorização exige capital, governança, infraestrutura tecnológica e controles de compliance que nem todas as empresas conseguem sustentar. Finsiders e ABBC descrevem um efeito de depuração, enquanto a Blueconsult reportou apenas cinco pedidos de licença a poucas semanas do fim do prazo. O acesso bancário restrito também favorece quem regularizou a situação.

Como a regulação brasileira afetou empresas que operam em outros países da região?

O caso mais bem documentado é o da Lemon. Forbes Argentina, The Token Times e Valor Investe coincidem ao informar que a empresa encerrou o Brasil, mas manteve operações na Argentina, Colômbia e Peru. O material não mostra contágio regulatório equivalente nesses países, embora O Cronista compare a Argentina ao Brasil e aponte requisitos de capital mais baixos.

Que papel as normas de PLD/FT tiveram nesse processo?

Foi central. A ABBC pediu novas rotinas de auditoria com KYC, KYB, monitoramento, relatórios ao Coaf e cibersegurança, e Bocater informou que a Resolução 589/2026 reforçou as obrigações de prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Isso elevou a régua de controle para PSAV e para as instituições financeiras que interagem com elas.

Limitações do material

O research disponível é forte em regulação brasileira e comparações regionais pontuais, mas não traz fatos verificáveis para Chile, Paraguai, Bolívia, México, Estados Unidos ou Uruguai. Também não inclui IOCs técnicos clássicos, porque o objeto não é uma campanha de malware, e sim uma mudança normativa.

As fontes consultadas são majoritariamente artigos jornalísticos, análises setoriais e notas de escritórios de advocacia. Em alguns casos, como Finsiders sobre a Resolução 580/2026 e BitNotícias sobre o número de pedidos, o próprio material assinala incerteza ou atribuição não totalmente confirmada. Essas referências foram mantidas como tais e não foram elevadas a fato duro.

Não há no material uma lista completa de empresas solicitantes, nem um inventário oficial de licenças concedidas ou negadas. Também não se dispõe do texto integral de todas as resoluções, apenas de descrições, trechos e citações parciais reproduzidas por terceiros. Por isso, o informe evita inferências sobre compliance individual ou sobre o status exato de cada exchange fora dos casos mencionados.