Brasil fecha regras PSAV e cripto em 2026

Linha do tempo da operação

Cadeia de ataque e TTPs

Não há no material um incidente técnico clássico, com atores maliciosos, malware ou exploração de vulnerabilidades, mas uma sequência regulatória que funciona como uma cadeia de controle sobre o fluxo de fundos. Nesse sentido, a cadeia relevante é operacional e de compliance. O Banco Central primeiro define quem precisa de autorização, depois qual estrutura mínima deve ter para operar, em seguida quais operações devem ser retidas ou reportadas e, por fim, quais contrapartes ficam vedadas.

A primeira TTP regulatória é a classificação do prestador. A 519 captura atores que intermediam, custodiam, trocam ou vendem cripto por terceiros. A segunda é a exigência de evidência documental e prudencial para autorizar o negócio. A terceira é o monitoramento reforçado de transferências que superam US$ 10.000, com duas respostas distintas conforme o caso, retenção cautelar por até 24 horas na 584 e reporte automático ao COAF na 588. A quarta é o cerco sobre contrapartes não autorizadas na 589.

Isso obriga a ler o regime como uma sequência de atrito crescente, não como uma regra isolada. O ativo virtual não é proibido, mas sua circulação de alto valor fica rastreada, pausada ou condicionada à contraparte e ao tipo de destino. Para equipes de segurança e compliance, a equivalência prática é direta, monitoramento transacional, classificação de wallets, validação de licenças de terceiros e preservação de evidências passam a integrar o controle de negócio.

Impacto regional

Brasil é o centro do pacote regulatório do relatório, mas o material também mostra um efeito de arraste regional. A Argentina aparece como contraponto com um esquema de registro PSAV na CNV, obrigações de prevenção à lavagem e registro obrigatório para provedores estrangeiros que miram residentes argentinos. Essa combinação torna mais rígida a operação transfronteiriça e eleva o custo de prestar serviços regionais sem estrutura local ou sem compliance multijurisdicional.

Panorama regional

As fontes consultadas sugerem que o Cone Sul está convergindo para modelos em que o foco não é apenas o ativo virtual, mas sobretudo o provedor de serviços. O Brasil faz isso por meio de autorização prévia, enquadramento prudencial e reportes ao COAF. A Argentina, segundo o material, usa registro PSAV na CNV e exigências de patrimônio líquido, custódia, governança e cibersegurança. Em ambos os casos, os provedores estrangeiros entram no radar se miram clientes locais.

Brasil

O Brasil concentra o maior volume de mudanças e a sequência mais ampla. A Resolução 519 abre uma janela de 270 dias até 30 de outubro de 2026 para pedir autorização. As Resoluções 520 e 521 organizam a constituição e o funcionamento das SPSAV, com capital realizado, segregação de ativos e modalidades operacionais definidas. Depois, a 580 integra as PSAV ao arcabouço prudencial, a 584 introduz retenção cautelar para operações sensíveis, e as 588 e 589 adicionam reporte ao COAF e deveres granulares perante o Banco Central.

Para o mercado local, isso significa que operar sem autorização deixa de ser uma zona cinzenta e passa a ser um problema de continuidade. O Portal do Bitcoin reportou o caso Coinext como exemplo de saída do mercado, enquanto a BlueConsult alertou que os prestadores que não se adequarem terão de interromper as operações. A pressão não se limita a exchanges tradicionais, mas também a OTC, P2P, fintechs e atores estrangeiros que captam usuários brasileiros.

Argentina

A Argentina não muda o foco central do relatório, mas serve como referência comparativa para entender a região. O governo argentino informou a entrada em vigor da nova matriz de compatibilidades para PSAV, Agentes, Plataformas de Financiamento Coletivo, Mercados e Câmaras de Compensação. Stablecoin Insider e Prifinance convergem ao dizer que o registro PSAV na CNV é obrigatório, inclusive para provedores estrangeiros que atendem residentes argentinos.

A KPMG acrescentou um dado operacional relevante ao informar que foi removida a exigência de que o PSAV onde o ativo virtual é depositado tenha domicílio na Argentina e esteja sujeito à legislação argentina. Esse ajuste facilita o uso de provedores sediados em outras jurisdições, mas não elimina a obrigação de registro nem as regras de compliance, custódia e cibersegurança.

Chile

Não foram apresentados fatos verificáveis específicos sobre o Chile no material consolidado.

Paraguai

Não foram apresentados fatos verificáveis específicos sobre o Paraguai no material consolidado.

Bolívia

Não foram apresentados fatos verificáveis específicos sobre a Bolívia no material consolidado.

Peru

Não foram apresentados fatos verificáveis específicos sobre o Peru no material consolidado.

Colômbia

Não foram apresentados fatos verificáveis específicos sobre a Colômbia no material consolidado.

México

Não foram apresentados fatos verificáveis específicos sobre o México no material consolidado.

Uruguai

Não foram apresentados fatos verificáveis específicos sobre o Uruguai no material consolidado.

Estados Unidos

Não foram apresentados fatos verificáveis específicos sobre os Estados Unidos no material consolidado.

Indicadores técnicos

Não foram publicados IOCs clássicos no material, como hashes, IPs, domínios, wallets ou amostras de malware. O indicador técnico disponível é regulatório e operacional, o limite de US$ 10.000 para reporte ou retenção e a janela de 24 horas para retenção cautelar em certas transferências.

Análise para equipes de segurança

O principal risco operacional não é uma intrusão técnica, mas o descumprimento de um regime de rastreabilidade e autorização que já afeta a continuidade do negócio. As equipes de segurança, compliance e produto devem tratar essas resoluções como controles de arquitetura, porque o Banco Central está definindo quais contrapartes podem existir, quais transferências precisam ser barradas e quais eventos devem ser registrados.

Na detecção, a prioridade é classificar corretamente o tipo de destino. As transferências para ou a partir de carteiras de autocustódia e para entidades no exterior concentram a maior fricção regulatória. Isso exige diferenciar wallets próprias do usuário, contrapartes não autorizadas e provedores com licença válida. Também exige registrar acumulações diárias por cliente, porque o limite de US$ 10.000 é interpretado, segundo as fontes, tanto por operação individual quanto pelo total movimentado no mesmo dia.

Na mitigação, o foco está em três frentes. Primeiro, o onboarding e a verificação do status regulatório da contraparte. Segundo, a instrumentação de retenções automáticas ou semiautomáticas onde couber, com evidência suficiente para liberar antes das 24 horas quando não houver indícios de irregularidade. Terceiro, o envio oportuno de relatórios ao COAF e ao Banco Central com dados consistentes, especialmente em saldos, custódia e staking. A Resolução 589 eleva o custo de uma classificação errada, porque combina reporte ao COAF, reporte prudencial e restrições de contrapartes.

A prioridade de implementação deve ser imediata para qualquer ator que ainda não tenha iniciado o processo de autorização. A data crítica já foi marcada por várias coberturas como 30 de outubro de 2026. Para as equipes técnicas, isso significa revisar fluxos de depósitos e saques, regras de screening de wallets, registros de evidência, monitoramento de operações agregadas por cliente e mecanismos de retenção cautelar. Para os times jurídico e de risco, significa confirmar o alcance da licença, a relação com terceiros estrangeiros e a compatibilidade da operação com o arcabouço prudencial que entra em vigor a partir de 2027.

Perguntas frequentes

Qual data marca o fechamento do primeiro prazo de autorização para PSAV no Brasil?

O prazo mais citado no material é 30 de outubro de 2026. BlueConsult e Hodle indicam que a janela de 270 dias aberta pelas Resoluções 519, 520 e 521 vai até essa data, e que quem não se adequar terá de interromper as operações ou deixar de prestar serviços.

Quais atividades ficam alcançadas pela Resolução BCB 519 e o que exigem as 520 e 521?

Ficam alcançadas mesas OTC, plataformas P2P, fintechs que vendem cripto, exchanges estrangeiras que atendem brasileiros e, em geral, quem intermedeia, custodia ou troca cripto para terceiros. As 520 e 521 organizam a constituição das SPSAV, com capital, segregação de ativos, governança e modalidades operacionais definidas.

O que muda para as transferências de cripto acima de US$ 10.000?

Desde outubro de 2026, transferências para ou a partir de autocustódia de US$ 10.000 ou mais devem ser reportadas ao COAF, e desde janeiro de 2027 certas transferências ao exterior ou para carteiras de autocustódia podem ser retidas por até 24 horas. O limite funciona como gatilho de controle, não como proibição.

A retenção de 24 horas significa bloqueio definitivo dos fundos?

Não. Campos Thomaz esclarece que a retenção prevista na Resolução 584 é cautelar, não definitiva. Se a análise interna concluir que não há indícios de irregularidade, a transferência pode ser liberada antes do prazo, desde que a decisão seja fundamentada e registrada.

Brasil e Argentina estão seguindo o mesmo modelo regulatório para cripto?

Não exatamente. O Brasil prioriza autorização prévia do Banco Central, enquadramento prudencial e reporte ao COAF sobre autocustódia e contrapartes não autorizadas. A Argentina, segundo as fontes revisadas, usa registro PSAV na CNV com obrigações de custódia, cibersegurança e prevenção à lavagem, inclusive para provedores estrangeiros.

Limitações do material

O material não traz o texto normativo completo das resoluções, então a reconstrução se baseia em coberturas secundárias e análises setoriais. Também não há IOCs técnicos clássicos, vítimas, domínios ou artefatos forenses, porque o foco do relatório é regulatório e não um incidente de segurança.

Há uma referência com confiança atribuída como incerta em Times Brasil sobre a vinculação entre operações acima de US$ 10.000 e comunicação ao COAF dentro do marco da Resolução 584. Essa nota foi contrastada com outras fontes que confirmam o reporte ao COAF na Resolução 588, por isso a incerteza de origem foi preservada e os efeitos de 584, 588 e 589 foram separados.

Também não foram verificados fatos adicionais para Chile, Paraguai, Bolívia, Peru, Colômbia, México, Estados Unidos e Uruguai. Nesses casos, não se forçaram subseções com preenchimento artificial, e a análise regional ficou concentrada em Brasil e Argentina, os únicos países com material suficiente para sustentar uma leitura técnica comparada.