"Problema de engenharia": Tecnologia vira barreira para empresas cripto se adequarem à regulação do BC

• Prazo para as empresas de ativos virtuais em funcionamento formalizarem a primeira fase do pedido de autorização ao Banco Central termina em 30 de outubro.
• Desafio tecnológico da autorização não se resolve com aporte financeiro e envolve arquitetura, processos, pessoas e governança, afirma diretor da DINAMO.

A adequação das empresas cripto às regras do Banco Central (BC) passa a exigir, além de capital e estrutura jurídica, capacidade técnica para capturar e organizar os dados cobrados pelo regulador e para controlar as chaves privadas que movimentam os ativos dos clientes, segundo especialistas ouvidos pelo WB3News. As prestadoras de serviços de ativos virtuais (PSAVs) que já estavam em funcionamento têm até 30 de outubro de 2026 para formalizar a primeira fase do pedido de autorização ao BC.

Caio Mattos, CEO da NearX, empresa de engenharia e infraestrutura tecnológica com projetos em blockchain e ativos digitais, afirma que a adequação às novas regras passou a ser também um problema de engenharia. Em entrevista exclusiva ao WB3News, o executivo diz que praticamente tudo o que envolve compliance nas empresas do setor ainda é feito manualmente, em planilhas, dos reportes ao BC e à Receita Federal às comunicações ao Coaf (Conselho de Controle de Atividades Financeiras).

Na custódia dos ativos, a responsabilidade permanece com a empresa mesmo quando a tecnologia é contratada de terceiros, segundo Jean-Michel Guillot, diretor de Soluções da DINAMO Cyber Security Company, empresa brasileira de cibersegurança cujo portfólio inclui proteção de chaves criptográficas e custódia de ativos digitais. Guillot afirma ao WB3News que as corretoras passam a ter de demonstrar, de forma objetiva, como protegem os ativos dos clientes e quem tem o poder efetivo de movimentá-los.

Parte das novas regras produz efeitos desde 1º de outubro. A partir de 6 de novembro, instituições financeiras, instituições de pagamento e demais instituições autorizadas pelo BC ficam proibidas de viabilizar operações no mercado de ativos virtuais com prestadoras não autorizadas, ressalvadas as hipóteses previstas na norma. Em 1º de janeiro de 2027, entram em vigor obrigações adicionais de envio de informações ao regulador para fins de supervisão e monitoramento.

Compliance ainda é feito em planilhas, afirma CEO da NearX

As obrigações de reporte não se restringem às corretoras e alcançam qualquer empresa que se enquadre como PSAV, afirma Mattos:

"Praticamente tudo relacionado a compliance ainda é feito manualmente. Desde reports ao BCB, RFB, políticas relacionadas a lavagem de dinheiro e financiamento a terrorismo até os reports ao Coaf. Tudo isso feito em planilhas atualizadas manualmente."

Mesas de negociação de balcão (OTC, na sigla em inglês) e corretoras costumam executar um grande número de transações, afirma Mattos:

"Às vezes fica complexo manter de forma constante a comunicação ao Coaf. Nesses casos se torna indispensável o uso de tecnologia."

A dificuldade aparece inclusive em grandes instituições, que já têm estruturas consolidadas de compliance, segundo o CEO da NearX:

"Não basta conhecer a norma. As empresas precisam conseguir entender o que está acontecendo tecnicamente em cada operação. Uma movimentação on-chain tem características próprias, envolve endereços, redes, tipos de ativos, smart contracts e diferentes formas de interação. Para quem vem exclusivamente do mercado financeiro tradicional, muitas vezes tudo isso chega como uma transação financeira comum, quando não é."

A tendência, segundo Mattos, é automatizar as tarefas que hoje dependem de profissionais analisando operação por operação e deixar às equipes os casos que exigem investigação ou decisão:

"A discussão sobre regulação cripto durante muito tempo ficou concentrada no jurídico. Agora entramos em uma etapa em que ela também é um problema de engenharia. Não adianta uma empresa saber quais obrigações precisa cumprir se não consegue capturar, interpretar e organizar os dados necessários para fazer isso de maneira eficiente."

Carteira autocustodial também precisa ser identificada, afirma Mattos

Transferências de ativos virtuais de ou para carteiras autocustodiais em valor igual ou superior ao equivalente a US$ 10 mil, contratadas desde 1º de outubro, devem ser comunicadas ao Coaf, pela Resolução BCB nº 591, de 30 de setembro. As operações feitas até 31 de dezembro serão comunicadas no primeiro dia útil de janeiro de 2027. A Resolução BCB nº 589, de 23 de setembro, prevê ainda o envio ao BC de informações verificáveis sobre ativos de clientes destinados a operações de staking.

As sociedades prestadoras de serviços de ativos virtuais (SPSAVs) precisam identificar a carteira de destino das transferências, mesmo quando ela é autocustodial, afirma Mattos. A identificação se apoia na travel rule, regra que obriga prestadoras de serviços de ativos virtuais a coletar e transmitir dados de remetente e destinatário das transferências, explica o CEO da NearX:

"Existe um mecanismo que vem sendo implementado chamado travel rule, que será obrigatório. Dessa forma toda carteira autocustodiada será reconhecida se passar em algum momento por uma SPSAV."

Resolução 520 trata chaves privadas como instrumento de controle, diz diretor da DINAMO

A Resolução BCB nº 520 trata as chaves privadas como instrumentos de controle dos ativos virtuais, afirma Guillot. Armazená-las em ambiente seguro não basta: a corretora precisa garantir que os ativos estejam disponíveis aos titulares e que só pessoas autorizadas consigam movimentá-los.

Guillot aponta três mudanças na custódia. A primeira é a segregação dos ativos dos clientes e da própria corretora, no plano contábil e também no tecnológico, com carteiras e controles separados que impeçam o uso dos ativos dos clientes em operações da empresa. A segunda é a comprovação da eficácia desses controles: as corretoras precisam conciliar suas posições com a blockchain, comprovar reservas, passar por auditorias independentes e manter procedimentos documentados de controle e uso das chaves privadas.

A terceira mudança, a mais relevante na avaliação de Guillot, recai sobre a custódia terceirizada:

"A corretora precisa demonstrar que mantém controle efetivo sobre o uso das chaves privadas, impedindo que fornecedores de infraestrutura possam utilizá-las ou movimentar ativos sem autorização. Contratar um fornecedor especializado não elimina sua responsabilidade perante o cliente e o regulador."

O BC não exige uma tecnologia específica, como HSMs (módulos de segurança de hardware, que protegem as chaves em ambientes criptográficos dedicados) ou carteiras frias, mantidas fora da internet, segundo Guillot. Combinadas com segregação de funções e múltiplas aprovações, essas soluções são importantes para estabelecer um padrão de segurança institucional, afirma o executivo.

"Não basta mais afirmar que os ativos estão seguros. A corretora precisa demonstrar que mantém um controle efetivo e auditável sobre sua custódia e, principalmente, sobre quem pode movimentá-los", afirma Guillot.

Barreira vai além do capital mínimo, afirma Guillot

O capital mínimo exigido das prestadoras pode chegar a R$ 37,2 milhões, a depender das atividades da instituição, e é a barreira mais visível da autorização, afirma Guillot:

"Mas a obtenção da autorização também representa um desafio tecnológico significativo, que não se resolve simplesmente com aporte financeiro: envolve arquitetura, processos, pessoas e governança."

A regulamentação exige procedimentos documentados para a geração, o armazenamento e o uso das chaves privadas, além de controles de acesso e alçadas de autorização, segundo o diretor da DINAMO. Esse ponto representa um desafio para arquiteturas muito dependentes de software ou de infraestrutura de terceiros, especialmente quando há concentração de privilégios, afirma Guillot.

O controle das transações é outro desafio da autorização, afirma o executivo:

"Não basta proteger a chave contra roubo: é preciso garantir que ela não seja utilizada indevidamente, mesmo quando uma aplicação ou credencial estiver comprometida. Isso exige mecanismos de autorização, múltiplas aprovações, segregação de funções e validação das transações antes da assinatura."

Segregação tecnológica dos ativos, conciliação das posições com a blockchain, recuperação das chaves e registros confiáveis para auditoria completam a lista de desafios apontados por Guillot. As novas exigências de reporte periódico sobre custódia e reservas pedem maior integração e confiabilidade dos sistemas internos. No processo de autorização, o BC avalia ainda se a infraestrutura tecnológica e a governança são compatíveis com os riscos do negócio, incluindo a supervisão de fornecedores, a eficácia dos controles e a continuidade operacional, afirma o diretor da DINAMO.

O que o investidor consegue verificar na corretora?

O primeiro passo é verificar a situação da corretora perante o BC e distinguir as instituições já autorizadas das que ainda estão em processo de autorização, afirma Guillot. Depois, vale entender quem faz a custódia dos ativos, se a própria corretora ou um terceiro, e se os ativos dos clientes estão separados dos recursos da empresa.

A Resolução 520 determina que o contrato de custódia informe como as chaves são protegidas, os tipos de carteira usados, a participação de terceiros e os riscos envolvidos, inclusive em operações de staking, segundo Guillot. O investidor também deve verificar as condições de retirada dos ativos, a existência e a cobertura de seguros e os relatórios públicos de auditoria sobre a segregação patrimonial. As provas de reservas são úteis, mas não garantem, sozinhas, a segurança da custódia, afirma o executivo.

Do lado do usuário, autenticação multifator, alertas de movimentação e atenção a tentativas de phishing continuam fundamentais, afirma Guillot:

"Mas existe um limite para o que o investidor consegue verificar sozinho. A segurança efetiva das chaves privadas e dos mecanismos de movimentação dos ativos depende de controles técnicos que não são diretamente visíveis ao cliente. É justamente aí que a supervisão do Banco Central e as auditorias independentes ganham importância."

Os criptoativos não contam com a proteção do Fundo Garantidor de Créditos (FGC), mesmo quando a corretora é autorizada pelo BC, afirma Guillot:

"A nova regulamentação representa um avanço importante em segurança e transparência, mas não elimina os riscos da custódia. Por isso, o investidor deve priorizar instituições que ofereçam informações claras e evidências concretas sobre a proteção dos seus ativos."

Leia Também

• Autocustódia recebe tratamento “quase criminalizante” no Brasil enquanto EUA desistem de vigiar carteiras próprias
• "Ter as próprias chaves é diferente de saber protegê-las", diz executivo do Mercado Bitcoin após caso Ledger
• Cripto pode decidir a eleição? Usuários de autocustódia somam 3 vezes diferença entre Flávio e Lula