CertiK Intel3D – A Era das PSAVs e o Novo Padrão de Segurança do Brasil

CertiK Intel3D – A Era das PSAVs e o Novo Padrão de Segurança do Brasil

Com a aproximação de 30 de outubro de 2026, o mercado brasileiro de ativos virtuais enfrenta o prazo final para que os prestadores de serviços de ativos virtuais (PSAVs) protocolem seus pedidos de autorização junto ao Banco Central, agora obrigatoriamente acompanhados de um relatório de asseguração independente.

O Brasil ocupa a 5ª posição mundial em adoção de criptomoedas e movimentou US$ 318,8 bilhões em transações on-chain ao longo de doze meses. Aproximadamente 80% do volume declarado corresponde a stablecoins, totalizando R$ 1,58 trilhão desde 2019. As exigências de capital mínimo variam entre R$ 10,8 milhões e R$ 37,2 milhões para um universo estimado de 120 prestadores de serviço, enquanto US$ 1,32 bilhão foi perdido em ataques hackers apenas no primeiro semestre de 2026. Em menos de quatro anos, a regulamentação evoluiu de um marco legal para um modelo de supervisão plena, incorporando evidências independentes diretamente ao processo de autorização. Outubro de 2026 não representa a linha de chegada, mas o início de um mercado maior, mais institucionalizado em que a capacidade de comprovar substitui a capacidade de apenas prometer.

O avanço da regulamentação dos ativos virtuais no Brasil deve inaugurar uma nova etapa para o quinto maior mercado de criptoativos do mundo: mais institucional, mais integrado ao Sistema Financeiro Nacional e mais exigente em governança, segurança, segregação de ativos e comprovação de controles.

Essa é uma das principais conclusões do relatório “A Era das PSAVs no Brasil: Segurança e compliance na contagem regressiva para outubro de 2026”, publicado pela CertiK, maior provedora de serviços de segurança para Web3.
O mercado está entrando em uma etapa decisiva com a aproximação de 30 de outubro de 2026, prazo fi nal para que os prestadores de serviços de ativos virtuais (PSAVs) apresentem seus pedidos de autorização ao Banco Central acompanhados de certifi cação independente de compliance.

Segundo o relatório da CertiK, a regulamentação representa a integração de um mercado superior a US$ 300 bilhões anuais ao perímetro do Sistema Financeiro Nacional, submetendo as empresas a novas exigências de capital, governança, segregação patrimonial, prevenção à lavagem de dinheiro, segurança e supervisão. Trata-se de um mercado de escala continental, que cresce no ritmo dos mercados emergentes e está estruturado sobre uma infraestrutura digital fi nanceira de país desenvolvido. Contudo, como defi ne o relatório, este potencial permanece “oculto à vista de todos”.

“A institucionalização do mercado brasileiro deverá elevar os custos e as barreiras de entrada, mas também criar oportunidades para empresas capazes de transformar segurança e conformidade em diferenciais competitivos”, afi rma Jason Jiang, Chief Business Offi cer da CertiK.

Stablecoins colocam cripto no centro da discussão monetária

Entre 2019 e 2025, brasileiros movimentaram aproximadamente R$ 1,58 trilhão em criptoativos, dos quais cerca de R$ 1,13 trilhão em stablecoins. A participação desses ativos no volume declarado passou de 3,5% em 2019 para mais de 80% desde 2023.
Para a CertiK, essa predominância ajuda a explicar o papel central do Banco Central na regulamentação e a crescente relevância de temas como câmbio e pagamentos internacionais. Também revela uma mudança no uso dos ativos digitais, incluindo pagamentos B2B e liquidações internacionais.

A nova lógica do compliance contínuo

O novo marco regulatório leva o mercado para um ambiente de supervisão contínua. Além das exigências de capital, governança e segurança, as empresas precisarão demonstrar, com evidências verifi cáveis, que seus controles funcionam de forma efetiva.
Na avaliação da CertiK, compliance, segurança e gestão de riscos deixam de ser projetos pontuais e passam a funcionar como infraestrutura permanente, especialmente diante das próximas ondas regulatórias envolvendo stablecoins, tokenização, câmbio e supervisão.

Regulação deve redesenhar modelos de negócio

O relatório estima cerca de 120 prestadores de serviços no mercado, submetidos agora a exigências de capital mínimo entre R$ 10,8 milhões e R$ 37,2 milhões, além de um processo de autorização mais complexo e custoso.
Contudo, nem todas as empresas deverão buscar uma licença própria. O cenário tende a acelerar a consolidação do setor, com aumento de operações de fusões e aquisições (M&A), aquisição de empresas autorizadas e valorização das licenças como ativos estratégicos.
Também devem ganhar espaço modelos como o Crypto-as-a-Service, em que fi ntechs e empresas Web3 operam por meio da infraestrutura e da licença de uma PSAV autorizada. Outras companhias poderão se posicionar como fornecedoras de tecnologia, segurança e compliance para instituições reguladas.

“O país está incorporando um mercado de escala global a uma infraestrutura fi nanceira já altamente desenvolvida. A prontidão de uma empresa para navegar nesse ambiente será, cada vez mais, determinada pela sua capacidade de comprovação”, conclui Jiang.

RESUMO EXECUTIVO 

A Onda da Web3 nos Mercados Emergentes

O Sul Global assume a liderança: O Índice Global de Adoção de Criptoativos 2025, da Chainalysis, coloca Índia, Estados Unidos, Paquistão, Vietnã e Brasil como os cinco maiores mercados em uso efetivo de criptomoedas. Quatro desses cinco países são economias emergentes, e o volume on-chain da América Latina cresceu 63% em relação ao ano anterior, o segundo maior ritmo do mundo. Quando a adoção é impulsionada por necessidades financeiras reais, e não apenas por especulação, ela tende a se consolidar e, inevitavelmente, exigir regulamentação.

Um mercado de US$ 318 bilhões escondido à vista de todos: Carteiras e plataformas brasileiras receberam US$ 318,8 bilhões em ativos on-chain nos doze meses encerrados em junho de 2025, o equivalente a quase um terço de toda a atividade da América Latina e aproximadamente o dobro do volume combinado de Argentina e México. O Brasil ocupou a quinta posição em todos os subíndices medidos pela Chainalysis, mas continua sendo internacionalmente subestimado quando comparado a pólos como Dubai ou Singapura.

A “Nação das Stablecoins”: Entre 2019 e 2025, os brasileiros movimentaram aproximadamente R$ 1,58 trilhão em criptoativos, do qual R$ 1,13 trilhão correspondeu a stablecoins. A participação das stablecoins no volume declarado cresceu de 3,5% em 2019 para mais de 80% desde 2023, sendo que o USDT sozinho respondeu por 88,7% de todo o volume de stablecoins. Essa concentração explica por que é Banco Central, e não a Comissão de Valores Mobiliários (CVM), lidera esse regime regulatório, e por que o mercado de câmbio ocupa posição central nas novas regras. 

Muito além do trading: como o Brasil realmente utiliza Web3: Os casos de uso da Web3 vão muito além da negociação de ativos: infraestrutura baseada em stablecoins para pagamentos B2B e liquidação internacional; exchanges e corretoras atendendo investidores de varejo por meio da integração instantânea com o Pix; ETFs de criptoativos listados na B3 desde 2021; tokenização de recebíveis e ativos do mundo real (RWAs); crescimento da participação institucional, à medida que bancos brasileiros avançam para serviços de custódia e produtos tokenizados.

Por que o Brasil estava preparado: Pix, Open Finance e a infraestrutura construída anteriormente: Ao contrário de Venezuela ou Argentina, a adoção de criptoativos no Brasil ocorreu sobre uma infraestrutura financeira altamente sofisticada, formada por soluções como Pix e Open Finance. Os brasileiros tendem a adotar rapidamente novas infraestruturas financeiras quando existe uma combinação de tecnologia robusta e regras claras, e o Banco Central já demonstrou repetidamente sua capacidade de regular infraestruturas financeiras transformadoras.

Do Vácuo Regulatório à Supervisão Completa

A base: Lei nº 14.478/2022 e Decreto nº 11.563/2023: O Marco Legal dos Ativos Virtuais definiu o que são ativos virtuais e prestadores de serviços de ativos virtuais (PSAVs), estabeleceu princípios orientadores (governança, segurança, proteção do consumidor e prevenção à lavagem de
dinheiro e ao financiamento do terrorismo ,PLD/FTP – em inglês AML/CFT: Anti-Money Laundering / Countering the Financing of Terrorism) e deixou a regulamentação prática a cargo do Poder Executivo. O Decreto nº 11.563/2023 designou o Banco Central como autoridade  reguladora competente, embora tenham se passado quase três anos até a publicação das regras detalhadas.

O desenho regulatório: As consultas públicas realizadas em 2023 e 2024 moldaram uma estrutura composta por três resoluções, abrangendo autorização, operação e câmbio. O processo revelou um regulador disposto a testar propostas mais rigorosas, como a proibição de transferências para carteiras de autocustódia, e ajustá-las com base nas contribuições do mercado, mantendo forte alinhamento com o regulamento europeu MiCA e com os padrões do GAFI (FATF).

Resoluções BCB nº 519, 520 e 521 (novembro de 2025): Publicadas na mesma data, essas resoluções disciplinam o processo de autorização (Resolução 519), criam a figura do SPSAV, com três categorias de atuação: intermediário, custodiante e corretora/exchange (Resolução 520), classificam pagamentos internacionais realizados com ativos virtuais como operações de câmbio (Resolução 521). O capital mínimo exigido varia entre R$ 10,8 milhões e R$ 37,2 milhões. Bancos e corretoras já autorizados receberam um procedimento simplificado para adicionar serviços de ativos virtuais às licenças existentes.

O conjunto de regras: IN 701 e IN 704: A Instrução Normativa 704 disciplina os novos entrantes e empresas nativas do setor cripto, detalhando os procedimentos e a documentação necessária para autorização. Já a Instrução Normativa 701 aplica-se às instituições já reguladas (bancos,
corretoras e distribuidoras), exigindo certificação técnica independente sobre segregação de ativos, capacidade operacional dos prestadores de serviços, planos de recuperação, políticas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (AML/CFT).

A mudança de paradigma: IN 739: Publicada em 29 de maio de 2026, a Instrução Normativa 739 condiciona o pedido de autorização do SPSAV à apresentação de um relatório de asseguração razoável, elaborado conforme a norma NBC TO 3000 por empresa de auditoria registrada na CVM. Esse relatório deve atestar a efetividade dos controles de prevenção à lavagem de dinheiro, financiamento do terrorismo e cumprimento de sanções. Os pedidos de autorização, acompanhados desse relatório, devem ser protocolados até 30 de outubro de 2026.

DeCripto, CARF e o longo alcance da Receita Federal: A partir de julho de 2026, as operações com criptoativos passaram a ser reportadas à Receita Federal por meio do DeCripto, em conformidade com o padrão internacional CARF, da OCDE. A obrigação alcança explicitamente  também prestadores de serviços estrangeiros que atendam clientes brasileiros.

A visão prática: Veirano Advogados: Segundo Marcos Rocha, do escritório Veirano Advogados, muitas empresas continuam subestimando a complexidade do processo de autorização, que envolve governança, compliance, prevenção à lavagem de dinheiro, cibersegurança e diversos outros requisitos. Sua recomendação é tratar o pedido de autorização como um projeto único e integrado desde o início, considerando o nível de profundidade técnica da análise conduzida pelo Banco Central.

Essa Lei se Aplica à Sua Empresa?

O que se considera um serviço de ativos virtuais: Ativos virtuais são representações digitais de valor utilizadas para pagamento ou investimento, excluindo moedas fiduciárias, moeda eletrônica, programas de fidelidade e valores mobiliários (que permanecem sob competência da CVM). O regime do Banco Central abrange atividades de: troca de ativos virtuais, transferência, custódia, oferta de serviços relacionados a ativos virtuais prestados a terceiros.

As zonas cinzentas: carteiras, PSPs, tokenização, games e DeFi: Ainda existem áreas de incerteza regulatória envolvendo: infraestruturas de carteiras próximas da custódia (como recuperação assistida e esquemas baseados em MPC), fintechs que atuam em parceria com instituições licenciadas, empresas de tokenização (uma ação tokenizada continua sendo considerada um valor mobiliário sob competência da CVM, conforme o Parecer de Orientação nº 40), tokens utilizados em jogos com mercados secundários líquidos, interfaces comerciais de protocolos DeFi operando no Brasil.

Prestando serviços ao Brasil a partir do exterior: Empresas estrangeiras que já atendiam clientes brasileiros receberam 270 dias para transferir suas operações para uma entidade local autorizada. As alternativas remanescentes são: constituir uma empresa no Brasil, adquirir uma operação já autorizada, atuar como prestadora de serviços para um PSAV autorizado, ou encerrar suas atividades no mercado brasileiro. Segundo Marcos Rocha, não existe uma estrutura única que sirva para todos os casos. A estratégia mais adequada depende do modelo operacional atual da empresa e de seus objetivos de longo prazo.

A Economia do Prazo Regulatório

O que o pedido de autorização realmente exige: Os pedidos devem documentar a estrutura societária e a origem dos recursos, apresentar um plano de negócios detalhado, uma estrutura de governança com administradores estatutários residentes no Brasil, comprovar o capital mínimo exigido e demonstrar medidas de segregação e segurança de ativos, além de, desde a IN 739, incluir o próprio relatório de asseguração razoável.

O gargalo da asseguração: por que setembro já é tarde demais: Todos os requerentes dependem do mesmo recurso escasso: relatórios de asseguração elaborados por um grupo restrito de auditores qualificados e registrados na CVM. O processo real, avaliação de lacunas, remediação, testes técnicos e, por fim, asseguração, leva semanas em cada etapa. Começar em setembro não deixa tempo suficiente no calendário para concluir todo o trabalho até outubro.

A tese da consolidação: Diante de aproximadamente 120 prestadores existentes, de uma exigência de capital mínimo na casa das dezenas de milhões de reais e de um processo de autorização prolongado, a conta não fecha para todos. As licenças tornam-se ativos valiosos, e operações de fusões e aquisições passam a representar a rota mais rápida de entrada no mercado, um padrão de consolidação já observado em outras jurisdições após os prazos de licenciamento do MiCA e da VARA.

As Próximas Ondas Regulatórias

Stablecoins: O Projeto de Lei, a Proposta das 24 horas e o Teste de Calibragem: O Congresso analisa o PL 4.308/2024, que busca regulamentar as stablecoins por meio de legislação específica. Separadamente, o Banco Central propôs reter determinadas operações com stablecoins, acima de US$ 10 mil e destinadas ao exterior ou a carteiras de autocustódia, por 24 horas, para análise de risco. O setor pediu o adiamento da medida diante da pressão simultânea gerada pelo processo de autorização. 

Crypto-as-a-Service: As SPSAVs podem contratar terceiros, permanecendo integralmente responsáveis pelo cumprimento das obrigações regulatórias. Isso cria um caminho para que fintechs e empreendedores ofereçam serviços com criptoativos sem precisarem se tornar, eles próprios, entidades licenciadas, conectando-se à licença de um parceiro autorizado. Tokenização e RWAs: A tokenização está na interseção das competências do Banco Central e da CVM: uma ação tokenizada continua sendo uma ação sob a jurisdição da CVM, conforme o Parecer de
Orientação nº 40. A B3 estuda sua própria plataforma de tokenização, com a possibilidade de utilizar uma stablecoin como camada de liquidação.

Câmbio e pagamentos internacionais: Uma série de normas, a Resolução 561, a comunicação de junho de 2026 sobre estruturas de fundos cambiais e a Resolução 574, está fechando sistematicamente as brechas que permitiam que fluxos internacionais de criptoativos escapassem da supervisão. Esse movimento é reforçado pela incidência do IOF-Câmbio e por limites de transação aplicáveis a contrapartes não autorizadas.

Sinais para 2027 e os anos seguintes: Quatro sinais definem o que vem pela frente: o Congresso participa ativamente da construção do regime por meio de novas leis, o Banco Central utiliza rapidamente todo o seu conjunto de instrumentos regulatórios, a rastreabilidade e a fiscalização do perímetro regulatório continuam se tornando mais rigorosas e o foco está migrando da elaboração das regras para decisões de supervisão, como aprovações, recusas e sanções.

Quando os Mercados Amadurecem, a Segurança Torna-se Infraestrutura

Todo mercado que se formaliza chega ao mesmo ponto: Os setores bancário, de pagamentos com cartões e de capitais migraram da autodeclaração para a verificação independente por terceiros após grandes falhas, como crises financeiras, ondas de fraude e o caso Enron. O setor cripto seguiu a mesma trajetória, acelerada pelo colapso da FTX. O modelo brasileiro estabelecido pelas INs 701 e 739 representa uma das manifestações mais explícitas desse padrão até o momento.

O padrão global: Brasil versus MiCA, VARA e MAS: O regime brasileiro compartilha a mesma estrutura básica do MiCA, da VARA e da MAS: autorização, capital, segregação, governança e prevenção à lavagem de dinheiro e ao financiamento do terrorismo. Seu diferencial está no momento da comprovação: a evidência independente é exigida no protocolo do pedido, em vez de ser validada posteriormente por meio da supervisão. Nesse aspecto específico, o Brasil adota um dos regimes mais rigorosos do mundo.

O cenário de ameaças: O relatório Hack3d do primeiro semestre de 2026, da CertiK, identificou perdas de US$ 1,32 bilhão em 344 incidentes. O comprometimento de carteiras foi o vetor mais dispendioso, com perdas de US$ 444,5 milhões, seguido por phishing, com US$ 366,3 milhões. As explorações de código continuaram sendo o vetor mais frequente. Grupos ligados à Coreia do Norte roubaram US$ 2,02 bilhões em 2025, reforçando a relevância do foco específico da IN 739 nos controles relacionados a sanções.

A economia da asseguração: A comprovação independente passa a viabilizar relações com contrapartes no regime de bloqueio regulatório, reduzir atritos com investidores e compradores, reprecificar o risco de incidentes diante de perdas potencialmente elevadas e funcionar como argumento comercial em processos institucionais de due diligence.

O Desafio da Transição

Três mercados, uma única empresa: As empresas estão atravessando simultaneamente três eras: o mercado não regulado do passado, o atual período de transição, no qual as regras já se aplicam, mas as autorizações ainda não foram concedidas, o futuro mercado plenamente regulado, com supervisão contínua.

As dificuldades práticas: Os desafios concretos incluem a reestruturação da governança em torno de administradores estatutários residentes no Brasil, exigências de capital que alteram a cap table e as conversas com investidores, reconstruções de arquitetura para a segregação de recursos e ativos, operações de AML/CFT que precisam gerar evidências auditáveis em vez de apenas documentos de políticas e até exigências de escritório físico (o uso de coworking é proibido).

Empresas nativas da Web3 em um mercado recém-regulamentado: As empresas têm três caminhos: buscar uma licença própria, operar sob a estrutura de uma PSAV autorizada ou tornar-se fornecedoras de infraestrutura ou ferramentas de compliance para empresas inseridas no perímetro regulatório. Neto observa um aumento das operações de fusões e aquisições entre operadores e detentores de licenças, enquanto o modelo de “carrier” vem se tornando a opção padrão para empresas em estágio inicial que desejam atender o mercado de varejo brasileiro.

O Roadmap de Compliance para PSAVs

Etapa zero: avaliação de lacunas: Antes de elaborar o dossiê, as empresas devem comparar suas  práticas atuais com os requisitos regulatórios e produzir uma matriz de lacunas, com responsáveis e prazos definidos. Esse documento deve organizar todas as etapas seguintes.

Pen Testing e revisão de arquitetura: Testes de penetração, revisão da gestão de chaves e planejamento de resposta a incidentes passaram a ser obrigações regulatórias anuais nos termos das Resoluções CMN 5.274 e BCB 538, em vigor desde março de 2026. As evidências devem ser mantidas por, no mínimo, cinco anos.

Auditorias de contratos inteligentes: A IN 701 exige políticas para listagem, suspensão e retirada de ativos com base em critérios de avaliação técnica. As auditorias transformam decisões de listagem em escolhas documentadas e tecnicamente defensáveis.

AML/CFT, KYT e sanções: Os requisitos incluem monitoramento on-chain de transações, verificação em listas de sanções, implementação da Travel Rule e elaboração de uma matriz de risco por cliente e operação. Todos esses processos devem gerar evidências auditáveis para a análise de asseguração prevista na IN 739.

Custódia, segregação e Prova de Reservas: A segregação é a principal promessa do regime aos clientes. A Prova de Reservas, verificação criptográfica periódica de que os ativos dos clientes existem e estão devidamente cobertos, tornou-se a demonstração recorrente dessa promessa e um importante diferencial competitivo em processos de due diligence.

Conclusão

O Brasil construiu publicamente uma arquitetura regulatória completa para ativos virtuais, concentrou a etapa final desse processo em menos de doze meses e fechou o perímetro por meio de uma regra que proíbe relações com contrapartes não autorizadas. A agenda continua para além de outubro, com stablecoins, tokenização e câmbio. O prazo é real, a capacidade de asseguração é escassa e a comprovação tornou-se o novo produto. As empresas que tratarem o compliance como infraestrutura, e não como uma despesa ocasional, transformarão cada nova exigência em uma vantagem competitiva.

Para ler o relatório completo, faça o download do PDF.

Sobre a CertiK

A CertiK é a maior provedora de serviços de segurança para Web3, com sede em Nova York. Desde sua fundação, em 2017, a empresa se consolidou como uma parceira confi ável em gestão de riscos para órgãos reguladores, instituições e empresas inovadoras do ecossistema Web3 em todo o mundo.

A CertiK oferece soluções de gestão de riscos baseadas em inteligência artifi cial e voltadas a todo o ciclo de vida, integrando-se diretamente aos ciclos de desenvolvimento de sistemas (SDLC) de clientes institucionais. Até o momento, a CertiK já identifi cou mais de 119 mil vulnerabilidades e protegeu mais de US$ 600 bilhões em ativos digitais em mais de 150 países e regiões. Operando em conformidade com os padrões SOC 2 Type II e ISO 27001, a CertiK trabalha em estreita colaboração com órgãos reguladores de todo o mundo no desenvolvimento de políticas para ativos digitais e em processos de consulta regulatória.

Clique e fale com representante oficial Netwrix Endpoint Protector

Veja também:

• América Latina é a segunda região mais exposta a ciberameaças industriais
• IA amplia desafio de segurança e governança nas redes corporativas
• Falsas promessas de emprego na Meta, Disney, Coca-Cola e Spotify
• Sem guardrails, a autonomia da IA se torna um risco
• IA eleva taxa de sucesso de phishing para 54%
• Campanha de phishing mira instituições globais com falsos e-mails de compras
• Quando a IA toma a decisão errada, quem responde pela conta?
• Ataques a criptomoedas já aultrapassm R$ 150 milhões roubados
• ChatGPT entra na mira de campanhas de phishing
• Nomes no WhatsApp privacidade ou novas oportunidades de golpes
• Deepfakes já enganam 90% dos brasileiros no trabalho
• O incidente da OpenAI e o fim da nossa zona de conforto