O fato de uma empresa utilizar criptoativos em seu negócio não significa, por si só, que ela precise de autorização do Banco Central.
Uma empresa pode manter ativos virtuais em tesouraria, utilizar blockchain em seus processos, desenvolver software relacionado a cripto ou oferecer determinada infraestrutura tecnológica sem necessariamente se tornar uma prestadora regulada.
A situação muda, porém, quando a empresa passa a prestar determinados serviços com ativos virtuais em nome de terceiros.
Desde 2026, essa distinção se tornou ainda mais importante. O Brasil passou a contar com regras específicas para autorização e funcionamento das prestadoras de serviços de ativos virtuais, tornando inadequada a análise baseada apenas em rótulos como “exchange”, “wallet”, “fintech”, “plataforma Web3” ou “protocolo”.
Para saber se uma empresa precisa de autorização, é necessário olhar para o que ela efetivamente faz.
O que a legislação considera uma prestadora de serviços de ativos virtuais?
A Lei nº 14.478/2022, conhecida como Marco Legal dos Ativos Virtuais, estabeleceu que as prestadoras de serviços de ativos virtuais somente podem funcionar no País mediante prévia autorização.
Posteriormente, o Decreto nº 11.563/2023 atribuiu ao Banco Central competência para regular, autorizar e supervisionar essas empresas.
A própria Lei nº 14.478/2022 ajuda a identificar quem entra nesse regime. Ela considera prestadora de serviços de ativos virtuais a pessoa jurídica que, em nome de terceiros, executa pelo menos uma das atividades previstas na legislação, como troca entre ativos virtuais e moeda fiduciária, troca entre diferentes ativos virtuais, transferência, custódia ou administração de ativos virtuais, além de determinados serviços relacionados à sua oferta e venda.
Portanto, a pergunta relevante não é simplesmente:
“Minha empresa trabalha com cripto?”
A pergunta correta é:
“Qual função minha empresa exerce dentro da operação e em nome de quem ela a exerce?”
O Banco Central criou três modalidades de prestadoras
A Resolução BCB nº 520/2025, em vigor desde 2 de fevereiro de 2026, estruturou as Sociedades Prestadoras de Serviços de Ativos Virtuais em três modalidades: intermediárias, custodiantes e corretoras de ativos virtuais.
As intermediárias atuam na intermediação de operações com ativos virtuais, abrangendo atividades reguladas como compra, venda e troca por conta de terceiros, administração de determinadas carteiras, staking e outras operações previstas na norma.
As custodiantes, por sua vez, exercem atividades ligadas à guarda e ao controle dos instrumentos que permitem movimentar os ativos dos clientes, inclusive chaves privadas, além do atendimento às instruções de movimentação e demais funções próprias da custódia.
Já as corretoras de ativos virtuais podem reunir intermediação e custódia dentro da mesma estrutura autorizada.
A classificação importa porque a autorização e a estrutura regulatória devem acompanhar o modelo efetivamente desenvolvido pela empresa.
Uma exchange provavelmente está dentro da regulação. Mas nem todo produto cripto é uma exchange
O exemplo mais evidente é uma plataforma que permite ao usuário comprar, vender ou trocar criptoativos.
Quando a própria empresa realiza ou intermedeia essas operações por conta de clientes, o enquadramento como prestadora de serviços de ativos virtuais tende a ser bastante claro.
O problema é que muitos modelos atuais não funcionam como uma exchange tradicional.
Uma aplicação pode fornecer apenas a interface. Outra pode conectar o usuário a diferentes protocolos. Uma wallet pode ser custodial ou não custodial. Um produto pode integrar swaps realizados por infraestrutura de terceiros. Há ainda soluções de staking, pagamentos, tokenização e serviços construídos sobre protocolos descentralizados.
Nesses casos, não basta olhar para a aparência do aplicativo.
É necessário verificar, entre outros aspectos, quem executa a operação, quem controla os ativos ou as chaves, quem recebe e transmite instruções do usuário, quais serviços são prestados pela própria empresa e quais são efetivamente executados por terceiros.
Uma wallet verdadeiramente não custodial, por exemplo, não se transforma automaticamente em custodiante simplesmente porque permite ao usuário visualizar ou movimentar seus próprios ativos.
Por outro lado, adicionar funcionalidades de negociação, transferência, swap ou outros serviços dentro da mesma aplicação pode exigir nova análise sobre o papel desempenhado pela empresa na operação.
Por isso, pequenas diferenças na arquitetura jurídica e tecnológica podem levar a enquadramentos regulatórios diferentes.
Usar um protocolo de terceiro não elimina automaticamente o risco regulatório
Esse ponto é especialmente relevante em produtos Web3.
Imagine uma wallet que permita ao usuário realizar um swap diretamente pelo aplicativo, mas utilize, por trás da interface, liquidez e contratos inteligentes de um protocolo descentralizado.
Dizer simplesmente que “o swap é realizado pelo protocolo” pode não ser suficiente para concluir que a empresa está fora da regulação.
É necessário entender qual é o papel da aplicação: se ela fornece apenas uma ferramenta tecnológica ou se também participa da estruturação, execução ou intermediação do serviço oferecido ao usuário.
Da mesma forma, o simples fato de a empresa não deter as chaves privadas afasta uma característica típica da custódia, mas não necessariamente resolve a análise sobre outras atividades reguladas.
A arquitetura tecnológica é relevante, mas não substitui a análise da atividade econômica e jurídica efetivamente desempenhada.
E se a empresa apenas comprar cripto para ela mesma?
Aqui a situação é diferente.
O conceito legal de prestadora de serviços de ativos virtuais está relacionado à execução desses serviços em nome de terceiros.
Assim, uma empresa que simplesmente compra Bitcoin, stablecoins ou outros ativos para sua própria tesouraria não se torna, apenas por essa razão, uma prestadora de serviços de ativos virtuais.
O mesmo raciocínio ajuda a separar empresas que apenas utilizam determinada tecnologia daquelas que efetivamente prestam ao mercado um serviço regulado.
Isso não significa ausência de outras obrigações jurídicas, tributárias, contábeis ou contratuais. Significa apenas que ter cripto no balanço ou utilizar cripto internamente não equivale, por si só, a exercer atividade de PSAV.
Wallet com custódia merece atenção especial
Quando a empresa passa a deter ou controlar instrumentos capazes de movimentar os ativos do cliente, a situação muda significativamente.
A Resolução BCB nº 520 trata expressamente da custódia como atividade regulada e inclui funções relacionadas à guarda e ao controle de chaves privadas, manutenção das posições dos clientes e execução de suas instruções de movimentação.
Portanto, uma empresa não deve concluir que é apenas uma “empresa de tecnologia” se, na prática, exerce controle sobre ativos virtuais pertencentes aos usuários.
A forma como as chaves são geradas, armazenadas, divididas, recuperadas e utilizadas pode ser determinante para o enquadramento do serviço.
Stablecoins e pagamentos internacionais acrescentam outra camada
Outra mudança importante ocorreu com a Resolução BCB nº 521/2025.
Determinadas operações realizadas com ativos virtuais passaram a integrar a regulamentação do mercado de câmbio, incluindo pagamentos ou transferências internacionais com ativos virtuais, determinadas transferências envolvendo carteiras autocustodiadas e compra, venda ou troca de ativos virtuais referenciados em moeda fiduciária.
Isso torna particularmente relevante a análise de empresas que utilizam stablecoins em pagamentos internacionais, remessas, liquidação de operações ou outras estruturas transfronteiriças.
Nesse tipo de produto, a discussão pode deixar de ser apenas “minha empresa é uma PSAV?” e passar também por questões relacionadas à regulamentação cambial e de capitais internacionais.
E se o token for um valor mobiliário?
Nem todo token está exclusivamente na esfera do Banco Central.
A Lei nº 14.478/2022 exclui de seu conceito de ativo virtual determinadas representações de ativos cuja emissão, escrituração, negociação ou liquidação já esteja submetida a legislação ou regulamentação específica, incluindo valores mobiliários.
Por isso, dependendo das características econômicas e jurídicas do token, a competência da Comissão de Valores Mobiliários (CVM) pode ser determinante.
A própria CVM adota uma análise funcional: um token pode ser considerado valor mobiliário quando representar um valor mobiliário já previsto em lei ou quando preencher os elementos necessários para caracterização como contrato de investimento coletivo.
A tokenização, por si só, não transforma automaticamente um ativo em valor mobiliário. O que importa são os direitos representados, a estrutura da operação e a forma como aquele ativo é ofertado.
Também é importante observar que uma autorização concedida pelo Banco Central para atuação como prestadora de serviços de ativos virtuais não substitui autorizações ou registros exigidos para atividades submetidas à competência da CVM.
Em alguns modelos, portanto, a análise regulatória não é “Banco Central ou CVM”. Pode ser necessário compreender a incidência de regimes diferentes sobre o prestador, o produto e a forma de distribuição ou negociação.
Empresas estrangeiras também precisam olhar para a estrutura brasileira
Operar a partir do exterior não deve ser tratado como uma estratégia automática de afastamento da regulamentação brasileira.
A Resolução BCB nº 520 estabeleceu regras específicas para entidades estrangeiras que já atuavam no mercado brasileiro quando a norma entrou em vigor e pretendem continuar suas operações.
Para essas empresas, o regime de transição exige a transferência das operações e dos clientes para instituição elegível no Brasil ou para sociedade prestadora de serviços de ativos virtuais apta a assumir a operação, observados os requisitos regulatórios aplicáveis.
A própria Resolução estabelece, para as SPSAVs, constituição no Brasil, sede e administração localizadas no território nacional e submissão ao ordenamento jurídico e às autoridades brasileiras.
Portanto, empresas internacionais que pretendam oferecer produtos cripto ao mercado brasileiro precisam analisar a estrutura de entrada no País antes de simplesmente adaptar termos de uso ou disponibilizar o aplicativo a clientes brasileiros.
Para quem já operava, 30 de outubro de 2026 é uma data importante
O regime atual prevê regras de transição para empresas que já estavam em atividade quando as Resoluções BCB nº 519 e 520 entraram em vigor, em 2 de fevereiro de 2026.
Para as sociedades prestadoras de serviços de ativos virtuais que já exerciam atividades abrangidas pela regulamentação, a primeira fase do pedido de autorização deve ser instruída até 30 de outubro de 2026.
A data também é relevante porque, a partir de 30 de outubro de 2026, a Resolução BCB nº 520 veda às instituições financeiras, instituições de pagamento e demais instituições autorizadas pelo Banco Central realizar ou viabilizar determinadas operações no mercado de ativos virtuais com entidades que prestem esses serviços sem estarem autorizadas ou em processo de autorização, ressalvadas as hipóteses previstas na própria regulamentação.
Para empresas que já operam no mercado, portanto, a discussão deixou de ser apenas sobre planejamento regulatório futuro. O processo de enquadramento e adequação já produz consequências concretas em 2026.
Obter autorização não é apenas enviar um pedido ao Banco Central
Outro erro é imaginar que o processo de autorização se resume ao protocolo de documentos societários.
A Resolução BCB nº 520 exige que as SPSAVs tenham estrutura compatível com sua atividade e prevê, entre outros requisitos, constituição como sociedade empresária limitada ou sociedade anônima, objeto social adequado e pelo menos três diretores ou administradores responsáveis perante o Banco Central por diferentes áreas regulatórias.
O processo envolve ainda aspectos relacionados à governança, controles internos, gerenciamento de riscos, prevenção à lavagem de dinheiro e ao financiamento do terrorismo, tecnologia da informação, segurança, estrutura operacional, segregação patrimonial e capacidade econômico-financeira.
A regulamentação do processo de autorização exige inclusive informações sobre o modelo de negócios, estrutura do grupo econômico, produtos e serviços, fornecedores relevantes, infraestrutura tecnológica e mecanismos de controles internos.
Por isso, o enquadramento regulatório deve ocorrer antes da preparação do pedido de autorização. Primeiro é necessário compreender exatamente qual atividade será desenvolvida; depois, estruturar a empresa de forma compatível com ela.
Então, como saber se minha empresa precisa de autorização?
Não existe uma resposta segura baseada apenas no nome do produto.
Duas empresas que se apresentam ao mercado como “wallets” podem exercer funções completamente diferentes. Duas plataformas de swap podem ter arquiteturas jurídicas e tecnológicas distintas. Uma empresa de tokenização pode estar fora do regime de determinada atividade e, ao mesmo tempo, estruturar um produto submetido às regras da CVM.
O ponto de partida deve ser o fluxo real da operação.
É necessário mapear desde a entrada do usuário na plataforma até a liquidação da transação: quem recebe a ordem, quem movimenta os ativos, quem controla as chaves, quem executa o swap, quem é contraparte, quais terceiros participam da operação, como a empresa é remunerada e qual direito o token representa.
Só depois desse mapeamento é possível concluir se a atividade está fora do perímetro regulatório, se exige autorização do Banco Central, se envolve competências da CVM ou se traz também consequências cambiais, de pagamentos ou de outra natureza.
Em cripto, a diferença entre uma empresa de tecnologia e uma atividade financeira regulada pode estar justamente em uma funcionalidade aparentemente pequena do produto.
Conclusão
A regulamentação brasileira de ativos virtuais avançou significativamente e, em 2026, a pergunta sobre necessidade de autorização deixou de ser teórica para muitas empresas.
Exchanges, serviços de custódia e diversos modelos de intermediação estão claramente dentro do novo regime. Outros produtos, especialmente wallets não custodiais, interfaces, protocolos integrados, estruturas de tokenização e modelos híbridos, exigem uma análise mais cuidadosa da atividade efetivamente desenvolvida.
O principal erro é partir do nome utilizado comercialmente pela empresa.
O enquadramento regulatório depende da função que a empresa exerce na operação, dos ativos envolvidos, da relação com os usuários e da arquitetura jurídica e tecnológica do produto.
Por isso, empresas que já atuam com ativos virtuais ou pretendem lançar produtos no Brasil devem avaliar o enquadramento regulatório ainda durante a estruturação do modelo de negócio, e não apenas quando surgir uma exigência do regulador.
O Cury & Costa Advogados atua na análise regulatória de modelos de negócio envolvendo criptoativos, ativos virtuais e tokenização, incluindo enquadramento de atividades, estruturação de operações e adequação às normas do Banco Central e da Comissão de Valores Mobiliários.