Nova regulamentação amplia exigências de segurança, governança e gestão de riscos para PSAVs no Brasil, com foco na efetividade
A regulamentação dos Prestadores de Serviços de Ativos Virtuais (PSAVs) entra em uma nova fase no Brasil. As empresas que buscam autorização para operar nesse mercado precisam demonstrar que contam com estruturas de governança, segurança e gestão de riscos capazes de sustentar suas operações de forma contínua.
Nesse cenário, a infraestrutura tecnológica passa a ocupar um papel central na agenda regulatória. As operações envolvendo ativos digitais podem incluir custódia de ativos, gestão de chaves, APIs, aplicações web e mobile, infraestrutura em nuvem, sistemas blockchain e integrações com terceiros.
A adequação às novas exigências, portanto, envolve uma abordagem de segurança que vai além da análise isolada de smart contracts.
Segundo Jason Jiang, Chief Business Officer (CBO) da CertiK, uma das principais mudanças está na necessidade de as instituições demonstrarem que seus controles são efetivos e permanecem adequados à evolução das operações.
“Será cada vez mais importante demonstrar, por meio de evidências verificáveis, que os controles são efetivos e permanecem adequados à medida que as operações evoluem”, afirma.
Em seu relatório “A Era das PSAVs no Brasil: Segurança e Compliance na Contagem Regressiva para Outubro de 2026”, a empresa apresenta tendências e desafios relacionados à adaptação das PSAVs às mudanças do marco regulatório brasileiro.
Segundo o documento, o avanço da regulamentação dos ativos digitais no país deve inaugurar uma nova fase para o quinto maior mercado de criptoativos do mundo, com maior institucionalização, integração ao Sistema Financeiro Nacional e exigências relacionadas à governança, segurança, segregação de ativos e comprovação de controles.
Da auditoria pontual à segurança contínua
O desafio se torna mais complexo diante da ampla superfície de ataque das empresas de ativos digitais. Uma vulnerabilidade pode estar presente no código de um smart contract, mas também pode envolver comprometimento de credenciais, falhas de configuração, gestão inadequada de chaves privadas, controles de acesso insuficientes ou vulnerabilidades em aplicações e infraestrutura corporativa.
Uma estratégia de segurança que contemple todo o ciclo de vida de uma operação deve incluir práticas como testes periódicos de intrusão, revisões de arquitetura, avaliações de vulnerabilidades, monitoramento contínuo, gestão de acessos, proteção de chaves e credenciais e planos estruturados de resposta a incidentes.
A mudança acompanha uma transformação mais ampla na regulação internacional. As avaliações de segurança deixam de ser tratadas apenas como exercícios pontuais e passam a integrar processos recorrentes, adaptados às exigências de cada jurisdição.
“O modelo de auditoria mais resiliente combina avaliações independentes com monitoramento, testes periódicos, gestão de acessos e capacidade de resposta a incidentes. A segurança precisa evoluir junto com o sistema”, explica Jiang.
Pentest ganha espaço na preparação para o ambiente regulado
Nesse contexto, o penetration testing, ou pentest, ganha relevância como parte da estratégia de segurança e preparação regulatória.
Diferentemente de uma análise limitada ao código blockchain, o teste de intrusão busca simular ataques contra componentes da infraestrutura tecnológica de uma organização para identificar vulnerabilidades exploráveis antes que agentes maliciosos possam se aproveitar delas.
O escopo pode incluir aplicações web e mobile, APIs, redes, infraestrutura em nuvem, sistemas internos e outros componentes críticos para as operações.
Para uma PSAV, o processo não se limita à identificação técnica de vulnerabilidades. Os testes também fornecem evidências sobre o estado dos controles existentes, ajudam a estabelecer prioridades de remediação e permitem novos testes para verificar se as vulnerabilidades identificadas foram efetivamente corrigidas.
A CertiK oferece soluções de gestão de riscos baseadas em inteligência artificial e voltadas a todo o ciclo de vida, integradas diretamente aos ciclos de desenvolvimento de sistemas das instituições. Entre as soluções estão testes de intrusão para aplicações e infraestrutura, além de avaliações de segurança de blockchain e smart contracts.
Para instituições que desenvolvem infraestrutura baseada em DLT, a empresa também realiza avaliações que abrangem sistemas on-chain e off-chain e sua preparação para ambientes regulados.
Monitoramento on-chain reforça controles de compliance
O monitoramento das próprias transações em blockchain também aparece como uma frente relevante. A natureza pública de muitas redes permite analisar endereços e fluxos de ativos em tempo real.
Para instituições reguladas, essa capacidade pode ser incorporada aos processos de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (AML/CFT), às avaliações de contraparte e à identificação de comportamentos potencialmente suspeitos.
Soluções de compliance e AML utilizam inteligência de endereços e análise de risco para monitoramento de transações, AML/CFT e gestão de riscos relacionados a criptoativos. Segundo a empresa, a plataforma reúne mais de 300 milhões de rótulos de endereços.
Na prática, esse tipo de ferramenta pode funcionar como uma camada adicional aos controles tradicionais de compliance. Uma instituição pode combinar informações cadastrais e perfis de risco dos clientes com dados sobre a origem e o destino dos ativos, exposição a determinados endereços e comportamento transacional.
Evidências dos controles ganham importância
A transição para um ambiente de supervisão contínua também modifica a forma como as organizações precisam documentar suas práticas de segurança.
As instituições devem manter registros das avaliações realizadas, dos achados identificados, das medidas de remediação, dos testes subsequentes e da evolução de seus controles. Esse histórico permite demonstrar como os riscos são identificados e tratados ao longo do tempo.
Certificações e frameworks reconhecidos internacionalmente também podem fazer parte desse ecossistema.
Segurança acompanha aproximação entre ativos digitais e sistema financeiro
A transformação ganha importância à medida que os ativos digitais se aproximam da infraestrutura financeira tradicional. Stablecoins, tokenização e serviços de custódia criam conexões entre blockchains, emissores, bancos, aplicações, sistemas de pagamento e outros provedores de tecnologia.
Cada nova integração amplia a superfície de ataque que precisa ser protegida.
Como resultado, a preparação das PSAVs para um ambiente regulado tende a exigir uma arquitetura de segurança em camadas, abrangendo revisão de código, pentest, proteção da infraestrutura, gestão de chaves e acessos, monitoramento on-chain, controles de compliance e procedimentos de resposta a incidentes.
“A institucionalização dos ativos digitais está aproximando dois mundos que historicamente desenvolveram modelos de risco diferentes: Web3 e o sistema financeiro. O desafio agora é combinar a capacidade de inovação da tecnologia blockchain com os padrões de segurança, governança e comprovação de controles esperados de uma infraestrutura financeira regulada. As instituições que conseguirem integrar essas dimensões estarão mais bem posicionadas para crescer de forma sustentável”, conclui Jiang.
Sobre a CertiK
A CertiK é a maior provedora de serviços de segurança para Web3, com sede em Nova York. Desde sua fundação, em 2017, a empresa se consolidou como uma parceira confiável em gestão de riscos para órgãos reguladores, instituições e empresas inovadoras do ecossistema Web3 em todo o mundo.
Banco Central publica retenção de criptoativos por até 24 horas; regra entra em vigor em 2027
Mercado de stablecoins no Brasil avança em meio à regulamentação de ativos virtuais
Regulação e educação de autoridades pautam abertura do Blockchain.RIO 2026
O banco ficou digital. E o dinheiro, realmente ficou nas mãos do cliente?
Por aqui, acompanhamos de perto as novidades do mercado cripto para apresentar as melhores soluções que podem atender às demandas do mercado brasileiro. Entre, confira e fique por dentro das tendências que estão movimentando o setor no mundo. Leia mais!
