O Brasil optou por fechar um trilho de pagamento internacional que já funcionava. Havia caminho intermediário, feito de autorização, reporte e rastreabilidade, capaz de preservar a eficiência conquistada por quem vende ao exterior
Por Nathália Grizzi
A adoção de stablecoins pelas tesourarias brasileiras nasceu de um problema concreto. Receber receita do exterior pela cadeia de bancos correspondentes envolve intermediários sucessivos, spread em cada etapa e prazo medido em dias.
O token referenciado em dólar, por outro lado, encurtou esse percurso, com liquidação em minutos e custo menor.
Por isso, deixou de ocupar um nicho especulativo para se tornar infraestrutura de pagamento. Os números da Receita Federal, aliás, confirmam a escala do fenômeno: as declarações do primeiro semestre de 2026 registram R$ 283,1 bilhões movimentados em criptoativos, alta de 21,3% sobre igual período do ano anterior, dos quais R$ 177,6 bilhões passaram por corretoras nacionais.
Nesse universo, o USDT responde por R$199,5 bilhões e, somado ao USDC, o par concentra cerca de 91% do volume declarado.
O regime cambial, como seria de esperar, acompanhou esse movimento. A Resolução BCB nº 521, de 10 de novembro de 2025, acrescentou o Título VIII-A à Resolução BCB nº 277/2022 e, por meio do artigo 76-A, incluiu no mercado de câmbio o pagamento ou a transferência internacional com ativos virtuais, a transferência vinculada ao uso internacional de cartão, a movimentação de ou para carteira autocustodiada e a compra, a venda ou a troca de ativos referenciados em moeda fiduciária.
Com efeitos a partir de 2 de fevereiro de 2026, o texto trouxe consigo obrigações densas, entre as quais a identificação do proprietário de carteira autocustodiada, a documentação sobre origem e destino dos recursos, o teto equivalente a US$ 100 mil por transferência internacional realizada por prestadora quando a contraparte não for instituição autorizada a operar no câmbio e o registro no SCE-Crédito e no SCE-IED para crédito externo e investimento direto contratados em token.
Vale reter esse desenho, uma vez que ele responde, por antecipação, à principal objeção contra o trilho digital. Desde a Resolução BCB nº 521, a liquidação com ativos virtuais deixou de habitar um espaço não supervisionado e passou a exigir à entidade autorizada, identificação das partes, classificação de finalidade e prestação periódica de informações ao regulador.
O que a Resolução BCB nº 561 retirou, afinal?
Nesse contexto, em 30 de abril de 2026, a Resolução BCB nº 561 alterou o artigo 50 da Resolução BCB nº 277/2022 para determinar que o pagamento e o recebimento entre o prestador de serviço de pagamento ou transferência internacional, o eFX, e sua contraparte no exterior ocorram apenas por operação de câmbio ou por movimentação em conta em reais de não residente mantida no Brasil. Assim, o emprego de ativos virtuais nessa etapa ficará proibido a partir de 1º de outubro de 2026.
O fundamento invocado para a proibição sustenta que a emissão dispersa entre jurisdições dificulta a verificação de origem e destino dos recursos e a prevenção à lavagem de dinheiro no padrão exigido do sistema financeiro.
A preocupação é legítima. A escolha do instrumento, entretanto, merece exame, pois o custo recai justamente sobre operações que já haviam sido trazidas para dentro do perímetro pela Resolução BCB nº 521, com identificação de clientes e reporte mensal previsto no artigo 82-A.
Além disso, é importante delimitar o alcance da regra, já que parte do mercado a leu como uma proibição geral, o que não corresponde ao texto. Custódia, compra, venda e uso do ativo como investimento seguem íntegros no país.
Na verdade, a vedação atinge apenas um ponto específico da cadeia: aquele em que a plataforma brasileira acertava contas com o parceiro estrangeiro. Quanto ao restante, a norma reorganiza o serviço, mas não veda a utilização das stablecoins.
Entre as medidas de reorganização introduzidas pela Resolução BCB nº 561, destacam-se: (i) a restrição do serviço a instituições autorizadas a funcionar pelo Banco Central, com registro da modalidade no Unicad até 30 de outubro de 2026; (ii) o prazo até 31 de maio de 2027 para que os prestadores ainda não autorizados peçam licença; (iii) a disciplina detalhada sobre a entrega de reais pelo usuário remetente; e (iv) a exigência de relação contratual e de procedimentos de conhecimento sobre a contraparte no exterior. Ao mesmo tempo, o escopo do serviço cresceu, com a inclusão de transferências ligadas a investimento no mercado financeiro e de capitais até o equivalente a US$10 mil por operação.
A alternativa criada em junho e o que ela não cobre
Pouco depois, em 18 de junho de 2026, a diretoria colegiada publicou duas resoluções relevantes. A primeira, de número 574, tratou da prestação de informações sobre operações com ativos virtuais no câmbio e deslocou seu alcance para as operações realizadas a partir de 3 de novembro de 2026, mantido o envio até o dia cinco do mês subsequente.
A segunda, de número 575, abriu um caminho novo para a tesouraria exportadora. O artigo 75-A por ela introduzido admite que pessoas jurídicas exportadoras de bens sejam titulares de conta de depósito em moeda estrangeira no Brasil, desde que os créditos decorram exclusivamente de receitas de exportação e de outros valores oriundos do exterior.
Nessas contas, a transferência de divisas, inclusive com conversão entre moedas estrangeiras, dispensa o contrato de câmbio. Vale notar que a vigência está fixada em 1º de outubro de 2026, mesma data da vedação no eFX.
A abertura merece registro positivo, porque atende a uma demanda antiga de quem fatura em dólar e não quer converter cada recebimento no ato. Ainda assim, ela cobre apenas parte do problema, visto que a conversão para reais dos valores mantidos na conta continua exigindo contratação de câmbio.
Em outras palavras, o regime alcança a guarda da receita no país, mas não substitui a etapa de liquidação internacional, justamente aquela em que o trilho digital produzia ganho de prazo e de preço. Para o exportador de médio porte, que vende a dezenas de compradores em vários países, essa diferença aparece diretamente no fluxo de caixa.
Natureza jurídica em disputa e insegurança para o contribuinte
Além das lacunas do novo regime, o quadro normativo ainda não está estabilizado. Em nota técnica encaminhada ao Congresso em abril de 2026, no âmbito do Projeto de Lei nº 4.308/2024, técnicos da autarquia sustentaram que as moedas estáveis deveriam sair do regime de ativos virtuais da Lei nº 14.478/2022 e receber o tratamento aplicável à moeda que representam, tese repetida em audiência pública em julho.
Essa leitura convive com uma hipótese doutrinária mais ampla, segundo a qual o regulador teria passado a enxergar a stablecoin de dólar como passivo em moeda estrangeira emitido fora do país, o que atribuiria substância cambial a cada transferência.
Daí decorrem duas consequências. A primeira é uma tensão entre dois modelos regulatórios adotados pelo próprio Banco Central: enquanto a Resolução BCB nº 521 reconhece o ativo virtual como veículo legítimo de operação cambial intermediada por entidade autorizada, a Resolução BCB nº 561 o afasta na etapa externa do pagamento internacional.
A segunda atinge diretamente as empresas, que passam a operar sob dois enquadramentos simultâneos. De um lado, a Receita Federal mantém o tratamento de criptoativo para fins de apuração de ganho de capital, com reporte pela DeCripto, instituída pela Instrução Normativa RFB nº 2.291/2025 no padrão da Organização para a Cooperação e Desenvolvimento Econômico (OCDE); de outro, o Banco Central trata a conversão como operação de câmbio. Nesse cenário, o momento de incidência do IOF nessas conversões segue sendo uma zona cinzenta.
Por que o reporte tende a funcionar melhor que a proibição?
Diante desse quadro, a evidência internacional recente favorece o caminho da supervisão. O working paper nº 1.370 do Banco de Compensações Internacionais, assinado por Boris Hofmann, Aaron Mehrotra e Jan Paulick e divulgado em 21 de julho de 2026, comparou depósitos em moeda estrangeira e ingressos de stablecoins de dólar em mais de 130 economias.
Segundo o estudo, os depósitos respondem com força às restrições de fluxo de capital, ao passo que os ingressos dos tokens não apresentam reação equivalente, resultado que os autores atribuem à circulação parcial desses ativos fora do perímetro regulatório.
A leitura prática é direta: restrições aplicadas ao intermediário supervisionado atingem quem já se identifica, contrata, registra e reporta, sem alcançar a movimentação direta entre carteiras. Portanto, o efeito provável da vedação combina perda de eficiência para a empresa formalizada com o deslocamento de parte do fluxo para arranjos menos visíveis, isto é, o oposto do objetivo declarado.
Havia, contudo, um desenho alternativo disponível, com autorização prévia da prestadora, limites por operação, exigência de emissor sujeito a supervisão prudencial reconhecida, comprovação de lastro e o mesmo reporte mensal previsto no artigo 82-A. Afinal, o Brasil já construiu instrumentos equivalentes em outras frentes, e o próprio regulador demonstra confiança na tecnologia ao acompanhar projetos de liquidação tokenizada no mercado de capitais.
Segurança da informação e cibersegurança no novo perímetro cambial dos ativos virtuais
Esse desenho alternativo, porém, só se sustenta se a rastreabilidade puder ser garantida na prática, e é nesse ponto que a discussão regulatória encontra a segurança da informação. Isso porque o conjunto formado pelas Resoluções BCB nº 521, 561, 574 e 575 converte obrigações jurídicas em problemas de engenharia: identificar o titular de uma carteira, reportar operações ao regulador e conhecer a contraparte estrangeira são deveres que só se cumprem com controles de acesso, integridade de dados e governança sobre terceiros. Além disso, a maturidade desses controles tem um efeito argumentativo relevante, pois demonstra que a rastreabilidade pretendida pelo Banco Central pode ser alcançada dentro do perímetro supervisionado.
Gestão de identidades e controle de risco em carteiras autocustodiadas
A exigência de identificação do proprietário de carteira autocustodiada envolve, na prática, duas camadas de identidade. A primeira é interna e diz respeito a quem, dentro da organização, pode cadastrar endereços, aprovar transferências e assinar transações.
Nesse ponto, o controle de gestão de identidades e acessos (IAM) precisa segregar essas três funções e aplicar o princípio do menor privilégio. Além disso, o acesso deve exigir autenticação multifator resistente a phishing, como chaves no padrão FIDO2, e as contas privilegiadas devem passar por gestão específica.
Já as chaves de assinatura devem ser custodiadas em arranjos de múltiplas assinaturas ou de computação multipartidária (MPC), com quórum que impeça um único colaborador de movimentar recursos. Por fim, o ciclo de vida dos acessos deve prever a revogação imediata de credenciais e de frações de chave sempre que alguém mudar de função ou deixar a empresa.
A segunda camada, por sua vez, é externa e consiste em vincular o endereço a uma pessoa identificada. Para isso, a mera declaração do cliente não basta. A prova de titularidade pode ser feita pela assinatura criptográfica de uma mensagem com a chave privada da carteira ou por microtransferência de teste, com o resultado associado ao cadastro de conhecimento do cliente.
Uma vez validados, os endereços passam a compor uma lista de permissões, de modo que qualquer destino fora dela aciona um fluxo de aprovação reforçado. Quando a outra ponta for prestadora de serviços de ativos virtuais, os protocolos de troca de dados de remetente e beneficiário previstos na Recomendação 16 do GAFI, a chamada Travel Rule, complementam a verificação.
As ferramentas de inteligência em blockchain, por seu turno, atuam em dois momentos. Antes da transação, fazem a triagem do endereço contra listas de sanções, como os endereços incluídos pelo OFAC em sua lista de nacionais especialmente designados e as sanções do Conselho de Segurança da ONU incorporadas pela Lei nº 13.810/2019, além de medir a exposição direta e indireta a misturadores, mercados ilícitos e carteiras associadas a ransomware. Depois da transação, realizam o monitoramento contínuo, já que o risco de um endereço pode mudar quando novas atribuições são publicadas.
Como essas ferramentas entregam pontuações probabilísticas, cabe à organização documentar limiares, critérios de escalonamento e a fundamentação de cada decisão. Há, ainda, um risco de tesouraria que costuma passar despercebido: os emissores de USDT e USDC têm capacidade técnica de congelar endereços. Consequentemente, tokens recebidos de origem contaminada podem ficar indisponíveis, o que torna a triagem prévia também uma medida de proteção patrimonial.
Segurança dos pipelines de dados cambiais e fiscais
A segunda frente decorre das obrigações de reporte. A prestação de informações ao Banco Central sobre operações com ativos virtuais no câmbio, que a Resolução BCB nº 574 fixou até o dia cinco do mês subsequente, somada ao reporte à Receita Federal pela DeCripto, cria um pipeline recorrente e de prazo curto. Nesse percurso, os dados passam por plataformas de negociação, carteiras, sistemas de gestão empresarial e módulos de reporte, e em cada trecho o risco muda de natureza.
Em trânsito, as integrações devem usar TLS 1.3 com autenticação mútua por certificados (mTLS) entre sistemas internos e prestadores; onde o canal do órgão exigir, os arquivos devem ainda ser assinados com certificado digital ICP-Brasil. Em repouso, as bases que reúnem identidade de titulares, endereços e valores devem ser cifradas com algoritmos robustos, como o AES-256.
As chaves, nesse caso, devem ficar em módulo de segurança de hardware (HSM) ou em serviço gerenciado de chaves, com rotação periódica e separação entre quem administra as chaves e quem administra os dados. Vale lembrar, também, que essas bases reúnem dados pessoais vinculados a patrimônio e, portanto, atraem as obrigações de segurança da LGPD.
No que se refere à validação de integridade, o setor conta com uma vantagem particular: o registro em blockchain funciona como fonte externa e imutável de conferência. Assim, cada lançamento contábil pode ser reconciliado automaticamente com o hash da transação, o bloco e o valor efetivamente liquidado. Os lotes enviados ao regulador, de igual modo, devem receber resumo criptográfico (SHA-256) e assinatura digital. Da mesma forma, as submissões devem ser idempotentes, para que retransmissões não dupliquem registros, e as retificações devem ser versionadas.
A trilha de auditoria, por sua vez, precisa indicar quem alterou cada registro, quando e a partir de qual origem. Para tanto, os logs devem ser armazenados em meio não regravável, com relógios sincronizados, retenção compatível com os prazos legais de guarda e integração a um sistema de correlação de eventos (SIEM).
Na prática, entretanto, o maior risco é operacional, uma vez que prazos apertados estimulam planilhas trocadas por e-mail e ajustes manuais fora do sistema. Por isso, a automação do fluxo e o teste do plano de contingência antes da primeira entrega são controles de segurança tanto quanto de conformidade.
Critérios de maturidade cibernética para contrapartes e correspondentes no exterior
A terceira frente diz respeito aos parceiros estrangeiros. Como visto, a Resolução BCB nº 561 exige relação contratual e procedimentos de conhecimento sobre a contraparte estrangeira do eFX. Embora esses procedimentos costumem ser lidos sob a ótica da prevenção à lavagem de dinheiro, a contraparte é também uma porta de entrada técnica.
Afinal, um parceiro comprometido pode injetar instruções de pagamento fraudulentas, expor dados de clientes brasileiros ou interromper a liquidação. A gestão de risco de terceiros (TPRM) precisa, portanto, avaliar a maturidade cibernética com o mesmo rigor aplicado à reputação e à estrutura societária.
Entre os critérios mínimos, destacam-se certificações ou relatórios independentes, como ISO/IEC 27001 e SOC 2 Tipo II, com escopo que efetivamente abranja o serviço contratado. Somam-se a eles o alinhamento a referenciais reconhecidos, como o NIST Cybersecurity Framework 2.0, e a comprovação de licenciamento e supervisão na jurisdição de origem. No caso de contrapartes que custodiam ativos, importam também as práticas de gestão de chaves, a proporção mantida em armazenamento offline e a existência de seguro.
No plano contratual, o instrumento deve prever notificação de incidentes em prazo compatível com as obrigações da instituição brasileira, que já responde a normas de política de segurança cibernética como a Resolução CMN nº 4.893/2021 e a Resolução BCB nº 85/2021. Além disso, deve assegurar direito de auditoria, compartilhamento de resultados de testes de intrusão, gestão de vulnerabilidades e controle sobre subcontratados. E, como haverá envio de dados pessoais ao exterior, as salvaguardas de transferência internacional do artigo 33 da LGPD também precisam constar do contrato.
Essa avaliação deve ser proporcional ao volume e à criticidade de cada parceiro e, sobretudo, acompanhada de monitoramento contínuo, com classificações externas de segurança, notícias adversas e triagem de sanções, além de reavaliação periódica e plano de saída testado. O calendário, contudo, agrava o risco. Com a vedação vigente a partir de 1º de outubro de 2026, muitas empresas trocarão de prestador em poucas semanas, e a pressa é justamente o ambiente em que a diligência sobre terceiros costuma ser encurtada.
Governança de shadow IT e monitoramento de fluxos fora do perímetro formal
Por último, o deslocamento de fluxos para arranjos menos visíveis, apontado acima como efeito provável da vedação, tem uma versão interna às empresas. Diante da lentidão do trilho bancário, a tesouraria pode ser tentada a instalar extensões de carteira no navegador, usar contas pessoais em corretoras ou negociar com mesas de balcão por aplicativos de mensagem.
Nesse cenário, os riscos se acumulam: operação cambial irregular, inconsistência tributária, frases de recuperação anotadas sem proteção e exposição a golpes que obtêm autorizações de gasto sobre a carteira.
A resposta começa pela governança, e aqui a lógica deste artigo se repete em escala corporativa: proibir sem oferecer um canal autorizado razoavelmente eficiente alimenta o uso clandestino. Por essa razão, a política interna deve indicar com clareza os trilhos permitidos e vir acompanhada de alternativa operacional viável, como a conta em moeda estrangeira do artigo 75-A. Convém, ainda, abrir um canal para que as áreas declarem carteiras legadas e migrem saldos de forma ordenada antes da vigência da vedação.
No plano técnico, ferramentas de detecção em endpoints e de gestão de dispositivos identificam aplicativos e extensões de carteira nos equipamentos corporativos. Paralelamente, filtros de DNS, gateways web e soluções de controle de acesso a serviços em nuvem apontam conexões com corretoras, pontes entre redes e aplicações descentralizadas, enquanto regras de prevenção de perda de dados detectam padrões de frases de recuperação e chaves privadas. Nos equipamentos da tesouraria, além disso, a instalação de software deve ser restrita.
Os controles financeiros, finalmente, fecham o cerco. A conciliação entre faturas de exportação e recebimentos efetivos revela lacunas sem explicação, e a alteração de dados de pagamento no cadastro de clientes e fornecedores deve passar por dupla aprovação, controle que, de quebra, protege contra fraudes de comprometimento de e-mail corporativo. Os endereços que a empresa já utilizou também podem ser incluídos no monitoramento de blockchain, de modo que movimentações posteriores fiquem visíveis para o compliance.
Em conjunto, esses controles reforçam a tese central deste texto. A rastreabilidade que motivou a Resolução BCB nº 561 é tecnicamente alcançável quando a operação permanece com o intermediário identificado, autorizado e auditável. Fora dele, ao contrário, nem o regulador nem a própria empresa enxergam o que acontece.
Prazos e providências até a revisão da norma
Enquanto esse ponto não for revisto, resta às empresas administrar prazos. Até 1º de outubro, cada exportadora precisa definir por qual instituição autorizada seus recebimentos serão liquidados, escolha que deve incorporar a avaliação de maturidade cibernética descrita acima.
No mesmo prazo, convém avaliar a abertura da conta em moeda estrangeira sob o artigo 75-A, decisão que pede revisão das cláusulas de moeda de pagamento e de responsabilidade pelo custo cambial nos contratos com compradores estrangeiros.
Em seguida, até 30 de outubro, cabe confirmar o registro da modalidade eFX no Unicad pelas contrapartes já autorizadas. Por sua vez, até 3 de novembro, é preciso dispor de processo capaz de gerar a prestação de informações no prazo do dia cinco, com controle de estoque e de custo de aquisição em divisa, apoiado nos mecanismos de integridade e auditoria que esse fluxo exige.
Por fim, permanece aberta a discussão legislativa do PL nº 4.308/2024, espaço legítimo para que o setor produtivo defenda um regime que preserve a rastreabilidade sem descartar o ganho de eficiência já incorporado ao comércio exterior brasileiro.
Agradecimento
O Crypto ID agradece a contribuição de Nathália Grizzi, sócia titular da Área Empresarial do Martorelli Advogados, para o debate sobre a evolução do mercado de stablecoins e os impactos do novo cenário regulatório brasileiro.
Sua análise contribui para a compreensão dos aspectos jurídicos e regulatórios que envolvem o uso de stablecoins em operações financeiras, especialmente diante das novas regras do Banco Central e dos desafios relacionados a câmbio, rastreabilidade e segurança.
Para o Crypto ID, contar com a perspectiva de especialistas que acompanham as transformações regulatórias e tecnológicas do mercado é fundamental para ampliar o debate sobre confiança, segurança e inovação no ambiente digital.
V/Cert no Febraban Tech 2026: tecnologia, negócios e conexões com o mercado financeiro
ID Talk | Dados do DICT fortalecem análise de risco e combate a fraudes no Pix
Unico assina acordo para aquisição da Valida e avança expansão na Argentina
Conheça nossa coluna sobre o Mercado Financeiro, leia outros artigos e acompanhe os principais eventos do setor. Somos oficialmente parceiros de mídia do Febraban Tech.
Febraban Tech 2026 encerra edição recorde com IA, identidade e inovação
