Blog
Criar conta grátis

Regulação de VASP pelo Banco Central: o que as Resoluções 519, 520 e 521 exigem

Norma explicadaUNIFOKAL6 min de leituraKYC
Ver em Markdown

As Resoluções BCB 519, 520 e 521 de 2025, em vigor desde 2/2/2026: quem é prestadora de serviços de ativos virtuais, as três modalidades, o PLD/FT que passa a valer e o calendário de adequação.

Foto: Jonas Leupe, Unsplash

A Lei 14.478/2022 colocou as prestadoras de serviços de ativos virtuais, a sigla internacional é VASP, entre as pessoas obrigadas da Lei 9.613/1998, no inciso XIX do parágrafo único do artigo 9º. O Decreto 11.563/2023, no artigo 1º, deu ao Banco Central a competência para regular a prestação desses serviços e para regular, autorizar e supervisionar as prestadoras. Faltava a regra de detalhe, a que diz o que uma exchange ou uma custodiante precisa ter de pé para funcionar.

Ela veio em 10 de novembro de 2025, com três resoluções publicadas no Diário Oficial do dia seguinte e em vigor desde 2 de fevereiro de 2026. Este artigo percorre o que cada uma faz, quem elas alcançam, o PLD/FT, prevenção à lavagem de dinheiro e ao financiamento do terrorismo, que passa a valer, e o calendário de adequação. O que a lei de 2022 mudou está em PLD para ativos virtuais e a Lei 14.478.

Três resoluções, três assuntos

  • Resolução BCB 519/2025 disciplina os processos de autorização das sociedades prestadoras de serviços de ativos virtuais, junto com os de corretoras de câmbio e de distribuidoras e corretoras de títulos e valores mobiliários. Vigência em 2 de fevereiro de 2026 (artigo 28).
  • Resolução BCB 520/2025 disciplina a constituição e o funcionamento das prestadoras e a prestação de serviços de ativos virtuais por outras instituições autorizadas pelo Banco Central. Vigência em 2 de fevereiro de 2026 (artigo 92). É a norma de conduta, e a que interessa ao PLD/FT.
  • Resolução BCB 521/2025 altera as Resoluções BCB 277, 278 e 279 de 2022, que regulamentam a lei cambial, para incluir as operações das prestadoras no mercado de câmbio e tratar de capitais brasileiros no exterior e estrangeiros no país. A maior parte vale desde 2 de fevereiro de 2026, e alguns dispositivos desde 4 de maio de 2026 (artigo 6º).

Quem está alcançado

A Resolução 520 considera prestadoras de serviços de ativos virtuais tanto as sociedades criadas para isso quanto as demais instituições autorizadas pelo Banco Central que atuem nesse mercado (artigo 2º, inciso XII). A sociedade prestadora é, ela mesma, instituição autorizada a funcionar pelo Banco Central, e se classifica em três modalidades (artigo 4º):

  • intermediárias, que compram, vendem e trocam ativos virtuais por conta de terceiros, entre outras atividades do artigo 7º;
  • custodiantes, que guardam e controlam os instrumentos de acesso aos ativos, como as chaves privadas, na forma do artigo 9º;
  • corretoras, que têm por objeto a intermediação e a custódia (artigo 10).

Intermediária e custodiante não podem combinar atividades de outras modalidades (artigo 4º, parágrafo 2º). O funcionamento no país pressupõe constituição no Brasil, com sede e administração no território nacional (artigo 1º, parágrafo único).

O PLD/FT que passa a valer

O ponto de partida é o artigo 44: as prestadoras devem atender à regulamentação específica de prevenção à lavagem de dinheiro e ao financiamento do terrorismo e da proliferação de armas de destruição em massa. Como a sociedade prestadora é instituição autorizada pelo Banco Central, ela entra no escopo do artigo 1º da Circular BCB 3.978/2020, e o artigo 87 da Resolução 520 manda observar o conjunto da regulamentação das instituições autorizadas, no que couber. A própria Resolução 521 remete a identificação do cliente, nas informações de operação que ela exige, à Circular 3.978.

Sobre essa base, a Resolução 520 acrescenta deveres do setor:

  • Dados que viajam com a transferência (artigo 44, parágrafo único): do originador, nome, conta, endereço, CPF ou CNPJ ou identificação internacional equivalente e a carteira; do beneficiário, nome, conta e carteira. É a versão brasileira da regra discutida em travel rule e a Recomendação 16 do GAFI.
  • Registros por cinco anos, no mínimo (artigo 45, inciso II), e identificação e registro das operações suspeitas (artigo 45, inciso III).
  • Conhecer clientes, usuários, parceiros e terceirizados nos procedimentos de controle das transações (artigo 47).
  • Governança (artigo 43): política de PLD/FT, avaliações internas de risco, compartilhamento de listas restritivas, limites de transação e saque com bloqueio temporário de transação atípica ou suspeita, e registro dessas transações à disposição do Banco Central.
  • Vedação a misturadores e embaralhadores que ocultam autor ou beneficiário da transação (artigo 90, inciso III).

O calendário

A norma não entrou de uma vez. A sociedade que já prestava serviço na data da vigência tem 270 dias, contados dela, para pedir autorização, e no pedido comprova a política de controles internos contra a lavagem e os procedimentos para cumprir a Lei 13.810/2019, a de sanções do Conselho de Segurança da ONU (artigo 88, inciso II). Quem pede no prazo pode continuar operando até a conclusão do processo; quem não pede deve cessar os serviços em até trinta dias depois do fim do prazo (parágrafos 6º e 7º).

A transmissão de dados do artigo 44 tem duas etapas: a nacional, em até 365 dias da vigência, e a internacional, em até 365 dias depois do fim da primeira (artigo 89). Até lá, a prestadora pode usar autodeclarações do cliente sobre beneficiário, ativo, montante e finalidade, e analisar as operações com base no risco. O cumprimento do artigo 44 é obrigatório para todas as autorizadas a partir de 2 de fevereiro de 2028 (artigo 89, parágrafo 3º).

Do outro lado da mesa, a partir de 30 de outubro de 2026 as instituições financeiras, as de pagamento e as demais autorizadas pelo Banco Central ficam proibidas de realizar ou viabilizar operações no mercado de ativos virtuais com prestadora que não esteja autorizada nem em processo de autorização (artigo 91).

O que isso pede da identificação

Todos esses deveres dependem de uma coisa anterior: saber quem é o cliente. O dado do originador que o artigo 44 manda transmitir só existe se o cliente foi identificado, e a análise de risco que substitui a regra de viagem na transição precisa de um cadastro confiável para ser mais do que formalidade. O roteiro do cadastro está em o que é KYC.

Na UNIFOKAL, por exemplo, a mesma API que verifica a identidade na abertura recebe as transações da prestadora e seleciona situações de PLD/FT pela regra da Circular 3.978 e da Carta Circular 4.001, com o prazo do regime do Banco Central.

Fontes citadas