Prevenção à lavagem de dinheiro em plataformas cripto

Uma transferência de criptoativos pode atravessar o mundo em minutos e sem passar por um banco. É por isso que os reguladores colocaram as empresas que compram, vendem, trocam e guardam criptoativos para terceiros na linha de frente da prevenção à lavagem de dinheiro. Elas são o ponto em que o dinheiro tradicional entra e sai desse sistema.

Este texto explica quais são essas obrigações, de onde elas vêm e o que mudam para você como cliente. Ele descreve deveres de quem presta o serviço; não trata de formas de contorná-los. A situação é a de 8 de outubro de 2026.

Lavagem de dinheiro é o processo de ocultar ou disfarçar a origem de recursos obtidos com crime para que pareçam legítimos. A lei brasileira pune quem oculta ou dissimula a natureza, a origem, a localização, a movimentação ou a propriedade desses bens, com pena de 3 a 10 anos de reclusão, e manda aumentar a pena de um a dois terços quando o crime é cometido por meio de ativo virtual (Lei 9.613/1998, art. 1º, § 4º).

O padrão internacional: o GAFI

O Grupo de Ação Financeira Internacional (GAFI, ou FATF em inglês) define os padrões que os países seguem contra a lavagem de dinheiro e o financiamento do terrorismo. Em 2019, ele estendeu esses padrões aos ativos virtuais e às prestadoras de serviços de ativos virtuais, as VASPs, na sigla em inglês (no Brasil, PSAVs). A peça central é a Recomendação 15.

Segundo o GAFI, os países devem entender os riscos do setor, licenciar ou registrar as prestadoras e supervisioná-las como supervisionam outras instituições financeiras. As prestadoras, por sua vez, devem aplicar as mesmas medidas preventivas de uma instituição financeira, incluindo conhecer o cliente, guardar registros e comunicar transações suspeitas, além de obter, guardar e transmitir com segurança os dados de quem envia e de quem recebe nas transferências (GAFI, Virtual Assets).

Na sétima atualização sobre o tema, de julho de 2026, o GAFI mostrou avanço desigual. Dos países pesquisados, 83% já tinham lei sobre a regra de viagem, explicada mais abaixo, ante 73% em 2025. Mas muitos ainda não transformaram a lei em supervisão efetiva. O relatório também afirma que a maior parte da atividade ilícita identificada nas blockchains hoje envolve stablecoins e que grupos criminosos usam ativos virtuais para golpes, evasão de sanções e lavagem (GAFI, 16 de julho de 2026). Esses números são autodeclarados pelos países e não foram verificados de forma independente pelo GAFI.

No Brasil: quem é obrigado

A Lei 14.478/2022, o marco legal dos criptoativos, alterou a lei de lavagem de dinheiro e incluiu as prestadoras de serviços de ativos virtuais na lista de pessoas obrigadas do art. 9º da Lei 9.613/1998 (Lei 9.613/1998, art. 9º, parágrafo único, inciso XIX). Bancos, corretoras de valores, seguradoras e imobiliárias, entre outros, já estavam lá.

O Banco Central regula e supervisiona essas prestadoras. A Resolução BCB 520/2025, em vigor desde 2 de fevereiro de 2026, manda que elas cumpram a regulamentação específica de prevenção à lavagem de dinheiro e ao financiamento do terrorismo, exige que tenham um diretor ou administrador responsável por esse tema perante o Banco Central e inclui a prevenção à lavagem entre as políticas que precisam manter atualizadas (Resolução BCB 520, arts. 14, 43 e 44). Para as instituições autorizadas pelo Banco Central, essa regulamentação específica é a Circular 3.978/2020 (Circular BCB 3.978).

As obrigações, uma a uma

Conhecer o cliente

É o que o mercado chama de KYC (know your customer). A lei manda identificar os clientes e manter o cadastro atualizado; no caso de empresas, a identificação inclui quem pode representá-las e seus donos (Lei 9.613, art. 10). A Circular 3.978 detalha três etapas:

• Identificar: obter e validar os dados de identidade.
• Qualificar: coletar informações que permitam avaliar a capacidade financeira do cliente (renda, no caso de pessoa física, ou faturamento, no caso de empresa) e verificar se ele é pessoa exposta politicamente, como ocupantes de cargos públicos relevantes, seus familiares e colaboradores próximos. As obrigadas devem consultar o cadastro nacional dessas pessoas, o CNPEP (Lei 9.613, art. 12-A).
• Classificar: enquadrar o cliente em uma categoria de risco, o que define o nível de atenção que suas operações vão receber.

A Resolução BCB 520 acrescenta que a prestadora deve conhecer também seus parceiros comerciais e prestadores de serviços terceirizados (art. 47).

Monitorar as operações

A prestadora deve acompanhar as operações para identificar as que possam indicar lavagem, considerando quem participa, os valores, a forma de realização e a falta de fundamento econômico ou legal. Cada operação selecionada precisa ser analisada em até 45 dias, com registro em dossiê (Circular 3.978, arts. 38, 39 e 43).

No caso de criptoativos, a Resolução BCB 520 traz dois pontos específicos. Ao contratar terceiros, como custodiantes, a prestadora deve ter controles que permitam acompanhar listas de sanções e endereços de carteiras sancionados no Brasil ou no exterior. E, ao escolher quais ativos oferecer, deve vetar os que tenham características que favoreçam fraudes ou crimes, como ativos desenhados para dificultar a identificação do titular (art. 64).

Comunicar ao Coaf

O Conselho de Controle de Atividades Financeiras (Coaf) é a unidade de inteligência financeira do Brasil. A lei manda que as pessoas obrigadas comuniquem a ele operações com sérios indícios de lavagem, sem avisar o cliente sobre a comunicação. Comunicações feitas de boa-fé não geram responsabilidade civil ou administrativa para quem comunica (Lei 9.613, art. 11). Pela Circular 3.978, a comunicação de operação suspeita deve ser feita até o dia útil seguinte à decisão de comunicar (art. 48).

O Coaf analisa essas comunicações. Quando encontra indícios fundados de crime, registra o resultado em um Relatório de Inteligência Financeira (RIF) e o encaminha às autoridades competentes, que decidem se investigam. O RIF é sigiloso (Coaf, Relatórios de Inteligência Financeira).

Guardar registros

Cadastros e registros de transações devem ser mantidos por pelo menos cinco anos após o encerramento da conta ou a conclusão da operação (Lei 9.613, art. 10, § 2º). A Resolução BCB 520 repete o prazo mínimo para os registros das transações com ativos virtuais (art. 45).

A regra de viagem

A regra de viagem (travel rule) é a obrigação de fazer os dados do remetente e do beneficiário “viajarem” junto com a transferência, de uma instituição para a outra. No sistema bancário, ela existe há anos na Recomendação 16 do GAFI. Para os ativos virtuais, foi incorporada pela Recomendação 15.

A Recomendação 16 foi revista em junho de 2025. Entre as mudanças, ficou padronizado que pagamentos internacionais entre pessoas acima de 1.000 dólares ou euros devem levar nome, endereço e data de nascimento, e as instituições terão de adotar ferramentas contra fraude e erro, como a verificação dos dados do recebedor. As mudanças devem estar em vigor até o fim de 2030 (GAFI, 18 de junho de 2025).

Como fica no Brasil

A Resolução BCB 520 lista os dados mínimos que a prestadora deve enviar à instituição que recebe a transferência (art. 44):

• Do remetente: nome, identificação da conta, endereço, CPF ou CNPJ (ou documento estrangeiro equivalente) e a identificação da carteira usada.
• Do beneficiário: nome, identificação da conta e a identificação da carteira.

A implantação é em duas etapas (art. 89). A primeira, para transferências entre prestadoras no Brasil, deve estar pronta em até 365 dias da entrada em vigor da norma, em 2 de fevereiro de 2026. A segunda, para operações com o exterior, tem mais 365 dias. A regra é obrigatória para todas as prestadoras autorizadas a partir de 2 de fevereiro de 2028. Até lá, elas podem usar declarações dos próprios clientes sobre beneficiário, ativo, valor e finalidade, desde que documentadas.

Como fica na União Europeia

O Regulamento (UE) 2023/1113, aplicado desde 30 de dezembro de 2024, exige que as transferências de criptoativos entre prestadoras levem os dados do remetente e do beneficiário independentemente do valor, inclusive nas transferências domésticas. Quando a transferência vai para uma carteira que o próprio usuário controla, sem intermediário (a chamada carteira autocustodiada), a prestadora deve guardar esses dados e, acima de 1.000 euros, avaliar se a carteira pertence de fato ao cliente (Regulamento (UE) 2023/1113, art. 14).

O passo seguinte é o regulamento europeu antilavagem, o Regulamento (UE) 2024/1624, que se aplica a partir de 10 de julho de 2027. Ele proíbe as prestadoras de criptoativos de manter contas anônimas ou contas que permitam anonimizar o titular ou ocultar transações, inclusive por meio de moedas de privacidade. Também obriga essas prestadoras a aplicar a diligência completa sobre o cliente em operações ocasionais a partir de 1.000 euros, um limite bem menor que os 10 mil euros da regra geral (Regulamento (UE) 2024/1624, arts. 19 e 79).

O que acontece com quem descumpre

No Brasil, a prestadora e seus administradores que deixem de cumprir as obrigações de identificação, registro e comunicação estão sujeitos a advertência, multa de até o dobro do valor da operação, o dobro do lucro obtido ou R$ 20 milhões, inabilitação de administradores por até dez anos e cassação ou suspensão da autorização (Lei 9.613, art. 12).

O que isso muda para você

Essas regras explicam situações que o cliente de uma corretora regulada encontra no dia a dia:

• Pedidos de documentos e de origem dos recursos. Fazem parte do conhecimento do cliente. A plataforma pode pedir atualização periódica do cadastro.
• Perguntas sobre transferências. Ao mandar criptoativos para fora, você pode ter de informar quem é o beneficiário e se a carteira é sua. Na transição brasileira, essas declarações substituem parte da troca de dados entre prestadoras.
• Atrasos ou recusa. Uma operação selecionada para análise pode demorar ou ser recusada. Pela lei, a plataforma não pode dizer se fez comunicação ao Coaf.
• Ceder a conta é risco. Emprestar sua conta ou sua carteira para movimentar dinheiro de outra pessoa pode envolver você em lavagem, que é crime.
• Cuidado com falsos pedidos. Golpistas imitam o suporte das corretoras para pedir documentos, senhas ou a frase-semente. Uma corretora legítima nunca pede a frase-semente. Veja Golpes com criptomoedas: como identificar e denunciar e Phishing em carteiras digitais.

As mesmas preocupações aparecem na tokenização de valores mobiliários: a CVM recomenda que ofertas de tokens expliquem seus controles sobre a origem dos recursos, como mostra Tokenização e mercado de capitais: limites regulatórios. Para entender como recursos de crimes circulam em criptoativos e como as autoridades os rastreiam, veja Ransomware e criptomoedas: fluxos e prevenção.

Regulação não elimina o risco do investimento. Ela reduz o espaço para crimes dentro das plataformas reguladas, mas não protege contra a desvalorização dos ativos, que pode levar à perda total.

O que levar deste texto

• Corretoras e custodiantes de criptoativos são pessoas obrigadas pela lei de lavagem de dinheiro desde 2022 e, sob o Banco Central, seguem as mesmas obrigações básicas das instituições financeiras: conhecer o cliente, monitorar, comunicar ao Coaf e guardar registros.
• A regra de viagem faz os dados do remetente e do beneficiário acompanharem a transferência. No Brasil, ela entra em duas etapas e é obrigatória para todas as prestadoras autorizadas a partir de fevereiro de 2028; na União Europeia, já vale desde dezembro de 2024.
• Para o GAFI, a maioria dos países já tem leis, mas a supervisão efetiva ainda está atrasada, e as stablecoins concentram hoje a maior parte da atividade ilícita identificada nas blockchains.