The Brazilian regulation of virtual assets has entered a new phase. BCB Resolutions 588 and 589, published on September 23, 2026, introduce additional layers of control over self-custody, reporting to COAF, custody, assets held abroad, reserves, staking, and transactions involving virtual asset service providers. Rather than analyzing each rule in isolation, the market needs to start looking at the combined rationale behind these regulations: transparency, traceability, counterparty control, and a clear definition of regulatory responsibility.
Article 91 of BCB Resolution 520, as amended by Resolution 589, deserves particular attention. As of November 6, 2026, financial institutions, payment institutions, and other institutions authorized by the Central Bank of Brazil will not be permitted to carry out or facilitate transactions in the virtual asset market where the counterparty is an institution or entity providing virtual asset services that is not authorized to operate in Brazil by the Central Bank, except where expressly permitted by regulation. In my view, the practical question the market needs to answer is very objective: does this affect a direct transaction between a Brazilian VASP and a foreign VASP? In certain structures, yes.
If a Brazilian VASP authorized by the Central Bank carries out or facilitates a transaction in the virtual asset market and the counterparty is a foreign VASP that is not authorized, or in the process of being authorized, to operate in Brazil, Article 91 becomes directly relevant. The provision does not refer only to “contracting” or to a “banking relationship.” It uses the concepts of carrying out or facilitating transactions and counterparty. Therefore, a direct transfer of virtual assets between a Brazilian entity and a foreign entity should not be analyzed merely as a simple blockchain movement. It is necessary to assess the legal and economic nature of the transaction, the role of each entity, and the function performed by the counterparty.
This does not mean, however, that Resolution 589 has created a general prohibition against Brazilians holding crypto assets abroad or using foreign platforms. Such an interpretation would be considerably broader than the text of the regulation. We need to distinguish between different situations: a Brazilian customer holding assets on a foreign platform; a Brazilian customer transferring their own assets to a self-custodied wallet; and an institution authorized by the Central Bank carrying out or facilitating a transaction where the counterparty is a foreign virtual asset service provider. The fact that an asset crosses a border is not, by itself, the determining factor. The counterparty and the nature of the transaction are fundamental.
For an international VASP, this distinction will be particularly important. A global structure may have a Brazilian entity, a European entity, another entity in the United States, international custody infrastructure, and different liquidity providers. The fact that all of these entities belong to the same corporate group does not eliminate the regulatory analysis. At the same time, the mere existence of a foreign entity does not mean that every relationship with it is prohibited. It will be necessary to understand who serves the Brazilian customer, who maintains the contractual relationship, who executes the transaction, who provides liquidity, who holds custody, who controls the wallets, and which entity is effectively the counterparty to that transaction.
This is where the subject moves beyond regulation and becomes, very clearly, an AML/CFT issue. The more internationalized the structure, the greater the need to understand the complete flow of assets. A transaction may begin at a Brazilian financial institution, move through a VASP, be converted into a stablecoin, continue to a foreign entity, pass through different wallets, and subsequently return to the financial system. Blockchain allows transactions to be traced, but traceability does not necessarily mean identification. It is possible to follow a transaction and still not know who controls a particular address, what the economic purpose of the movement is, or what the actual source of the funds is.
For this reason, a VASP's AML program cannot rely solely on KYC. We need to talk about KYC, KYB, KYE, Transaction Monitoring, Blockchain Analytics, Sanctions Screening, Travel Rule, Source of Funds, Source of Wealth, and Geographic Risk. Depending on the business model, we also need to deeply understand the risk associated with each wallet, counterparty, liquidity provider, custodian, and jurisdiction involved. Risk does not reside only with the customer. It may reside with the counterparty, the asset, the wallet, or the architecture of the transaction itself.
BCB Resolution 588 adds a particularly relevant layer by addressing transfers involving self-custodied wallets. As of October 2026, certain transactions above the regulatory threshold will fall within the circumstances requiring reporting to COAF. It is important to make a distinction that I consider fundamental for the market: automatic reporting is not synonymous with a suspicious transaction. Meeting an objective reporting criterion does not, in itself, mean that money laundering has occurred. However, the transaction remains subject to risk-based monitoring and, depending on other circumstances, may also present indicators that justify a suspicious transaction report.
Self-custody, therefore, should not be treated as synonymous with risk or illegality. An individual may legitimately transfer their own assets to a wallet they control. The Compliance issue arises when self-custody becomes a layer of opacity within a chain of transactions. Value fragmentation, layering, interaction with illicit services, sanctions exposure, fraud, ransomware, scams, and transactions inconsistent with the customer's economic profile are examples of situations requiring contextual analysis. A blockchain address may be technically identifiable, but the person behind it will not always be immediately known.
Stablecoins make this scenario even more relevant. They can no longer be analyzed solely as investment instruments. In practice, they can function as instruments for value transfer, settlement, payment, and international movement of funds. When we combine stablecoins, foreign VASPs, self-custodied wallets, and cross-border transactions, we have an intersection between crypto assets, foreign exchange, AML/CFT, sanctions, and regulatory controls. This is why a VASP's Compliance function needs to maintain constant dialogue with regulatory Compliance, FX Compliance, Risk, Legal, Operations, and Technology.
Another point that deserves attention in Resolution 589 is transparency regarding assets held by VASPs. The regulation expands information requirements concerning customer balances, the quantity and value of virtual assets held in custody, including assets held abroad, as well as information relating to reserves and staking. This sends an important message: the fact that an asset is held outside Brazil does not mean that it is outside the scope of Brazilian regulatory oversight. For a Brazilian VASP, using international custodians, liquidity providers, or other foreign structures will require governance capable of demonstrating where the assets are held, who has custody, under what conditions, and what each entity's responsibilities are.
Therefore, I would not treat a foreign VASP simply as “permitted” or “prohibited.” The analysis needs to be conducted in layers: who is the counterparty, what authorization does it have, what activity is being performed, in which jurisdiction, what is its connection to Brazil, and what is the nature of the transaction. Then come the AML/CFT, sanctions, Travel Rule, blockchain analytics, KYB, KYE, UBO, jurisdictional risk and, where applicable, requirements relating to the foreign exchange market.
We also need to be careful not to turn internationalization into a synonym for regulatory arbitrage. A VASP can have a global operation, and that is part of the very nature of the virtual asset market. The problem arises when an international structure is used to artificially shift a regulated activity to a foreign entity with the objective of reducing controls, avoiding KYC, making monitoring more difficult, or creating an area of lower transparency. Global business cannot mean globalized responsibility.
This scenario also requires a review of intra-group governance models. It is not enough to have a contract between two companies belonging to the same group. We need to know exactly which services are being provided, who has regulatory responsibility, who performs KYC, who monitors, who maintains the records, who controls the assets, who provides liquidity, and who has the authority to stop a transaction. The responsibility matrix must be clear, documented, and consistent with the requirements of each jurisdiction.
Ultimately, perhaps the most important question for an international VASP is not simply: “Can we transfer crypto abroad?” The right question is: “Who is the counterparty to this transaction, which entity is actually providing the service, and what is the regulatory basis that allows this transaction to take place?”
This change in perspective is essential. Blockchain allows a transaction to cross borders in seconds. But regulatory responsibilities do not cross those borders in the same way. The more international the operation, the more important it becomes to know who is responsible for each stage, what the risk of each counterparty is, and how the entire flow can be explained to a regulator, auditor, or competent authority.
We are entering a new phase for VASPs in Brazil. It will not be enough to have technology, liquidity, or a global presence. It will be necessary to build an architecture of Compliance, AML/CFT, governance, and internal controls capable of connecting global business with the local regulatory perimeter.
Blockchain is global. Liquidity is global. Corporate groups are global.
But regulatory responsibility remains jurisdictional.
And it is precisely at this intersection that Compliance needs to build bridges, not walls.
PORTUGUÊS
A blockchain é global. A responsabilidade regulatória, não.
A regulamentação brasileira de ativos virtuais entrou em uma nova etapa. As Resoluções BCB 588 e 589, publicadas em 23 de setembro de 2026, adicionam novas camadas de controle sobre autocustódia, comunicação ao COAF, custódia, ativos mantidos no exterior, reservas, staking e operações envolvendo prestadores de serviços de ativos virtuais. Mais do que analisar cada regra isoladamente, o mercado precisa começar a enxergar o racional conjunto dessas normas: transparência, rastreabilidade, controle de contraparte e definição clara de responsabilidade regulatória.
O art. 91 da Resolução BCB 520, alterado pela Resolução 589, merece atenção especial. A partir de 6 de novembro de 2026, instituições financeiras, instituições de pagamento e demais instituições autorizadas pelo Banco Central não poderão realizar ou viabilizar operações no mercado de ativos virtuais que tenham como contraparte instituições ou entidades que prestem serviços de ativos virtuais e que não estejam autorizadas a funcionar no Brasil pelo Banco Central, ressalvadas as formas expressamente autorizadas pela regulamentação. Para mim, a pergunta prática que o mercado precisa responder é muito objetiva: isso afeta uma operação direta entre uma PSAV brasileira e uma PSAV estrangeira? Em determinadas estruturas, sim.
Se uma PSAV brasileira autorizada pelo Banco Central realiza ou viabiliza uma operação no mercado de ativos virtuais e a contraparte é uma PSAV estrangeira que não está autorizada ou em processo de autorização no Brasil, o art. 91 passa a ser diretamente relevante. A redação não fala apenas em “contratação” ou “relacionamento bancário”. Ela utiliza os conceitos de realizar ou viabilizar operações e de contraparte. Portanto, uma transferência direta de ativos virtuais entre uma entidade brasileira e uma entidade estrangeira não deve ser analisada apenas como uma simples movimentação de blockchain. É necessário analisar a natureza jurídica e econômica da operação, a função de cada entidade e o papel desempenhado pela contraparte.
Isso não significa, entretanto, que a Resolução 589 tenha criado uma proibição geral para que brasileiros mantenham criptoativos no exterior ou utilizem plataformas estrangeiras. Essa interpretação seria muito mais ampla do que o texto da norma. Precisamos separar situações diferentes: um cliente brasileiro manter ativos em uma plataforma estrangeira; um cliente brasileiro transferir seus próprios ativos para uma carteira autocustodiada; e uma instituição autorizada pelo Banco Central realizar ou viabilizar uma operação tendo como contraparte uma prestadora estrangeira de serviços de ativos virtuais. O fato de o ativo atravessar uma fronteira não é, sozinho, o elemento determinante. A contraparte e a natureza da operação são fundamentais.
Para uma VASP internacional, essa distinção será especialmente importante. Uma estrutura global pode ter uma entidade brasileira, uma entidade europeia, outra nos Estados Unidos, uma infraestrutura de custódia internacional e diferentes provedores de liquidez. O fato de todas pertencerem ao mesmo grupo econômico não elimina a análise regulatória. Ao mesmo tempo, a simples existência de uma entidade estrangeira também não significa que toda relação com ela esteja proibida. Será necessário entender quem atende o cliente brasileiro, quem mantém a relação contratual, quem executa a operação, quem fornece liquidez, quem mantém a custódia, quem controla as wallets e qual entidade é efetivamente a contraparte daquela transação.
É aqui que o tema deixa de ser apenas regulatório e passa a ser, de maneira muito clara, um tema de PLD/FT. Quanto mais internacionalizada for a estrutura, maior será a necessidade de compreender o fluxo completo dos ativos. Uma operação pode começar em uma instituição financeira brasileira, passar por uma PSAV, ser convertida em stablecoin, seguir para uma entidade estrangeira, passar por diferentes wallets e posteriormente retornar ao sistema financeiro. A blockchain permite rastrear as movimentações, mas rastreabilidade não significa necessariamente identificação. É possível acompanhar uma transação e ainda não saber quem controla determinado endereço, qual é a finalidade econômica da movimentação ou qual é a origem efetiva dos recursos.
Por isso, o programa de PLD de uma PSAV não pode depender apenas de KYC. Precisamos falar em KYC, KYB, KYE, Transaction Monitoring, Blockchain Analytics, Sanctions Screening, Travel Rule, Source of Funds, Source of Wealth e Geographic Risk. E, dependendo do modelo de negócio, também precisamos entender profundamente o risco de cada wallet, cada contraparte, cada liquidity provider, cada custodian e cada jurisdição envolvida. O risco não está apenas no cliente. Pode estar na contraparte, no ativo, na wallet ou na própria arquitetura da operação.
A Resolução BCB 588 adiciona uma camada particularmente relevante ao tratar das transferências envolvendo carteiras autocustodiadas. A partir de outubro de 2026, determinadas operações acima do limite regulamentar passam a integrar as hipóteses de comunicação ao COAF. É importante fazer uma distinção que considero fundamental para o mercado: comunicação automática não é sinônimo de operação suspeita. O atingimento de um critério objetivo de comunicação não significa, por si só, que exista lavagem de dinheiro. Entretanto, essa operação continua sujeita ao monitoramento baseado em risco e pode, diante de outros elementos, também apresentar indícios que justifiquem uma comunicação por suspeição.
A autocustódia, portanto, não deve ser tratada como sinônimo de risco ou ilegalidade. Uma pessoa pode transferir legitimamente seus próprios ativos para uma wallet que controla. O problema de Compliance surge quando a autocustódia passa a ser utilizada como uma camada de opacidade dentro de uma cadeia de movimentações. Fragmentação de valores, layering, interação com serviços ilícitos, exposição a sanções, fraude, ransomware, scams e movimentações incompatíveis com o perfil econômico do cliente são exemplos de situações que exigem análise contextual. O endereço blockchain pode ser tecnicamente identificável, mas a pessoa por trás dele nem sempre será imediatamente conhecida.
As stablecoins tornam esse cenário ainda mais relevante. Elas já não podem ser analisadas apenas como instrumentos de investimento. Na prática, podem funcionar como instrumentos de transferência de valor, liquidação, pagamento e movimentação internacional. Quando combinamos stablecoins, PSAVs estrangeiras, carteiras autocustodiadas e operações cross-border, temos uma interseção entre criptoativos, câmbio, PLD/FT, sanções e controles regulatórios. É por isso que Compliance de uma PSAV precisa conversar permanentemente com Compliance regulatório, Compliance cambial, riscos, jurídico, operações e tecnologia.
Outro ponto que merece atenção na Resolução 589 é a transparência sobre os ativos mantidos pelas PSAVs. A regulamentação amplia as informações relacionadas a saldos de clientes, quantidade e valor dos ativos virtuais custodiados, inclusive aqueles mantidos no exterior, além de informações relacionadas a reservas e staking. Isso traz uma mensagem importante: o fato de o ativo estar fora do Brasil não significa que ele esteja fora do radar regulatório brasileiro. Para uma PSAV brasileira, utilizar custódia internacional, liquidity providers ou outras estruturas estrangeiras exigirá uma governança capaz de demonstrar onde os ativos estão, quem os custodia, em que condições e qual é a responsabilidade de cada entidade.
Por isso, eu não trataria uma VASP estrangeira simplesmente como “permitida” ou “proibida”. A análise precisa ser feita por camadas: quem é a contraparte, qual é sua autorização, qual atividade está sendo exercida, em qual jurisdição, qual é o vínculo com o Brasil e qual é a natureza da operação. Depois entram os controles de PLD/FT, sanções, Travel Rule, blockchain analytics, KYB, KYE, UBO, risco jurisdicional e, quando aplicável, os requisitos relacionados ao mercado de câmbio.
Também precisamos ter cuidado para não transformar internacionalização em sinônimo de arbitragem regulatória. Uma VASP pode ter uma operação global e isso faz parte da própria natureza do mercado de ativos virtuais. O problema surge quando uma estrutura internacional é utilizada para deslocar artificialmente uma atividade regulada para uma entidade estrangeira com o objetivo de reduzir controles, evitar KYC, dificultar monitoramento ou criar uma zona de menor transparência. Global business não pode significar globalização da responsabilidade.
Esse cenário exige também uma revisão dos modelos de governança intragrupo. Não basta existir um contrato entre duas empresas do mesmo grupo. Precisamos saber exatamente quais serviços estão sendo prestados, quem possui a responsabilidade regulatória, quem realiza o KYC, quem monitora, quem mantém os registros, quem controla os ativos, quem fornece liquidez e quem pode interromper uma operação. A matriz de responsabilidades precisa ser clara, documentada e compatível com os requisitos de cada jurisdição.
No final, talvez a pergunta mais importante para uma PSAV internacional não seja simplesmente: “Podemos transferir cripto para o exterior?” A pergunta correta é: “Quem é a contraparte dessa operação, qual entidade está efetivamente prestando o serviço e qual é o fundamento regulatório que permite que essa operação seja realizada?”
Essa mudança de perspectiva é essencial. A blockchain permite que uma transação atravesse fronteiras em segundos. Mas as responsabilidades regulatórias não atravessam essas fronteiras da mesma maneira. Quanto mais internacional for a operação, mais importante será saber quem é responsável por cada etapa, qual é o risco de cada contraparte e como o fluxo completo pode ser explicado a um regulador, auditor ou autoridade competente.
Estamos diante de uma nova fase para as PSAVs no Brasil. Não será suficiente ter tecnologia, liquidez ou presença global. Será necessário construir uma arquitetura de Compliance, PLD/FT, governança e controles internos capaz de conectar o negócio global ao perímetro regulatório local.
A blockchain é global. A liquidez é global. Os grupos econômicos são globais.
Mas a responsabilidade regulatória continua sendo jurisdicional.
E é exatamente nessa interseção que Compliance precisa construir pontes, não muros.
Consulta realizada em okai.com.br.
