Resumo executivo
A Resolução BCB nº 520/2025 é uma norma autônoma e estruturante para o mercado brasileiro de ativos virtuais. Ela disciplina a constituição e o funcionamento das sociedades prestadoras de serviços de ativos virtuais e também estabelece como instituições já autorizadas a funcionar pelo Banco Central podem prestar serviços de intermediação e custódia de ativos virtuais. O documento organiza o regime por modalidades, define regras de autorização e comunicação, cria obrigações de segregação patrimonial, governança, segurança, proteção de clientes, informação, monitoramento de operações, contratação de terceiros, custódia, intermediação, conta margem, staking e transição regulatória.
A norma entrou em vigor em 2 de fevereiro de 2026. Ela contém prazos transitórios relevantes, especialmente o prazo de 270 dias para sociedades e instituições já atuantes regularizarem sua atuação, que leva ao marco de 30 de outubro de 2026, e o cronograma de implantação das regras de transferência de informações de monitoramento, com etapa nacional até 2 de fevereiro de 2027 e etapa internacional até 2 de fevereiro de 2028. Também há vedação futura expressa, a partir de 30 de outubro de 2026, para instituições financeiras, instituições de pagamento e demais instituições autorizadas pelo BCB realizarem ou viabilizarem operações com entidades de ativos virtuais não autorizadas ou fora de processo de autorização.
Escopo e sujeitos regulados
O documento alcança dois grandes grupos. O primeiro é formado pelas sociedades prestadoras de serviços de ativos virtuais, que passam a depender de autorização do Banco Central e devem se organizar nas modalidades de intermediária, custodiante ou corretora de ativos virtuais. O segundo grupo compreende determinadas instituições financeiras e demais instituições autorizadas pelo BCB que a própria resolução admite como aptas a prestar intermediação e custódia, observadas restrições e comunicações específicas.
A segmentação do pacote reflete essa diferença. Requisitos voltados exclusivamente às sociedades prestadoras usam recorte específico de prestador de serviços de criptoativos. Requisitos voltados a prestadoras de serviços de ativos virtuais em sentido amplo usam expressão que também alcança instituições autorizadas pelo BCB quando atuarem nesse mercado. Há limitação de granularidade porque nem todas as categorias do art. 20 têm tag própria no dicionário, especialmente certas instituições autorizadas e corretoras de câmbio. Por isso, alguns requisitos usam tag financeira ampla e trazem a condição operacional no resumo de aplicabilidade.
O texto também define o que caracteriza funcionamento no país: constituição no Brasil e sede e administração localizadas em território nacional, submetidas ao ordenamento jurídico e às autoridades brasileiras. Para entidades estrangeiras que já atuavam no país, a norma traz regime transitório de transferência de operações e clientes para entidade local elegível ou sociedade prestadora regularizada.
Modalidades, autorização e transição
A resolução separa as sociedades prestadoras em intermediárias, custodiantes e corretoras de ativos virtuais. Intermediárias e custodiantes não podem executar atividades combinadas de outras modalidades, enquanto corretoras têm por objeto social a intermediação e a custódia. Esse desenho exige controle de enquadramento de produtos, funcionalidades e linhas de negócio. Um mesmo produto de ativo virtual pode envolver negociação, custódia, staking, conta margem, oferta de stablecoin, informações de tecnologia e contratação de terceiros; cada elemento precisa ser confrontado com a modalidade autorizada.
A autorização de funcionamento é um eixo central. Sociedades que queiram iniciar serviços devem solicitar autorização ao BCB. Sociedades já atuantes na data de entrada em vigor devem protocolar pedido em até 270 dias, comprovando estruturas de risco, segurança cibernética, resposta a incidentes, controles internos, PLD/FT, procedimentos relacionados à Lei nº 13.810/2019 e regulação contábil e de auditoria pelo Cosif. Durante a fase 1 do processo, há obrigações de remessa ao BCB, incluindo informações ao Cadastro de Clientes do Sistema Financeiro Nacional, saldos contábeis diários, dados diários de custódia, provas de reservas mensais e demonstrações de staking quando aplicável.
Instituições já autorizadas pelo BCB e elegíveis para atuar no mercado de ativos virtuais têm caminho próprio. Se ainda não atuavam, só podem iniciar após noventa dias da comunicação formal ao Banco Central, com certificações exigidas pela regulação específica. Se já atuavam, devem comunicar formalmente o BCB em até 270 dias, anexando certificação técnica independente. A norma permite que o BCB requeira novas informações, determine cessação de operações em determinadas hipóteses e estabeleça requerimentos específicos por regulamentação complementar.
Governança, estrutura societária e capital
Para sociedades prestadoras de serviços de ativos virtuais, a norma exige forma societária limitada ou sociedade anônima, objeto social principal compatível com a modalidade e ao menos três diretores ou administradores responsáveis perante o Banco Central por temas como condução de negócios, PLD/FT, controles internos, riscos, capital, divulgação, segurança cibernética e resposta a incidentes. A política de governança deve definir atribuições e responsabilidades, ser documentada, revisada a cada dois anos e aprovada pela instância societária aplicável.
A resolução também traz regras sobre denominação, comunicação ao cliente e capital. A expressão “Sociedade Prestadora de Serviços de Ativos Virtuais” é privativa e a modalidade deve ser divulgada de forma clara no site e nos aplicativos. O capital deve ser realizado em moeda corrente, com regras específicas para aumento por lucros, reservas ou créditos de acionistas. Essas obrigações geram evidências societárias e de governança, como contrato ou estatuto social, atos de eleição, matriz de responsabilidades, política de governança, controle de versão e deliberações de capital.
Segregação patrimonial e proteção de ativos
A separação entre recursos e ativos de clientes e da prestadora é uma das partes mais críticas da resolução. Para recursos financeiros, a prestadora deve manter recursos próprios segregados dos recursos de clientes por contas de pagamento ou depósito individualizadas. A conta pode ser oferecida pela própria prestadora, se autorizada, ou por instituição financeira ou instituição autorizada em favor do cliente, observada a regulamentação aplicável.
Para ativos virtuais, a prestadora deve adotar mecanismos de separação entre ativos próprios e de clientes e documentá-los em política específica. Essa política deve tratar de carteiras distintas, métodos de prova de reservas, auditoria independente bienal com asseguração razoável e hipóteses de transferência dos ativos em caso de interrupção ou descontinuidade. O relatório de auditoria deve ser divulgado publicamente no site da prestadora. Há exceção limitada para manutenção de ativos próprios em carteiras de clientes apenas para cobrir necessidade imediata de liquidez, com limite de 5%, identificação distinta e ausência de ônus ao cliente.
A norma também veda o uso de ativos de clientes, usuários ou contrapartes negociais em operações próprias da prestadora, ressalvadas hipóteses expressas. Esse ponto precisa ser tratado como controle sistêmico e operacional, com bloqueio de movimentações, segregação de carteiras, logs de titularidade e conciliações.
Contratação de terceiros e serviços relevantes
A contratação de serviços relevantes recebe disciplina extensa. São relevantes os serviços que afetam as atividades da prestadora ou o exercício de direitos de clientes e usuários, incluindo custódia, provedores de liquidez, formadores de mercado, carteiras de ativos virtuais e serviços tecnológicos. Antes da contratação, a prestadora deve verificar capacidade técnica, operacional e de cumprimento regulatório do contratado, elaborar planos robustos de recuperação de posições e recursos, estabelecer controles internos para listas de sanções e carteiras sancionadas e oferecer informações claras ao cliente sobre a participação de terceiros.
Contratos de serviços relevantes devem conter cláusulas de acesso do BCB a documentos, informações, produtos, serviços e dependências do contratado. Também devem vedar que o contratado cobre clientes da prestadora por tarifas, comissões ou ressarcimentos referentes aos produtos ou serviços contratados. Para provedores de liquidez e formadores de mercado, a norma exige cláusulas específicas sobre modelo de negócio, preços, liquidação, parâmetros de atuação, ausência de vantagem informacional e restrições de contraparte.
O pacote tratou PLD/FT como bloco de alta criticidade. A resolução exige atendimento à regulamentação específica de prevenção e combate à lavagem de dinheiro, ao financiamento do terrorismo e à proliferação de armas de destruição em massa. Nas operações com ativos virtuais, a prestadora deve fornecer à instituição receptora informações mínimas do originador e do beneficiário, incluindo identificação, conta ou equivalente, endereço, CPF, CNPJ ou equivalente internacional e identificação de carteira.
A implantação dessas regras ocorre em duas etapas: mercado nacional até 2 de fevereiro de 2027 e mercado internacional até 2 de fevereiro de 2028. Até a conclusão das etapas, é facultado usar autodeclarações de clientes e usuários, acompanhadas de análise baseada em risco, desde que documentadas e mantidas à disposição do BCB. A norma também exige manutenção de registros de transações por pelo menos cinco anos, identificação de operações suspeitas ou irregulares e comunicação tempestiva ao BCB de dificuldades de controle e monitoramento decorrentes de práticas de outras instituições autorizadas.
Segurança, tecnologia e instrumentos de controle
A resolução exige medidas de segurança, resiliência e funcionamento do ambiente computacional usado na prestação de serviços de ativos virtuais. Isso inclui gerenciamento de identidades, controle de acessos, monitoramento contínuo, resposta a incidentes, medidas preventivas para incidentes cibernéticos, procedimentos de autorização e senhas, cultura de segurança, planos de continuidade, melhores práticas, treinamentos, certificações técnicas e testes de sistemas, programas e contratos inteligentes. As medidas devem ser documentadas e compatíveis com a política de segurança cibernética.
A proteção dos instrumentos de controle dos ativos virtuais, especialmente chaves privadas, também é detalhada. A prestadora deve ter política de guarda e proteção que trate de geração, custódia e gerenciamento, distribuição de ativos em carteiras, módulos de segurança, concessão e desativação de instrumentos, mitigação de comprometimentos e regras de acesso por alçadas. Se houver chaves privadas múltiplas ou segmentadas, elas devem ser armazenadas em locais diferentes.
A resolução estabelece um conjunto amplo de obrigações de informação ao cliente. A prestadora deve divulgar dados sobre autorização ou pedido em análise, licenças, políticas organizacionais, termos e condições, terceiros envolvidos, conflitos de interesses e medidas de mitigação. Também deve informar existência ou ausência de cobertura, fundos garantidores ou seguros antes da assinatura do contrato, e comunicar tempestivamente mudanças nessas informações.
Clientes e usuários devem receber informações sobre direitos e obrigações, medidas de segurança, depósito e retirada de recursos, mecanismos de cobertura e formas de obtenção de relatórios e extratos. A prestadora deve explicar processos de guarda, custódia e armazenamento dos instrumentos de controle, inclusive quando executados por terceiros, e esclarecer riscos da autocustódia. A avaliação de perfil de risco exige que a prestadora conheça familiaridade, interesses financeiros e tolerância a risco do cliente; operações incompatíveis com o perfil exigem declaração específica ou termo de ciência.
As tarifas só podem ser cobradas sobre serviços relativos às atividades de intermediação e custódia e dependem de informação prévia sobre condições, fato gerador, valor ou estimativa, com posterior comprovante, extrato ou demonstrativo.
Para intermediação, a resolução exige política de seleção, oferta, listagem, suspensão e deslistagem de ativos virtuais, baseada em critérios claros, justificados, transparentes e divulgados, com decisões por comitês técnicos. A política deve considerar categorização, revisão de documentos, vedação a ativos que favoreçam fraudes ou ilícitos, revisão periódica, práticas prévias à suspensão ou deslistagem e fontes de informações de preço e volume. O Anexo detalha requisitos mínimos para seleção, incluindo propósito, casos de uso, documento técnico, rastreabilidade, protocolos, governança, concentração de propriedade, mecanismo de consenso, auditorias, histórico, riscos, bifurcações, airdrops, pares de troca, critérios de suspensão e informações sobre partes relacionadas.
Para ativos virtuais referenciados em moeda fiduciária, a prestadora deve avaliar regularidade, manifestações públicas de falhas, mecanismo de estabilização, reservas, provas de lastro, salvaguardas, demonstrações financeiras auditadas e qualificações de risco. A oferta de stablecoin com mecanismos de controle de reservas efetuados por algoritmos é vedada.
A norma também exige mitigação de conflitos na intermediação, vigilância contra práticas espúrias de mercado e comunicação ao BCB quando tais práticas forem identificadas. Entre os exemplos estão manipulação de preços, oferta falsa, uso de informação privilegiada, manipulação por redes sociais e outros conluios ou práticas anticoncorrenciais.
Custódia, relatórios, eventos e custódia no exterior
O bloco de custódia é um dos mais operacionais. O contrato de custódia deve conter cláusulas mínimas sobre identificação, direitos e deveres, natureza do serviço, métodos de guarda, tipos de carteiras, riscos, comunicação, terceiros, tarifas, normas aplicáveis, controles internos, auditoria, staking, transferência de custódia, instruções do cliente, prazos, eventos e fontes informacionais. A auditoria independente dos controles de custódia deve ocorrer no mínimo anualmente.
O custodiante deve implementar medidas e planos para identificação de clientes, exercício de direitos, conciliação de posições, sigilo, diligência, qualidade de processos, registro de incidentes, segurança de instalações e sistemas, recursos humanos qualificados, continuidade e mecanismo de redundância com administração submetida às leis brasileiras, entidade constituída no Brasil ou repositório próprio do custodiante autorizado, e acesso do BCB.
Também deve manter registro histórico de posições de cada cliente por ativo, segregar ativos de clientes dos seus próprios ativos, disponibilizar relatório atualizado de posição e comunicar eventos que afetem direitos sobre ativos custodiados. Testes de estresse devem ser realizados ao menos anualmente, com método e resultados arquivados por cinco anos. A oferta de staking pelo custodiante exige comunicação ao BCB com antecedência mínima de noventa dias.
Custódia no exterior tem requisitos próprios: contrato compatível com a legislação brasileira, custodiante autorizado e supervisionado no país de origem, representante legal no Brasil, garantias ou bens acionáveis, acesso a registros pelo BCB, segregação jurídica dos ativos e carteiras específicas para clientes do Brasil.
Pontos de atenção para implantação
Os principais pontos de atenção são: controle de prazos transitórios, dossiê de autorização, matriz de modalidade e produtos, políticas obrigatórias, segregação patrimonial, prova de reservas, PLD/FT e transferência de informações, segurança de chaves privadas, governança de terceiros relevantes, contratos de custódia, relatórios ao cliente, testes de estresse e bloqueio de relações com entidades não autorizadas a partir de 30 de outubro de 2026.
Alguns comandos dependem de regulamentação específica ou complementar, como o processo de autorização, certificações técnicas, regras de contas, Banking as a Service, segurança cibernética, PLD/FT, nuvem, tarifas e certificações. O pacote registra essas dependências como referências operacionais, mas não consolida normas posteriores nem substitui análise jurídica contextual da instituição. A curadoria é um retrato-fonte da Resolução BCB nº 520/2025 e deve ser usada como acelerador para implementação, evidências, controles e triagem de aplicabilidade.
