Padrões do GAFI e a Travel Rule

O Grupo de Ação Financeira (GAFI) não cria leis, mas seus padrões moldam as regras de combate à lavagem de dinheiro às quais uma empresa de criptoativos está sujeita em quase todos os países. A Recomendação 15 determina que os países licenciem e supervisionem prestadores de serviços de ativos virtuais, e a Travel Rule exige que esses prestadores enviem dados dos clientes junto com cada transferência. Depois que você conhece o modelo, cada regime nacional pode ser entendido como uma versão local dele.

Recomendação 15 e a definição de VASP

O GAFI alterou a Recomendação 15 (Novas tecnologias) em outubro de 2018 e adotou sua Nota Interpretativa (INR.15) em junho de 2019. Em conjunto, elas exigem que os países:

• avaliem os riscos de lavagem de dinheiro e financiamento do terrorismo relacionados a ativos virtuais;
• licenciem ou registrem prestadores de serviços de ativos virtuais (VASPs), pelo menos na jurisdição em que são constituídos e, opcionalmente, naquelas em que atendem clientes;
• os supervisionem, com poderes para aplicar multas e revogar licenças;
• apliquem a eles as medidas preventivas das Recomendações 10 a 21 (diligência devida do cliente, manutenção de registros, comunicação de transações suspeitas e verificação em listas de sanções).

Um país pode, em vez disso, proibir a atividade de VASPs, mas ainda assim deve identificar e impedir a atuação de operadores sem licença.

Um ativo virtual é uma representação digital de valor que pode ser negociada ou transferida digitalmente e usada para pagamento ou investimento. Representações digitais de moedas fiduciárias, valores mobiliários e outros ativos financeiros já abrangidos pelos padrões estão excluídas. Um VASP é qualquer pessoa física ou jurídica que, como atividade comercial, realiza uma ou mais de cinco atividades para outra pessoa ou em nome dela:

O critério é funcional: o que a empresa faz importa, não o nome que usa. A Orientação Atualizada do GAFI, de outubro de 2021, afirma que os criadores, proprietários e operadores de um arranjo de finanças “descentralizadas” podem ser VASPs se mantiverem controle ou influência suficiente sobre ele, por exemplo, por meio de chaves administrativas ou da cobrança de taxas. Desenvolvedores que apenas publicam software e pessoas que usam carteiras sem custódia por conta própria não são VASPs.

Conjunto de dados da Travel Rule

O parágrafo 7(b) da INR.15 aplica os requisitos de transferências eletrônicas da Recomendação 16 a transferências de ativos virtuais. Essa é a Travel Rule: o VASP de origem deve obter, manter e enviar as informações exigidas sobre o originador e o beneficiário ao VASP beneficiário “imediatamente e de forma segura”, e o VASP beneficiário deve obtê-las e mantê-las. Ambos devem verificar as partes em listas de sanções e usar os dados no monitoramento de transações.

Os países podem adotar um limite mínimo de USD/EUR 1.000. Acima dele, aplica-se o conjunto completo de dados. Abaixo dele, basta um conjunto reduzido, e não é necessário verificar os dados do originador, a menos que haja suspeita de lavagem de dinheiro ou financiamento do terrorismo.

As implementações nacionais variam, e alguns países aplicam um limite mais baixo ou nenhum limite. Por isso, uma empresa ativa em muitos países costuma enviar o conjunto completo de dados em todas as transferências, em vez de aplicar vários conjuntos de regras.

Carteiras sem custódia e o problema do amanhecer

A Travel Rule só funciona quando ambas as pontas são entidades obrigadas. Isso gera duas lacunas.

Carteiras sem custódia (carteiras autocustodiadas controladas pelo usuário, sem um VASP intermediário) não podem enviar nem receber uma mensagem da Travel Rule. O GAFI não proíbe transferências de ou para elas. A expectativa é que os VASPs obtenham as informações da contraparte junto ao próprio cliente e apliquem controles baseados em risco, como a comprovação de que o cliente controla o endereço (uma mensagem assinada ou uma pequena transação de teste) e um monitoramento mais rigoroso.

O problema do amanhecer decorre da implementação desigual entre países. Um VASP em um país onde a regra está em vigor pode ter de enviar dados a uma contraparte em um país onde ela ainda não é lei, e essa contraparte pode não conseguir ou não querer recebê-los. O GAFI espera que o VASP remetente decida, com base no risco, se executará, restringirá ou rejeitará a transferência e que realize a diligência devida do VASP contraparte antes de enviar dados do cliente, como um banco faz em relação a um correspondente.

Revisão da Recomendação 16 em junho de 2025

Em 18 de junho de 2025, o GAFI publicou uma versão revisada da Recomendação 16, agora intitulada Transparência de pagamentos, com uma Nota Interpretativa reformulada. A revisão tem como alvo o setor de pagamentos. Entre outras coisas, ela:

• responsabiliza a instituição que recebe a instrução do cliente por incluir as informações e mantê-las inalteradas ao longo da cadeia;
• exige, para pagamentos transfronteiriços entre pessoas físicas acima de USD/EUR 1.000, o nome e o endereço do originador (pelo menos o país e a cidade) e, no caso de pessoas físicas, a data de nascimento, além do nome, da conta e da localização do beneficiário, com dados tão estruturados quanto possível;
• exige que as instituições beneficiárias usem medidas como verificações de correspondência entre nome e conta para reduzir pagamentos a beneficiários não pretendidos;
• mantém isentas as compras com cartão de bens e serviços, com um escopo esclarecido.

Em outubro de 2025, o GAFI acrescentou um anexo à sua metodologia de avaliação, explicando como a nova R.16 será avaliada, e, em junho de 2026, consultou o público sobre um projeto de orientação para implementação (o prazo para comentários terminou em agosto de 2026). Espera-se que os países implementem as mudanças até o fim de 2030.

Para ativos virtuais, as obrigações da Travel Rule estão no parágrafo 7(b) da INR.15, que não foi reformulado pela revisão da R.16 de 2025. As equipes de conformidade devem interpretar as mudanças relativas a pagamentos como uma indicação da provável evolução, não como requisitos atuais para criptoativos, e verificar se o GAFI já alinhou o conjunto de dados dos ativos virtuais.

Situação da implementação

O GAFI acompanha o progresso em atualizações direcionadas anuais. Cada uma mede quantas jurisdições têm leis da Travel Rule em vigor e como são avaliadas na R.15. As atualizações recentes apontam para os mesmos pontos fracos: VASPs offshore, transferências entre pares por meio de carteiras sem custódia, DeFi e o uso crescente de stablecoins em atividades ilícitas. Os números mudam a cada ano, por isso uma equipe de conformidade deve citar a atualização mais recente, em vez de se lembrar de uma antiga.

A sexta atualização (junho de 2025) destacou o roubo de cerca de USD 1,46 bilhão da exchange Bybit por agentes norte-coreanos, o maior roubo individual de ativos virtuais já registrado. O GAFI também publicou Melhores Práticas para a Supervisão da Travel Rule (junho de 2025), um relatório sobre VASPs offshore (março de 2026) e um relatório direcionado sobre stablecoins e carteiras sem custódia (3 de março de 2026). Este último recomendou que os emissores pudessem congelar, queimar ou retirar tokens do mercado secundário, usando listas de bloqueio e controles semelhantes em contratos inteligentes.

Protocolos da Travel Rule na prática

O GAFI não determina a tecnologia, por isso o mercado desenvolveu soluções concorrentes. A maioria se baseia no IVMS101 (InterVASP Messaging Standard 101), um modelo de dados comum para nomes, endereços e identificadores, publicado por um grupo de trabalho do setor em 2020. Sobre ele operam protocolos e redes de mensagens como TRP (Travel Rule Protocol), TRISA, OpenVASP, Sygna Bridge, Notabene, VerifyVASP, CODE e GTR. Eles diferem na forma como identificam o VASP contraparte, verificam sua identidade e criptografam os dados enviados.

Como as contrapartes usam ferramentas diferentes, a interoperabilidade é o principal problema prático. Um programa funcional da Travel Rule geralmente inclui:

• atribuição de endereços, para identificar se um destino pertence a um VASP ou a uma carteira sem custódia;
• um diretório de VASPs contrapartes e diligência devida sobre cada um (licença, jurisdição, proteção de dados);
• troca de dados antes da transferência na cadeia, quando possível, para que uma transferência possa ser retida até que os dados correspondam;
• regras claras para dados ausentes ou divergentes: devolver, rejeitar ou executar e comunicar;
• verificação de ambas as partes em listas de sanções e manutenção de registros por pelo menos cinco anos.

Foco no exame: as cinco atividades de VASP e o critério funcional (inclusive quando operadores de DeFi podem ser VASPs); o que a R.15 e a INR.15 exigem dos países; os campos da Travel Rule acima e abaixo do limite de USD/EUR 1.000 e por que as empresas costumam enviar o conjunto completo de dados em todas as transferências; a abordagem baseada em risco do GAFI para carteiras sem custódia e o problema do amanhecer; o que a revisão da R.16 de junho de 2025 mudou para pagamentos e o prazo até o fim de 2030, e o fato de que a Travel Rule para criptoativos está na Nota Interpretativa da R.15; os pontos fracos recorrentes nas atualizações direcionadas do GAFI (VASPs offshore, transferências por carteiras sem custódia, DeFi, stablecoins); o IVMS101 e o problema da interoperabilidade.