Regras de licenciamento e conduta para prestadores de serviços de criptoativos

Os regimes de criptoativos têm nomes diferentes em cada país, mas são compostos pelas mesmas partes: um critério que determina quem precisa de licença, testes para as pessoas que administram a empresa, capital, regras para ativos de clientes, regras de conduta e resiliência operacional. Um profissional que conhece esses elementos básicos pode ler rapidamente qualquer novo regime, identificar suas lacunas e compará-lo com os outros aos quais uma empresa já está sujeita.

As referências globais

Três conjuntos de padrões internacionais moldam os regimes para prestadores de serviços de criptoativos (CASPs):

• Recomendação 15 do GAFI exige que os países licenciem ou registrem prestadores de serviços de ativos virtuais para fins de combate à lavagem de dinheiro. Ela estabelece o padrão mínimo e é abordada na aula Padrões do GAFI e a Travel Rule.
• As Recomendações de Política da IOSCO para Mercados de Criptoativos e Ativos Digitais, publicadas como relatório final em 16 de novembro de 2023, estabelecem 18 recomendações para reguladores de valores mobiliários. Elas seguem o princípio de "mesma atividade, mesmo risco, mesmo resultado regulatório" e abrangem seis áreas: conflitos decorrentes da integração vertical, abuso de mercado e fraude, cooperação transfronteiriça, custódia e ativos de clientes, risco operacional e tecnológico e distribuição no varejo. A IOSCO acrescentou nove recomendações de política para finanças descentralizadas (DeFi) em dezembro de 2023.
• As recomendações de alto nível do Conselho de Estabilidade Financeira (FSB) para atividades e mercados de criptoativos (julho de 2023) pedem às autoridades uma regulamentação abrangente, supervisão e cooperação transfronteiriça proporcionais aos riscos envolvidos para a estabilidade financeira.

Ambas as entidades revisaram a implementação em outubro de 2025. A IOSCO constatou "avanços significativos" entre seus membros, mas afirmou que ainda era necessário trabalhar mais à medida que os modelos de negócios evoluem. O FSB descreveu a implementação como desigual e inconsistente, com lacunas que permitem arbitragem regulatória. Espere elementos básicos comuns e detalhes diferentes.

Critérios de autorização: atividade, não rótulo

Todo regime começa listando as atividades reguladas. Uma empresa precisa de autorização se exercer uma delas como atividade comercial para clientes na jurisdição. Atividades típicas:

• operar uma plataforma de negociação que cruza compradores e vendedores;
• trocar criptoativos por moeda fiduciária ou outros criptoativos, por conta própria (negociação por conta própria) ou como agente (corretagem);
• executar ordens de clientes ou receber e transmitir essas ordens;
• custodiar e administrar criptoativos em nome de clientes;
• prestar serviços de transferência;
• fazer gestão de carteiras, prestar consultoria e distribuir ou subscrever ofertas de tokens;
• fazer staking em nome de clientes e conceder empréstimos em criptoativos, quando o regime os abrange;
• emitir stablecoins, atividade que geralmente exige uma licença separada (consulte Regulamentação de stablecoins: princípios globais).

O teste é funcional, como na definição de VASP do GAFI: o que a empresa faz importa, não a forma como se promove. Uma plataforma pode precisar de várias autorizações. Um exchange que também guarda as chaves dos clientes, empresta ativos de clientes e opera um programa de staking pode estar sujeito a quatro atividades reguladas. As exclusões comuns abrangem a negociação apenas por conta própria, prestadores exclusivamente de software ou infraestrutura (operadores de nós, publicadores de software de carteiras) e serviços intragrupo. Por exemplo, o regulamento MiCA da UE enumera cada serviço de criptoativos que exige autorização, enquanto, nos Estados Unidos, a mesma atividade pode exigir licenças estaduais de transmissor de dinheiro ou estar sujeita a regras federais sobre valores mobiliários ou commodities, dependendo do ativo.

Adequação e idoneidade, governança e capital

Os testes de adequação e idoneidade aplicam-se a diretores, gestores seniores e acionistas relevantes: honestidade e integridade, competência e experiência, solidez financeira e ausência de antecedentes criminais ou regulatórios relevantes. Os supervisores também verificam a origem dos recursos dos proprietários e devem ser informados sobre mudanças posteriores no controle.

As regras de governança exigem um conselho capaz de questionar a administração, funções de controle independentes (risco, compliance, auditoria interna), um responsável designado pela prevenção à lavagem de dinheiro e presença efetiva no país. Uma licença detida por um escritório de fachada enquanto as decisões são tomadas em outro lugar é um motivo frequente para recusa.

Capital e salvaguardas prudenciais garantem que uma empresa possa absorver perdas e encerrar suas atividades de forma ordenada. Um modelo comum é "o maior entre" um mínimo fixo, que depende da atividade, e uma parcela das despesas fixas anuais. Em um regime hipotético com um mínimo de 150.000 e uma exigência equivalente a um quarto das despesas fixas, uma empresa com despesas fixas anuais de 8.000.000 precisa manter 2.000.000, pois o valor baseado nas despesas é maior. Alguns regimes aceitam seguro para parte do montante, e muitos também exigem ativos líquidos e um plano de encerramento ordenado testado.

Ativos de clientes: segregação e custódia

A maioria das grandes perdas em criptoativos ocorreu em empresas que usaram ativos de clientes como se fossem seus. As recomendações da IOSCO sobre ativos de clientes estabelecem os resultados esperados.

Carteiras omnibus são permitidas na maioria dos regimes se o livro-razão interno for preciso e conciliado. O funcionamento técnico da custódia é abordado nas aulas Modelos de custódia e os aspectos jurídicos da guarda de ativos e Risco de contraparte e prova de reservas.

Conflitos, divulgação e tratamento justo

As empresas de criptoativos frequentemente combinam funções que são mantidas separadas nas finanças tradicionais: exchange, corretora, formadora de mercado, custodiante, credora e até emissora de tokens. As recomendações da IOSCO pedem uma governança que administre esses conflitos e, quando eles não puderem ser mitigados, separação jurídica e registro separado. Também exigem a divulgação de cada função desempenhada pela empresa, tratamento justo de ordens com restrições à negociação antecipada (front running), critérios públicos para admitir e remover tokens e gestão de conflitos envolvendo tokens emitidos ou mantidos pela empresa, o que pode significar não listá-los.

As regras de tratamento justo concentram-se nos clientes de varejo: verificações de adequação ou suitability antes da oferta de produtos complexos ou arriscados, marketing justo e claro (inclusive nas redes sociais e por meio de influenciadores remunerados), divulgação de todas as tarifas e dos conflitos e avisos de risco em linguagem simples.

O tratamento de reclamações completa o quadro: um procedimento documentado, prazos para confirmação de recebimento e resposta, registros de todas as reclamações, análise das causas-raiz e, quando houver, acesso a um órgão externo de resolução de disputas.

Terceirização e resiliência operacional

Uma empresa pode terceirizar tarefas, mas não a responsabilidade. Os supervisores esperam diligência prévia sobre os prestadores, contratos que concedam à empresa e ao supervisor direitos de acesso e auditoria, planos de saída e atenção ao risco de concentração, já que muitas empresas dependem dos mesmos prestadores de serviços de nuvem, tecnologia de custódia, verificação de identidade e análise de blockchain. A recomendação da IOSCO sobre risco operacional e tecnológico pede resiliência cibernética e de sistemas, pelo menos uma revisão anual e divulgação em linguagem simples dos riscos operacionais e tecnológicos relevantes. Os regimes vêm acrescentando cada vez mais prazos para notificação de incidentes e testes de resiliência. O backup e a recuperação de chaves são abordados na aula Asseguração, resiliência e seguro.

Serviços transfronteiriços: passaporte e solicitação reversa

O passaporte permite que uma empresa autorizada em um país atenda clientes em outros países que compartilham regras harmonizadas, geralmente após uma notificação em vez de uma nova solicitação. A UE é o principal exemplo. Sem passaporte, a empresa precisa de uma licença local, de uma subsidiária ou parceira local licenciada, ou de uma isenção.

A solicitação reversa é a exceção restrita aplicável quando um cliente procura uma empresa estrangeira por iniciativa própria e exclusiva. Essa exceção deixa de se aplicar assim que a empresa solicita clientes naquele país: sites em idioma local, anúncios direcionados, patrocínios, campanhas com influenciadores ou ofertas de novos produtos a clientes que inicialmente chegaram por iniciativa própria. Ela abrange apenas o serviço solicitado pelo cliente.

Mais países agora licenciam empresas estrangeiras que atendem seus residentes, geralmente vinculando essa obrigação a atividades como marketing direcionado ou uso de sistemas de pagamento domésticos.

As empresas apoiam suas decisões sobre os mercados em que atuam com controles: verificações de residência durante a integração de clientes, geolocalização e bloqueio de IP, além do encerramento da relação com clientes em países onde a empresa não presta serviços.

Foco no exame: as três referências globais (Recomendação 15 do GAFI para licenciamento de combate à lavagem de dinheiro, recomendações da IOSCO de 2023 sobre conduta e ativos de clientes, recomendações do FSB de 2023 sobre estabilidade financeira) e as conclusões das revisões de implementação de outubro de 2025; autorização acionada por uma atividade exercida como atividade comercial, não por rótulos; testes de adequação e idoneidade e de governança; modelos de capital baseados em "o maior entre" e planos de encerramento ordenado; controles sobre ativos de clientes esperados pela IOSCO (segregação, consentimento para qualquer uso, conciliação, asseguração independente, divulgação); conflitos decorrentes da integração vertical e medidas da IOSCO; tratamento justo de clientes de varejo e tratamento de reclamações; responsabilidade pela terceirização e resiliência operacional; passaporte, limites da solicitação reversa e licenciamento offshore.