A maioria dos brasileiros que entrou em cripto fez o mesmo caminho.
Abriu conta numa corretora, enviou RG e CPF, conectou a conta bancária, comprou e deixou tudo parado lá dentro. Funcionou por anos, e quando algo é cômodo, a gente para de perguntar como a estrutura por trás funciona.
Esse cenário mudou em 2026.
As Resoluções 519, 520 e 521 do Banco Central, publicadas em novembro de 2025 e em vigor desde 2 de fevereiro de 2026, criaram o marco regulatório das prestadoras de serviços de ativos virtuais no Brasil.
No mesmo período, o Drex entrou em uma nova fase, depois que os testes anteriores expuseram problemas de privacidade e custo. Para quem compra, vende ou guarda Bitcoin no país, vale entender o que mudou, o que a regulação acerta, e o que isso significa na prática.
Começando pelo que a regulação acerta
Seria leitura incompleta tratar o novo marco apenas como aperto.
As três resoluções regulamentam a Lei 14.478 de 2022 e trazem o mercado para um padrão próximo ao das instituições financeiras supervisionadas, com efeitos positivos concretos.
A exigência de autorização, capital mínimo e governança afasta aventureiros e reduz o risco dos esquemas que marcaram os primeiros anos do setor.
A clareza regulatória, além disso, costuma ser o principal vetor de entrada de capital institucional, que espera regras definidas antes de operar em escala.O Banco Central conduziu consultas públicas, incorporou parte das críticas e preservou a autocustódia.
A versão final da Resolução 521 não proibiu a transferência para carteiras autocustodiadas, possibilidade que chegou a constar na minuta. São sinais de um regulador atento, não hostil, e reconhecer isso é parte de qualquer análise séria.
O que merece atenção, a partir daí, é como essa nova arquitetura muda o que é tecnicamente possível em termos de rastreio.
O que mudou: as Resoluções 519, 520 e 521
Cada resolução trata de uma camada do mesmo objetivo, integrar os prestadores de serviços de ativos virtuais ao perímetro do sistema financeiro.
As antigas corretoras passam a ser classificadas como SPSAVs, as Sociedades Prestadoras de Serviços de Ativos Virtuais.
Resolução 519: autorização obrigatória
Toda empresa que presta serviço com ativos virtuais no Brasil passa a precisar de autorização formal do Banco Central, e a ser sediada no país.
Quem já operava tem até 30 de outubro de 2026 para protocolar o pedido. Para o usuário, cresce a importância de saber onde os fundos estão custodiados e qual o risco de deixar saldo parado sob a guarda de terceiros.
Resolução 520: governança e prevenção à lavagem
A mais densa em requisitos de estrutura.
Obriga as SPSAVs a manter governança formal, controles internos, diretores responsáveis e um programa de prevenção à lavagem de dinheiro, com verificação de identidade e comunicação de operações suspeitas ao COAF quando aplicável.
Para o usuário, o histórico das movimentações passa a ficar muito mais documentado dentro do sistema regulado, bem diferente do que acontece na mempool:
A diferença é estrutural. Numa rede aberta como a do Bitcoin, a mempool mostra as transações, mas a identidade por trás de um endereço só aparece se o próprio usuário se revelar. Num banco de dados centralizado, identidade e movimentação já nascem vinculadas, e um único vazamento expõe tudo de uma vez.
O saldo deixa de ser a única informação relevante, o caminho do recurso também passa a importar.
Resolução 521: câmbio, Travel Rule e autocustódia
A mais relevante para quem move Bitcoin entre a corretora e a própria carteira.
Ela enquadra no mercado de câmbio operações como pagamentos e transferências internacionais, e introduz no Brasil a Travel Rule, alinhada às Recomendações do GAFI.
Na prática, a SPSAV passa a ter o dever de identificar o titular da carteira e verificar a origem e o destino dos ativos nas operações abrangidas, com a obrigação de reporte valendo a partir de 4 de maio de 2026.
Sacar Bitcoin de uma corretora para a própria carteira continua legal.
O que mudou foi o caminho até ela, porque dentro do ambiente regulado a retirada passa a ficar associada aos dados cadastrais e a um destino verificado pelo prestador. A autocustódia não foi proibida, mas o acesso a ela, quando passa por uma corretora, ficou mais rastreável.
O Drex e a questão da privacidade
O Drex é o projeto de moeda digital de banco central do Brasil.
Entre 2024 e 2025, o piloto rodou sobre uma rede de registro distribuído permissionada e testou soluções de privacidade como Anonymous Zether, Rayls e Starlight.
O resultado expôs um impasse revelador, as soluções garantiam o anonimato das transações, mas ocultavam essas transações também do próprio Banco Central, o que comprometia sua capacidade de fiscalizar, prevenir fraude e cumprir obrigações legais.
Em 2025, a infraestrutura foi desligada, e o projeto seguiu para uma nova fase, com foco anunciado em garantias de operações de crédito e possível convergência futura com Pix e Open Finance.
Para quem se importa com privacidade, isso não é detalhe técnico.
Quem acha isso exagero pode lembrar de 1990. No Plano Collor, parte dos saldos bancários acima de um limite foi bloqueada de um dia para o outro, com a tecnologia da época.
Com dinheiro digital programável, medidas assim se tornam operacionalmente mais simples. O ponto não é afirmar que vai acontecer, é entender que a infraestrutura define o que passa a ser possível, e que isso merece acompanhamento transparente.
Um padrão global, não uma exceção brasileira
O Brasil não está inventando um caminho próprio.
A Travel Rule vem das recomendações do GAFI, a União Europeia aprovou o MiCA, e os Estados Unidos seguem ampliando exigências de reporte sobre exchanges.
O denominador comum é que o dado financeiro do indivíduo está cada vez mais integrado às estruturas de supervisão e compliance.
Bitcoin, na camada do protocolo, foi desenhado para o caso oposto.
Não pede licença para existir, não tem botão central de bloqueio e não depende de uma empresa autorizada para funcionar.
A regulação não muda isso no protocolo, ela atua sobre os pontos de contato, a corretora, as rampas entre real e o cripto. É nesses pontos que a rastreabilidade se forma, e por isso entender o desenho da própria custódia passou a fazer diferença.
O que considerar na prática
Privacidade financeira, dentro da lei, não tem a ver com se esconder.
Tem a ver com reduzir quantos terceiros sabem quanto você tem, onde guarda e o que faz com isso, porque cada terceiro a menos é uma superfície de risco a menos.
A custódia de longo prazo
Uma corretora opera mais como balcão de câmbio do que como cofre.
Quanto mais tempo um ativo fica numa plataforma, mais ele depende da solvência de um terceiro e mais se integra ao histórico daquele prestador.
Faz sentido manter na corretora o que será negociado no curto prazo, e mover para uma carteira própria o que se pretende guardar como reserva.
Reserva e negociação são objetivos diferentes, e pedem soluções diferentes.
O padrão da carteira
Para quem opta pela autocustódia, dois princípios técnicos importam mais que a marca.
Uma carteira air-gapped não tem Wi-Fi, Bluetooth nem NFC, e por nunca tocar a internet, reduz a superfície de vazamento da chave.
E o código aberto, auditável por qualquer pessoa, permite verificar como a seed é gerada, em vez de confiar numa promessa fechada do fabricante.
A COLDKIT, segue esses dois princípios, air-gapped, com comunicação por QR code e firmware open-source. O ponto, mais que o produto, é o padrão, uma carteira que se conecta à internet e não pode ser auditada dificilmente é o melhor lugar para uma reserva de longo prazo.
As rampas de entrada e saída
O ponto mais rastreado do fluxo é a fronteira entre o real e o cripto.
Operações P2P podem reduzir o tempo em que o saldo fica parado numa exchange e devolver a custódia mais rápido ao usuário, sem eliminar as obrigações legais e fiscais, que continuam valendo.
A lógica não é ficar invisível, é evitar transformar a corretora em cofre permanente. Soluções como o Alfred P2P operam nesse modelo, com verificação simplificada e uma rede de traders em vários países, sempre dentro da lei.
O custo de não decidir
A regulação de 2026 não tornou a soberania sobre os próprios ativos ilegal, tornou-a uma escolha ativa.
Quem não decide nada mantém o saldo numa plataforma regulada, com saques cada vez mais associados aos dados cadastrais e um histórico que outra entidade controla. No dia em que uma regra nova, um bloqueio judicial ou um vazamento atingir essa plataforma, reaparece uma lição antiga, custódia de terceiro é custódia de terceiro.
O caminho mais sensato costuma ser o mais barato e reversível. Mover uma fração pequena da reserva para uma carteira própria, testar envio, recebimento, backup e recuperação, e ganhar familiaridade com pouco antes de proteger muito.
A regulação amadurece o mercado e protege o usuário em várias dimensões, e ao mesmo tempo concentra mais informação dentro do sistema regulado… As duas coisas são verdadeiras ao mesmo tempo, e o leitor atento decide com consciência onde fica nesse desenho.
Vale mais entender essa arquitetura agora, enquanto a escolha é barata e reversível, ou descobrir como ela funciona só quando precisar?
Publicado originalmente no LinkedIn da DSEC Labs.