COAF e criptoativos: quando comunicar uma operação suspeita

A comunicação ao COAF é obrigatória sempre que uma operação com criptoativos apresentar indícios de lavagem de dinheiro ou de financiamento do terrorismo — e o gatilho é a suspeita, não um valor fixo. A prestadora de serviços de ativos virtuais (VASP) é pessoa obrigada da Lei nº 9.613/1998 (art. 9º) e, ao identificar uma operação atípica, deve comunicar o COAF em até 24 horas, sem dar ciência ao cliente (art. 11).

Essa obrigação nasceu com o Marco Legal dos Criptoativos. Ao alterar a Lei de Lavagem, a Lei nº 14.478/2022 (art. 12) incluiu a VASP no rol de pessoas obrigadas a prevenir a lavagem — as mesmas que já respondiam por esse dever no sistema bancário [1] [2]. E a escala do problema explica a preocupação: segundo o FBI Internet Crime Complaint Center (IC3), as perdas com golpes envolvendo criptoativos reportadas nos Estados Unidos chegaram a US$ 9,3 bilhões em 2024 — alta de 66% sobre o ano anterior [3]. Como a maior parte desse dinheiro passa, em algum momento, por uma exchange, é nela — a porta entre o dinheiro tradicional e a blockchain — que a lei posiciona o principal ponto de controle contra a lavagem.

Este artigo trata do detalhe dessa comunicação: quando ela é disparada, em que prazo e para onde vai. As demais obrigações de uma VASP — autorização para funcionar, governança, transparência — seguem lógica própria e são tema à parte. Aqui o foco é o COAF.

O gatilho é a suspeita, não um valor fixo

O engano mais comum é imaginar que só se comunica o COAF acima de determinada quantia. Não é assim. O sistema brasileiro de prevenção à lavagem trabalha com dois tipos de comunicação, e eles não se confundem. A comunicação automática — ou objetiva — é disparada por um critério fixo, normalmente um valor, como ocorre com operações em espécie acima do limite legal. Já a comunicação de operação suspeita (COS) é disparada por indícios: não há piso em reais que a acione, e sim a percepção de atipicidade.

Como criptoativos raramente envolvem dinheiro em espécie, o canal típico do setor é a COS baseada em suspeita. O art. 11 da Lei nº 9.613/1998 indica o que caracteriza essa suspeita: operações que, por suas partes, valores, formas de realização, instrumentos utilizados ou pela falta de fundamento econômico ou legal, possam configurar indício de lavagem [1]. Na prática, isso aparece como incompatibilidade entre a operação e o perfil declarado do cliente, fracionamento para driblar controles, ausência de propósito econômico ou vínculo com endereços e pessoas já ligados a fraude.

Prazo de 24 horas e o dever de não avisar o cliente

Identificada a suspeita, a lei é objetiva quanto ao tempo e ao sigilo. O art. 11 determina que a pessoa obrigada comunique o COAF no prazo de 24 horas, "abstendo-se de dar ciência de tal ato a qualquer pessoa, inclusive àquela à qual se refira a informação" [1]. São dois comandos em um: comunicar rápido e não avisar o cliente. Esse dever de silêncio — conhecido internacionalmente como no tipping off — existe para que a comunicação não frustre a própria apuração: um cliente avisado esvazia a conta antes de qualquer medida.

No plano operacional, quem detalha o procedimento para as VASPs é o Banco Central. A Resolução BCB nº 520, de 10 de novembro de 2025 — em vigor desde 2 de fevereiro de 2026 —, disciplina a prevenção à lavagem no setor de ativos virtuais, inclusive a comunicação de operações suspeitas ao Banco Central e ao COAF [4]. É esse arcabouço que traduz o comando legal em rotina de compliance: definição de alçadas internas, registro da análise e envio pelo sistema eletrônico do COAF. O prazo legal das 24 horas, contudo, é o parâmetro que não admite relativização.

Para onde vai a comunicação — e o que ela não é

A comunicação vai para o COAF, a Unidade de Inteligência Financeira do país, hoje ligado administrativamente ao Banco Central, mas com autonomia técnica. O envio é feito pelo sistema eletrônico do órgão, o SISCOAF — o mesmo canal usado por bancos e demais pessoas obrigadas. Como o Banco Central é o regulador das VASPs desde o Decreto nº 11.563/2023 [6], a supervisão de prevenção à lavagem no setor de cripto também corre por ele. Reunindo comunicações de várias fontes, o COAF pode produzir um Relatório de Inteligência Financeira (RIF) e encaminhá-lo às autoridades — Polícia e Ministério Público — quando identifica indícios relevantes. A distinção importa: o Supremo Tribunal Federal, no Tema 990 da repercussão geral, validou esse compartilhamento espontâneo sem prévia autorização judicial; o que a tese não autoriza é a requisição ativa do relatório pela autoridade, que o Superior Tribunal de Justiça já vedou sem ordem judicial.

É aqui que convém desfazer um mal-entendido frequente. Comunicar uma operação ao COAF não é denunciar o cliente, nem bloquear os valores, nem substituir o boletim de ocorrência da vítima. A comunicação é um ato de inteligência financeira, não uma medida judicial: alimenta o sistema de prevenção, mas não congela ativos por si só nem instaura, sozinha, um processo. O bloqueio de criptoativos depende de decisão judicial — tema que analisei em artigo sobre a responsabilidade das exchanges perante o STJ. Superdimensionar a comunicação, tratá-la como se fosse a solução do caso, é tão problemático quanto ignorá-la.

Suspeita bem fundamentada: onde entra a análise técnica

Um desafio recorrente do compliance é a qualidade da comunicação. Comunicar tudo por precaução — o chamado defensive reporting — não é virtude: inunda o COAF de ruído e reduz o valor de cada alerta. O oposto, deixar passar o que era claramente atípico, expõe a VASP a responsabilização. Entre os dois extremos está a suspeita bem fundamentada, e é aí que a leitura técnica ajuda.

O rastreamento on-chain — que empresas de forense blockchain como a Chainspect realizam — pode transformar uma desconfiança difusa em indício documentado: mostrar que os valores recebidos vêm de um endereço já associado a golpe, que a operação integra um padrão de fracionamento ou que o destino é uma carteira de mixagem. É o mesmo tipo de evidência que instrui investigações formais, como descreve o guia de rastreamento de criptoativos para autoridades. Vale lembrar, porém, que nem toda transação com criptoativos é lavagem: a fronteira entre o que configura e o que não configura o crime é mais sutil do que parece, como explorei em Bitcoin e Lavagem de Dinheiro [5] e no artigo sobre o tema.

Considerações finais

A comunicação de operações suspeitas é, talvez, a obrigação mais delicada da VASP: depende de julgamento, corre contra o relógio e não admite aviso ao cliente. Três pontos resumem o regime. Primeiro, o gatilho é a suspeita, não um valor — a lógica é qualitativa, não aritmética. Segundo, o prazo é de 24 horas, com dever de sigilo (art. 11 da Lei nº 9.613/1998). Terceiro, comunicar é um ato de inteligência financeira: importante, mas que não bloqueia, não denuncia e não encerra o caso sozinho.

Para o profissional de compliance, o desafio real não é decorar o prazo, e sim calibrar a suspeita — reduzir o falso positivo sem deixar passar o atípico. É nesse ponto que a leitura do fluxo on-chain se soma ao dever legal. Para advogados e áreas de compliance que precisam de suporte técnico em um caso concreto, a assistência técnica em forense blockchain pode ajudar a fundamentar a análise que sustenta — ou afasta — a comunicação.

Perguntas frequentes

Quando a exchange deve comunicar uma operação suspeita ao COAF?

Sempre que a operação com criptoativos apresentar indícios de lavagem de dinheiro ou financiamento do terrorismo — incompatibilidade com o perfil do cliente, fracionamento, ausência de fundamento econômico ou vínculo com fraude. O gatilho é a suspeita, não um valor fixo, e a comunicação deve ser feita em até 24 horas (art. 11 da Lei nº 9.613/1998).

Existe um valor mínimo para comunicar uma operação ao COAF?

Não para a comunicação de operação suspeita. Ela é disparada por indícios, sem piso em reais. O que existe por valor é a comunicação automática (objetiva), típica de operações em espécie acima de limite legal — situação rara em criptoativos, onde o canal usual é a comunicação por suspeita.

Comunicar ao COAF é o mesmo que denunciar ou bloquear os valores?

Não. A comunicação é um ato de inteligência financeira: alimenta o COAF, que pode produzir um Relatório de Inteligência Financeira às autoridades. Ela não bloqueia criptoativos, não instaura processo sozinha e não substitui o boletim de ocorrência da vítima. O bloqueio depende de decisão judicial.

A VASP pode avisar o cliente de que fez a comunicação ao COAF?

Não. O art. 11 da Lei nº 9.613/1998 impõe o dever de sigilo — a pessoa obrigada deve abster-se de dar ciência da comunicação a qualquer pessoa, inclusive ao próprio cliente. Esse dever, conhecido como no tipping off, existe para não frustrar eventual investigação.