Regulação de criptoativos no Brasil: o quadro atual

O Brasil regula os criptoativos em três camadas. A Lei nº 14.478/2022, o Marco Legal dos Criptoativos, definiu o que é ativo virtual e prestadora de serviços de ativos virtuais (VASP) e exigiu autorização para operar. O Decreto nº 11.563/2023 designou o Banco Central como regulador. E as resoluções do Banco Central, em vigor desde fevereiro de 2026, detalharam as regras operacionais [1] [2] [3].

A escala do problema explica por que o tema saiu do nicho técnico e virou pauta regulatória. Segundo o FBI Internet Crime Complaint Center (IC3), as perdas com golpes envolvendo criptoativos reportadas nos Estados Unidos chegaram a US$ 9,3 bilhões em 2024 — alta de 66% sobre o ano anterior [8]. Não existe, no Brasil, uma estatística oficial equivalente que isole os golpes de cripto; o número americano serve de escala. Diante disso, convém desfazer dois enganos opostos. O primeiro é o de que “cripto não é regulada” no país — é. O segundo, mais recente, é o de que “agora está tudo resolvido”. Também não está: o Brasil tem marco legal e regulador desde 2022 e 2023, mas as regras operacionais do Banco Central só entraram em vigor em fevereiro de 2026, em regime de transição.

Este artigo organiza o quadro atual em camadas — a lei que dá a moldura, o órgão que regula, as regras operacionais e as frentes complementares (prevenção à lavagem, direito penal, tributação e o tratamento dado pelo Judiciário). Ao final, aponta o que o marco legal ainda não resolveu, porque um panorama honesto precisa reconhecer suas lacunas.

As três camadas da regulação de criptoativos no Brasil

A forma mais direta de responder “como o Brasil regula os criptoativos hoje” não é com um número, e sim com uma estrutura em três camadas. A primeira é a lei-moldura: a Lei nº 14.478/2022 estabeleceu os conceitos e o princípio da autorização prévia. A segunda é o regulador: o Decreto nº 11.563/2023 pôs o Banco Central para autorizar e fiscalizar as empresas do setor, com a Comissão de Valores Mobiliários (CVM) cuidando dos tokens que sejam valores mobiliários. A terceira é o conjunto de regras operacionais: as resoluções do Banco Central, em vigor desde fevereiro de 2026, que traduziram os princípios da lei em deveres concretos de autorização, prevenção à lavagem, governança e transparência.

Um esclarecimento antecede o resto. Regular não é proibir. O modelo brasileiro é de autorização e supervisão das empresas que prestam serviços a terceiros — não de vedação da atividade. Comprar, vender, manter e transferir criptoativos é lícito. O que a lei disciplina é quem presta serviço em nome de terceiros: as VASPs. Quem detém a própria cripto em autocustódia, para uso pessoal, não se torna uma prestadora de serviços nem herda as obrigações dela — cujo detalhamento é o objeto do artigo sobre as obrigações de uma VASP no Brasil.

A lei-moldura: o Marco Legal dos Criptoativos (Lei 14.478/2022)

A Lei nº 14.478/2022 é uma norma principiológica: fixa diretrizes e uma moldura, não um regulamento detalhado. Seu núcleo são três definições e um princípio. O art. 3º define ativo virtual como “a representação digital de valor que pode ser negociada ou transferida por meios eletrônicos e utilizada para realização de pagamentos ou com propósito de investimento”. E delimita pela exclusão: não são ativo virtual a moeda nacional e a estrangeira, a moeda eletrônica, os pontos e recompensas de programas de fidelidade e os valores mobiliários e ativos financeiros já regulados por outras leis [1]. Essa fronteira é importante porque decide qual regulador cuida do quê.

O art. 5º define a prestadora de serviços de ativos virtuais (VASP, ou PSAV) como a pessoa jurídica que executa, em nome de terceiros, ao menos um serviço: troca entre ativo virtual e moeda; troca entre ativos virtuais; transferência; custódia ou administração; ou participação em serviços financeiros relacionados à oferta de ativos virtuais. O art. 2º fixa o princípio-chave: essas empresas “somente poderão funcionar no País mediante prévia autorização” da Administração Pública federal. E o art. 4º fixa as diretrizes a observar, entre elas a livre iniciativa e a livre concorrência, boas práticas de governança e transparência, segurança da informação e proteção de dados, proteção e defesa de consumidores e usuários, proteção à poupança popular, solidez e eficiência das operações, e prevenção à lavagem de dinheiro e ao financiamento do terrorismo e da proliferação de armas de destruição em massa [1].

O mesmo diploma alterou outras leis, e é aqui que o marco legal ganha dentes. Seus arts. 10, 11 e 12 inseriram no Código Penal o crime autônomo de fraude com a utilização de ativos virtuais (art. 171-A), incluíram as prestadoras entre as instituições financeiras para fins penais e as inseriram no rol de pessoas obrigadas da Lei de Lavagem, além de agravar a pena da lavagem praticada com ativo virtual [1]. Analisei essas alterações penais em detalhe na avaliação sobre o Marco Legal dos Criptoativos e a proteção das vítimas de pirâmides, onde sustentei que a lei, apesar dos avanços, foi redigida de forma que ainda gera dúvidas práticas.

Quem regula: Banco Central e CVM (Decreto 11.563/2023)

A Lei nº 14.478/2022 exigiu autorização prévia, mas não disse qual órgão a concederia — deixou isso para regulamentação posterior. Foi o Decreto nº 11.563/2023, de 13 de junho de 2023, que designou o Banco Central do Brasil como o órgão competente para regular, autorizar e supervisionar as prestadoras de serviços de ativos virtuais [2]. A partir daí, quem quer operar uma corretora de cripto no Brasil pede autorização ao Banco Central e se submete à sua fiscalização, no mesmo espírito — ainda que com regime próprio — das demais instituições que ele já supervisiona.

A competência, porém, é dividida. O decreto ressalvou que a autorização do Banco Central não abrange as atividades com valores mobiliários representados digitalmente: os tokens que se enquadrem como valores mobiliários seguem a regulamentação da Comissão de Valores Mobiliários (CVM) [2]. Na prática, o Banco Central cuida do mercado de ativos virtuais em geral, e a CVM cuida da fatia que for valor mobiliário — digital ou não. Essa divisão importa para casos de captação pública de investimento, em que a natureza do ativo pode atrair um regulador, outro, ou ambos, tema que exploro na análise sobre o dilema penal das gestoras de criptoativos.

As regras operacionais: as resoluções do Banco Central (desde fevereiro de 2026)

Ter uma lei e um regulador não é o mesmo que ter regras operacionais. Entre 2023 e o início de 2026, o setor viveu justamente esse intervalo: o marco existia, mas o detalhamento estava por vir. Ele chegou com as resoluções do Banco Central sobre prestadoras de serviços de ativos virtuais, em vigor desde fevereiro de 2026 [3]. São essas normas que transformaram os princípios da Lei nº 14.478/2022 em deveres concretos — o “hoje” a que a pergunta sobre a regulação atual se refere.

O conjunto de regras trata de quatro famílias de obrigação. A primeira é a autorização e adequação — como a empresa se constitui e pede autorização para funcionar. A segunda é a prevenção à lavagem de dinheiro e ao financiamento do terrorismo — identificação de clientes, monitoramento e comunicação de operações suspeitas. A terceira é a governança, os controles internos e a segurança da informação. A quarta é a transparência e a proteção do cliente — informar riscos e tarifas com clareza, avaliar o perfil de risco e responder por falhas. O detalhamento de cada dever é o objeto do artigo sobre o que a Lei 14.478/22 exige de uma VASP.

Um ponto merece atenção porque é fonte frequente de confusão: o regime é de transição, não de proibição imediata. As empresas que já estavam em operação podem continuar operando, mas têm prazo para pedir autorização e comprovar adequação. Ou seja, a obrigação de se autorizar é exigível, mas escalonada no tempo. É por isso que afirmar categoricamente que “a partir de fevereiro de 2026 só operam empresas autorizadas” seria impreciso: o mais correto é dizer que, a partir daí, passou a correr o relógio da adequação.

As demais camadas do quadro regulatório

A regulação prudencial do Banco Central é a espinha do panorama, mas não o esgota. O tratamento jurídico dos criptoativos no Brasil se completa em outras frentes — a prevenção à lavagem, o direito penal, a tributação e o Judiciário —, que operam em paralelo e, muitas vezes, são as que aparecem primeiro para a vítima de um golpe ou para o advogado que a assiste.

Prevenção à lavagem de dinheiro: o Conselho de Controle de Atividades Financeiras (COAF) e a Lei 9.613/98

Ao incluir as prestadoras de serviços de ativos virtuais entre as pessoas obrigadas do art. 9º da Lei nº 9.613/1998, o Marco Legal transformou a conformidade em exigência legal, não em boa vontade [4]. Na prática, a VASP deve manter cadastro e identificação de clientes (o KYC), registrar operações, adotar políticas de prevenção e comunicar operações suspeitas ao COAF. A mesma lei agravou a pena do crime de lavagem quando praticado com ativo virtual. Vale um alerta técnico que costumo repetir: nem toda movimentação de cripto de origem ilícita configura lavagem — a distinção entre transações simples e complexas, que desenvolvi no livro Bitcoin e Lavagem de Dinheiro [9] e retomo no artigo sobre o que é e o que não é lavagem de dinheiro com bitcoins, é o que separa o ato típico do irrelevante.

A camada penal: fraude com ativos virtuais, estelionato e pirâmides

No plano penal, é preciso não confundir dois dispositivos parecidos. O art. 171-A do Código Penal, criado pela Lei nº 14.478/2022, é o crime autônomo de fraude com a utilização de ativos virtuais — tema do artigo já citado sobre o Marco Legal. Já o art. 171, §2º-A, do mesmo código, é o estelionato comum com pena majorada quando a fraude é cometida por meio eletrônico — a hipótese em que o golpista induz a própria vítima a transferir os ativos. É esse dispositivo, e não o 171-A, que costuma tipificar o golpe de cripto do dia a dia, como detalho no artigo sobre o estelionato por fraude eletrônica e cripto. Vale registrar que o Código Penal foi atualizado recentemente pela Lei nº 15.397, de 30 de abril de 2026, que majorou penas de crimes patrimoniais [5].

Tributação e Judiciário

Duas frentes fecham o quadro. Na tributação, a Receita Federal já trata cripto como bem de valor econômico e rastreável: a Instrução Normativa RFB nº 1.888/2019 — hoje substituída pela IN RFB nº 2.291/2025, a “DeCripto”, vigente desde 1º de julho de 2026 — obrigava a declarar operações com criptoativos acima de determinados limites [7]. No Judiciário, o Superior Tribunal de Justiça firmou o entendimento de que criptoativos integram o patrimônio do devedor. Em fevereiro de 2025, a Terceira Turma, sob relatoria do Ministro Humberto Martins, firmou que os ativos virtuais, embora não sejam moeda de curso legal, “têm valor econômico e são suscetíveis de restrição”, de modo que o juízo pode oficiar as corretoras para localizá-los e penhorá-los (REsp 2.127.038) [6]. É o reconhecimento judicial de que a cripto é patrimônio como qualquer outro.

O que o Marco Legal ainda não resolveu

Um panorama honesto precisa dizer onde o quadro ainda é incompleto. O principal ponto, que sustento desde a entrada em vigor da Lei nº 14.478/2022, é a indefinição de competência entre a Justiça Federal e a Estadual nos casos de pirâmide financeira com criptoativos. A lei criou um tipo penal de competência estadual que parece específico para essas fraudes, mas não afastou o conflito com os crimes contra o Sistema Financeiro Nacional, de competência federal. O efeito prático é grave: procedimentos que travam por meses enquanto se decide quem investiga, em prejuízo direto das vítimas — como argumento na análise sobre o marco legal e as pirâmides financeiras.

Há, ainda, um paradoxo de fundo que o marco legal não equacionou. Se uma empresa capta dinheiro do público prometendo investir em cripto e apenas se apropria dos valores, comete estelionato; se efetivamente investe, pode incorrer em crime contra o Sistema Financeiro Nacional, de pena mais alta. O STJ trata a conduta como formalmente típica, mas, no meu entendimento, o exame da tipicidade material merece reparos — tese que desenvolvo no artigo sobre o dilema penal das gestoras de criptoativos. São questões que a regulação prudencial do Banco Central, por sua natureza, não resolve: pertencem ao direito penal e ao processo, e seguem em aberto.

Considerações finais

A resposta a “como o Brasil regula os criptoativos hoje” é, portanto, um retrato em movimento. Há uma lei-moldura (a Lei nº 14.478/2022), um regulador definido (o Banco Central, com a CVM na fatia dos valores mobiliários) e regras operacionais em vigor desde fevereiro de 2026, ainda em regime de transição. Em torno desse eixo orbitam as camadas de prevenção à lavagem, de direito penal, de tributação e a jurisprudência que já trata cripto como patrimônio. Não é verdade que falte regulação; tampouco é verdade que esteja tudo resolvido. É um quadro consolidado no essencial e em construção nas bordas.

Para o advogado que assiste uma vítima ou uma empresa do setor, esse mapa tem uso prático: define a quem se dirigir — Banco Central, CVM, COAF, polícia, juízo — e com que fundamento. É nesse terreno que a evidência on-chain se encaixa, ligando o fato à norma. A Chainspect atua na etapa técnica, produzindo o parecer de rastreamento que documenta o caminho dos valores e instrui as medidas cabíveis; o escopo desse trabalho de assistência técnica para advogados é dar ao patrono a prova, sem prometer resultado, que cabe ao Judiciário. E, para quem opera no setor, o próximo passo natural é entender em detalhe as obrigações de uma VASP no Brasil.

Perguntas frequentes

Como o Brasil regula os criptoativos hoje?

Em três camadas. A Lei nº 14.478/2022 (Marco Legal dos Criptoativos) definiu o que é ativo virtual e prestadora de serviços de ativos virtuais (VASP) e exigiu autorização para operar. O Decreto nº 11.563/2023 designou o Banco Central como regulador, com a Comissão de Valores Mobiliários (CVM) cuidando dos tokens que sejam valores mobiliários. E as resoluções do Banco Central, em vigor desde fevereiro de 2026, detalharam as regras de autorização, prevenção à lavagem, governança e transparência.

Criptoativo é legal no Brasil?

Sim. Comprar, vender, manter e transferir criptoativos é lícito no Brasil. Regular não é proibir: o modelo adotado é de autorização e supervisão das empresas que prestam serviços a terceiros (as VASPs), não de vedação da atividade. Quem usa cripto para uso próprio, em autocustódia, não vira uma prestadora de serviços.

Quem regula os criptoativos no Brasil?

O Banco Central do Brasil é o órgão que autoriza e fiscaliza as prestadoras de serviços de ativos virtuais, por força do Decreto nº 11.563/2023. A CVM mantém competência sobre os tokens que se enquadrem como valores mobiliários. E o COAF recebe as comunicações de operações suspeitas, porque a VASP é pessoa obrigada da Lei de Lavagem.

O que é uma VASP?

VASP é a sigla para prestadora de serviços de ativos virtuais (em português, PSAV). Pela Lei nº 14.478/2022 (art. 5º), é a pessoa jurídica que executa, em nome de terceiros, ao menos um serviço com criptoativos: troca por moeda, troca entre ativos, transferência, custódia ou participação em serviços financeiros relacionados. Só pode operar com autorização prévia do Banco Central.

O Marco Legal dos Criptoativos resolveu tudo?

Não. A Lei nº 14.478/2022 trouxe a moldura e o regulador, mas as regras operacionais do Banco Central só entraram em vigor em fevereiro de 2026, em regime de transição. Persistem lacunas — entre elas, a indefinição de competência entre a Justiça Federal e a Estadual nos casos de pirâmide financeira com criptoativos. É um quadro em construção.