VASP no Brasil: o que a Lei 14.478/22 exige

No Brasil, uma prestadora de serviços de ativos virtuais — a VASP, na sigla em inglês — só pode operar com autorização prévia do Banco Central. A exigência vem da Lei nº 14.478/2022, o Marco Legal dos Criptoativos. A partir da autorização, a prestadora assume quatro famílias de deveres: autorização e adequação; prevenção à lavagem de dinheiro; governança e segurança da informação; e transparência ao cliente.

Essas obrigações deixaram de ser boa prática e viraram regra operacional em fevereiro de 2026, quando entraram em vigor as resoluções do Banco Central que disciplinam o setor. Elas vão dos requisitos de entrada — inclusive exigências de capital mínimo, que partem de R$ 10,8 milhões e chegam a R$ 37,2 milhões conforme as atividades exercidas — às regras de compliance, segurança e transparência. As empresas já em atividade não foram proibidas: há um regime de transição, com prazo até 30 de outubro de 2026 para pedir autorização e comprovar adequação [3]. Este artigo trata apenas das obrigações regulatórias da VASP — não da responsabilização por eventuais falhas, que segue lógica distinta e é tema à parte.

O que é uma VASP — e quem não é

Antes de listar deveres, é preciso saber a quem eles se aplicam. A Lei nº 14.478/2022 define ativo virtual como "a representação digital de valor que pode ser negociada ou transferida por meios eletrônicos e utilizada para realização de pagamentos ou com propósito de investimento" (art. 3º). E define a prestadora — a VASP — como a pessoa jurídica que executa, em nome de terceiros, ao menos um destes serviços: troca entre ativo virtual e moeda; troca entre ativos virtuais; transferência de ativos virtuais; custódia ou administração; ou participação em serviços financeiros ligados à oferta desses ativos (art. 5º) [1].

A expressão "em nome de terceiros" é o divisor de águas. Quem apenas compra, vende ou guarda os próprios criptoativos — a autocustódia individual — não é VASP e não assume essas obrigações. A lei mira quem presta o serviço a outras pessoas. Há ainda uma fronteira relevante: quando o ativo negociado é um valor mobiliário, entram também as competências da Comissão de Valores Mobiliários (CVM), e não apenas as do Banco Central. Ou seja, nem toda empresa que "trabalha com cripto" tem exatamente as mesmas obrigações — o enquadramento depende do que ela faz e com qual ativo.

A obrigação-mãe: autorização prévia do Banco Central

O primeiro dever, do qual todos os outros dependem, é a autorização para funcionar. O art. 2º da Lei nº 14.478/2022 é direto: as prestadoras "somente poderão funcionar no País mediante prévia autorização de órgão ou entidade da Administração Pública federal". O Decreto nº 11.563/2023 definiu quem é esse órgão: o Banco Central do Brasil, encarregado de regular, autorizar e supervisionar as VASPs. À CVM coube a competência sobre os tokens que sejam valores mobiliários [2].

Foi essa moldura que as resoluções do Banco Central, em vigor desde fevereiro de 2026, transformaram em processo concreto: constituição da empresa, pedido de autorização, requisitos de capital e de idoneidade dos administradores. Para entender onde essa peça se encaixa no desenho maior da regulação brasileira — lei, decreto e resoluções —, vale a leitura do panorama de como o Brasil regula os criptoativos hoje.

Prevenção à lavagem de dinheiro: KYC e comunicação ao COAF

A segunda família de obrigações é a que tem consequência mais imediata na operação. Ao alterar a Lei nº 9.613/1998, o Marco Legal incluiu as prestadoras de serviços de ativos virtuais no rol das pessoas obrigadas a prevenir a lavagem de dinheiro (art. 9º) [4]. Na prática, isso significa identificar e cadastrar os clientes (o chamado KYC, do inglês know your customer), manter registro das operações, adotar política de prevenção baseada em risco e comunicar operações suspeitas ao COAF (Conselho de Controle de Atividades Financeiras). Soma-se a isso a chamada Travel Rule — o dever de transmitir os dados de originador e beneficiário nas transferências, previsto no art. 44 da Resolução BCB nº 520/2025, com cumprimento pleno escalonado até 2 de fevereiro de 2028. A mesma lei aumentou a pena do crime de lavagem quando praticado com ativos virtuais.

Aqui a obrigação de compliance não é boa vontade: é exigência legal, com reflexo penal. O Marco Legal também equiparou a prestadora a instituição financeira para fins penais (Lei nº 7.492/1986), como analisei em artigo sobre o Marco Legal dos Criptoativos. A lógica de tratar a VASP como porta de entrada entre o dinheiro tradicional e a blockchain — e, portanto, como ponto de controle contra a lavagem — é o tema que desenvolvi em Bitcoin e Lavagem de Dinheiro [5].

Governança, segurança e transparência

A terceira e a quarta famílias vêm das diretrizes do art. 4º da Lei nº 14.478/2022, que as resoluções do Banco Central detalharam. Do lado da governança e da segurança, a prestadora deve manter controles internos, gestão de riscos e segurança da informação compatíveis com a atividade — proteção dos sistemas, dos dados e dos ativos custodiados. Do lado da transparência e da proteção do cliente, deve informar de forma clara os riscos, as tarifas e as políticas de segurança, além de avaliar o perfil de risco do usuário antes de operações mais complexas.

São deveres que aproximam a VASP do padrão já exigido das instituições autorizadas pelo Banco Central. Não por acaso: a lógica do regulador é estender ao mercado de ativos virtuais o mesmo arcabouço de solidez, transparência e proteção ao consumidor que rege o sistema financeiro. Entende-se que esse é o eixo das obrigações — menos uma lista fechada de itens e mais um padrão de conduta que a prestadora precisa demonstrar de forma contínua ao supervisor.

Um regime em transição — e o que "regular" não significa

Duas ressalvas evitam leituras equivocadas. A primeira: regular não é proibir. O modelo brasileiro é de autorização e supervisão, não de vedação — a empresa que cumpre os requisitos opera legalmente. A segunda: as empresas que já atuavam quando as resoluções entraram em vigor não precisaram fechar; ganharam prazo, até 30 de outubro de 2026, para formalizar o pedido de autorização e comprovar adequação a PLD/FT, segurança e capital. É um período de acomodação, não de anistia — ao fim dele, operar sem autorização deixa de ser tolerado.

Vale lembrar que a arquitetura do Marco Legal não se esgota nas obrigações administrativas. A mesma lei reforçou o front penal, do crime autônomo de fraude com ativos virtuais ao estelionato por fraude eletrônica que alcança os golpes de cripto — dimensões que caminham lado a lado com os deveres de compliance da prestadora.

Considerações finais

As obrigações de uma VASP no Brasil formam um conjunto coerente: sem autorização do Banco Central, não se opera; com autorização, assumem-se deveres permanentes de prevenção à lavagem, governança, segurança e transparência. O quadro que era principiológico em 2022 tornou-se operacional em 2026, com regras detalhadas e um regulador definido. Entende-se que se trata, ainda, de um regime em construção — o prazo de transição até 30 de outubro de 2026 é a prova de que o setor está se ajustando à norma, e não o contrário.

Uma pergunta fica em aberto e merece texto próprio: e se a prestadora falhar no cumprimento dessas obrigações? A responsabilização — inclusive a civil, perante a vítima do golpe que transitou pela plataforma — segue lógica distinta da regulatória e foi analisada na discussão sobre a responsabilidade das exchanges no STJ. Para o advogado que precisa demonstrar, num caso concreto, o fluxo dos valores até uma prestadora e o eventual descumprimento de deveres de identificação, a assistência técnica em forense blockchain instrui a prova de onde os ativos passaram e onde pararam.

Perguntas frequentes

O que é uma VASP segundo a Lei 14.478/2022?

VASP é a prestadora de serviços de ativos virtuais: a pessoa jurídica que executa, em nome de terceiros, ao menos um serviço com ativos virtuais — troca por moeda, troca entre ativos, transferência, custódia ou administração, ou participação em serviços financeiros ligados à oferta desses ativos (art. 5º). Quem faz autocustódia dos próprios criptoativos não é VASP.

Uma VASP precisa de autorização do Banco Central para operar no Brasil?

Sim. A Lei nº 14.478/2022 (art. 2º) exige autorização prévia, e o Decreto nº 11.563/2023 designou o Banco Central como o órgão que autoriza e supervisiona as VASPs. As resoluções do BC em vigor desde fevereiro de 2026 detalham o processo, com regime de transição até 30 de outubro de 2026 para as empresas já em operação.

Quais são as obrigações de prevenção à lavagem de dinheiro de uma VASP?

A VASP é pessoa obrigada da Lei nº 9.613/1998 (art. 9º), por força do Marco Legal. Deve identificar clientes (KYC), manter registro das operações, adotar política de prevenção baseada em risco e comunicar operações suspeitas ao COAF (Conselho de Controle de Atividades Financeiras) e observar a chamada Travel Rule — o dever de transmitir os dados de originador e beneficiário nas transferências, previsto no art. 44 da Resolução BCB nº 520/2025, com cumprimento pleno escalonado até 2 de fevereiro de 2028. A mesma lei aumentou a pena da lavagem praticada com ativos virtuais.

Toda empresa que lida com criptoativos é uma VASP?

Não. A lei mira quem presta serviço em nome de terceiros (art. 5º). Uso próprio e autocustódia individual não tornam alguém VASP. Além disso, quando o ativo é um valor mobiliário, entram também as competências da CVM, e não apenas as do Banco Central.

Qual o capital mínimo exigido de uma VASP no Brasil?

As resoluções do Banco Central em vigor desde fevereiro de 2026 fixaram exigências de capital mínimo, que partem de R$ 10,8 milhões e chegam a R$ 37,2 milhões conforme as atividades exercidas, além de requisitos de governança e segurança. As empresas já em atividade têm até 30 de outubro de 2026 para comprovar o cumprimento desses requisitos.