À zero hora desta segunda-feira, 4 de maio de 2026, entrou em vigor a parte mais polêmica do novo marco regulatório do Banco Central sobre cripto: o reporte obrigatório mensal de toda operação cambial com ativos virtuais — incluindo aquelas envolvendo carteiras autocustodiadas. A regra está no Anexo II-A da Resolução BCB nº 521/2025, integrado à Resolução BCB nº 277. E ela já está sendo questionada juridicamente como o ato normativo que mais avança sobre privacidade patrimonial individual desde a Lei do Sigilo Bancário.
Em termos práticos, qualquer brasileiro que entrar numa exchange brasileira nas próximas semanas pra comprar, vender ou transferir cripto vinculada a operação internacional vai começar a notar algumas coisas: mais campos de formulário, lentidão em saques e depósitos, exigência de declaração de finalidade da operação, e um pedido novo — informar o titular real da carteira self-custodial que está na ponta. Não é sugestão. É obrigação da prestadora de serviços (PSAV), que repassa pra cima da PSAV o ônus de conseguir essa informação do cliente.
O ângulo que ninguém disse alto: a obrigação técnica é da exchange. A obrigação prática é sua. Se você quer continuar operando, precisa colaborar com a exposição. Se não quer expor, fica sem rail.
O que muda na prática a partir de hoje
O bloco de mudanças que entra em vigor hoje cobre quatro categorias de operações que agora são tratadas como câmbio, sob a Lei 14.286/2021 (Novo Marco Cambial):
- Pagamentos ou transferências internacionais com criptoativos (de cliente brasileiro pra contraparte no exterior, ou inverso).
- Transferências de ativos virtuais usadas pra liquidar obrigações de cartões ou outros meios de pagamento internacionais.
- Movimentações de ou para carteiras autocustodiadas (Ledger, MetaMask, Phantom, Trust Wallet, Trezor, qualquer wallet onde o usuário detém a chave privada).
- Compra, venda ou troca de ativos virtuais referenciados em moeda fiduciária — caso típico das stablecoins (USDT, USDC, EURC, etc.).
Pra cada uma dessas operações, a PSAV precisa coletar do cliente, no momento da transação, o seguinte conjunto mínimo de informações:
- Finalidade da operação, classificada por código padronizado (a tabela de finalidades é a mesma usada pra câmbio tradicional na Resolução BCB 277, agora estendida pra cripto via Anexo II-A).
- Identificação completa do pagador ou recebedor no exterior: nome, documento, país de residência fiscal, vínculo com o cliente.
- País de origem ou destino dos recursos.
- Quando aplicável, identificação do dono da carteira self-custodial envolvida na operação — ainda que essa carteira seja a própria do cliente.
- Valor em moeda nacional e em moeda estrangeira de referência.
O reporte é mensal, com prazo até o dia 5 do mês subsequente. Empresas autorizadas a operar no mercado de câmbio já têm que enviar essas informações por meio do Anexo II-A da Resolução 277, agora com escopo ampliado pra incluir todo o ecossistema de ativos virtuais. A análise prospectiva que publicamos há 10 dias já antecipava essa estrutura. Mas ela só vira realidade agora.
O efeito imediato no balcão: mais campos no checkout das exchanges, mais documentos exigidos em saques, mais delay entre o pedido e a liberação. Empresas como Mercado Bitcoin, Binance, Foxbit e Coinbase Brasil estão em processo de adequação. A Foxbit já confirmou que está em fase de autorização como PSAV junto ao BCB. As demais correm o mesmo caminho — todas tem prazo de 270 dias contados desde 2 de fevereiro pra protocolar pedido de autorização. Esse prazo vence em 31 de outubro de 2026.
Anexo II-A: o detalhe técnico que virou bomba constitucional
O ponto mais delicado do novo regime não está na obrigação de reportar a operação em si — câmbio sempre foi reportado. Está em quem precisa ter o nome reportado. O Anexo II-A exige que a PSAV informe ao Banco Central, em cada operação envolvendo carteira autocustodiada, a identidade do titular dessa carteira. Quando a carteira é do próprio cliente, fácil — o cliente já está identificado pelo KYC da PSAV. Quando a carteira é de um terceiro — um amigo, sócio, fornecedor, parceiro de OTC — a exchange tem que conseguir essa informação do cliente antes de processar a ordem.
É aí que mora o problema constitucional. A obrigação regulatória cai sobre a PSAV. Mas a obrigação prática de revelar o titular cai sobre o usuário, que precisa entregar dados pessoais e patrimoniais de terceiro como condição pra realizar uma operação lícita com seu próprio dinheiro. Em janeiro de 2026, juristas começaram a apontar publicamente que esse mecanismo configura uma devassa patrimonial por via indireta — o Estado consegue, via regulação infralegal, dado que ele não poderia exigir diretamente sem lei formal.
Os argumentos jurídicos que já estão em circulação, organizados:
- Inconstitucionalidade material: violação dos direitos fundamentais à privacidade (art. 5º, X, CF), ao sigilo de dados (art. 5º, XII, CF) e à autonomia patrimonial dos detentores de ativos em autocustódia.
- Inconstitucionalidade formal: excesso de poder regulamentar — o Banco Central não tem competência legal pra impor obrigações dessa intensidade sem lei em sentido formal autorizando. A reserva legal qualificada exige norma do Congresso, não resolução administrativa.
- Centralização de dados sensíveis: o Banco Central passa a ter um banco de dados nominal vinculando indivíduos a carteiras self-custodiais, com risco concreto de compartilhamento via cooperação administrativa com Receita Federal, COAF e Polícia Federal.
- Possibilidade de ADI: pelo caráter geral e autônomo do ato, a Resolução 521 e seu Anexo II-A são, em tese, suscetíveis a controle concentrado de constitucionalidade no STF via Ação Direta de Inconstitucionalidade.
Na prática, o que provavelmente vai acontecer: associações do setor (ABCripto, ABCD, Frente Parlamentar) começarão a articular legitimados pra propor ADI nos próximos meses. Em paralelo, mandados de segurança individuais de pessoas físicas tentando se eximir da obrigação de revelar titular de wallet de terceiro vão começar a aparecer. O STF vai precisar definir, em algum momento, o limite entre regulação cambial (constitucionalmente robusta) e monitoramento patrimonial individual (sob reserva legal estrita).
Não é a primeira vez que o Brasil testa essa fronteira. A Lei Complementar 105/2001 — que disciplina sigilo bancário — passou por décadas de litígio até o STF concluir, em 2016, que o compartilhamento de dados bancários entre instituição financeira e Receita Federal sem autorização judicial era constitucional. O paralelo com cripto é direto, mas não idêntico: a Resolução 521 vai além, ao exigir que o detentor de wallet self-custodial entregue dados antes que qualquer operação de câmbio se materialize. É preventivo, não reativo. Esse caráter preventivo é o calcanhar do argumento de inconstitucionalidade.
Concentração de mercado: quem sobrevive até novembro
O segundo efeito previsível do novo regime é estrutural: concentração de mercado. A 521 e suas irmãs 519 e 520 elevam o nível de compliance pra patamar bancário tradicional — segregação patrimonial de cliente, certificação técnica, governança de risco, capital mínimo, auditoria, reporting mensal padronizado. As big players brasileiras e internacionais com recursos pra contratar compliance de ponta vão atravessar o portão. As pequenas e médias, não.
O cronograma é apertado. Quem opera no Brasil hoje — Binance, Mercado Bitcoin, Foxbit, Bybit, BingX, MEXC, Coinbase Brasil, Bitso, NovaDAX, Ripio, e dezenas de exchanges menores — tem até 31 de outubro de 2026 pra protocolar pedido formal de autorização como PSAV. Quem não tiver protocolado nessa data vira operação irregular e fica sujeita a sanções administrativas, multas e fechamento.
O custo estimado de adequação pra uma exchange de porte médio gira entre R$ 5 milhões e R$ 20 milhões em sistemas, equipe de compliance e auditoria — antes de virar PSAV autorizada. Pra exchanges com menos de R$ 100 milhões em volume mensal, esse custo é proibitivo. O resultado provável até final de 2026:
- 3 a 5 grandes exchanges autorizadas como PSAV, dominando o varejo (Mercado Bitcoin, Binance Brasil, Foxbit, possivelmente Bitso e NovaDAX).
- Saída do mercado brasileiro de exchanges internacionais menores que não veem ROI em criar entidade local autorizada (BingX, MEXC e várias outras tendem a transferir clientes pra estrutura offshore).
- Migração de OTC e P2P pra fora do perímetro regulado — provavelmente pra contas USDT em exchanges offshore, Lightning Bitcoin, e protocolos descentralizados puros.
É a mesma trajetória que aconteceu na Europa após o MiCA: a licença CASP virou obrigatória e o resultado foi concentração nos players com balanço pra arcar com o compliance. Brasil em 2026 está repetindo o roteiro UE de 2025, com 6 a 12 meses de defasagem.
O que muda pro investidor brasileiro retail
Pra quem só compra cripto pela exchange, paga em real, deixa lá guardado e às vezes vende — quase nada muda no curtíssimo prazo, exceto leve atrito a mais nos saques.
Pra quem usa cripto como rail de pagamento internacional — freelancer recebendo de fora, importador pagando fornecedor em USDT, brasileiro que mora em wallet self-custodial e movimenta entre exchanges nacionais e internacionais — tudo muda:
- Compra de USDT pra enviar pro exterior (caso típico de freelancer-reverso): a exchange agora pede finalidade ("pagamento de fornecedor estrangeiro", "transferência pessoal", "investimento", etc.), CPF/CNPJ da contraparte se identificável, e país de destino. Operação fica sob cód. de finalidade cambial.
- Recebimento de USDT em wallet própria oriundo de cliente estrangeiro: ao tentar converter pra real numa exchange brasileira, a exchange perguntará origem, finalidade, identificação do remetente. Se você não conseguir comprovar, a operação pode ser bloqueada ou reportada como "operação suspeita".
- Transferência entre Ledger pessoal e exchange brasileira: reportável, com identificação do dono da Ledger (você mesmo, então fácil — desde que seja a sua wallet em seu CPF).
- Transferência pra wallet de terceiro (pagamento, doação, investimento): exchange exigirá identificação do recebedor. Se for um sócio sem cadastro na exchange, você precisa convencer ele a fornecer CPF/passaporte pra prosseguir, ou a operação não passa.
O tipo de operação que mais sente o impacto é o OTC P2P — quem compra USDT em conta de terceiro pra escapar da exchange. Esse mercado já era cinza; agora vira mais cinza, porque a contraparte regulada (a exchange brasileira no ponto de saída/entrada do real) vai exigir tudo. E o histórico recente de vazamento de dados pessoais no Brasil faz o usuário ter motivo legítimo de preocupação com a centralização desses cadastros.
A boa notícia, pro retail puro: o lado interno do regime regulatório brasileiro é, ironicamente, dos mais avançados do mundo. A integração do USDC ao PIX já permite conversão BRL/dólar em tempo real dentro do sistema bancário regulado. A B3 lançou stablecoin de real tokenizado privado. O PL 4.308 prepara o terreno legal pro real tokenizado privado coexistir com a Selic e competir contra USDT em remuneração. O brasileiro que aceita operar dentro do perímetro autorizado tem rails competitivos. Quem quer ficar fora paga o preço da incerteza jurídica.
Comparação internacional: Brasil acelera mais que UE e EUA
Pra contextualizar a velocidade brasileira, vale comparar com os dois grandes regimes regulatórios em maturação:
- UE (MiCA): reporting de operações de stablecoin para autoridade competente do país-membro, com requisitos parecidos de KYC e finalidade. Mas não exige identificação de titular de wallet self-custodial da contraparte — tema explicitamente excluído no debate parlamentar de 2024.
- EUA (GENIUS Act + FinCEN/OFAC): a regra conjunta FinCEN-OFAC publicada em abril cria supervisão federal sobre emissores de stablecoins, mas mira o emissor, não o detentor. Self-custody continua, em teoria, fora do alcance reportável (na prática, há mecanismo via Travel Rule e BSA, mas com mais salvaguardas processuais).
- Brasil (Resoluções 519/520/521 + 561): cobre o emissor (PSAV), cobre o detentor da wallet self-custodial via PSAV, cobre stablecoin em câmbio (e proíbe stablecoin em eFX a partir de outubro). É o regime mais granular dos três.
O Brasil, em outras palavras, escolheu uma abordagem de fiscalização mais profunda que os principais regimes globais. Isso pode ser virtude (proteção contra evasão fiscal e lavagem) ou vício (custo regulatório que sufoca inovação) — depende do desfecho dos questionamentos constitucionais que vão começar a aparecer no STF.
A perspectiva ON3X
Três leituras pra tirar do dia em que a fiscalização cripto cambial brasileira sai do papel:
- O Anexo II-A é uma aposta jurídica do Banco Central. A reserva legal qualificada para restrições de direitos fundamentais é matéria sólida na jurisprudência do STF. O BCB sabe disso. Está apostando que: (a) ninguém vai propor ADI logo, (b) se propuser, o STF demora, (c) no meio tempo, a infraestrutura de coleta de dados se consolida, e (d) quando vier o julgamento, dificilmente o STF vai exigir devolução do que já foi reportado. É um cálculo razoável de probabilidade. Mas, do ponto de vista do detentor de wallet self-custodial, é prudente seguir reportando — ou seguir fora do perímetro regulado, se essa é a sua opção patrimonial. Não há terceira via no curto prazo.
- Concentração não é falha de implementação. É feature. O regime regulatório que entra em vigor hoje pressupõe — e induz — concentração de mercado em meia dúzia de PSAVs autorizadas. Isso não é por acidente. Bancos centrais preferem fiscalizar dez instituições autorizadas que mil intermediários informais. A B3 lançar stablecoin própria, o PIX integrar USDC, e o BCB ditar quem pode fazer câmbio cripto fazem parte do mesmo desenho institucional: recentralização da infraestrutura financeira sob supervisão direta. Quem entende essa lógica deixa de tratar a regulação como custo evitável e começa a tratar como ambiente competitivo no qual incumbentes ganham.
- O OTC e P2P brasileiros vão sobreviver, mas vão migrar. Mercado de balcão e P2P em USDT continuam existindo nos lugares onde a regulação não pega — wallets offshore, exchanges sem entidade brasileira, comunidades fechadas de Telegram. Vai haver erosão de tax compliance e crescimento de mercado paralelo, exatamente como a tentativa contra remessa cambial via dólar-cabo ensinou nas décadas passadas. A diferença é que agora o BCB tem uma ferramenta nova: a possibilidade de coordenação com Tether/Circle pra freeze de wallets apontadas como suspeitas. Se o BCB começar a usar essa via — e não há razão pra acreditar que não vai — o mercado paralelo brasileiro vira muito mais arriscado pro participante. A "anonimidade" do USDT é zero quando o emissor coopera com Estados.
O Brasil, em 4 de maio de 2026, virou um dos quatro países do mundo com fiscalização granular sobre cripto cambial em escala nacional. Não é mais uma promessa regulatória — é regime ativo. Quem opera precisa entender o desenho. Quem não entende vai descobrir, em algum momento dos próximos 18 meses, que descumprir ficou caro.
Perguntas frequentes sobre o Dia D da Resolução 521
O que muda exatamente em 4 de maio de 2026?
Entra em vigor a obrigação mensal das prestadoras de serviços de ativos virtuais (PSAVs) de reportar ao Banco Central, via Anexo II-A da Resolução 277, todas as operações cambiais com cripto: pagamentos internacionais, liquidação de cartões, movimentos para/de carteiras self-custodiais e negociação de stablecoins fiat-referenciadas. O reporte mensal é entregue até o dia 5 do mês seguinte.
Saques e depósitos em cripto vão atrasar?
Provavelmente sim, especialmente em operações que envolvam contraparte no exterior ou movimentação para wallets self-custodiais de terceiros. As exchanges agora precisam coletar finalidade da operação, identificação completa da contraparte e país de origem/destino antes de processar. O atraso depende da complexidade da operação e da maturidade da exchange — players grandes (Mercado Bitcoin, Binance, Foxbit) têm equipe pra isso; as menores podem demorar mais.
Vou ser obrigado a revelar quem é dono de wallet de terceiro pra fazer transferência?
Sim, se a operação caracterizar câmbio (envolvimento internacional, cartão, stablecoin fiat-referenciada). A exchange pedirá CPF/CNPJ ou passaporte da contraparte como condição para processar. Esse ponto específico é o que motiva os argumentos de inconstitucionalidade do Anexo II-A — é onde a obrigação técnica da PSAV vira obrigação prática do usuário, sem lei formal autorizando.
Carteiras como Ledger e MetaMask agora estão "sob fiscalização"?
Não diretamente. A Ledger ou MetaMask em si não tem obrigação. Mas qualquer interação dessas carteiras com PSAV brasileira (ao depositar, sacar, ou converter) gera obrigação de reporte da PSAV ao BCB, com identificação do dono da wallet. Wallets que nunca tocam exchange brasileira regulada continuam fora do perímetro de reporte direto — mas estão sujeitas a outras regras (Receita Federal, COAF) em casos de uso transacional.
O Anexo II-A pode ser derrubado pelo STF?
Há fundamentos jurídicos relevantes para questionamento, especialmente quanto à reserva legal qualificada. Mas o caminho processual via Ação Direta de Inconstitucionalidade leva, em média, 3 a 5 anos no STF, e não suspende automaticamente a vigência da norma. Mandados de segurança individuais podem trazer decisões mais rápidas em casos específicos. O cenário base é: regime continua em vigor enquanto o tema é debatido judicialmente.
Pra quem só usa exchange brasileira pra comprar e vender cripto, muda muito?
Pouco no curtíssimo prazo, exceto leve atrito a mais em saques e mais campos de declaração. O impacto é maior pra quem usa cripto como rail de pagamento internacional, recebe de fora, paga fornecedor lá, ou movimenta entre exchange brasileira e wallet self-custodial pra terceiros.
Exchanges internacionais como BingX, MEXC, Bybit vão sair do Brasil?
As que não criarem entidade local autorizada como PSAV até 31 de outubro de 2026 não poderão mais oferecer serviços a clientes brasileiros legalmente. Algumas vão protocolar autorização (Binance e Bybit já sinalizaram); outras vão preferir migrar clientes para estrutura offshore e perder o mercado regulado brasileiro. A consolidação esperada deixa 3 a 5 grandes players autorizados.