Em julho de 2026, o GAFI - Grupo de Ação Financeira Internacional publicou dois relatórios que merecem atenção de quem atua com prevenção à lavagem de dinheiro no mercado de ativos virtuais: o 7º Targeted Update on Implementation of the FATF Standards on Virtual Assets and VASPs - Virtual Asset Service Providers1, dedicado à implementação da Recomendação 152, e o Targeted Report on Regulatory Challenges from DeFi - Decentralised Finance3, voltado aos desafios regulatórios das finanças descentralizadas.
Embora as recomendações do GAFI não sejam formalmente vinculantes, delas derivam, na prática, as políticas nacionais de prevenção à lavagem de dinheiro: os países são periodicamente avaliados quanto à sua implementação, e uma avaliação negativa carrega consequências reputacionais e econômicas concretas.
Compreender os diagnósticos apresentados pelo GAFI permite, assim, identificar os principais desafios atualmente enfrentados pelo setor e antecipar os pontos que tendem a concentrar a atenção dos órgãos regulatórios e de persecução penal nos próximos anos.
O que dizem os relatórios
Os dados recentes divulgados pelo GAFI revelam avanço na implementação da recomendação 15.
Entre as 149 jurisdições avaliadas pelo GAFI até abril de 2026, a proporção classificada como amplamente conforme com a recomendação 15 passou de 29% para 34%. No plano legislativo, o relatório aponta que 86% dos países pesquisados avaliaram seus riscos, 89% definiram sua abordagem regulatória e 83% incorporaram a chamada Travel Rule, a regra que obriga as prestadoras a coletar e transmitir os dados de quem envia e de quem recebe em cada transferência de ativos virtuais, à semelhança do que já ocorre nas transferências bancárias.
Apesar desse avanço, o relatório deixa evidente a distância ainda existente entre a adoção formal das regras e sua implementação.
A primeira dificuldade está na passagem da avaliação de risco para sua utilização efetiva na supervisão. Em 2026, 86% das jurisdições pesquisadas afirmaram ter realizado avaliação dos riscos relacionados a ativos virtuais e VASPs. Entre as 149 jurisdições submetidas à avaliação do GAFI, contudo, apenas 48 cumpriram ou cumpriram em grande parte o requisito relativo à avaliação de risco e à adoção de uma abordagem baseada em risco.
Outro obstáculo mapeado consiste na dificuldade de identificar pessoas físicas e jurídicas que, na prática, desempenham atividades sujeitas à regulação, especialmente diante da possibilidade de atuação transfronteiriça de VASPs ilegais.
O cumprimento da Travel Rule também foi alvo de atenção por parte do GAFI. O relatório aponta que, entre as 91 jurisdições que já possuíam legislação, 60% ainda não haviam realizado nenhuma ação de supervisão ou enforcement especificamente relacionada ao cumprimento da regra.
Em síntese, o mundo está avançando na adoção formal da recomendação 15, mas ainda não conseguiu transformar esse progresso em supervisão efetiva na mesma velocidade.
Os principais riscos atuais de lavagem de dinheiro identificados pelo GAFI
Paralelamente ao avanço da regulamentação do setor de ativos virtuais nas jurisdições avaliadas pelo GAFI, o relatório registra a expansão das fraudes digitais e da utilização de ativos virtuais para movimentação e lavagem dos recursos delas provenientes.
Diante dessa preocupação, o documento dedica atenção especial a recentes casos de fraudes praticadas por organizações criminosas transnacionais. Cita emblemáticos casos de pig butchering, fraude a partir da qual as vítimas são submetidas a processos prolongados de engenharia social e induzidas a transferir recursos para falsas plataformas de investimento. Segundo o GAFI, essas operações fraudulentas passaram a gerar receitas ilícitas de bilhões de dólares por ano, posteriormente fragmentadas e movimentadas a partir de stablecoins, operações peer-to-peer, protocolos descentralizados e VASPs de diferentes jurisdições.
Os levantamentos divulgados pelo GAFI também permitem identificar algumas das estruturas que, pela forma como funcionam, ampliam os riscos de lavagem de dinheiro no setor.
O primeiro deles é a utilização crescente de inteligência artificial. Segundo o GAFI, ferramentas de IA vêm sendo empregadas na criação de perfis falsos e deepfakes, em golpes de engenharia social e também na identificação de vulnerabilidades de contratos inteligentes (smart contracts). A tecnologia passa a ser utilizada em diferentes etapas da cadeia criminosa, desde a abordagem das vítimas até a exploração de vulnerabilidades técnicas.
O segundo são as transações peer-to-peer, realizadas diretamente entre usuários, sem a participação de um intermediário necessariamente sujeito às obrigações de PLD/FT. A ausência de uma VASP ou de outra instituição obrigada no fluxo reduz os pontos de controle disponíveis para identificação dos envolvidos, monitoramento das operações e comunicação de operações suspeitas.
As VASPs offshore também recebem atenção especial no relatório. O GAFI aponta a existência de diversas prestadoras que captam clientes em jurisdições onde não estão autorizadas ou que reduzem procedimentos de KYC para oferecer preços mais competitivos.
As stablecoins aparecem igualmente entre os riscos examinados pelo GAFI. O relatório destaca a necessidade de que os arranjos de emissão estejam submetidos a medidas robustas de PLD/FT e tenham capacidade técnica para cumprir ordens legais de bloqueio, congelamento e apreensão.
As finanças descentralizadas também estão no radar do GAFI e foram objeto de relatório específico. Protocolos DeFi permitem a execução de operações financeiras por meio de contratos inteligentes, sem a necessidade de um intermediário tradicional. Essa estrutura reduz pontos de contato com instituições sujeitas às obrigações de PLD/FT, dificultando a identificação das pessoas que controlam ou influenciam o funcionamento do protocolo4.
O que os relatórios indicam para o Brasil: próximo estágio de prevenção à lavagem de dinheiro no mercado de ativos virtuais
O Brasil chega a esse cenário com boa parte da infraestrutura normativa já estabelecida.
Desde a lei 14.478/225, as prestadoras de serviços de ativos virtuais passaram a integrar o regime da lei 9.613/19986 e estão sujeitas às obrigações de prevenção à lavagem de dinheiro. No âmbito regulatório, o Banco Central editou as resoluções BCB 5197, 5208 e 5219, estabelecendo o regime de autorização e funcionamento das prestadoras de serviços de ativos virtuais.
O quadro divulgado pelo próprio GAFI registra que o Brasil já realizou avaliação de riscos envolvendo ativos virtuais e VASPs, estabeleceu regras para licenciamento e exige observância das regras de Travel Rule. O mesmo quadro, contudo, indica que o país ainda não reportou ações de enforcement ou medidas de supervisão contra VASPs.
O dado merece atenção porque o Brasil se encontra justamente no momento de transição entre a construção do marco normativo e sua aplicação prática. Com a entrada em vigor do regime de autorização e o encerramento do período de transição previsto para as prestadoras que já atuavam no mercado (30 de outubro de 2026)10, será possível observar de que maneira as novas regras serão utilizadas pelo regulador e quais serão os primeiros parâmetros de supervisão do setor.
Para as empresas, a mudança significa incorporar às rotinas de PLD/FT os riscos concretos apontados pelo GAFI: operações com carteiras não hospedadas, relações com VASPs sediadas no exterior, utilização de stablecoins, operações transfronteiriças e exposição a protocolos descentralizados. A efetividade dos controles dependerá não apenas da existência de políticas internas, mas da capacidade de identificar esses riscos, tratá-los de acordo com sua complexidade e manter registros que permitam demonstrar a adequação das medidas adotadas.
Nesse contexto, é benéfico que os próximos passos da regulação brasileira sigam voltados a especificar como as regras de PLD se aplicam aos ativos virtuais, reduzindo a margem de discricionariedade na supervisão e conferindo maior segurança jurídica ao desenvolvimento da atividade. Um exemplo recente desse movimento é a resolução BCB 584/2611, que cria regra de retenção de 24 horas para transferências de ativos virtuais - incluindo stablecoins - destinadas a carteiras autocustodiadas ou a entidades no exterior, sempre que a operação superar US$ 10 mil ou os critérios de risco da PSAV indicarem a necessidade de análise adicional, permitida a antecipação do encerramento mediante decisão fundamentada.
A Resolução merece análise própria12, mas já permite verificar mais um passo rumo à conversão de avaliação de risco em resposta concreta, exatamente o que o GAFI cobra das jurisdições avaliadas. É esse tipo de movimento, repetido e amadurecido ao longo dos próximos ciclos de supervisão, que deve permitir ao Brasil avançar do estágio de construção normativa para o de aplicação efetiva, fortalecendo o mercado de ativos virtuais como vetor de desenvolvimento econômico lícito e distanciando, na prática, os agentes que atuam com legitimidade daqueles que buscam se aproveitar das fragilidades regulatórias do setor para práticas ilícitas.
_______
1 GAFI, Seventh Targeted Update on Implementation of the FATF Standards on Virtual Assets/VASPs, publicado em 16 de julho de 2026. Disponível aqui. Acessado em 11 de agosto de 2026.
2 A Recomendação 15 (R15) estende às VAs (ativos virtuais: categoria que abrange criptomoedas, stablecoins e tokens em geral) e às VASPs (Virtual Asset Service Providers: exchanges, custodiantes e demais intermediárias) as mesmas obrigações de PLD/FT (Prevenção à Lavagem de Dinheiro e ao Financiamento do Terrorismo) aplicáveis ao sistema financeiro tradicional
3 GAFI, Targeted Report on Regulatory Challenges from Decentralised Finance, publicado em 21 de julho de 2026. Disponível aqui. Acessado em 11 de agosto de 2026.
4 O relatório do GAFI distingue os arranjos DeFi a partir da existência de “control or sufficient influence”. Para essa análise, considera, entre outros fatores, a possibilidade de determinada pessoa ou grupo alterar ou interromper o protocolo, exercer privilégios administrativos, controlar atualizações, concentrar direitos de voto, participar de sua infraestrutura ou receber benefícios econômicos relevantes. A existência de tais elementos pode indicar que, apesar da utilização de tecnologia descentralizada, há uma pessoa ou grupo exercendo funções que justificam a aplicação da Recomendação 15. O GAFI também reconhece a existência de arranjos genuinamente descentralizados, nos quais não há pessoa com controle ou influência suficiente e, portanto, não há VASP diretamente alcançado pela Recomendação 15. Nesses casos, o relatório aponta para medidas de mitigação nos pontos de contato regulados com o protocolo.
5 BRASIL. Lei nº 14.478, de 21 de dezembro de 2022. Dispõe sobre diretrizes a serem observadas na prestação de serviços de ativos virtuais e na regulamentação das prestadoras de serviços de ativos virtuais; altera o Decreto-Lei nº 2.848, de 7 de dezembro de 1940 (Código Penal), para prever o crime de fraude com a utilização de ativos virtuais, valores mobiliários ou ativos financeiros; e altera a Lei nº 7.492, de 16 de junho de 1986, e a Lei nº 9.613, de 3 de março de 1998. Diário Oficial da União, Brasília, DF, 22 dez. 2022.
6 BRASIL. Lei nº 9.613, de 3 de março de 1998. Dispõe sobre os crimes de “lavagem” ou ocultação de bens, direitos e valores; a prevenção da utilização do sistema financeiro para os ilícitos previstos nesta Lei; cria o Conselho de Controle de Atividades Financeiras - COAF, e dá outras providências. Diário Oficial da União, Brasília, DF, 4 mar. 1998.
7 BANCO CENTRAL DO BRASIL. Resolução BCB nº 519, de 10 de novembro de 2025. Dispõe sobre o processo de autorização para funcionamento das prestadoras de serviços de ativos virtuais e sobre outras matérias relacionadas. Diário Oficial da União, Brasília, DF, 11 nov. 2025.
8 BANCO CENTRAL DO BRASIL. Resolução BCB nº 520, de 10 de novembro de 2025. Dispõe sobre a constituição e o funcionamento das prestadoras de serviços de ativos virtuais e estabelece regras prudenciais e de conduta aplicáveis ao setor. Diário Oficial da União, Brasília, DF, 11 nov. 2025.
9 BANCO CENTRAL DO BRASIL. Resolução BCB nº 521, de 10 de novembro de 2025. Altera e disciplina regras aplicáveis a operações com ativos virtuais no âmbito do mercado de câmbio e de capitais internacionais. Diário Oficial da União, Brasília, DF, 11 nov. 2025.
10 A IN BCB nº 704, de 29/1/2026, que regulamenta os procedimentos, documentos e prazos para os pedidos de autorização, estabelece em seu art. 9º, que, para as VASPs que já estavam em atividade quando entraram em vigor as Resoluções 519 e 520, o pedido de autorização deve ser instruído, na Fase 1, até 30 de outubro de 2026
11 BANCO CENTRAL DO BRASIL. Resolução BCB nº 584, de 7 de agosto de 2026. Altera a Resolução BCB nº 142, de 23 de setembro de 2021, para dispor sobre procedimentos e controles destinados à prevenção de fraudes na prestação de serviços de ativos virtuais. Diário Oficial da União, Brasília, DF, 10 ago. 2026.
12 Como impressão inicial, a Resolução ainda deixa questões em aberto. como a ausência de diferenciação entre pessoas físicas e jurídicas, entre operações de varejo e B2B, e a falta de metodologia de imputação (FIFO, LIFO ou pro rata) para identificar os recursos sujeitos à retenção diante de saldo antigo, novos aportes e conversões sucessivas entre reais e cripto, que podem ser equacionadas pelo mercado até a entrada em vigor da norma, em 1º de janeiro de 2027