RESOLUÇÃO BCB Nº 520, DE 10 DE NOVEMBRO DE 2025 (parte 3 de 7)

I - o reinício e a recuperação das atividades em caso de interrupção dos
processos críticos de negócio da prestadora de serviços de ativos virtuais, de seus
fornecedores e demais contratados; e
II - a adoção de ações de comunicação internas e externas necessárias para
orientações sobre o restabelecimento de suas atividades.
§ 5º As listas de suspeição de que trata o inciso V do § 2º referem-se às listas
elaboradas pelo Grupo de Ação Financeira - Gafi com a finalidade de identificar países
com medidas frágeis de combate à lavagem de dinheiro, ao financiamento do terrorismo
e da proliferação de armas de destruição em massa.
Seção VI
Do controle e monitoramento das operações
Art. 44. As prestadoras de serviços de ativos virtuais devem, no
desenvolvimento de suas atividades, atender ao disposto em regulamentação específica
relativa à prevenção e ao combate à lavagem de dinheiro e ao financiamento do
terrorismo e da proliferação de armas de destruição em massa.
Parágrafo único. Em complemento ao disposto no caput, nas operações
envolvendo ativos virtuais, a prestadora de serviços de ativos virtuais deve fornecer à
instituição receptora dos recursos informações referentes:
I - ao originador da operação, incluindo, no mínimo:
a) o nome ou denominação comercial do remetente;
b) a identificação completa da conta de pagamento ou de depósito, ou
identificação de conta equivalente internacional;
c) o endereço de residência ou domicílio;
d) o número no Cadastro de Pessoas Físicas - CPF ou no Cadastro Nacional da
Pessoa Jurídica - CNPJ, ou o número de identificação internacional equivalente, no caso de
pessoas não obrigadas à inscrição nos referidos cadastros; e
e) a identificação da carteira de ativos virtuais da transação; e
II - ao beneficiário da operação, incluindo, no mínimo:
a) o nome ou denominação comercial;
b) a identificação completa da conta de pagamento ou de depósito, ou
identificação de conta equivalente internacional; e
c) a identificação da carteira de ativos virtuais da transação.
Art. 45. A prestadora de serviços de ativos virtuais deve, adicionalmente:
I - adequar seus sistemas de controles internos e políticas de gestão de riscos
ao cumprimento do determinado nos arts. 43 e 44 e na regulamentação específica;
II - manter armazenados os registros das informações sobre as transações
realizadas à disposição do Banco Central do Brasil pelo período mínimo de cinco anos;
e
III - identificar, nos termos da legislação específica, as operações suspeitas ou
irregulares conforme os termos da legislação e da regulamentação que disciplinam o
combate à utilização criminosa do Sistema Financeiro Nacional, como as leis e os
regulamentos que tratam da prevenção e do combate à lavagem de dinheiro e ao
financiamento do terrorismo e da proliferação de armas de destruição em massa, e
manter os registros dessas operações à disposição dos órgãos responsáveis e demais
autoridades competentes, como o Banco Central do Brasil.
Parágrafo único. Os registros das operações de que trata o inciso III do caput
devem ser mantidos atualizados e permanecer à disposição do Banco Central do Brasil,
preferencialmente no formato eletrônico.
Art. 46. As prestadoras de serviços de ativos virtuais, para cumprimento do
disposto no art. 44, devem informar, tempestivamente, ao Banco Central do Brasil sobre
eventuais dificuldades de controle e monitoramento das operações com ativos virtuais em
decorrência de práticas adotadas por outras instituições autorizadas a funcionar pelo
Banco Central do Brasil.
Art. 47. As prestadoras de serviços de ativos virtuais, nos procedimentos
destinados ao controle e monitoramento das transações envolvendo ativos virtuais, devem
implementar medidas para o conhecimento de clientes e usuários, parceiros comerciais e
prestadores de serviços terceirizados, observadas as demais determinações contidas na
regulamentação específica.
Seção VII
Das medidas e procedimentos de segurança
Art. 48. As prestadoras de serviços de ativos virtuais devem instituir e manter
medidas e procedimentos visando a garantir a segurança, a resiliência e o adequado
funcionamento do ambiente computacional empregado para suportar a prestação de
serviços de ativos virtuais, abrangendo, no mínimo:
I - o gerenciamento de identidades e o controle de acessos lógicos e físicos,
com vistas a prevenir que indivíduos não autorizados acessem recursos e dados
sensíveis;
II - os mecanismos de monitoramento contínuo da segurança e de resposta a
incidentes, com o objetivo de detectar e responder a possíveis ameaças e incidentes;
III - a adoção de medidas preventivas para a mitigação de incidentes
cibernéticos que possam comprometer suas atividades, em particular nas operações
envolvendo operadores do segmento de finanças descentralizadas;
IV- procedimentos para a concessão de autorizações, criação de senhas e
controles de acesso baseados em alçadas, bem como mecanismos de desativação
preventiva em situações suspeitas;
V - o fomento da cultura de segurança entre os seus funcionários, prestadores
de serviços e demais partes relacionadas;
VI - o estabelecimento de planos de continuidade para lidar com cenários que
contemplem violações de segurança ou desastres que afetem a sua operação;
VII - o emprego das melhores práticas de segurança, inclusive em termos de
treinamentos, certificações técnicas para a instituição e seu corpo técnico e processos de
qualificações externas para reforçar essas práticas; e
VIII - a realização de testes em sistemas e programas computacionais utilizados
pela prestadora de serviços de ativos virtuais, inclusive contratos inteligentes que afetem
o desempenho de suas atividades, que compreendam:
a) análises de vulnerabilidades dos sistemas, dos programas utilizados e do
ambiente computacional da instituição;
b) revisão do desempenho dos sistemas e programas utilizados por analistas
independentes; e
c) testes de robustez e de segurança dos sistemas e programas utilizados.
Parágrafo único. As medidas e os procedimentos de segurança de que trata o
caput devem:
I - ser documentados e contemplados, no que couber, na política de segurança
cibernética da prestadora de serviços de ativos virtuais, prevista na regulamentação em
vigor; e
II - assegurar a confidencialidade, a integridade, a disponibilidade, a segurança
e o sigilo das informações e dos dados, bem como a proteção de dados pessoais dos
clientes, usuários e demais partes negociais da prestadora de serviços de ativos
virtuais.
Art. 49. As prestadoras de serviços de ativos virtuais devem implementar e
manter políticas de guarda e proteção dos instrumentos de controle dos ativos virtuais de
seus clientes e usuários que incluam, no mínimo:
I - os procedimentos documentados para a geração, a custódia e o
gerenciamento desses instrumentos de controle dos ativos virtuais, inclusive a
especificação dos métodos e técnicas usados para executar as transações;
II - a eventual distribuição dos ativos virtuais em diferentes carteiras de ativos
virtuais, nos termos do disposto nas regras específicas da prestação de serviços de
custódia de ativos virtuais de que trata esta Resolução;
III - os módulos de segurança utilizados para tais finalidades, conforme
aplicáveis;
IV - os procedimentos de concessão e desativação dos instrumentos de
controle dos ativos virtuais;
V - os procedimentos para a mitigação de comprometimentos na política de
guarda e proteção dos instrumentos de controle dos ativos virtuais; e
VI - as regras e condições para a concessão de acesso, incluindo alçadas que
considerem responsabilidades e limites compatíveis com o grau de acesso aos
instrumentos de controle dos ativos virtuais.
§ 1º As regras de que trata o caput aplicam-se às chaves privadas dos ativos
virtuais mantidos pela prestadora de serviços de ativos virtuais em favor de seus clientes
e usuários.
§ 2º As prestadoras de serviços de ativos virtuais devem adotar protocolos
para o acesso, o armazenamento e a proteção dos instrumentos de controle de que trata
o caput, podendo considerar a utilização de criptografia e outras técnicas de segurança de
informação.
§ 3º Na hipótese de adoção de chaves privadas múltiplas ou segmentadas,
essas devem ser armazenadas em locais diferentes.
§ 4º A política de guarda e proteção dos instrumentos de controle dos ativos
virtuais de que trata o caput deve estar documentada e ser compatível, no que couber,
com a política de segurança cibernética da prestadora de serviços de ativos virtuais,
prevista na regulamentação em vigor.
Art. 50. As prestadoras de serviços de ativos virtuais devem adotar
mecanismos de monitoramento contínuo da segurança institucional e de avaliação de
riscos, com o objetivo de detectar, prevenir e responder a possíveis ameaças e
incidentes.
Art. 51. No caso da contratação de instituição ou empresa para prestar serviços
para as finalidades previstas nos arts. 48 e 49, permanece na prestadora de serviços de
ativos virtuais a responsabilidade por observar o cumprimento do disposto nesta Seção.
Seção VIII
Das informações sobre a prestadora de serviços de ativos virtuais
Art. 52. A prestadora de serviços de ativos virtuais deve manter à disposição
dos clientes e usuários informações da própria instituição e de características dos serviços
que realiza, indicando, de forma clara, a legislação e a regulamentação aplicáveis à sua
atividade.
§ 1º A prestadora de serviços de ativos virtuais deve divulgar de maneira
ampla, para o público em geral, em seu sítio eletrônico da rede mundial de computadores
e em aplicativos disponibilizados pela instituição:
I - as informações e os dados referentes à autorização ou ao pedido de
autorização em análise no Banco Central do Brasil para a prestação de serviços de ativos
virtuais;
II - as licenças regulatórias e sua condição no que se refere à conformidade
com regulamentações locais e internacionais aplicáveis;
III - as políticas organizacionais de que trata esta Resolução;
IV - os termos e as condições de prestação de serviços, eventualmente na
forma de contrato-padrão de prestação de serviços, destacando os direitos e as obrigações
do cliente ou usuário;
V - a relação de outras instituições ou entidades ocasionalmente envolvidas na
prestação dos serviços de ativos virtuais, com os respectivos dados de endereço, contato
e identificação dos responsáveis; e
VI - os eventuais conflitos de interesses existentes e as medidas adotadas para
sua mitigação.
§ 2º As informações de que trata o caput podem ser ajustadas conforme a sua
sensibilidade para fins de atendimento a cláusulas que imponham sigilo negocial às partes
envolvidas nos contratos firmados pela prestadora de serviços de ativos virtuais.
§ 3º Os termos e as condições de prestação de serviços referidos no inciso IV
do § 1º devem ser claros para os clientes e usuários da prestadora de serviços de ativos
virtuais, que devem manifestar ciência a respeito de seus direitos e obrigações, assim
como de eventuais condicionantes.
§ 4º As obrigações mencionadas no inciso IV do § 1º abrangem as medidas de
segurança que devem ser recomendadas aos clientes e usuários.
Art. 53. A prestadora de serviços de ativos virtuais deve prestar informações
claras aos seus clientes e usuários acerca da existência ou ausência de cobertura, de
fundos garantidores ou seguros para os serviços por ela realizados, observado o disposto
no art. 68, inclusive por entidades ou instituições por ela contratadas, destacando, no
mínimo:
I - o escopo de serviços cobertos;
II - a identificação da instituição ou entidade responsável pela cobertura;
III - as condições que implicam o acionamento da cobertura;
IV - os canais disponíveis e os procedimentos necessários para o acionamento
de cobertura; e
V - as exceções à cobertura da garantia pertinente.
Art. 54. As informações e os dados relacionados nos arts. 52 e 53 devem ser
apresentados ao cliente ou usuário no processo de cadastro, previamente à assinatura do
contrato de prestação de serviços.
Art. 55. A prestadora de serviços de ativos virtuais deve comunicar
tempestivamente aos clientes quaisquer mudanças envolvendo as informações
relacionadas nos arts. 52 e 53.
Seção IX
Das informações sobre os direitos e as obrigações de clientes e usuários
Art. 56. A prestadora de serviços de ativos virtuais deve informar a seus
clientes e usuários a respeito dos direitos e das obrigações envolvidos na relação entre
clientes, usuários, prestadoras de serviços de ativos virtuais e outras instituições ou
entidades envolvidas, assim como da existência de eventuais condicionantes,
considerando, no mínimo:
I - as medidas de segurança que devem ser observadas pelo cliente ou usuário
na realização de suas operações;
II - as políticas de depósito e de retirada de recursos financeiros, assim como
os limites, prazos e demais procedimentos associados;
III - a existência de mecanismos de cobertura para riscos específicos
envolvendo os ativos virtuais, a exemplo de seguros contra fraudes e riscos cibernéticos;
e
IV - as formas e os prazos para obtenção de relatórios, extratos de posições
custodiadas e de transações realizadas e outros documentos, de forma suficientemente
detalhada, considerando, por exemplo, dados como preços, volumes, datas e horários de
negociações.
Seção X
Dos procedimentos de armazenamento dos instrumentos de controle
Art. 57. A prestadora de serviços de ativos virtuais deve informar aos seus
clientes e usuários, com clareza e precisão, sobre o funcionamento dos processos de
guarda, custódia e armazenamento dos instrumentos de controle dos ativos virtuais de
propriedade desses clientes e usuários, independentemente de tais serviços serem
executados diretamente por ela ou por terceiros.
§ 1º No caso de prestação de serviços por entidades ou instituições
contratadas, as responsabilidades de cada integrante da cadeia de prestação de serviços
e os riscos associados aos procedimentos devem ser claramente explicados para os
clientes.
§ 2º Caso o cliente ou usuário opte pela autocustódia, a prestadora de serviços
de ativos virtuais deve esclarecer as medidas de segurança necessárias e os riscos
relacionados a essa modalidade de guarda dos instrumentos de controle de seus ativos
virtuais.
§ 3º A prestadora de serviços de ativos virtuais deve assegurar que a prestação
de informações de que trata o caput seja compatível, no que couber, com os mecanismos
para disseminação da cultura de segurança cibernética previstos em sua política de
segurança cibernética, na forma da regulamentação vigente.
§ 4º As regras de que trata o caput aplicam-se às chaves privadas dos ativos
virtuais mantidos pela prestadora de serviços de ativos virtuais em favor de seus clientes
e usuários.
Seção XI
Da avaliação de perfil de risco dos clientes
Art. 58. As prestadoras de serviços de ativos virtuais devem conhecer o perfil
do cliente ou usuário no que se refere ao seu nível de familiaridade com o mercado de
ativos virtuais, aos seus interesses financeiros e à sua tolerância ao risco no mercado de
ativos virtuais.
Art. 59. Na situação em que o cliente ou usuário deseje realizar operações
incompatíveis com o seu perfil no mercado de ativos virtuais, a prestadora de serviços de
ativos virtuais deve solicitar declaração específica ou termo de ciência de risco, em que o
cliente ou usuário assume a responsabilidade pelos riscos incorridos.
§ 1º Nas situações aplicáveis, as prestadoras de serviços de ativos virtuais
devem orientar seus clientes ou usuários a obterem aconselhamento financeiro
independente, observada a regulamentação específica aplicável.
§ 2º A avaliação de perfil de risco dos clientes ou usuários do mercado de
ativos virtuais, bem como a declaração ou o termo de ciência referidos nesta Seção,
devem ser documentados e ficar à disposição do Banco Central do Brasil,
preferencialmente no formato eletrônico.
Seção XII
Dos canais de comunicação
Art. 60. Os clientes e usuários devem ser informados sobre os canais de
comunicação e os recursos de suporte para o atendimento de demandas disponibilizados
pela prestadora de serviços de ativos virtuais, nos termos da regulamentação vigente.
§ 1º Os canais de comunicação e os recursos de suporte mencionados no
caput devem incluir a opção de atendimento humano.
§ 2º Os recursos de suporte referidos no caput devem abranger assistência e
orientações ao cliente ou usuário em caso de incidentes de segurança, violações ou
interrupções de serviço da prestadora de serviços de ativos virtuais e das instituições ou
entidades por ela contratadas.
Seção XIII
Da remuneração pela prestação de serviços
Art. 61. As prestadoras de serviços de ativos virtuais, para fins da prestação de
serviços vinculados aos ativos virtuais no mercado de ativos virtuais, podem cobrar
remuneração pela prestação de serviços a clientes e usuários, conceituada como tarifa,
exclusivamente sobre os serviços relativos às atividades integrantes das modalidades de
intermediação e de custódia de ativos virtuais definidos nesta Resolução.
Art. 62. A cobrança de tarifa pela prestadora de serviços de ativos virtuais
requer que sejam previamente explicitadas ao cliente ou ao usuário as condições de
prestação do serviço e de pagamento da respectiva tarifa, bem como o correspondente
fato gerador e o valor cobrado ou sua estimativa, com posterior disponibilização de
comprovante, extrato ou demonstrativo do pagamento final, mesmo no caso de cobrança
com respectivo lançamento do valor cobrado na eventual conta mantida na instituição.
Art. 63. As prestadoras de serviços de ativos virtuais devem observar, de forma
complementar, a regulamentação que dispõe sobre a cobrança de tarifas pela prestação
de serviços por parte das instituições financeiras e demais instituições autorizadas a
funcionar pelo Banco Central do Brasil.
CAPÍTULO X
DA PRESTAÇÃO DE SERVIÇOS ESPECÍFICOS DE ATIVOS VIRTUAIS
Seção I
Da modalidade de intermediária de ativos virtuais
Subseção I
Da elegibilidade dos ativos virtuais ofertados pelas intermediárias
Art. 64. A seleção de ativos virtuais ofertados pelas prestadoras de serviços de
ativos virtuais deve ser realizada com base em critérios claros, justificados, transparentes
e amplamente divulgados, em relação aos processos de oferta, listagem, suspensão e
deslistagem desses ativos.
§ 1º Para fins do disposto no caput, as prestadoras de serviços de ativos
virtuais devem estabelecer políticas específicas para a oferta, listagem, suspensão e
deslistagem dos seus ativos virtuais, baseadas em decisões a cargo de comitês técnicos
estabelecidos para essa finalidade.
§ 2º As políticas referidas no § 1º devem abranger, no mínimo, os seguintes
aspectos:
I - categorização dos ativos virtuais ofertados, considerando as suas
características fundamentais em relação ao seu propósito como investimento ou
pagamento;
II - revisão crítica dos documentos disponíveis a respeito do ativo virtual
passível de ser ofertado, com ênfase nos seus riscos intrínsecos;
III - vedação à oferta de ativos virtuais que contenham características de
fragilidade, insegurança ou riscos que favoreçam fraudes ou crimes, a exemplo de ativos
virtuais designados para favorecer práticas de lavagem de dinheiro e de financiamento do
terrorismo e da proliferação de armas de destruição em massa por meio de facilitação de
anonimato ou dificuldade de identificação do titular;
IV - regras para a revisão periódica dos ativos virtuais ofertados pela
prestadora de serviços de ativos virtuais;
V - definição de práticas precedentes aos processos de suspensão ou
deslistagem, com o propósito de resguardo aos clientes que sejam detentores dos ativos
virtuais afetados; e
VI - as fontes de informações relacionadas às transações ocorridas com o ativo
virtual, incluindo àquelas disponíveis para a obtenção de cotações de preços e volumes
financeiros dos ativos virtuais negociados.
§ 3º Para fins de atendimento ao disposto neste artigo, as prestadoras de
serviços de ativos virtuais devem considerar, adicionalmente, os requisitos constantes do
Anexo a esta Resolução nos processos de seleção de ativos virtuais.
§ 4º A prestadora de serviços de ativos virtuais deve manter à disposição:
I - do Banco Central do Brasil, preferencialmente em formato eletrônico, os
documentos atualizados relacionados ao processo de que trata esta Seção; e
II - do público a relação dos ativos virtuais por ela oferecidos, de forma
permanentemente atualizada, em seu sítio eletrônico na internet e nos aplicativos
disponibilizados para dispositivos eletrônicos.
§ 5º O disposto neste artigo não implica responsabilidade ou garantia da
prestadora de serviços de ativos virtuais pelo resultado decorrente da aquisição e
negociação dos ativos virtuais pelos clientes ou usuários.
Subseção II
Dos requisitos para a elegibilidade de ativos virtuais referenciados em moeda
fiduciária
Art. 65. Além dos requisitos referidos no art. 64, nos processos de seleção de
ativos virtuais referenciados em moeda fiduciária para oferta ou listagem em suas
plataformas, as prestadoras de serviços de ativos virtuais devem considerar, no mínimo:
I - a adequação e a regularidade do ativo virtual referenciado em moeda
fiduciária em relação à regulamentação relativa às ofertas públicas em mercados
organizados no país de origem do emissor do ativo virtual, conforme aplicável;
II - a manifestação pública de países e organismos internacionais acerca de
falhas ou desvios de finalidade na utilização do ativo virtual referenciado em moeda
fiduciária;
III - a qualidade do mecanismo de estabilização de preço do ativo virtual
referenciado em moeda fiduciária em relação ao aludido propósito;
IV - as diretrizes estabelecidas pelo emissor do ativo virtual referenciado em
moeda fiduciária para selecionar e manter os ativos de reserva do ativo virtual
referenciado em moeda fiduciária, bem como os riscos relacionados a tais ativos de
reserva, inclusive em termos de eventuais restrições das formalidades adotadas para que
sirvam de salvaguarda do cliente titular;
V - as informações e os dados disponíveis, provenientes de fontes idôneas, que
atestem a correta e total constituição das reservas do ativo virtual referenciado em moeda
fiduciária e dos ativos de reserva a ele vinculados, a exemplo de provas de lastro;
VI - as salvaguardas estabelecidas pelo emissor do ativo virtual referenciado
em moeda fiduciária para as situações que afetem esse ativo, especialmente em favor do
cliente titular;
VII - as demonstrações financeiras auditadas do emissor do ativo virtual
referenciado em moeda fiduciária, dos custodiantes do ativo virtual referenciado em
moeda fiduciária e dos ativos de reserva desse ativo virtual, no país ou no exterior,
conforme disponíveis;
VIII - a qualificação de risco do emissor do ativo virtual referenciado em moeda
fiduciária, dos custodiantes do ativo virtual referenciado em moeda fiduciária e dos ativos
de reserva desse ativo virtual, no país ou no exterior, conforme disponível;
IX - a qualificação de risco do ativo virtual referenciado em moeda fiduciária,
conforme disponível; e
X - a qualificação de risco do país onde estejam estabelecidos o emissor do
ativo virtual referenciado em moeda fiduciária e os custodiantes do ativo virtual
referenciado em moeda fiduciária e dos ativos de reserva do ativo virtual referenciado em
moeda fiduciária, conforme disponíveis.
§ 1º Para o propósito desta Resolução, são ativos de reserva de ativos virtuais
referenciados em moeda fiduciária a moeda fiduciária e os títulos públicos emitidos pelos
mesmos governos que emitem essas moedas.
§ 2º Com relação ao disposto no inciso IV do caput, as prestadoras de serviços
de ativos virtuais devem, adicionalmente, nas situações de descontinuidade do emissor do
ativo virtual referenciado em moeda fiduciária:
I - indicar, de forma clara e inequívoca, no contrato de prestação de serviços,
os direitos e eventuais restrições do cliente ou usuário em relação ao acesso aos ativos de
reserva do ativo virtual referenciado em moeda fiduciária, conforme aplicável;
II - indicar os meios e a forma de reivindicação desses ativos pelo cliente ou
usuário, nas situações aplicáveis, estejam eles disponíveis no país ou no exterior; e
III - esclarecer como a prestadora de serviços de ativos virtuais atuará nas
situações que envolvam o direito do cliente ou usuário de reivindicar o resgate de seus
recursos financeiros ou dos ativos de reserva do ativo virtual referenciado em moeda
fiduciária.
§ 3º É vedado às prestadoras de serviços de ativos virtuais atuantes no país
ofertar diretamente ou em seus ambientes de negociação ativos virtuais referenciados em
moeda fiduciária cujos mecanismos de controle dos ativos de reserva sejam efetuados por
algoritmos.
§ 4º As prestadoras de serviços de ativos virtuais devem divulgar publicamente
os critérios de seleção para a oferta de ativos virtuais referenciados em moeda fiduciária
de que trata esta Resolução, a fim de que os clientes e demais interessados possam
verificar o alinhamento do método empregado com os seus objetivos e interesses.
§ 5º As provas de lastro de que trata o inciso V do caput referem-se ao
mecanismo utilizado pelo emissor de ativos virtuais referenciados em moeda fiduciária
para demonstrar que possui, de fato, os ativos de reserva do ativo virtual referenciado em
moeda fiduciária.
§ 6º As informações de que tratam os incisos VIII a X do caput devem ser
acompanhadas de identificação da instituição responsável pela qualificação de risco
pertinente.
Subseção III
Da suspensão de negociação
Art. 66. O Banco Central do Brasil poderá determinar a suspensão da
admissão à negociação de ativos virtuais ofertados pelas prestadoras de serviços de
ativos virtuais que operem os ambientes ou sistemas de negociação, bem como a
interrupção de intermediação de negociações com ativos virtuais, conforme identifique a
utilização do ativo virtual em situações incompatíveis com a regulamentação vigente.