Um novo espaço de análise, reflexão e pluralidade no
debate público sobre o sistema de justiça criminal
Um novo espaço de análise, reflexão e pluralidade no
debate público sobre o sistema de justiça criminal
Em fevereiro de 2025, o furto de quase US$ 1,5 bilhão contra a corretora Bybit, o maior da história das criptomoedas segundo a Chainalysis (2026), atribuído a atores ligados à Coreia do Norte, terminou com a recuperação de apenas 3,8% do valor subtraído (FATF, 2025).
A Chainalysis (2026) estima que o ecossistema de lavagem on-chain tenha passado de US$ 10 bilhões em 2020 para mais de US$ 82 bilhões em 2025, e o GAFI (2026a) descreve ataques que subtraem centenas de milhões de dólares em poucos minutos. Embora ainda seja percentualmente pequena a parcela do mercado que ocupam, as finanças descentralizadas (DeFi) representam ponto de atenção e vulnerabilidade crescente para o regime de prevenção. Suas características próprias, entre as quais o pseudoanonimato, favorecem operações rápidas, complexas e opacas, cada vez mais exploradas por fraudadores, operadores de ransomware, redes profissionais de lavagem e agentes de financiamento da proliferação (FATF, 2026a).
Na DeFi, contratos inteligentes executam trocas e empréstimos sem intermediário financeiro tradicional, e o criminoso encontra pontes entre redes e pools de liquidez nos quais o dinheiro ilícito se mistura ao lícito (FATF, 2026a). O GAFI reconhece que as suas Recomendações, desenhadas para instituições com responsáveis identificáveis, hesitam diante de arranjos sem controlador evidente.
Este artigo investiga se o regime brasileiro de prestadoras de serviços de ativos virtuais, formado pela Lei 14.478/2022 e pelas Resoluções BCB 520, 521 e 584, acompanha esse deslocamento (Banco Central do Brasil, 2025a, 2025b, 2026). Sustenta-se que a DeFi não inaugura uma nova espécie de lavagem, mas encurta o tempo da ocultação e transfere os pontos de controle para elos adjacentes, como os emissores de stablecoins e as rampas de entrada e saída. O Banco Central respondeu com uma regulação centrada nos intermediários, que alcança quem conecta o protocolo ao sistema financeiro nacional, e não o protocolo em si. Sua eficácia penal depende de a informação regulatória converter-se em prova e em constrição de ativos antes que a liquidação se complete.
A Lei 9.613/1998 pune quem oculta ou dissimula a natureza, a origem, a localização, a disposição, a movimentação ou a propriedade de bens provenientes de infração penal (art. 1º), com reclusão de três a dez anos. O tipo é neutro quanto ao meio e por isso alcança o criptoativo. Mudou, porém, o modo de executar a conduta, razão pela qual se propõe, para fins de exposição, distinguir quatro estágios, sem pretensão de classificação oficial e sem sucessão linear, já que os mecanismos convivem.
No primeiro, a blockchain revelou-se marcada pelo pseudoanonimato, e não pelo anonimato pleno, e os mixers surgiram para romper o vínculo entre quem envia e quem recebe (Zumas). No segundo, a lavagem passou a explorar prestadoras offshore, contas aninhadas[1] e mesas de balcão, em arranjos que permitiam atender clientes em jurisdições nas quais a prestadora não estava licenciada (FATF, 2026c). No terceiro, as stablecoins ocuparam o centro da cena, pois, segundo a Chainalysis (2026), endereços ilícitos receberam ao menos US$ 154 bilhões em 2025, alta de 162% sobre o ano anterior, e elas responderam por 84% de todo o volume ilícito. A própria empresa adverte que o valor é estimativa mínima, calculada sobre os endereços identificados até o momento, e que o salto decorre sobretudo do aumento de 694% nos valores recebidos por entidades sancionadas, de sorte que o número não mede apenas lavagem. As carteiras não custodiais, por sua vez, movimentam valor sem entidade obrigada a reportar. O quarto estágio é a DeFi.
Há quem veja nisso vinho velho em garrafas novas (Grabosky; O’Neill, apud Siena, 2025) e há quem enxergue uma fronteira tecnossocial inédita (Brown; Powell, apud Siena, 2025). A posição aqui adotada é intermediária. A finalidade criminosa permanece, ao passo que os meios e os pontos de controle mudam.
O GAFI separa a tecnologia, os contratos inteligentes, do arranjo, que reúne pessoas, governança e componentes operacionais (FATF, 2026a). A distinção importa, porquanto o código pode ser autônomo e o arranjo não. O valor total bloqueado em DeFi alcançou US$ 86,6 bilhões em 2026, alta de cerca de 85% desde 2023 (FATF, 2026a).
Para o criminoso, o atrativo está no acesso sem diligência sobre o cliente, na velocidade e na composabilidade dos serviços. Os pools de liquidez misturam recursos lícitos e ilícitos e ainda remuneram quem os fornece. O relatório descreve ataques atribuídos à Coreia do Norte, como o da Drift, que subtraiu US$ 285 milhões em cerca de doze minutos, e registra o caso Samourai (US$ 237 milhões), em que os responsáveis pelo serviço foram condenados a penas de cinco e quatro anos, com cooperação internacional (FATF, 2026a).
A DeFi, contudo, não opera sozinha, servindo de meio às redes que fazem da lavagem um serviço terceirizado. O GAFI observa que organizações criminosas transnacionais recorrem cada vez mais a redes profissionais de lavagem, as quais fragmentam os fundos entre carteiras, fazem-nos passar por exchanges descentralizadas, pontes entre redes e mixers e, após prolongada estratificação, os convertem em moeda fiduciária por corretoras de controles frágeis ou mesas de balcão sem licença, devolvendo o valor ao cliente por sistemas bancários paralelos (FATF, 2026a). A Chainalysis (2026), que chama o fenômeno de laundering-as-a-service, mostra que as redes chinesas de lavagem, que se anunciam em plataformas de garantia como Huione e Xinbi, processaram US$ 16,1 bilhões em 2025 e respondem por cerca de 20% da atividade de lavagem conhecida. Desde 2020, os fluxos para essas redes cresceram 1.810 vezes mais rápido do que os dirigidos à DeFi, o que sugere que esta funciona menos como destino final do que como zona de passagem, na qual os fundos trocam ativos sujeitos a bloqueio por outros que o emissor não consegue congelar e atravessam sucessivos protocolos. O GAFI registra movimento semelhante quando anota que o congelamento de USDT ligado a endereços iranianos em 2025 pode levar à migração para a DAI, desprovida de função de congelamento (FATF, 2026b). Relativiza-se, assim, a leitura que atribui à DeFi o protagonismo da lavagem, mas se reforça a tese deste artigo, pois o que se desloca é o ponto de controle, que passa do usuário final para o prestador profissional e para os elos de saída.
Partindo da neutralidade tecnológica, o GAFI entende, pela Recomendação 15, que quem exerce controle ou influência suficiente sobre um arranjo pode ser tratado como prestador de serviços de ativos virtuais, ainda que o projeto se declare descentralizado. O relatório distingue arranjos centralizados, arranjos centralizados apenas na prática, com controladores não identificados, e arranjos verdadeiramente descentralizados, estes fora do alcance das Recomendações do GAFI, e propõe indicadores de controle, como chaves de atualização, definição de parâmetros, fluxo de taxas, concentração de tokens de governança e operação da interface (FATF, 2026a).
A implementação, porém, mostra-se tímida, já que, das 142 jurisdições consultadas, 26 avaliaram o risco da DeFi e apenas quatro criaram licenciamento (FATF, 2026a). Entre 138 jurisdições avaliadas, 49% são parcialmente conformes com a R.15 e só 29% amplamente conformes (FATF, 2026c). Daí a arbitragem regulatória e o chamado Sunrise issue, o descompasso na adoção da travel rule. Para o que escapa às Recomendações, o GAFI recomenda atuar sobre pontos adjacentes, como os emissores de stablecoins, capazes de congelar e queimar tokens, e as rampas de entrada e saída (FATF, 2026b). O limite é claro, pois moedas sem função de congelamento enfraquecem esse controle.
A Lei 14.478/2022 condicionou o funcionamento das prestadoras de serviços de ativos virtuais à autorização prévia (art. 2º), incluiu-as entre os sujeitos obrigados da Lei 9.613/1998 (art. 9º, XIX) e aumentou a pena da lavagem cometida por meio de ativo virtual (art. 1º, § 4º).
No plano infralegal, a Resolução BCB 520, de 10 de novembro de 2025, exige que as sociedades prestadoras de serviços de ativos virtuais (SPSAV) tenham sede e administração no país (art. 1º, parágrafo único) e repassem à instituição receptora os dados do originador e do beneficiário, inclusive a identificação da carteira (art. 44), obrigação equivalente à travel rule, de implantação escalonada (art. 89). Interessam ao investigador a vedação de mecanismos que dificultem a apuração de crimes, a exemplo dos misturadores (art. 90, III), e a que impede o custodiante de obstar o imediato atendimento de ordens judiciais (art. 73, § 3º). Pela Resolução BCB 589/2026, as instituições reguladas tampouco podem operar com prestadoras não autorizadas no país (art. 91).
A Resolução BCB 521 enfrentou a fronteira mais sensível, entre o sistema regulado e a carteira não custodial. Como as transferências de e para carteira autocustodiada e as operações com stablecoins passaram a integrar o mercado de câmbio, a prestadora deve identificar o proprietário da carteira e documentar a verificação de origem e destino (art. 76-A, § 5º, da Resolução BCB 277) e, diante de contraparte estrangeira, aferir se há supervisão efetiva ou registrar o risco da relação (art. 76-B, § 2º). Tais exigências alcançam pontos que o GAFI (2026b; 2026c) aponta como vulneráveis, ainda que a norma não declare essa finalidade.
Mais próxima da lógica temporal da investigação, a Resolução BCB 584, de 7 de agosto de 2026, com vigência a partir de 1º de janeiro de 2027, impõe retenção cautelar de vinte e quatro horas antes de transferências, inclusive de stablecoins, para entidade estrangeira do mercado de ativos virtuais ou carteira autocustodiada, acima de US$ 10 mil por operação ou por dia, ou conforme o perfil de risco (art. 2º-B da Resolução BCB 142), o que não implica indisponibilidade definitiva e oferece uma janela de análise, e não a constrição de ativos, além de obrigar as prestadoras a fixar critérios de risco e a documentar a liberação antecipada (§§ 2º, 5º e 6º), o que exige o fortalecimento do setor de compliance.
Os avanços são reais, mas a primeira lacuna é de alcance, visto que a regulação abrange quem está constituído no país e quem com ele contrata, e não o protocolo sem controlador identificável, nem a interface hospedada no exterior que o usuário acessa diretamente. A ausência de regra específica sobre as finanças descentralizadas não é, por si, defeito, visto que a lavagem se define pela ocultação e não pelo instrumento, e a regulação por atividade alcança a DeFi sempre que houver intermediário identificável. O limite está nos trechos do percurso em que ele inexiste, dificuldade que o GAFI (2026a) reconhece também em outras jurisdições. A segunda é de destinatário, já que a proibição de mixers dirige-se às prestadoras e não ao desenvolvedor ou ao usuário, cuja responsabilização depende da tipicidade e da prova do dolo. A terceira, a mais grave para a Polícia Judiciária, é de tempo, porquanto a retenção beneficia a investigação em curso apenas se a autoridade já souber onde os valores estão, dispuser de canal com a prestadora e obtiver a ordem judicial nas vinte e quatro horas, o que depende de preparo operacional e não de nova norma.
O maior desafio da investigação criminal é a identificação, uma vez que o caminho da blockchain à pessoa, que a análise de carteiras ajuda a percorrer, encontra limites, como a migração para redes especializadas ainda não cobertas pelas ferramentas de análise e o agrupamento de depósitos em um mesmo contrato inteligente (FATF, 2026a). Os dados da travel rule e da identificação de carteiras autocustodiadas ligam a cadeia à identidade, mas a rastreabilidade técnica não equivale a atribuição jurídica de autoria, e o investigador precisa explicar em juízo cada passo, resguardados a cadeia de custódia e o contraditório técnico (Zumas).
Embora a DeFi não tenha criado a lavagem, ela reduziu o tempo de que a investigação dispõe, e o Banco Central respondeu com um regime coerente com o GAFI e capaz de produzir informação, identificação e uma janela de vinte e quatro horas, cujo aproveitamento exige, mais do que nova norma, fluxos operacionais entre a Polícia Judiciária, o Ministério Público e o Judiciário, com plantão e canal permanente com as SPSAV e os emissores de stablecoins. Como o maior desafio está em identificar quem controla os valores, convém aliar esses fluxos à adoção dos indicadores de controle do GAFI nas representações e à formação continuada dos agentes na análise de carteiras, sem sacrificar as garantias fundamentais, cujo equilíbrio com a eficácia da cooperação permanece a questão de fundo.
BANCO CENTRAL DO BRASIL. Resolução BCB nº 520, de 10 de novembro de 2025. Disciplina a constituição e o funcionamento das sociedades prestadoras de serviços de ativos virtuais e a prestação de serviços de ativos virtuais por outras instituições autorizadas a funcionar pelo Banco Central do Brasil. Brasília: BCB, 2025a. Disponível em: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=520. Acesso em: 10 nov. 2026.
BANCO CENTRAL DO BRASIL. Resolução BCB nº 521, de 10 de novembro de 2025. Altera a Resolução BCB nº 277, de 31 de dezembro de 2022 […]. Brasília: BCB, 2025b. Diário Oficial da União: Brasília, DF. Disponível em: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=521. Acesso em: 10 nov. 2026.
BANCO CENTRAL DO BRASIL. Resolução BCB nº 584, de 7 de agosto de 2026. Altera a Resolução BCB nº 142, de 23 de setembro de 2021, que dispõe sobre procedimentos e controles para prevenção de fraudes na prestação de serviços de pagamento a serem adotados pelas instituições financeiras […]. Brasília: BCB, 2026. Disponível em: https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=584. Acesso em: 10 nov. 2026.
BRASIL. Lei nº 9.613, de 3 de março de 1998. Dispõe sobre os crimes de “lavagem” ou ocultação de bens, direitos e valores; a prevenção da utilização do sistema financeiro para os ilícitos previstos nesta Lei; cria o Conselho de Controle de Atividades Financeiras – COAF, e dá outras providências. Brasília: Presidência da República, 1998. Disponível em: https://www.planalto.gov.br/ccivil_03/leis/l9613.htm. Acesso em: 10 nov. 2026.
BRASIL. Lei nº 14.478, de 21 de dezembro de 2022. Dispõe sobre diretrizes a serem observadas na prestação de serviços de ativos virtuais e na regulamentação das prestadoras de serviços de ativos virtuais; altera o Decreto-Lei nº 2.848, de 7 de dezembro de 1940 (Código Penal) […]. Brasília: Presidência da República, 2022. Disponível em: https://www.planalto.gov.br/ccivil_03/_ato2019-2022/2022/lei/l14478.htm. Acesso em: 10 nov. 2026.
CHAINALYSIS. The 2026 Crypto Crime Report. Nova York, 17 mar. 2026. Disponível em: https://www.chainalysis.com/reports/crypto-crime-2026/. Acesso em: 10 nov. 2026.
FATF. Targeted Report on Regulatory Challenges from Decentralised Finance. Paris, jul. 2026a. Disponível em: https://www.fatf-gafi.org/en/publications/Virtualassets/targeted-report-decentralised-finance-2026.html. Acesso em: 10 nov. 2026.
FATF. Targeted Report on Stablecoins and Unhosted Wallets. Paris, mar. 2026b. Disponível em: https://www.fatf-gafi.org/en/publications/Virtualassets/targeted-report-stablecoins-unhosted-wallets.html. Acesso em: 10 nov. 2026.
FATF. Understanding and Mitigating the Risks of Offshore VASPs. Paris, mar. 2026c. Disponível em: https://www.fatf-gafi.org/en/publications/Virtualassets/Understanding-Mitigating-Risks-Offshore-VASPs.html. Acesso em: 10 nov. 2026.
FATF. Virtual Assets: Targeted Update on Implementation of the FATF Standards. Paris, 2025. Disponível em: https://www.fatf-gafi.org/content/fatf-gafi/en/publications/Fatfrecommendations/targeted-update-virtual-assets-vasps-2025.html. Acesso em: 10 nov. 2026.
SIENA, David Pimentel Barbosa de. Criptocrimes: uma análise criminológica dos novos golpes financeiros digitais. Jota, 18 abr. 2025. Disponível em: https://www.jota.info/artigos/criptocrimes-uma-analise-criminologica-dos-novos-golpes-financeiros-digitais. Acesso em: 10 nov. 2026.
ZUMAS, Vytautas Fabiano Silva. Criptomoedas, criptocrime e criptoinvestigação. Direito & TI, Porto Alegre, v. 1, n. 12, 2020. https://doi.org/10.63451/ti.v1i12.90
[1]Contas aninhadas (nested accounts) são aquelas em que uma prestadora de serviços de ativos virtuais mantém conta, subconta ou acesso à plataforma de outra prestadora, de modo análogo ao que ocorre nas relações de correspondência bancária. Quando a prestadora aninhada opera por meio de conta aberta em prestadora regulada, pode permanecer total ou parcialmente oculta do supervisor, que perde visibilidade sobre a identidade, o perfil de risco e as transações dos clientes finais. O GAFI registra, ademais, casos em que a prestadora aninhada se apresenta como cliente de varejo para obter o acesso (FATF, 2026c).
O autor declara que utilizou ferramenta de inteligência artificial generativa Claude, da Anthropic como apoio na elaboração deste artigo, nas seguintes atividades: revisão ortográfica e de estilo e adequação do texto às normas de publicação. O autor revisou o conteúdo final, verificou as citações e responde integralmente pelo texto, pelas análises e pelas conclusões.
Encontrou um erro?
Nos ajude a melhorar! Envie sua correção abaixo 👇
