Resolução BCB 584: controles antifraude em ativos virtuais

A Resolução BCB nº 584 estende a prevenção a fraudes aos ativos virtuais e cria retenção temporária de 24 horas. Veja o efeito sobre controles e auditoria.

O arcabouço de prevenção a fraudes do sistema de pagamentos brasileiro deixou de olhar apenas para o real. A Resolução BCB nº 584, publicada em 7 de agosto de 2026, altera a Resolução BCB nº 142, de 2021, e estende expressamente as regras de prevenção a fraudes às operações com ativos virtuais, alcançando as sociedades prestadoras de serviços de ativos virtuais, inclusive as que ainda estão em fase de adequação ao regime de autorização. A norma também cria um mecanismo de retenção temporária de até 24 horas para determinadas transferências de ativos virtuais destinadas a prestadores sediados no exterior ou a carteiras autocustodiadas, quando superarem o equivalente a dez mil dólares por cliente no mesmo dia. A entrada em vigor está marcada para 1º de janeiro de 2027, o que abre uma janela curta de adequação. Para quem audita ou é auditado, o ponto central não é a mecânica antifraude em si, e sim o fato de que ela vira um controle formal, testável e sujeito a evidência.

Resumo

1. A Resolução BCB nº 584 amplia o alcance da Resolução BCB nº 142, de prevenção a fraudes, para incluir de forma explícita as operações com ativos virtuais e os prestadores desses serviços, inclusive os que ainda estão em processo de autorização.

2. A principal novidade operacional é o mecanismo de retenção temporária, de até 24 horas, aplicável a transferências de ativos virtuais para prestadores no exterior ou carteiras autocustodiadas acima do equivalente a dez mil dólares por cliente no dia, criando uma janela de análise antes da liquidação.

3. A vigência em 1º de janeiro de 2027 significa que a política, os parâmetros de detecção, a trilha de decisão da retenção e a governança precisam estar montados e funcionando antes da virada do ano, não depois.

4. Para o auditor, a prevenção a fraudes deixa de ser discurso e passa a ser um conjunto de controles com desenho, operação e evidência, cuja eficácia se testa como qualquer outro controle relevante e cuja falha impacta a avaliação de risco, o ambiente de controle e a resposta de fraude sob a NBC TA 240.

O que a norma efetivamente muda

A Resolução BCB nº 142 já organizava, desde 2021, procedimentos e controles de prevenção a fraudes no âmbito dos arranjos e instituições de pagamento. O que faltava era o ativo virtual entrar no perímetro de forma inequívoca. A Resolução BCB nº 584 fecha essa lacuna. A partir dela, o prestador de serviços de ativos virtuais não pode mais tratar a fraude como um problema de reputação a ser resolvido caso a caso: passa a existir a obrigação regulatória de manter política, procedimentos e controles com o mesmo grau de formalização já exigido no restante do sistema de pagamentos.

O mecanismo de retenção temporária é a parte mais visível e a mais delicada. Ele institucionaliza uma janela de análise antes que o ativo saia do controle da instituição. A transferência para um prestador no exterior ou para uma carteira autocustodiada, quando ultrapassa o limiar por cliente no dia, pode ser suspensa por até 24 horas para verificação. Isso muda o desenho do produto e o desenho do controle ao mesmo tempo. Do lado do produto, cria fricção deliberada num fluxo que antes era instantâneo. Do lado do controle, cria um ponto de decisão que precisa de critério objetivo, de registro e de responsável, sob pena de a retenção virar arbitrária, ou de nunca acontecer quando deveria.

Há uma tensão embutida que a própria discussão pública sobre a norma expôs: quanto mais rígido o gatilho, maior o atrito com o cliente legítimo; quanto mais frouxo, menor a eficácia contra o fraudador. Essa calibragem é uma decisão de risco da instituição, e é exatamente o tipo de premissa que o auditor precisa entender, documentar e desafiar, porque ela determina a eficácia real do controle.

Implicações práticas

Para a instituição, a adequação até o fim de 2026 envolve três frentes que caminham juntas. A primeira é a política: um documento que defina o que é operação atípica no contexto de ativos virtuais, quais fluxos entram na retenção temporária, qual o limiar e como ele se agrega por cliente e por dia. A segunda é a infraestrutura de detecção: regras de monitoramento capazes de ler o fluxo on-chain, não apenas o extrato em real, e de gerar alertas com trilha de tratamento. A terceira é a governança: quem decide reter, quem revisa, quem responde perante o Banco Central e como isso se integra à estrutura de prevenção à lavagem de dinheiro, que continua sendo uma obrigação distinta e paralela.

Um ponto costuma passar despercebido. A retenção temporária gera dado. Cada transferência suspensa, cada liberação, cada bloqueio confirmado como fraude produz um registro que, somado, forma a base de evidência da eficácia do controle. Instituição que trata a retenção como uma exceção manual, sem registro estruturado, chega ao fim do exercício sem conseguir demonstrar que o controle funcionou. E controle sem evidência, para efeito de auditoria, é controle que não opera.

Quando a prevenção a fraudes é executada por prestador terceirizado, o que é comum entre instituições menores, entra em cena a asseguração de controles de organizações prestadoras de serviço. O relatório de controles do prestador, no padrão de asseguração aplicável, passa a ser insumo direto do trabalho de auditoria da instituição contratante, que não pode simplesmente presumir que o terceiro cumpre a norma.

Caso anonimizado

Um prestador de serviços de ativos virtuais em fase de adequação ao regime de autorização mantinha um time antifraude competente, que barrava operações suspeitas com base na experiência dos analistas. No papel, funcionava. No teste de controles, não se sustentou. As decisões de bloqueio não tinham critério documentado nem limiar formal, a agregação por cliente era feita de memória e boa parte das transferências em ativo virtual sequer passava pelo mesmo monitoramento aplicado às movimentações em real. Quando a nova regra tornou a retenção temporária um controle obrigatório, o que era uma prática informal precisou virar processo com parâmetro, registro e responsável. A correção não exigiu mais gente. Exigiu transformar julgamento tácito em controle demonstrável, com trilha capaz de provar, depois, que a retenção aconteceu quando devia e não aconteceu quando não devia.

Como a MERC pode ajudar

A MERC é especializada em auditoria e asseguração no mercado financeiro, e a prevenção a fraudes em ativos virtuais está no centro de duas frentes que a firma domina: o teste de controles e a asseguração de prestadores de serviços de ativos virtuais. No trabalho de auditoria independente, avaliamos o desenho e a eficácia operacional dos controles antifraude, incluindo o mecanismo de retenção temporária, a calibragem do limiar e a trilha de decisão, e conectamos essa avaliação à resposta de fraude exigida pela NBC TA 240. Também apoiamos a leitura crítica de relatórios de asseguração de prestadores terceirizados e o diagnóstico de prontidão para a vigência em 2027, identificando as lacunas entre a prática atual e a evidência que a norma vai exigir. Para discutir o enquadramento da sua instituição, fale com a MERC pela página de contato.

Perguntas frequentes

A Resolução BCB 584 já está valendo?

A norma foi publicada em 7 de agosto de 2026, mas sua vigência está marcada para 1º de janeiro de 2027. O intervalo é o prazo de adequação: a política, os parâmetros de retenção e a governança precisam estar prontos e operando antes dessa data.

A retenção de 24 horas vale para qualquer transferência de ativo virtual?

Não. O mecanismo se aplica a transferências destinadas a prestadores sediados no exterior ou a carteiras autocustodiadas que superem o equivalente a dez mil dólares, considerando o conjunto de operações do mesmo cliente no mesmo dia. Transferências abaixo do limiar ou fora dessas hipóteses seguem o fluxo normal, sem prejuízo do monitoramento geral.

Prevenção a fraudes e prevenção à lavagem de dinheiro são a mesma coisa?

Não. São obrigações distintas e paralelas. A prevenção à lavagem de dinheiro tem seu próprio regime, com conheça seu cliente, monitoramento e comunicação ao órgão competente. A prevenção a fraudes, reforçada pela BCB 584, protege a integridade das operações e do cliente. Na prática, os controles se apoiam nos mesmos dados, mas respondem a exigências separadas e o auditor os avalia separadamente.

Como o auditor testa um controle antifraude?

Avaliando primeiro o desenho, ou seja, se o controle, bem executado, seria capaz de prevenir ou detectar a fraude, e depois a eficácia operacional, por amostra de operações reais, verificando se o controle funcionou de forma consistente no período. No caso da retenção temporária, isso significa examinar a regra de disparo, os registros de suspensão e liberação e o desfecho de cada caso.

Quem terceiriza o controle antifraude fica dispensado da auditoria?

Não. A responsabilidade regulatória permanece com a instituição. Quando o controle é executado por prestador terceirizado, a instituição precisa monitorar esse prestador, e o auditor utiliza o relatório de asseguração de controles do prestador como parte da evidência, sem presumir conformidade apenas pela existência do contrato.