FATF publica o relatório de atualização direcionada sobre a implementação dos padrões FATF para ativos virtuais e provedores de serviços de ativos virtuais: análise dos avanços regulatórios globais e ameaças de risco

Em 16 de julho, a Força-Tarefa de Ação Financeira (FATF) publicou o sétimo relatório de atualização direcionada sobre a implementação dos padrões da FATF para ativos virtuais e provedores de serviços de ativos virtuais. O relatório, baseado em pesquisas por questionário em 147 jurisdições, 149 relatórios de avaliação mútua e resultados das reuniões do VACG, avaliou sistematicamente o progresso da implementação global da R.15 e revelou ameaças como golpes do tipo "pig butchering", roubo de criptomoedas por grupos hackers norte-coreanos, abuso de stablecoins, transações P2P em carteiras não geridas, provedores de serviços de ativos virtuais offshore e o vácuo regulatório no DeFi.

Neste artigo, a Beosin interpretará os principais pontos do relatório, ajudando os leitores a compreender rapidamente as tendências de progresso regulatório e ameaças de risco globais em ativos virtuais, aprimorando o entendimento e a capacidade de resposta aos riscos regulatórios relacionados a ativos virtuais.

R. A Recomendação 15 do "Padrão Internacional para Combater a Lavagem de Dinheiro, o Financiamento do Terrorismo e o Financiamento da Proliferação: Recomendações do GAFI" exige que os países e as instituições financeiras identifiquem, avaliem e mitiguem os riscos de lavagem de dinheiro, financiamento do terrorismo e financiamento da proliferação associados a tecnologias emergentes. Em 2018, o GAFI revisou a R.15, incluindo ativos virtuais (VA) e provedores de serviços de ativos virtuais (VASP) em seu escopo de exigências contra lavagem de dinheiro, financiamento do terrorismo e financiamento da proliferação.

1.1 Dados de classificação de conformidade global

Até abril de 2026, 149 jurisdições aceitaram a avaliação de conformidade R.15. A implementação global apresentou leve melhoria em comparação com 2025:

- Totalmente em conformidade (Compliant): apenas 1 jurisdição (Bahamas) - Em grande parte em conformidade (Largely Compliant): aumento de 29% para 34% em 2025 (51) - Parcialmente em conformidade (Partially Compliant): redução de 50% para 43% (64) - Não em conformidade (Non Compliant): aumento de 20% para 22% (33)

O relatório aponta que a implementação varia significativamente entre regiões, e jurisdições com capacidade mais baixa ainda enfrentam grandes dificuldades na implementação da R.15.

1.2 Desafios enfrentados pela avaliação de risco de VA e VASP

O relatório mostra que 86% das jurisdições entrevistadas (124 de 145) concluíram a avaliação de risco de lavagem de dinheiro / financiamento do terrorismo / financiamento da proliferação para o setor de ativos virtuais, um aumento significativo em relação aos 76% em 2025 (124 de 163). No entanto, a maioria esmagadora das jurisdições não consegue implementar medidas de prevenção e regulamentação com base nos resultados da avaliação de risco. Dados da avaliação mútua indicam que, entre as 149 jurisdições entrevistadas, apenas 48 completaram totalmente ou basicamente a avaliação de risco R15.3 e adotaram uma abordagem baseada em risco. Isso indica que, em muitos países, a avaliação de risco ainda permanece no nível de relatório, sem mecanismos ou planos executivos para transformar os resultados da avaliação em medidas regulatórias concretas.

1.3 Escolha do caminho regulatório VASP e desafios correspondentes

A proporção de jurisdições com um caminho regulatório claro aumentou de 82% em 2025 para 89% em 2026 (128 de 144); as jurisdições sem um plano regulatório definido diminuíram de 18% para 11% (16). Os modelos regulatórios já definidos incluem:

(1) Permitir que VASPs operem legalmente: 66% (95)

(2) Proibição total ou parcial de VASPs: 23%, em tendência de aumento anual (2023: 11% → 2024: 14% → 2025: 20% → 2026: 23%)

Alguns dos métodos proibidos típicos incluem proibir ativos virtuais como meio de pagamento, mas permitir transações de investimento dentro de um quadro controlado; restrições adicionais para atividades de alto risco, como moedas de privacidade, mineração e custódia.

É importante notar que há uma grande lacuna na implementação do modelo regulatório que proíbe VASPs. Entre os 33 jurisdições que proíbem totalmente ou parcialmente ativos virtuais, apenas 6 atingem a conformidade básica; apenas 1 jurisdição com proibição implementou integralmente os requisitos de avaliação de risco R15.3. Se as proibições não forem efetivamente aplicadas, sem mecanismos complementares de identificação ativa e aplicação da lei, problemas como mercados negros e plataformas offshore continuarão a se espalhar, aumentando os riscos financeiros globais.

Em jurisdições que permitem a operação legal de VASPs, 76 concluíram a emissão de licenças ou registro de VASPs, sem aumento em relação a 2025. Os padrões da FATF exigem que as jurisdições exijam registro obrigatório ou licenciamento para provedores localmente estabelecidos e operacionalmente ativos; entre as 114 jurisdições que estabeleceram um sistema de licenciamento, 44% cobrem apenas provedores locais, enquanto 34% adotam um escopo regulatório mais amplo, exigindo que provedores offshore elegíveis também se registrem localmente. Atualmente, os países enfrentam dificuldades comuns na identificação das entidades reais que operam negócios de ativos virtuais.

1.4 A legislação da Regra de Viagem avança rapidamente, mas a aplicação é lenta

A Travel Rule estende os requisitos de transparência de pagamentos da FATF (Recomendação 16) para o domínio de ativos virtuais: provedores de serviços de ativos virtuais e instituições financeiras devem coletar, armazenar e transmitir imediatamente e com segurança as informações completas do remetente e do beneficiário durante transferências.

A implementação legislativa da Travel Rule acelerou significativamente: 83% das jurisdições consultadas (91 das 109) já aprovaram legislação sobre a Travel Rule, contra 73% em 2025. No entanto, 55 jurisdições que já adotaram a legislação ainda não realizaram nenhuma inspeção regulatória ou ação de fiscalização relacionada à Travel Rule. A maioria das jurisdições implementou a legislação recentemente, e seus sistemas regulatórios ainda estão em fase de construção, com fiscalização severamente atrasada.

2.1 Ativos virtuais são utilizados em crimes upstream, lavagem de dinheiro, financiamento do terrorismo e financiamento da proliferação

Os centros de fraude do Sudeste Asiático tornaram-se a fonte principal global de fundos ilícitos em ativos virtuais, com o esquema de investimento "pig butchering" sendo o crime típico, gerando bilhões de dólares em receitas ilícitas anualmente. Grupos criminosos lavam fundos por meio de múltiplas carteiras não custodiadas, OTC e canais financeiros subterrâneos regionais. O relatório ilustra o risco sistêmico de jurisdições com fraca combate à lavagem de dinheiro, usando como exemplo um grande grupo financeiro do Camboja (Huiwang Group) que lavou pelo menos US$ 4 bilhões em fundos ilícitos e foi utilizado por uma rede de hackers norte-coreana; entidades regionais sem controles KYC podem simultaneamente fornecer canais de lavagem de dinheiro para múltiplas entidades ilegais.

Relatórios revelam que o financiamento da proliferação, o financiamento do terrorismo e a evasão de sanções compartilham a mesma infraestrutura de ativos virtuais e modelos criminosos. Grupos que evadem sanções estão progressivamente migrando de exchanges locais para intermediários offshore, plataformas globais, negociações OTC e canais de pagamento em stablecoins; a Coreia do Norte continua a utilizar exchanges, DeFi, pontes intercadeia e carteiras multiassinatura para lavar fundos ilícitos. No que diz respeito ao financiamento do terrorismo, os criminosos utilizam massivamente a stablecoin USDT na blockchain Tron, acompanhada por ferramentas para ocultar o fluxo de taxas. O relatório cita a operação “Borrelli” da Espanha em 2025, que desmantelou uma rede transnacional de fraude em criptomoedas envolvendo 460 milhões de euros e mais de 5.000 vítimas. O grupo utilizava empresas fantasmas de Hong Kong e contas bancárias para se disfarçar como plataformas de investimento legítimas, lavando fundos ilícitos por meio de transferências em dinheiro, transferências bancárias e múltiplas movimentações de ativos virtuais, demonstrando a característica hierarquizada e industrializada das redes de fraude transnacionais, bem como sua profunda interconexão com tráfico humano, evasão de sanções e lavagem de dinheiro transfronteiriça.

Além disso, o uso indevido da inteligência artificial pode amplificar os riscos da cadeia de crimes envolvendo ativos virtuais acima mencionada. A IA está sendo utilizada para gerar vídeos deepfake, analisar vulnerabilidades em contratos inteligentes e gerar automaticamente código de ataque, acelerando invasões a DeFi e infraestruturas cross-chain. Os proventos ilícitos são rapidamente divididos e transferidos por meio de stablecoins, exchanges descentralizadas e pontes cross-chain, aumentando significativamente a dificuldade de rastreamento e congelamento. O relatório destaca claramente que os reguladores de todos os países devem considerar os crimes de ativos virtuais impulsionados por IA como um risco estrutural, aprimorando a detecção de deepfakes, ferramentas nativas de investigação blockchain e mecanismos de compartilhamento de informações públicas e privadas.

2.2 As stablecoins se tornaram o principal veículo para fundos ilegais

Em 2025, 84% das transações de criptomoeda ilegais foram realizadas por meio de stablecoins, com USDT/USDC sendo ferramentas principais para organizações terroristas, hackers e cartéis de drogas.

Grupos criminosos que desenvolvem suas próprias stablecoins para contornar congelamentos por autoridades se tornam um novo risco, como o grupo financeiro cambojano (Huiwang Group) que emitiu uma stablecoin lastreada em dólar, alegando não estar sujeita à supervisão de órgãos reguladores e que seus ativos não podem ser congelados. Anteriormente, terceiros que emitem stablecoins congelaram US$ 29 milhões em ativos associados a esse grupo, levando o grupo criminoso a desenvolver sua própria stablecoin resistente a congelamentos, com implantação multi-cadeia que aumenta significativamente a dificuldade de rastreamento. Esse caso demonstra que provedores de serviços de ativos virtuais não podem confiar apenas na função de congelamento por parte dos emissores para gerenciar riscos; todos os países devem exigir que os emissores de stablecoins implementem capacidades técnicas que permitam a cooperação com autoridades para congelar e apreender tokens, integrando-os totalmente à regulamentação de combate à lavagem de dinheiro.

Além disso, organizações terroristas (ISIS, Al-Qaeda) estão gradualmente abandonando o Bitcoin, priorizando stablecoins: utilizando rotação de endereços de carteira, divisão de transferências em pequenos valores, múltiplas operações OTC e integração com DeFi e carteiras não custodiadas para contornar inspeções de conformidade.

2.3 Riscos de transações P2P em carteiras não custodiais

As transações ponto a ponto em carteiras não custodiadas, sem a participação de intermediários licenciados e isentas de obrigações de conformidade com AML, constituem uma lacuna estrutural na regulamentação. Embora as transações na cadeia sejam rastreáveis, a característica anônima permite que criminosos isolem fontes de fundos por meio de múltiplas carteiras, aumentando a complexidade do rastreamento. A liquidação transfronteiriça em segundos de stablecoins amplifica ainda mais o risco de lavagem de dinheiro transfronteiriça. Esse tipo de transação não possui entidades obrigadas a apresentar relatórios de transações suspeitas; apenas os emissores de stablecoins podem cooperar com as autoridades para congelar carteiras envolvidas e apresentar relatórios de transações suspeitas como medida complementar.

88% dos 66 jurisdições entrevistadas classificam as transações ponto a ponto como de alto risco; mas apenas 23% (31 dos 133) monitoram continuamente o tamanho do mercado de transações ponto a ponto, o que torna difícil a quantificação do risco devido à fragmentação dos dados do setor.

*Para uma análise mais detalhada sobre os riscos associados às transações P2P entre stablecoins e carteiras não custodiadas, leiaFATF publica Relatório Especial sobre Stablecoins e Carteiras Não Custodiadas: Análise de Ameaças e Estratégias de Resposta>

2.4 Questão de arbitragem regulatória de VASPs offshore

Um prestador de serviços de ativos virtuais offshore (oVASP) refere-se a uma plataforma cujo local de registro e operação é separado da jurisdição dos clientes atendidos. Se a jurisdição de registro do prestador offshore tiver regulamentação fraca contra lavagem de dinheiro, isso gerará riscos de lavagem de dinheiro tanto para a jurisdição de registro quanto para a jurisdição dos clientes; se a jurisdição dos clientes não exigir o registro de prestadores offshore, a plataforma poderá evitar completamente a regulamentação local.

Um risco ainda maior reside no problema das contas aninhadas: se prestadores de serviços no exterior se disfarçarem como usuários varejistas comuns para abrir contas em exchanges locais regulamentadas, transações ilegais em grandes volumes excederão drasticamente o padrão de um investidor varejista comum, e, como os sistemas de controle de risco das plataformas locais são fracos, isso introduzirá riscos graves, como listas de sanções e fundos ilícitos.

O relatório destaca que a arbitragem regulatória é um risco estrutural subjacente: provedores offshore escolhem jurisdições com regulamentação mais branda para registro, reduzindo custos de conformidade como due diligence de clientes e regra da viagem, competindo com preços baixos e pressionando plataformas regulamentadas e licenciadas, prejudicando o ambiente regulatório justo do setor e impactando os sistemas regulatórios locais.

Os países já implementaram gradualmente medidas de controle: utilizando análise de blockchain, inteligência aberta e relatórios de transações suspeitas em plataformas locais para identificar provedores offshore; adotando a “regulação baseada na localização do negócio”, exigindo registro obrigatório sempre que a plataforma fizer marketing para residentes locais ou integrar canais de pagamento locais; algumas jurisdições exigem que provedores offshore nomeiem um responsável local por conformidade e mantenham integralmente os dados dos clientes. Para provedores offshore que se recusarem a cooperar, devem ser aplicadas medidas graduais, como alertas públicos, remoção das lojas de aplicativos, corte dos canais financeiros locais e responsabilização criminal; promover cooperação transfronteiriça por meio da colaboração interdepartamental nacional, visitas mútuas entre agências reguladoras internacionais e a rede FIU.

2.5 Lacuna regulatória em finanças descentralizadas (DeFi)

Globalmente, é difícil identificar os titulares reais de controle de projetos DeFi, e a maioria das jurisdições não impõe requisitos de licenciamento ou registro para projetos DeFi incluídos no escopo de supervisão da FATF. Problemas como DEX, pontes intercadeia e ferramentas de privacidade que interrompem a rastreabilidade de fundos na cadeia não são resolvidos, e a lacuna no controle de riscos de lavagem de dinheiro continua a se expandir.

Na pesquisa de 2026, apenas 18% (26 dos 142) concluíram uma avaliação de risco do setor DeFi, e 9% estão em andamento com a avaliação. 93% (132) não conseguem identificar projetos DeFi dentro de sua jurisdição que se enquadrem na definição de VASP; 31% (44) possuem regras de controle de risco existentes que abrangem DeFi, mas apenas 4 estabeleceram exigências obrigatórias de licenciamento, apenas 2 concluíram o registro e licenciamento de projetos DeFi, e apenas 35% (50) das autoridades reguladoras realizam intercâmbio com a indústria para mapear os modelos de negócio e riscos do DeFi.

Os principais desafios regulatórios no DeFi são operações transfronteiriças, ausência de pessoa jurídica física e falta de pontos de intervenção regulatórios claros. As autoridades reguladoras possuem capacidade técnica limitada em blockchain, dificultando a identificação do controle real dos projetos, com apenas 1 caso relatado de aplicação da lei contra projetos DeFi irregulares.

3.1 Tarefas principais voltadas para órgãos reguladores

3.1.1 Avaliação abrangente de riscos

Independentemente do modelo de permissão ou proibição, é necessário estabelecer uma compreensão clara e abrangente dos riscos de lavagem de dinheiro, financiamento do terrorismo e financiamento da proliferação associados a VA/VASP. A avaliação de risco deve abranger VASP domésticas, VASP no exterior, emissores de stablecoins, DeFi, carteiras não custodiadas, novas tecnologias do setor e novos modelos de negócios criminosos.

3.1.2 Construir um sistema regulatório VASP completo

- Licenciamento / mecanismo de registro obrigatório: VASP locais, emissores de stablecoins em conformidade e DeFi regulamentados devem possuir licença; provedores de serviços offshore transfronteiriços devem ser registrados obrigatoriamente quando atenderem aos critérios.

- Inspeções regulatórias normalizadas: inspeção dupla, presencial e não presencial, verificando a implementação de regras de viagem, KYC e outras conformidades anti-lavagem de dinheiro, e fornecendo orientações de correção às instituições.

- Mecanismo de penalização para atividades ilegais: estabelecer identificação e fiscalização de indivíduos e empresas que operam negócios de ativos virtuais sem licença.

3.1.3 Fortalecer a colaboração transfronteiriça entre público e privado, estabelecendo um canal para congelar e recuperar ativos ilegais

Estabelecer canais formais e informais de compartilhamento de informações transfronteiriços e interdepartamentais para identificar rapidamente os autores de crimes e os ativos ilícitos; aperfeiçoar o quadro jurídico para congelamento e apreensão rápidos de stablecoins e ativos criptográficos, a fim de enfrentar fundos ilegais transfronteiriços e descentralizados.

3.2 Obrigações de conformidade para VASPs, emissores de stablecoins e DeFi regulamentado

3.2.1 Implementar um sistema completo de conformidade AML/CFT e aplicar rigorosamente a Travel Rule

- Avaliar continuamente os riscos operacionais, com foco no monitoramento de stablecoins, carteiras não custodiadas, prestadores de serviços offshore e novos riscos relacionados ao DeFi;

Ferramentas de gerenciamento de risco integradas: KYC (Conhecimento do Cliente), verificação de carteiras na blockchain, listas brancas e negras, funcionalidades de bloqueio e congelamento de ativos, capazes de serem atualizadas rapidamente para enfrentar novas técnicas de fraude e lavagem de dinheiro;

Cooperar ativamente com autoridades regulatórias e instituições do setor, compartilhando características de transações suspeitas e sinais de alerta de risco, e apoiando investigações e coleta de evidências por parte das autoridades.

3.2.2 Implementar medidas de controle específicas para cenários de alto risco

- Reforçar a monitorização de transações em carteiras não custodiais e aplicar due diligence aprimorada (EDD) a transações de carteiras de alto risco;

- Implement on-chain monitoring and blockchain analysis tools (such as Beosin KYT) to automatically identify and alert on suspicious activities such as large fund transfers and layered money laundering; analyze and trace over 120 complex cross-chain protocols and mixer transactions to assess money laundering risks of DeFi protocols, cross-chain bridges, mixers, and other tools;

- Realizar due diligence rigorosa sobre VASPs offshore, identificar contas de plataformas offshore disfarçadas como investidores individuais, restringir canais de cooperação de alto risco e monitorar canais de entrada e saída de moeda fiduciária conectados a plataformas offshore sem licença.

O sétimo relatório de atualização direcionada do FATF indica progresso na regulamentação de ativos virtuais globalmente, mas os riscos centrais — como falhas na aplicação da lei, vácuos regulatórios em DeFi, arbitragem em plataformas offshore e vulnerabilidades em P2P de stablecoins e carteiras autocontroladas — persistem. O relatório enfatiza uma lógica fundamental: ativos virtuais não têm fronteiras, e uma lacuna regulatória em um jurisdição é uma vulnerabilidade no sistema financeiro global. Para jurisdições com atividades significativas de VASP, o FATF exige a aceleração da implementação efetiva da R.15. As jurisdições que ainda não iniciaram devem priorizar avaliações de risco e a construção de um quadro legal; as que já têm avanços devem priorizar ações regulatórias substanciais. Diante do contínuo crescimento do mercado global de ativos virtuais e da complexidade crescente das técnicas criminosas, a velocidade da regulamentação deve acompanhar a evolução dos riscos. Este é tanto um apelo do FATF quanto uma exigência real do sistema global de segurança financeira em ativos virtuais.

Link do relatório: https://www.fatf-gafi.org/en/publications/Fatfrecommendations/targeted-updated-virtualassets-vasps-2026.html

Beosin, uma das primeiras empresas globais de segurança blockchain a atuar com verificação formal, oferece um ecossistema completo de serviços focados em “segurança + conformidade”, com escritórios em mais de 10 países e regiões. Seus serviços abrangem auditoria de segurança de código antes da listagem de projetos, monitoramento e bloqueio de riscos de segurança durante a operação dos projetos, recuperação de ativos roubados, anti-lavagem de dinheiro (AML) para ativos virtuais e avaliações de conformidade alinhadas às exigências regulatórias locais — tudo integrado em uma solução “tudo-em-um” de conformidade blockchain e serviços de segurança. Entre em contato conosco por meio da caixa de mensagens do nosso canal oficial.