O que a Bity anunciou, exatamente

A Bity opera no país desde 2018 e foi o primeiro marketplace de criptomoedas da América Latina. Com o acordo, a empresa muda o foco: mantém apenas a vertical de negociação com recursos próprios e encerra BityPreço, BityBank e BityPayments.

“Nós temos outras verticais que não dependem de licença para funcionar. Mas todos os outros produtos que ofereciam serviços para terceiros, envolvendo criptomoedas, serão encerrados”, disse ao Valor o fundador e CEO Valdiney Pimenta. A empresa confirmou que não vai pedir autorização como prestadora de serviços de ativos virtuais (PSAV) ao Banco Central: “Não pedir a autorização como PSAV é uma decisão sobre as prioridades da Bity, e não sobre o mercado.”

No comunicado enviado aos clientes, a Bity cita as Resoluções BCB 519, 520 e 521 — que desde fevereiro exigem autorização prévia do BC de quem intermedia, custodia ou faz corretagem de ativos virtuais para terceiros — e afirma que, após avaliar as alternativas ao longo de 2026, decidiu concentrar capital e estrutura em outras frentes. A saída não começou agora: em 14 de setembro a empresa já havia encerrado o cartão de criptomoedas, com clientes direcionados à Kast.

Os três prazos que valem dinheiro

Quem tem saldo na Bity precisa olhar o calendário — e não são meses de folga:

• 25 de novembro: última data para vender os ativos na plataforma, transferi-los para uma carteira externa ou migrar a conta para o Mercado Bitcoin.
• 27 de novembro: os criptoativos que ainda estiverem na plataforma são convertidos em reais a preço de mercado e o saldo fica disponível na conta.
• 29 de novembro: prazo para a transferência dos saldos em criptomoedas dentro da migração para o MB e para usar as condições de boas-vindas — período ampliado de taxa zero na compra e venda, renda fixa digital, staking e atendimento dedicado para carteiras maiores, segundo a parceria anunciada.

O ponto que passa batido é o 27 de novembro. Conversão automática é venda: você deixa de ter Bitcoin e passa a ter reais, na cotação daquele dia, sem escolher o momento. Quem tem prejuízo acumulado no ativo passa a ter o prejuízo realizado — e quem tem lucro precisa olhar o imposto, que segue a regra de ganho de capital em criptoativos. Já a transferência de cripto entre contas e carteiras da mesma pessoa não é evento de venda.

Esse roteiro é idêntico ao que aconteceu com a NovaDAX em 30 de setembro: saques em cripto encerrados e o que sobrou convertido em reais. É o padrão da nova fase do mercado brasileiro.

Você não é obrigado a migrar — são quatro saídas

A migração para o Mercado Bitcoin não é obrigatória. Roberto Dagnoni, chairman e CEO do MB, resumiu a promessa da casa: “Nosso compromisso é que os clientes da Bity tenham uma transição simples e segura.” A negociação entre as duas empresas durou cerca de quatro meses. O que o cliente pode fazer até 25 de novembro:

1. Migrar para o Mercado Bitcoin, aceitando as condições de boas-vindas e mantendo a posição sem evento de venda.
2. Transferir os criptoativos para outra corretora que esteja no processo de autorização do BC, e o saldo em reais via Pix. O mercado oferece alternativas além da indicada, e a comparação de caminhos já circula entre os próprios players.
3. Levar para uma carteira de autocustódia, assumindo você mesmo a guarda das chaves. Aqui valem as regras de sempre: carteira quente x carteira fria e o cuidado absoluto com a frase de recuperação — quem perde a seed perde o saldo, e ninguém devolve.
4. Vender e sacar em reais, usando Pix para levar o dinheiro para o banco, no passo a passo de como vender cripto e sacar em BRL.

Quem quer manter a custódia em plataforma regulada tem hoje uma porta adicional: o Nubank Cripto passou a permitir saques on-chain de BTC, ETH, SOL e USDC para carteiras externas, segundo a própria instituição — ou seja, dá para sair do banco digital para uma carteira própria quando for conveniente. Antes de escolher destino, vale comparar taxas, limites e condições do Mercado Bitcoin.

Por que isso está acontecendo agora: a régua de 30 de outubro

O pano de fundo é uma data. As regras para PSAVs estão em vigor desde 2 de fevereiro de 2026 e as empresas que já operavam naquela data têm até 30 de outubro para protocolar o pedido de autorização no Banco Central, permanecendo ativas durante a análise. Depois do prazo, ainda é possível pedir autorização — mas o novo entrante só começa a operar depois do aval, num processo que pode levar de dois a três anos, conforme apurou o Valor. Bancos, corretoras de valores e instituições já autorizadas seguem outro rito, apenas de comunicação.

E o número que explica a onda de saídas: até 18 de setembro, apenas cinco empresas haviam protocolado o pedido — quatro em análise e uma indeferida por falhas de documentação e capital mínimo insuficiente. O capital mínimo exigido fica entre R$ 10,8 milhões e R$ 37,2 milhões, em faixas definidas pela atividade da empresa. A primeira instituição que o BC listou publicamente como “em processo de autorização” foi a Onda Finance, no Comunicado nº 45.986, em 21 de setembro — uma empresa de stablecoins e remessas internacionais.

O calendário do setor, portanto, é este: 30 de outubro para o pedido de autorização; 6 de novembro para a vedação, trazida pela Resolução BCB 589, de instituições autorizadas operarem com prestadoras não autorizadas no país; e 1º de janeiro de 2027 para os reportes de saldos de clientes, custódia, provas de reservas e staking, além da retenção cautelar de até 24 horas em envios para o exterior e para carteiras autocustodiadas, segundo a nota oficial do BC.

Como checar se a sua corretora vai ficar

Antes de escolher onde guardar o saldo, faça cinco verificações. Leva menos de meia hora e evita repetir a situação da Bity com outro nome:

1. Procure o nome da plataforma nos comunicados do BC. A página de ativos virtuais do Banco Central reúne as normas e os comunicados do regime de autorização.
2. Pergunte ao suporte, por escrito, se a empresa protocolou o pedido de PSAV e em que data. A resposta por e-mail ou chat vale como registro.
3. Confirme a segregação patrimonial: os seus criptoativos não podem responder por dívidas da empresa. Isso é exigência da Resolução 520.
4. Teste um saque pequeno. Retirar uma fração dos ativos para outra corretora ou para a sua carteira hoje mostra, na prática, se o processo funciona — e não no dia em que você precisar.
5. Não deixe saldo parado sem resposta. Se a plataforma não confirmar o pedido até 30 de outubro, o prazo do dinheiro passa a ser o dela, não o seu.

O que mudou no radar do Coaf em outubro

Para quem vai movimentar valores maiores nessa transição, há uma mudança que entrou em vigor em 1º de outubro: a Resolução BCB 588 passou a exigir comunicação específica ao Coaf das transferências de ativos virtuais de ou para carteiras autocustodiadas em valor igual ou superior a US$ 10 mil. O dever é da corretora, não do cliente; a norma não proíbe a operação e não fixa teto para ela — muda o registro, não o direito de guardar os próprios ativos. O detalhamento está em autocustódia e Coaf: o que muda.

E há uma novidade recente e favorável: a Resolução BCB 591, publicada no fim de setembro, ampliou o prazo de comunicação. A obrigação segue valendo para as operações feitas desde 1º de outubro, mas as transferências de outubro a dezembro de 2026 só precisam ser comunicadas ao Coaf no primeiro dia útil de janeiro de 2027 — o mesmo vale para câmbio com moeda estrangeira em espécie a partir de US$ 10 mil, como detalhou o Let’s Money com base na norma publicada pelo Banco Central.

O mercado em cima disso

O movimento acontece num dia de alívio. Na sexta-feira (2), o bitcoin subia 3,4% em 24 horas, a US$ 86.124, e era negociado no Brasil a R$ 450.111, com o relatório de emprego americano mostrando apenas 29 mil vagas em setembro, contra 84 mil esperadas, e desemprego em 4,2%. Os ETFs à vista de bitcoin voltaram a captar: US$ 102,7 milhões em 1º de outubro. Solana subia 4,1% (US$ 121,79), XRP avançava 3,1% (US$ 1,53), o ether ganhava 2% (US$ 2.730,14) e a BNB, 1,6% (US$ 778,83).

Do outro lado do balcão, a pressão foi grande: as liquidações de posições vendidas passaram de US$ 240 milhões nas últimas 24 horas, com o preço rompendo uma parede de liquidez de ordens de venda que o levou perto de US$ 87,8 mil. É o tipo de dia em que decidir às pressas sai caro — e é exatamente por isso que os prazos da Bity merecem ser tratados com calma e antecedência, não no último dia útil de novembro.

Como o brasileiro se posiciona

Consolidação de corretoras não é o fim do mercado: é a troca de um mercado informal por um mercado com regra, capital mínimo, segregação de patrimônio e contraparte fiscalizada. Quem sai ganhando é o investidor que escolhe onde deixar o dinheiro com critério — e que não confunde a data de vencimento de uma plataforma com a sua própria tese.

Para quem quer começar ou continuar comprando com o cadastro mais simples e depósito por Pix, a porta de entrada mais usada pelos brasileiros segue sendo a Binance, que aceita reais, tem taxa competitiva e liquidez profunda em BTC, ETH, SOL e stablecoins.

Se a ideia é dividir a custódia entre mais de uma plataforma — o que faz todo sentido depois de ver três corretoras saírem do varejo em um mês —, a Bybit também atende o investidor brasileiro, aceita Pix e permite manter posições separadas da sua corretora principal.

Este conteúdo é apenas informativo e não constitui recomendação de investimento. Criptomoedas envolvem riscos. Faça sua própria pesquisa (DYOR).

Em reais, é dinheiro sério: são cerca de US$ 4,5 milhões, algo perto de R$ 23 milhões com o bitcoin rondando os US$ 84 mil e o dólar na casa dos R$ 5,18. Mas é pouco diante do tamanho do estrago — esses 52,37 BTC representam 2,8% de tudo o que a Galaxy Digital conseguiu rastrear no episódio.

E existe um número que importa muito mais para você, se guarda bitcoin em carteira própria: atualizar o firmware do aparelho não conserta a seed que já foi criada. Quem gerou a frase de recuperação entre março de 2021 e julho de 2026 em um Coldcard afetado segue carregando uma chave que um computador comum consegue reconstruir. O firmware novo protege as carteiras futuras. A sua, se caiu naquela janela e não teve dados físicos adicionados na criação, continua exposta hoje.

O que aconteceu com a Coldcard entre julho e setembro

A linha do tempo é curta e vale ser lida com atenção, porque as datas explicam por que tanta gente ainda está em risco.

A fabricante canadense Coinkite publicou o aviso de segurança em 30 de julho de 2026. No dia seguinte, 31 de julho, já havia firmware emergencial para todas as linhas afetadas. No mesmo período, as primeiras ondas de saques aconteceram: cerca de 594 BTC — na época algo como US$ 38 milhões — drenados de aproximadamente 500 carteiras em um intervalo de cerca de 25 minutos, entre 01h31 e 01h56 UTC de 31 de julho.

O rastreamento da Galaxy Digital soma 1.789,28 BTC desviados desde 31 de julho, e o total publicado pela empresa chega a cerca de 1.830 BTC distribuídos por 9.162 endereços. As perdas estimadas passam de US$ 100 milhões, com relatos de US$ 114 milhões e picos citados na casa dos US$ 130 milhões (CoinDesk, Decrypt).

A parte que assusta de verdade: não houve acesso físico, não houve phishing e não houve malware na máquina de ninguém. As chaves foram reconstruídas fora do aparelho, a partir de endereços públicos.

A causa, em português simples

Em março de 2021, uma migração de código durante a troca de bibliotecas criptográficas mudou o caminho usado para gerar a seed do aparelho. Em vez de chamar o gerador de números aleatórios por hardware — o chip dedicado que produz ruído físico genuíno —, o firmware passou a resolver para um gerador pseudoaleatório de software, o Yasmarang, embutido no MicroPython. Esse gerador foi inicializado com dados previsíveis: os 32 bits baixos do identificador do chip, o contador SysTick e registradores de relógio. Depois disso, não coletou mais nenhuma entropia nova, conforme a análise técnica do caso.

O erro que permitiu tudo isso foi banal: uma checagem de compilação, o #ifndef MICROPY_HW_ENABLE_RNG, testava apenas se a configuração existia, e não qual valor ela tinha. Como o valor estava definido como zero — desligado —, a compilação passou sem erro e o binário saiu com o gerador fraco no lugar do forte.

O resultado numérico é o que explica o roubo. Uma seed de 12 palavras deveria carregar 128 bits de imprevisibilidade. Nos Mk2 e Mk3 com firmware 4.0.1 a 4.1.9, sobraram cerca de 40 bits — aproximadamente 1,1 trilhão de combinações, um espaço que se varre em minutos ou horas com hardware comum. Nos Mk4, Mk5 e Q antes das versões corrigidas, a estimativa é de cerca de 72 bits, ainda muito abaixo do esperado, como mostra a tabela de versões afetadas.

Para não espalhar pânico errado: TAPSIGNER, OPENDIME e SATSCARD não são afetados, porque usam outra base de código. O problema é específico das linhas Mk2, Mk3, Mk4, Mk5 e Q.

Como saber se o seu endereço está entre os recuperados

Qualquer pessoa pode checar, e a checagem é gratuita. O endereço é cryptorecoverytrust.com: basta informar o endereço público da carteira para ver se ele aparece entre os fundos recuperados — a checagem inicial pede apenas o endereço público, e a prova de titularidade é um passo separado. Nada mais que isso — endereço público, nunca seed, nunca chave privada, nunca PIN.

Vale entender com quem você está lidando. O Recovered Digital Asset Statutory Trust of Wyoming é um trust estatutário registrado no Wyoming sob o número 2026-002059293, com o trustee Agentic Trace LLC (registro 2025-001845943). A Divisão de Bancos do Wyoming determinou que o trust não precisa de licença de trust company nem de licença de transmissora de valores, e o próprio trust informa que não cobra nenhuma taxa dos donos. A prova de titularidade é feita por assinatura de uma mensagem única, no seu próprio aparelho — só a assinatura sai dali. A chave privada não cruza rede alguma.

O valor depositado não veio do nada. A DART, firma especializada em recuperação de ativos digitais, relatou em 17 de agosto ter assegurado pouco mais de 50 BTC e os depositado no trust (Gate). O pesquisador de segurança Nick Bax participou do resgate de cerca de 50 BTC no fim de julho — moedas que, segundo ele, estavam “prestes a ser roubadas”. Alex Thorn, da Galaxy, estima que cerca de 40% da “onda 2” do ataque tenha sido varrida por white hats, isto é, por gente que entrou primeiro para proteger, não para roubar.

Agora, a verdade desconfortável: aparecer na lista não significa receber. O trust revisa registros de recuperação, cadeia de custódia e comprovantes de propriedade, faz triagem de sanções e pode recusar reivindicações concorrentes. Nenhuma vítima recuperou fundos por via judicial até agora, e o processo tende a se arrastar por meses.

As três armadilhas que ainda podem custar tudo

Armadilha 1 — “já atualizei o firmware, estou seguro”. Falso, e é o erro mais caro do momento. As versões corrigidas são Mk3 4.2.0+, Mk4/Mk5 standard 5.6.0+, Mk4/Mk5 Edge 6.6.0X+, Q standard 1.5.0Q+ e Q Edge 6.6.0QX+. Em 21 de agosto a Coinkite publicou novo firmware após uma auditoria assistida por inteligência artificial, e as versões recomendadas hoje são 5.6.2 para Mk4/Mk5 e 1.5.2Q para a linha Q. Tudo isso corrige a geração futura de seeds. A seed antiga continua a mesma, e o caminho correto é gerar uma nova e migrar os fundos. Existe uma exceção verificável: quem adicionou 50 ou mais lançamentos privados de dados na criação da seed não é considerado em risco por essa falha específica — de 50 a 98 rolagens equivalem a cerca de 128 bits de entropia, e 99 ou mais chegam perto de 256 bits. Uma passphrase BIP-39 forte cria uma carteira separada, mas a recomendação da fabricante continua sendo migrar.

Armadilha 2 — o golpe da “recuperação” com taxa antecipada. Ataques assim atraem uma segunda leva de vítimas. O roteiro é sempre parecido: pedem adiantamento, “taxa de desbloqueio”, instalação de AnyDesk ou TeamViewer, ou simplesmente a seed phrase. Ninguém legítimo pede seed, chave privada, PIN ou código de recuperação — e o FBI orienta, no IC3, não pagar por serviços de recuperação de fundos. Digite o endereço do site manualmente, no navegador, em vez de clicar em links recebidos por mensagem, e-mail ou anúncio.

Armadilha 3 — pressa. Migração feita com pressa é como as pessoas perdem moedas. Transfira primeiro um valor pequeno de teste, confira no aparelho se o endereço novo é o correto e só depois mova o saldo. E nunca fotografe, nunca digite em site e nunca guarde digitalmente a seed ou a sequência de dados usada na criação.

O que isso muda para quem está no Brasil

Aqui não existe a estrutura que salvou as vítimas americanas. O trust do Wyoming só funciona porque aquele estado tem legislação específica para custódia de ativos digitais desde 2019 — no Brasil, um resgate desses feito por terceiros ficaria em zona cinzenta: a Lei 14.478/2022 e o marco em construção pelo Banco Central tratam de prestadores de serviços de ativos virtuais, não de resgates emergenciais feitos por terceiros (BitNotícias).

E o calendário brasileiro encosta nesse assunto. Pela Resolução BCB nº 588, a partir de 1º de outubro de 2026, transferências de ou para carteira autocustodiada de valor igual ou superior a US$ 10 mil devem ser comunicadas ao Coaf até o dia útil seguinte, sem depender de suspeita — a norma não proíbe a autocustódia, só dá visibilidade à passagem entre a corretora e a carteira do usuário (SpaceMoney, G1). Já a Resolução BCB nº 584 prevê, a partir de 1º de janeiro de 2027, retenção de até 24 horas em transferências acima de US$ 10 mil destinadas a prestadoras no exterior ou a carteiras autocustodiadas (Cointelegraph Brasil). Quem planeja migrar fundos depois de 1º de outubro entra nesse trilho de reporte.

Na parte tributária, a boa notícia: migrar fundos entre carteiras do mesmo titular não é alienação, então não gera ganho de capital. O imposto aparece na venda ou na troca. Vendas de até R$ 35 mil por mês em custódia no Brasil são isentas; acima disso vale a tabela de ganho de capital, de 15% a 22,5%, com DARF código 4600. Em plataforma estrangeira, 15% sem faixa de isenção, pela Lei 14.754/2023. E há obrigações de reporte: declaração de posse em “Bens e Direitos” a partir de R$ 5.000 por criptoativo em 31/12, e a DeCripto (IN RFB nº 2.291/2025), em vigor desde julho de 2026, para operações via prestadoras no exterior, plataformas descentralizadas ou fora de prestadoras, conforme as normas da Receita Federal. A MP 1.303/2025 caducou e as regras acima continuam valendo.

Tem ainda um efeito colateral de comportamento que merece honestidade: parte dos usuários afetados passou a transferir saldo para corretoras centralizadas — o oposto do mantra de autocustódia. Faz sentido no susto e cria outro risco no longo prazo, porque troca risco de software por risco de contraparte. A memória da FTX e da Mt. Gox é recente o bastante para lembrar que custódia terceirizada também tem histórico de perda. O equilíbrio prático é ter uma parte em autocustódia com seed nova e conferida, e uma parte em plataforma regulada, na proporção do seu patrimônio e do quanto você consegue proteger com as próprias mãos.

O que fazer agora: 7 passos

1. Descubra qual firmware gerou a sua seed atual. Se foi Mk2/Mk3 entre 4.0.1 e 4.1.9, ou Mk4/Mk5/Q antes das versões corrigidas, trate a seed como afetada.
2. Consulte o endereço público em cryptorecoverytrust.com para ver se ele está entre os fundos já recuperados.
3. Se houver correspondência, inicie a reivindicação assinando a mensagem no próprio aparelho e reúna comprovantes de origem dos fundos. Um endereço na lista não garante pagamento — mas sem isso não há devolução.
4. Se a seed veio de firmware afetado e você não adicionou pelo menos 50 lançamentos privados de dados, instale o firmware corrigido, gere uma seed nova e migre os fundos em etapas, testando com valor pequeno primeiro.
5. Nunca pague ninguém pela recuperação. Taxa antecipada, “desbloqueio” e pedido de seed são assinatura de golpe.
6. Reporte. No Brasil, golpes podem ser registrados na delegacia virtual e no IC3 se houver alcance internacional.
7. Reveja onde o saldo está guardado. Uma carteira de hardware com seed fraca não é autocustódia de verdade: é risco disfarçado de segurança.

O que quebrou não foi o bitcoin. Foi a implementação de uma biblioteca dentro de um aparelho que todo mundo tratava como inviolável, e o conserto não vem por atualização — vem por gerar uma chave nova. Quem entende isso hoje sai na frente: seed nova, aparelho atualizado, endereço conferido e uma parte do patrimônio numa plataforma regulada. Isso está inteiramente sob o seu controle, e é o único pedaço desse episódio que ninguém pode tirar de você.

Três números ajudam a entender o caso: a estimativa inicial de US$ 351,6 milhões foi elevada para US$ 387,5 milhões, enquanto a empresa afirma ter um fundo de proteção superior a US$ 464 milhões. A existência desse fundo, porém, não informa quando os saques voltarão.

O que aconteceu e quando os saques pararam

Em 24 de setembro de 2026, às 15h31 de Brasília, ou 18h31 UTC, a segurança da Bitget detectou transferências não autorizadas. A exchange, sediada em Seychelles, identificou comprometimento em parte das camadas de carteiras quentes e mornas. As carteiras frias ficaram fora do alcance do ataque.

A sequência reúne quatro pontos:

• 24 de setembro: detecção das movimentações e divulgação inicial de US$ 351,6 milhões afetados, com suspensão dos saques, como registra a Bloomberg.
• Explicação da direção: a CEO Gracy Chen descreveu a invasão de um sistema de infraestrutura e descartou vazamento de chaves privadas.
• 25 de setembro: a estimativa passou a aproximadamente US$ 387,5 milhões; a empresa lançou recompensa de 5% sobre valores congelados ou recuperados.
• Situação informada: os saques continuam suspensos preventivamente para revisão de segurança. A Bitget diz que anunciará uma janela de retomada após as confirmações necessárias.

Segundo a empresa, os saldos dos clientes estão corretos, e depósitos e negociações funcionam normalmente. Isso não equivale à disponibilidade para retirada. Também não permite concluir que clientes perderam definitivamente o acesso ao dinheiro.

O ataque enganou o processo de autorização

O ponto incomum está no caminho usado para movimentar os ativos. Segundo a explicação apresentada, os invasores comprometeram um sistema crítico de retaguarda, falsificaram dados de transações e acionaram o próprio fluxo de autorização e assinatura da Bitget. A BleepingComputer detalha o comprometimento da infraestrutura de carteiras.

Em linguagem simples, carteiras quentes ficam ligadas à operação online; as mornas representam uma camada intermediária de acesso; as frias mantêm as chaves fora dessa rotina conectada. Neste episódio, apenas partes das duas primeiras camadas foram atingidas. A CEO afirma que o vazamento de chaves privadas foi descartado.

Foram 19 transferências, distribuídas entre Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BNB Smart Chain e Base. Na contagem on-chain da Lookonchain, a maior perda por rede foi de 102,93 milhões de XRP, cerca de US$ 157,48 milhões. Outra parcela foi de 31.890 ETH, aproximadamente US$ 85,75 milhões.

É essencial separar os produtos: o aplicativo de autocustódia Bitget Wallet não foi afetado, segundo as informações divulgadas. Sua infraestrutura é independente da exchange.

De US$ 351,6 milhões a US$ 387,5 milhões: a conta do fundo

A revisão acrescentou Zcash e parte dos saldos em TRON que haviam ficado fora do cálculo inicial. Portanto, os US$ 387,5 milhões representam uma atualização da estimativa do mesmo incidente, não a divulgação de outro ataque.

O fundo de proteção dos usuários reúne 5.500 BTC, avaliados em mais de US$ 464 milhões. A Bitget afirma que esse patrimônio é suficiente para absorver integralmente o prejuízo.

Na comparação com US$ 464 milhões, a estimativa antiga equivalia a aproximadamente 76%. A nova consome uma parcela ainda maior do valor de referência. Como o fundo é composto por bitcoin, sua avaliação em dólares acompanha o preço do ativo: o número divulgado precisa ser entendido nesse contexto.

Para o cliente, há duas questões distintas a acompanhar: a capacidade declarada de cobrir as perdas e a conclusão da revisão que permitirá reabrir saques. Um fundo anunciado não substitui evidências verificáveis de reservas nem uma comunicação objetiva sobre o acesso aos ativos.

A suspeita sobre a Coreia do Norte ainda não é conclusão

Gracy Chen afirmou que investigadores identificaram um IP compatível com uma VPN usada por um grupo norte-coreano. Características da operação também lembrariam ataques anteriores associados à Coreia do Norte, segundo o relato abordado pelo Gizmodo.

A atribuição é preliminar e ainda não foi confirmada. A CEO também descartou participação interna. Mandiant, SlowMist e autoridades policiais participam da investigação; algumas redes já congelaram endereços dos atacantes.

Ben Zhou, CEO da Bybit, ofereceu ajuda e ampliou o uso da plataforma LazarusBounty para rastrear os recursos. Essas iniciativas e a recompensa da Bitget são esforços de recuperação, sem comprovar a devolução integral dos valores.

Brasil: Pix, autocustódia e autorização entram na mesma conversa

Para o brasileiro, a pergunta vai além do saldo em dólares. Quem usa reais, Pix e transferências de USDT precisa conferir tanto a segurança da custódia quanto a possibilidade de relacionamento da plataforma com o sistema bancário local.

Em 23 de setembro, o Banco Central publicou as resoluções BCB 588/2026 e 589/2026. O calendário anunciado contém obrigações com vigência posterior à publicação desta matéria. A Resolução BCB 588 integra esse conjunto de mudanças.

A partir de 1º de outubro de 2026, transferências de criptoativos de ou para carteiras de autocustódia, a partir de US$ 10 mil, deverão ser comunicadas ao Coaf pelo prestador que executar a operação. Como explica a Let’s Money, a obrigação é do prestador, não do cliente. A medida não proíbe a transferência nem estabelece um teto para ela.

Outra etapa começa em 1º de janeiro de 2027: prestadores deverão enviar periodicamente ao BCB saldos de clientes, quantidades e valores sob custódia, provas de reservas verificáveis por ativo e informações sobre posições em staking. O Livecoins aborda esse monitoramento. Para o investidor, isso reforça a importância de cobrar comprovação por ativo.

Há também o acesso bancário: 30 de outubro de 2026 é o prazo para prestadores já em operação solicitarem autorização. A partir de 6 de novembro de 2026, bancos e instituições de pagamento não poderão executar ou intermediar transações com prestadores sem autorização para atuar no Brasil. A Agência Brasil apresenta as novas regras.

A situação de cada exchange deve ser conferida na lista oficial do BCB. Aceitar Pix não comprova autorização brasileira. Ao comparar Bitget, Mercado Bitcoin ou outra plataforma, faça essa verificação individual, sem presumir o resultado pelo nome ou pelo meio de pagamento.

Esses caminhos de compra e transferência não conferem proteção de depósito bancário aos criptoativos. O Brasil não dispõe de uma garantia contra quebra de exchanges equivalente ao SIPC americano. A prioridade prática é evitar manter investimentos de longo prazo na corretora e exigir reservas verificáveis.

O registro fiscal também faz parte da rotina. Desde julho de 2026, a comunicação de operações segue a IN RFB nº 2.291/2025, a DeCripto, alinhada ao CARF da OCDE. A Receita Federal informa que stablecoins representam cerca de 80% do volume historicamente declarado. Guarde comprovantes: operações deixam registros na blockchain e na esfera tributária.

O bitcoin já oscilava antes da notícia

Em 25 de setembro, o bitcoin rondava US$ 84 mil, com intervalo de aproximadamente US$ 77,9 mil a US$ 87,3 mil nos sete dias anteriores, conforme os dados do CoinGecko reunidos para esta matéria.

O ataque ocorreu, portanto, em um mercado já instável. Esse contexto pode ampliar o medo, mas não demonstra que o incidente provocou toda a oscilação observada.

Sete medidas para cuidar dos seus ativos

1. Consulte a lista de autorizações do BCB antes de escolher a plataforma e usar seus canais de entrada ou saída em reais.
2. Exija provas de reservas verificáveis, discriminadas por ativo, para avaliar a custódia oferecida.
3. Planeje retirar posições de longo prazo da exchange, aprendendo a operar uma carteira própria antes de transferir.
4. Teste com um valor pequeno quando o saque estiver disponível e confira o recebimento antes de ampliar a transferência.
5. Ative autenticação em dois fatores e lista de endereços permitidos, quando esses recursos estiverem disponíveis.
6. Mantenha a frase de recuperação fora da nuvem e proteja sua cópia contra acesso de terceiros.
7. Distribua o risco entre plataformas, evitando concentrar toda a parcela destinada a negociações em uma única empresa.

Compare plataformas sem decidir no susto

Se estiver avaliando onde negociar, compare transparência, reservas e condições de retirada antes de enviar recursos. A opção abaixo faz parte do conteúdo afiliado do site; aplique a ela os mesmos critérios de segurança.

Outra alternativa pode entrar nessa comparação, sem substituir a checagem de autorização e custódia. O vínculo afiliado também se aplica à opção seguinte.

Antes de movimentar o restante do patrimônio, confirme as condições de saque e teste o destino com uma quantia pequena.

A regra foi anunciada pelo Banco Central na quarta-feira (23), em duas resoluções que ajustam a regulação dos serviços de ativos virtuais e as normas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (Valor).

E antes que a notícia vire pânico: ninguém está proibindo você de guardar as suas próprias chaves. O que muda é o rastro.

O que exatamente passou a valer

Três pontos resumem o pacote, conforme o comunicado oficial do BC reproduzido pela Agência Brasil:

• Transferências de ativos virtuais de US$ 10 mil ou mais envolvendo carteiras autocustodiadas (nos dois sentidos: da corretora para a sua carteira e da sua carteira para a corretora) passam a ter comunicação específica ao Coaf;
• Operações de câmbio com entrega ou recebimento de moeda estrangeira em espécie a partir de US$ 10 mil entram na lista de comunicações automáticas ao órgão — ou seja, o dinheiro vivo ganhou o mesmo tratamento;
• As empresas do setor passam a entregar novas informações ao Banco Central para fins de supervisão. Essa parte específica só produz efeitos em 1º de janeiro de 2027.

O ponto que mais gera confusão: US$ 10 mil é um valor de comunicação, não um limite. O BC não proibiu operações acima desse montante nem restringiu quanto você pode transferir para a sua própria carteira (CNN Brasil). A obrigação de avisar o Coaf é da prestadora de serviços — corretora, banco ou plataforma —, não sua. Você não vai preencher nada no Coaf.

Por que o BC olhou justamente para a autocustódia

Carteira autocustodiada é aquela em que o próprio usuário controla as chaves privadas. Não existe uma instituição autorizada responsável pela custódia no meio do caminho. E é exatamente aí que mora a preocupação: sem intermediário, sobra menos informação disponível para monitorar as operações e avaliar riscos.

A analogia usada no próprio mercado é direta. Para Carlos Bloquo, CEO da Bloquo e coordenador na ABToken (Associação Brasileira de Tokenização e Ativos Digitais), o Banco Central está tratando a transferência para carteira própria como o equivalente digital de uma operação em espécie: quando o cliente saca dinheiro no caixa, o valor sai do circuito rastreável do sistema financeiro; quando ele saca stablecoin para uma carteira própria, acontece a mesma coisa. E ele faz questão de fechar a porta do alarmismo: “O Brasil manteve o direito do usuário de guardar os próprios ativos.”

Vale repetir o óbvio que muita gente esquece em dia de manchete: ser comunicado ao Coaf não significa operação ilegal. O Coaf recebe, analisa e encaminha informações sobre movimentações que podem indicar irregularidade. Aparecer num relatório não é acusação — é o sistema fazendo o trabalho de rastreamento que ele existe para fazer.

O que as empresas terão de mostrar ao BC

Além do tema do Coaf, as resoluções ampliaram o que as prestadoras de serviços de ativos virtuais precisam reportar (InfoMoney):

1. Saldos contábeis mantidos em favor de clientes e usuários das plataformas;
2. Volume total sob custódia — próprio ou de terceiros, no Brasil ou no exterior — em quantidade e em valor financeiro, com os totais por cliente;
3. Provas de reservas verificáveis, discriminadas por ativo virtual;
4. Declarações verificáveis do total de ativos de clientes destinados a staking, quando a instituição fizer esse tipo de operação.

Traduzindo: o regulador quer enxergar estoque e não só fluxo. Saber que existe lastro, quanto existe e onde está.

Atenção: são duas regras diferentes (e elas vão se somar)

Este é o ponto onde quase todo mundo se perde, porque existe outra norma, de agosto, com o mesmo número mágico de US$ 10 mil.

A Resolução BCB nº 584, publicada em 7 de agosto, criou uma retenção cautelar de até 24 horas para transferências destinadas a entidades no exterior ou a carteiras autocustodiadas quando a operação passar de US$ 10 mil (por operação ou pelo total do mesmo dia em nome do cliente). A retenção é para análise de risco, não é indisponibilidade definitiva, a instituição precisa avisar o cliente — e essa regra só entra em vigor em 1º de janeiro de 2027 (Resolução BCB nº 584, Contabeis).

Ou seja: a regra que começa em 1º de outubro é de comunicação (o dado vai para o Coaf). A regra que começa em 1º de janeiro de 2027 é de espera de até 24 horas (o dinheiro fica parado para análise). Quem transferir US$ 10 mil para a própria carteira em janeiro de 2027 vai encostar nas duas ao mesmo tempo.

O calendário que importa

Sobre a estrutura do setor, o BC publicou as regras de funcionamento e autorização das prestadoras nas Resoluções BCB nº 519, 520 e 521 (nota oficial do BC).

Quanto é US$ 10 mil em reais hoje

Usando a PTAX de venda de 23 de setembro de 2026 (R$ 5,1414), divulgada pelo próprio Banco Central (série histórica de cotações):

Para dar escala: os US$ 10 mil que disparam a comunicação são o equivalente a 0,1169 BTC com o bitcoin cotado a US$ 85.534,22 (cerca de 11.691.227 satoshis). Não é uma faixa de cliente institucional — é uma faixa de investidor pessoa física que já comprou bitcoin algumas vezes.

O que fazer agora (sem drama, sem esperteza)

1. Guarde a origem do dinheiro. Comprovantes de compra, extratos da corretora, recibos de Pix. Quem tem documento dorme tranquilo; quem não tem é que vai passar aperto.
2. Não faça fracionamento para fugir da faixa. A leitura regulatória considera a operação isolada e o total movimentado pelo mesmo cliente no mesmo dia. Quebrar US$ 30 mil em três transferências de US$ 10 mil não esconde nada — só cria um padrão estranho no seu histórico.
3. Confirme com quem você está operando. A partir de 6 de novembro, operar com contraparte não autorizada fica vedado. Antes de mandar recurso para uma plataforma, verifique se ela está autorizada ou em processo de autorização no BC.
4. Não confunda Coaf com Receita Federal. A comunicação ao Coaf é feita pela prestadora de serviços. A sua obrigação com o Fisco é outra coisa e não mudou com essas resoluções.
5. Revise o seu roteiro de stablecoin. Mais de 90% do fluxo cripto brasileiro passa por stablecoins — é justamente o caminho que o regulador está apertando. Se o seu dinheiro faz um trajeto em etapas, todas as etapas precisam estar dentro da regra.
6. Mantenha o hábito de registrar. Data, valor, endereço de destino, motivo. Isso vale tanto para o banco quanto para o seu próprio imposto de renda.

Se você está começando agora e prefere não carregar essa papelada toda, operar por uma corretora regulada continua sendo o caminho mais simples:

O mercado por trás da regra

A nova fase regulatória chega num momento em que o mercado está renovando máximas. Na quarta-feira (23), por volta das 10h30, o bitcoin recuava 0,6% em 24 horas, a US$ 85.534,22, e era negociado no Brasil a R$ 439.323,16 (-0,36%, segundo o CoinTrader Monitor, em reportagem do Valor). Mais tarde, às 16h30, a moeda operava a US$ 84.458,04, em queda de 2,34%, com o ether a US$ 2.675,05 (-3,19%), segundo dados da Binance citados pelo Estadão. Na segunda-feira, o bitcoin havia tocado US$ 87.374, a maior cotação desde 29 de janeiro de 2026.

O combustível da alta continua vindo dos Estados Unidos: os ETFs de bitcoin à vista receberam US$ 714,7 milhões na terça-feira, depois de quase US$ 1 bilhão na segunda, acumulando cerca de US$ 1,71 bilhão de entradas na semana, segundo dados citados pelo Mercado Bitcoin.

Do lado brasileiro, a regulação está reorganizando o tabuleiro. Nos últimos meses, plataformas como Bitnuvem, NovaDAX, Digitra.com, Coinext, Bitso e Crypto.com anunciaram o encerramento ou a redução das operações para o varejo no país, em vários casos citando as novas exigências regulatórias (Dinheiro Portal). O capital exigido varia de R$ 10,8 milhões a R$ 37,2 milhões, e até agora apenas cinco empresas protocolaram pedido de autorização no BC — quatro em análise e um indeferido. A Onda Finance foi a primeira companhia divulgada publicamente pelo BC como instituição em processo de autorização, em 21 de setembro, o que não significa licença concedida.

A leitura de quem está dentro do mercado é de concentração. Em encontro com jornalistas na quarta-feira (23), Bruno Samora, diretor de produtos da Matera, lembrou que o BC trabalhava com a expectativa de 100 a 150 pedidos de autorização e revisou a projeção para pouco mais de dez depois do aumento das exigências; o capital inicial, que se discutia na casa de R$ 2 milhões no começo, pode começar em cerca de R$ 15 milhões e passar de R$ 30 milhões dependendo da atividade (Monitor do Mercado). A mesma reportagem lembra o tamanho do mercado em jogo: entre julho de 2024 e junho de 2025, o Brasil movimentou US$ 318,8 bilhões em criptoativos, alta de 109,9% sobre o período anterior, com mais de 90% desse fluxo em stablecoins.

E o imposto?

Não mudou nada por causa dessas resoluções. O que vale desde 1º de julho de 2026 é a DeCripto (IN RFB 2.291/2025), que substituiu a IN 1.888/2019 e alinhou o Brasil ao padrão internacional CARF: as prestadoras de serviços licenciadas reportam mensalmente, sem valor mínimo, e o investidor pessoa física que opera fora de uma prestadora brasileira (corretora no exterior, plataforma descentralizada ou sem intermediário) reporta quando o total do mês passa de R$ 35.000. A isenção mensal de R$ 35.000 sobre ganho de capital na venda continua igual, e a declaração anual de bens segue obrigatória (Receita Federal).

O recado final é simples: autocustódia continua permitida no Brasil — e continua sendo uma decisão sua. O que 1º de outubro muda é que a partir de agora essa escolha aparece no papel. Quem tem os registros organizados não sente diferença nenhuma. Quem não tem vai sentir na hora errada.