O que a Bity anunciou, exatamente

A Bity opera no país desde 2018 e foi o primeiro marketplace de criptomoedas da América Latina. Com o acordo, a empresa muda o foco: mantém apenas a vertical de negociação com recursos próprios e encerra BityPreço, BityBank e BityPayments.

“Nós temos outras verticais que não dependem de licença para funcionar. Mas todos os outros produtos que ofereciam serviços para terceiros, envolvendo criptomoedas, serão encerrados”, disse ao Valor o fundador e CEO Valdiney Pimenta. A empresa confirmou que não vai pedir autorização como prestadora de serviços de ativos virtuais (PSAV) ao Banco Central: “Não pedir a autorização como PSAV é uma decisão sobre as prioridades da Bity, e não sobre o mercado.”

No comunicado enviado aos clientes, a Bity cita as Resoluções BCB 519, 520 e 521 — que desde fevereiro exigem autorização prévia do BC de quem intermedia, custodia ou faz corretagem de ativos virtuais para terceiros — e afirma que, após avaliar as alternativas ao longo de 2026, decidiu concentrar capital e estrutura em outras frentes. A saída não começou agora: em 14 de setembro a empresa já havia encerrado o cartão de criptomoedas, com clientes direcionados à Kast.

Os três prazos que valem dinheiro

Quem tem saldo na Bity precisa olhar o calendário — e não são meses de folga:

• 25 de novembro: última data para vender os ativos na plataforma, transferi-los para uma carteira externa ou migrar a conta para o Mercado Bitcoin.
• 27 de novembro: os criptoativos que ainda estiverem na plataforma são convertidos em reais a preço de mercado e o saldo fica disponível na conta.
• 29 de novembro: prazo para a transferência dos saldos em criptomoedas dentro da migração para o MB e para usar as condições de boas-vindas — período ampliado de taxa zero na compra e venda, renda fixa digital, staking e atendimento dedicado para carteiras maiores, segundo a parceria anunciada.

O ponto que passa batido é o 27 de novembro. Conversão automática é venda: você deixa de ter Bitcoin e passa a ter reais, na cotação daquele dia, sem escolher o momento. Quem tem prejuízo acumulado no ativo passa a ter o prejuízo realizado — e quem tem lucro precisa olhar o imposto, que segue a regra de ganho de capital em criptoativos. Já a transferência de cripto entre contas e carteiras da mesma pessoa não é evento de venda.

Esse roteiro é idêntico ao que aconteceu com a NovaDAX em 30 de setembro: saques em cripto encerrados e o que sobrou convertido em reais. É o padrão da nova fase do mercado brasileiro.

Você não é obrigado a migrar — são quatro saídas

A migração para o Mercado Bitcoin não é obrigatória. Roberto Dagnoni, chairman e CEO do MB, resumiu a promessa da casa: “Nosso compromisso é que os clientes da Bity tenham uma transição simples e segura.” A negociação entre as duas empresas durou cerca de quatro meses. O que o cliente pode fazer até 25 de novembro:

1. Migrar para o Mercado Bitcoin, aceitando as condições de boas-vindas e mantendo a posição sem evento de venda.
2. Transferir os criptoativos para outra corretora que esteja no processo de autorização do BC, e o saldo em reais via Pix. O mercado oferece alternativas além da indicada, e a comparação de caminhos já circula entre os próprios players.
3. Levar para uma carteira de autocustódia, assumindo você mesmo a guarda das chaves. Aqui valem as regras de sempre: carteira quente x carteira fria e o cuidado absoluto com a frase de recuperação — quem perde a seed perde o saldo, e ninguém devolve.
4. Vender e sacar em reais, usando Pix para levar o dinheiro para o banco, no passo a passo de como vender cripto e sacar em BRL.

Quem quer manter a custódia em plataforma regulada tem hoje uma porta adicional: o Nubank Cripto passou a permitir saques on-chain de BTC, ETH, SOL e USDC para carteiras externas, segundo a própria instituição — ou seja, dá para sair do banco digital para uma carteira própria quando for conveniente. Antes de escolher destino, vale comparar taxas, limites e condições do Mercado Bitcoin.

Por que isso está acontecendo agora: a régua de 30 de outubro

O pano de fundo é uma data. As regras para PSAVs estão em vigor desde 2 de fevereiro de 2026 e as empresas que já operavam naquela data têm até 30 de outubro para protocolar o pedido de autorização no Banco Central, permanecendo ativas durante a análise. Depois do prazo, ainda é possível pedir autorização — mas o novo entrante só começa a operar depois do aval, num processo que pode levar de dois a três anos, conforme apurou o Valor. Bancos, corretoras de valores e instituições já autorizadas seguem outro rito, apenas de comunicação.

E o número que explica a onda de saídas: até 18 de setembro, apenas cinco empresas haviam protocolado o pedido — quatro em análise e uma indeferida por falhas de documentação e capital mínimo insuficiente. O capital mínimo exigido fica entre R$ 10,8 milhões e R$ 37,2 milhões, em faixas definidas pela atividade da empresa. A primeira instituição que o BC listou publicamente como “em processo de autorização” foi a Onda Finance, no Comunicado nº 45.986, em 21 de setembro — uma empresa de stablecoins e remessas internacionais.

O calendário do setor, portanto, é este: 30 de outubro para o pedido de autorização; 6 de novembro para a vedação, trazida pela Resolução BCB 589, de instituições autorizadas operarem com prestadoras não autorizadas no país; e 1º de janeiro de 2027 para os reportes de saldos de clientes, custódia, provas de reservas e staking, além da retenção cautelar de até 24 horas em envios para o exterior e para carteiras autocustodiadas, segundo a nota oficial do BC.

Como checar se a sua corretora vai ficar

Antes de escolher onde guardar o saldo, faça cinco verificações. Leva menos de meia hora e evita repetir a situação da Bity com outro nome:

1. Procure o nome da plataforma nos comunicados do BC. A página de ativos virtuais do Banco Central reúne as normas e os comunicados do regime de autorização.
2. Pergunte ao suporte, por escrito, se a empresa protocolou o pedido de PSAV e em que data. A resposta por e-mail ou chat vale como registro.
3. Confirme a segregação patrimonial: os seus criptoativos não podem responder por dívidas da empresa. Isso é exigência da Resolução 520.
4. Teste um saque pequeno. Retirar uma fração dos ativos para outra corretora ou para a sua carteira hoje mostra, na prática, se o processo funciona — e não no dia em que você precisar.
5. Não deixe saldo parado sem resposta. Se a plataforma não confirmar o pedido até 30 de outubro, o prazo do dinheiro passa a ser o dela, não o seu.

O que mudou no radar do Coaf em outubro

Para quem vai movimentar valores maiores nessa transição, há uma mudança que entrou em vigor em 1º de outubro: a Resolução BCB 588 passou a exigir comunicação específica ao Coaf das transferências de ativos virtuais de ou para carteiras autocustodiadas em valor igual ou superior a US$ 10 mil. O dever é da corretora, não do cliente; a norma não proíbe a operação e não fixa teto para ela — muda o registro, não o direito de guardar os próprios ativos. O detalhamento está em autocustódia e Coaf: o que muda.

E há uma novidade recente e favorável: a Resolução BCB 591, publicada no fim de setembro, ampliou o prazo de comunicação. A obrigação segue valendo para as operações feitas desde 1º de outubro, mas as transferências de outubro a dezembro de 2026 só precisam ser comunicadas ao Coaf no primeiro dia útil de janeiro de 2027 — o mesmo vale para câmbio com moeda estrangeira em espécie a partir de US$ 10 mil, como detalhou o Let’s Money com base na norma publicada pelo Banco Central.

O mercado em cima disso

O movimento acontece num dia de alívio. Na sexta-feira (2), o bitcoin subia 3,4% em 24 horas, a US$ 86.124, e era negociado no Brasil a R$ 450.111, com o relatório de emprego americano mostrando apenas 29 mil vagas em setembro, contra 84 mil esperadas, e desemprego em 4,2%. Os ETFs à vista de bitcoin voltaram a captar: US$ 102,7 milhões em 1º de outubro. Solana subia 4,1% (US$ 121,79), XRP avançava 3,1% (US$ 1,53), o ether ganhava 2% (US$ 2.730,14) e a BNB, 1,6% (US$ 778,83).

Do outro lado do balcão, a pressão foi grande: as liquidações de posições vendidas passaram de US$ 240 milhões nas últimas 24 horas, com o preço rompendo uma parede de liquidez de ordens de venda que o levou perto de US$ 87,8 mil. É o tipo de dia em que decidir às pressas sai caro — e é exatamente por isso que os prazos da Bity merecem ser tratados com calma e antecedência, não no último dia útil de novembro.

Como o brasileiro se posiciona

Consolidação de corretoras não é o fim do mercado: é a troca de um mercado informal por um mercado com regra, capital mínimo, segregação de patrimônio e contraparte fiscalizada. Quem sai ganhando é o investidor que escolhe onde deixar o dinheiro com critério — e que não confunde a data de vencimento de uma plataforma com a sua própria tese.

Para quem quer começar ou continuar comprando com o cadastro mais simples e depósito por Pix, a porta de entrada mais usada pelos brasileiros segue sendo a Binance, que aceita reais, tem taxa competitiva e liquidez profunda em BTC, ETH, SOL e stablecoins.

Se a ideia é dividir a custódia entre mais de uma plataforma — o que faz todo sentido depois de ver três corretoras saírem do varejo em um mês —, a Bybit também atende o investidor brasileiro, aceita Pix e permite manter posições separadas da sua corretora principal.

Este conteúdo é apenas informativo e não constitui recomendação de investimento. Criptomoedas envolvem riscos. Faça sua própria pesquisa (DYOR).

Se você compra USDT via Pix, essa discussão chega à sua reserva: o token concentra 88,7% do volume declarado em stablecoins no Brasil. A Tether responde com números de cooperação e congelamentos. As acusações vêm de um relatório político da minoria democrata, sem constituir decisão judicial ou sanção formal contra a empresa.

O que o relatório do Senado americano diz

O documento “Crypto & Iran’s Shadow Banking Network” foi publicado pelos democratas do Subcomitê Permanente de Investigações, ligado ao Comitê de Segurança Interna e Assuntos Governamentais. A liderança é de Richard Blumenthal, senador por Connecticut e principal democrata do subcomitê.

A análise abrange 846 carteiras sancionadas por Israel e pelos EUA. Segundo o relatório, o USDT tornou-se um dos principais sistemas ilícitos de pagamento internacional do Irã, permitindo contornar sanções bancárias e conectar o regime a organizações terroristas aliadas. Fora do USDT, foram identificados 200.000 em USDC e 65 ETH, menos de 1% do volume analisado.

Os autores acusam a Tether de falhas repetidas nos bloqueios: antes de 2024, afirmam, os congelamentos não eram abrangentes nem consistentes; em outros casos, demoraram semanas. Atribuem a essa falta de dissuasão a migração de organizações como o Hamas para USDT.

O documento estima US$ 2 bilhões em transações do governo iraniano no ano passado, sem apresentar um total geral do período. Cita relações diretas da Tether com Binance, Gate, OKX e HTX. Para Blumenthal, a empresa e o token ocupam posição central no sistema bancário paralelo iraniano; os democratas acusam as criptomoedas de enfraquecer o combate ao terrorismo regional.

A resposta da Tether no mesmo dia

Em seu comunicado de 28/09, a Tether afirmou ter apoiado quase US$ 550 milhões em congelamentos ligados ao Irã. Disse colaborar com mais de 2.900 investigações, incluindo mais de 1.600 com autoridades americanas. O CEO Paolo Ardoino afirmou manter coordenação direta com autoridades para identificar e congelar fundos ilícitos.

O contexto inclui a apreensão de cerca de US$ 84 milhões em contas da Capstone, empresa de pagamentos de Montana que atuava para Tether e Bitfinex. O caso de 25/09 envolve ação de confisco civil do Departamento de Justiça na Califórnia. A Tether confirmou ser cliente do EQIBank, da Dominica, mas negou conhecimento das supostas condutas: os ativos ali representavam 0,034% do total do grupo.

Em 03/09, a Exame noticiou o processo de dois empresários tailandeses por US$ 42,4 milhões congelados. Eles alegam que dez carteiras foram bloqueadas em 30/10/2025, antes da ordem de 19/02/2026, e questionam bloqueios sem processo legal. A ação permanece sem decisão.

A maior emissora de stablecoins detém mais de US$ 140 bilhões em títulos americanos. Em 25/09, o USDT valia cerca de US$ 184 bilhões em capitalização, aproximadamente 60% do mercado de stablecoins.

Já em 08/09, a Tether congelou US$ 39,3 milhões em dez endereços na TRON ligados à Xinbi Guarantee. O Tesouro americano sancionou a organização no dia seguinte. Congelar tokens é uma função técnica real do emissor; a discussão sobre a legalidade de cada bloqueio é outra questão.

No mesmo dia, o dólar institucional ganhou trilho regulado

A parceria de Bybit e Franklin Templeton permite a clientes institucionais elegíveis oferecer cotas tokenizadas da plataforma Benji, depositadas na ByCustody, como garantia de crédito em USDT ou USDC. Os ativos ficam fora da exchange e continuam rendendo. As cotas somam cerca de US$ 686 milhões; a taxa de sete dias equivale a 3,7% ao ano. A gestora administra US$ 1,7 trilhão. É o segundo programa desse tipo, após a Binance em 11/02/2026. Conforme a Finance Magnates, faltam critérios de elegibilidade, deságios, limites, taxas e regras de liquidação.

O Goldman Sachs disponibilizou o FTIXX, fundo de Tesouro de US$ 100 bilhões, pela Lynq, rede de liquidação numa camada privada e permissionada da Avalanche, com operações pela tZERO Securities, registrada na SEC. É o primeiro fundo externo da Lynq, que reúne mais de 30 clientes institucionais e mais de US$ 89 milhões em ativos. O fundo não foi tokenizado: ganhou distribuição. O contraste é direto: o investidor grande oferece colateral regulado, com custódia e rendimento; você, no varejo, guarda um token de emissor privado com poder de congelamento.

Na queda do mercado em 28/09, o Bitcoin chegou a US$ 83 mil, perdendo 2,1% em 24 horas, e o CoinDesk 100 recuou 2,6%. O gatilho foi o petróleo: Brent a US$ 100,83, após Trump rejeitar condições iranianas para reabrir Ormuz. O rendimento americano de dez anos superou 5,27%. Volume maior e queda nas posições abertas mostraram encerramento de apostas.

O que isso muda para quem guarda dólar digital no Brasil

A concentração aparece nos dados oficiais da Receita Federal. Entre agosto de 2019 e dezembro de 2025, foram declarados R$ 1,58 trilhão em compras e vendas de criptoativos. As stablecoins responderam por R$ 1,13 trilhão, ou 71,7%, ultrapassando 80% do volume mensal nos anos recentes.

O USDT concentrou 88,7%, cerca de R$ 1 trilhão. USDC ficou com 7,1% e BRZ, de real, com 3,4%. Foram 185,7 milhões de operações com stablecoins, com pico de R$ 39,7 bilhões em novembro de 2025. São dados de movimentação declarada, não de saldo guardado pelos brasileiros.

O DAC 2026 mostrou operações com stablecoins crescendo de R$ 120 bilhões em 2022 para R$ 404,8 bilhões em 2025: 3,3 vezes, perto das 3,2 vezes do Pix. Para você, o USDT funciona como ponte: reais viram dólar digital via Pix em minutos, sem contrato de câmbio nem IOF na compra do ativo virtual.

As Resoluções BCB nº 588 e nº 589, de 23/09, têm vigência prevista para 1º de outubro. A 588 estabelece comunicação específica ao Coaf para transferências de ou para carteiras próprias iguais ou superiores a US$ 10 mil. É comunicação, não proibição nem apreensão.

A 589 reorganiza o reporte de saldos, reservas, custódia e staking. Também transfere de 30 de outubro para 6 de novembro a restrição a operações de bancos e instituições de pagamento com prestadoras sem autorização nem processo em andamento. Parte do envio de dados começa em 1º de janeiro de 2027.

Até 25/09, com a Mazzera, havia seis pedidos protocolados no BC. O mercado estima 120 empresas no país; mais de 30 associadas da entidade setorial pretendem protocolar até 30/10. NovaDAX, Digitra e Coinext encerraram o varejo em 2026; a Lemon deixou o Brasil citando exigências de capital.

Desde julho, a DeCripto, instituída pela IN RFB nº 2.291/2025, recebe informações para a Receita, incluindo prestadoras estrangeiras direcionadas ao Brasil. Guarde sua documentação: ganho de capital é tributado, conforme o guia de impostos. Em 28/09, o dólar à vista fechou a R$ 5,2264, alta de 0,83%, e o Bitcoin valia cerca de R$ 436 mil.

O que fazer com isso

1. Identifique o ativo. USDT representa crédito contra um emissor privado; saiba quem controla o token que você guarda.
2. Confira a corretora. Consulte a lista de pedidos de autorização do BC e verifique a situação da prestadora.
3. Entenda o congelamento. Os bloqueios de setembro mostram que essa função já foi aplicada em escala.
4. Conheça as alternativas. USDC representa 7,1% do volume declarado em stablecoins; BRZ, de real, 3,4%. Identifique o emissor de cada opção.
5. Mantenha o Pix como entrada. Registre o depósito em reais e a compra correspondente na corretora.
6. Marque o calendário. Vigência em 1º de outubro, prazo de protocolo em 30 de outubro, restrição bancária em 6 de novembro e novos dados em janeiro de 2027.
7. Guarde comprovantes. Preserve compras, vendas, transferências e extratos para as informações à Receita.

Leia também

• Consulte os detalhes da comunicação ao Coaf sobre autocustódia.
• Acompanhe a relação entre Tether e Mercado Bitcoin.
• Entenda a operação no guia de USDT e Pix.
• Compare conceitos no guia brasileiro de stablecoins.

O dólar digital virou tema de segurança nacional nos EUA no mesmo dia em que instituições ampliaram seu uso com colateral regulado. No Brasil, quase 9 de cada 10 reais do volume declarado em stablecoins passam por USDT. Onde você guarda o seu?

Confira as plataformas e conheça as condições de uso.

Em reais, é dinheiro sério: são cerca de US$ 4,5 milhões, algo perto de R$ 23 milhões com o bitcoin rondando os US$ 84 mil e o dólar na casa dos R$ 5,18. Mas é pouco diante do tamanho do estrago — esses 52,37 BTC representam 2,8% de tudo o que a Galaxy Digital conseguiu rastrear no episódio.

E existe um número que importa muito mais para você, se guarda bitcoin em carteira própria: atualizar o firmware do aparelho não conserta a seed que já foi criada. Quem gerou a frase de recuperação entre março de 2021 e julho de 2026 em um Coldcard afetado segue carregando uma chave que um computador comum consegue reconstruir. O firmware novo protege as carteiras futuras. A sua, se caiu naquela janela e não teve dados físicos adicionados na criação, continua exposta hoje.

O que aconteceu com a Coldcard entre julho e setembro

A linha do tempo é curta e vale ser lida com atenção, porque as datas explicam por que tanta gente ainda está em risco.

A fabricante canadense Coinkite publicou o aviso de segurança em 30 de julho de 2026. No dia seguinte, 31 de julho, já havia firmware emergencial para todas as linhas afetadas. No mesmo período, as primeiras ondas de saques aconteceram: cerca de 594 BTC — na época algo como US$ 38 milhões — drenados de aproximadamente 500 carteiras em um intervalo de cerca de 25 minutos, entre 01h31 e 01h56 UTC de 31 de julho.

O rastreamento da Galaxy Digital soma 1.789,28 BTC desviados desde 31 de julho, e o total publicado pela empresa chega a cerca de 1.830 BTC distribuídos por 9.162 endereços. As perdas estimadas passam de US$ 100 milhões, com relatos de US$ 114 milhões e picos citados na casa dos US$ 130 milhões (CoinDesk, Decrypt).

A parte que assusta de verdade: não houve acesso físico, não houve phishing e não houve malware na máquina de ninguém. As chaves foram reconstruídas fora do aparelho, a partir de endereços públicos.

A causa, em português simples

Em março de 2021, uma migração de código durante a troca de bibliotecas criptográficas mudou o caminho usado para gerar a seed do aparelho. Em vez de chamar o gerador de números aleatórios por hardware — o chip dedicado que produz ruído físico genuíno —, o firmware passou a resolver para um gerador pseudoaleatório de software, o Yasmarang, embutido no MicroPython. Esse gerador foi inicializado com dados previsíveis: os 32 bits baixos do identificador do chip, o contador SysTick e registradores de relógio. Depois disso, não coletou mais nenhuma entropia nova, conforme a análise técnica do caso.

O erro que permitiu tudo isso foi banal: uma checagem de compilação, o #ifndef MICROPY_HW_ENABLE_RNG, testava apenas se a configuração existia, e não qual valor ela tinha. Como o valor estava definido como zero — desligado —, a compilação passou sem erro e o binário saiu com o gerador fraco no lugar do forte.

O resultado numérico é o que explica o roubo. Uma seed de 12 palavras deveria carregar 128 bits de imprevisibilidade. Nos Mk2 e Mk3 com firmware 4.0.1 a 4.1.9, sobraram cerca de 40 bits — aproximadamente 1,1 trilhão de combinações, um espaço que se varre em minutos ou horas com hardware comum. Nos Mk4, Mk5 e Q antes das versões corrigidas, a estimativa é de cerca de 72 bits, ainda muito abaixo do esperado, como mostra a tabela de versões afetadas.

Para não espalhar pânico errado: TAPSIGNER, OPENDIME e SATSCARD não são afetados, porque usam outra base de código. O problema é específico das linhas Mk2, Mk3, Mk4, Mk5 e Q.

Como saber se o seu endereço está entre os recuperados

Qualquer pessoa pode checar, e a checagem é gratuita. O endereço é cryptorecoverytrust.com: basta informar o endereço público da carteira para ver se ele aparece entre os fundos recuperados — a checagem inicial pede apenas o endereço público, e a prova de titularidade é um passo separado. Nada mais que isso — endereço público, nunca seed, nunca chave privada, nunca PIN.

Vale entender com quem você está lidando. O Recovered Digital Asset Statutory Trust of Wyoming é um trust estatutário registrado no Wyoming sob o número 2026-002059293, com o trustee Agentic Trace LLC (registro 2025-001845943). A Divisão de Bancos do Wyoming determinou que o trust não precisa de licença de trust company nem de licença de transmissora de valores, e o próprio trust informa que não cobra nenhuma taxa dos donos. A prova de titularidade é feita por assinatura de uma mensagem única, no seu próprio aparelho — só a assinatura sai dali. A chave privada não cruza rede alguma.

O valor depositado não veio do nada. A DART, firma especializada em recuperação de ativos digitais, relatou em 17 de agosto ter assegurado pouco mais de 50 BTC e os depositado no trust (Gate). O pesquisador de segurança Nick Bax participou do resgate de cerca de 50 BTC no fim de julho — moedas que, segundo ele, estavam “prestes a ser roubadas”. Alex Thorn, da Galaxy, estima que cerca de 40% da “onda 2” do ataque tenha sido varrida por white hats, isto é, por gente que entrou primeiro para proteger, não para roubar.

Agora, a verdade desconfortável: aparecer na lista não significa receber. O trust revisa registros de recuperação, cadeia de custódia e comprovantes de propriedade, faz triagem de sanções e pode recusar reivindicações concorrentes. Nenhuma vítima recuperou fundos por via judicial até agora, e o processo tende a se arrastar por meses.

As três armadilhas que ainda podem custar tudo

Armadilha 1 — “já atualizei o firmware, estou seguro”. Falso, e é o erro mais caro do momento. As versões corrigidas são Mk3 4.2.0+, Mk4/Mk5 standard 5.6.0+, Mk4/Mk5 Edge 6.6.0X+, Q standard 1.5.0Q+ e Q Edge 6.6.0QX+. Em 21 de agosto a Coinkite publicou novo firmware após uma auditoria assistida por inteligência artificial, e as versões recomendadas hoje são 5.6.2 para Mk4/Mk5 e 1.5.2Q para a linha Q. Tudo isso corrige a geração futura de seeds. A seed antiga continua a mesma, e o caminho correto é gerar uma nova e migrar os fundos. Existe uma exceção verificável: quem adicionou 50 ou mais lançamentos privados de dados na criação da seed não é considerado em risco por essa falha específica — de 50 a 98 rolagens equivalem a cerca de 128 bits de entropia, e 99 ou mais chegam perto de 256 bits. Uma passphrase BIP-39 forte cria uma carteira separada, mas a recomendação da fabricante continua sendo migrar.

Armadilha 2 — o golpe da “recuperação” com taxa antecipada. Ataques assim atraem uma segunda leva de vítimas. O roteiro é sempre parecido: pedem adiantamento, “taxa de desbloqueio”, instalação de AnyDesk ou TeamViewer, ou simplesmente a seed phrase. Ninguém legítimo pede seed, chave privada, PIN ou código de recuperação — e o FBI orienta, no IC3, não pagar por serviços de recuperação de fundos. Digite o endereço do site manualmente, no navegador, em vez de clicar em links recebidos por mensagem, e-mail ou anúncio.

Armadilha 3 — pressa. Migração feita com pressa é como as pessoas perdem moedas. Transfira primeiro um valor pequeno de teste, confira no aparelho se o endereço novo é o correto e só depois mova o saldo. E nunca fotografe, nunca digite em site e nunca guarde digitalmente a seed ou a sequência de dados usada na criação.

O que isso muda para quem está no Brasil

Aqui não existe a estrutura que salvou as vítimas americanas. O trust do Wyoming só funciona porque aquele estado tem legislação específica para custódia de ativos digitais desde 2019 — no Brasil, um resgate desses feito por terceiros ficaria em zona cinzenta: a Lei 14.478/2022 e o marco em construção pelo Banco Central tratam de prestadores de serviços de ativos virtuais, não de resgates emergenciais feitos por terceiros (BitNotícias).

E o calendário brasileiro encosta nesse assunto. Pela Resolução BCB nº 588, a partir de 1º de outubro de 2026, transferências de ou para carteira autocustodiada de valor igual ou superior a US$ 10 mil devem ser comunicadas ao Coaf até o dia útil seguinte, sem depender de suspeita — a norma não proíbe a autocustódia, só dá visibilidade à passagem entre a corretora e a carteira do usuário (SpaceMoney, G1). Já a Resolução BCB nº 584 prevê, a partir de 1º de janeiro de 2027, retenção de até 24 horas em transferências acima de US$ 10 mil destinadas a prestadoras no exterior ou a carteiras autocustodiadas (Cointelegraph Brasil). Quem planeja migrar fundos depois de 1º de outubro entra nesse trilho de reporte.

Na parte tributária, a boa notícia: migrar fundos entre carteiras do mesmo titular não é alienação, então não gera ganho de capital. O imposto aparece na venda ou na troca. Vendas de até R$ 35 mil por mês em custódia no Brasil são isentas; acima disso vale a tabela de ganho de capital, de 15% a 22,5%, com DARF código 4600. Em plataforma estrangeira, 15% sem faixa de isenção, pela Lei 14.754/2023. E há obrigações de reporte: declaração de posse em “Bens e Direitos” a partir de R$ 5.000 por criptoativo em 31/12, e a DeCripto (IN RFB nº 2.291/2025), em vigor desde julho de 2026, para operações via prestadoras no exterior, plataformas descentralizadas ou fora de prestadoras, conforme as normas da Receita Federal. A MP 1.303/2025 caducou e as regras acima continuam valendo.

Tem ainda um efeito colateral de comportamento que merece honestidade: parte dos usuários afetados passou a transferir saldo para corretoras centralizadas — o oposto do mantra de autocustódia. Faz sentido no susto e cria outro risco no longo prazo, porque troca risco de software por risco de contraparte. A memória da FTX e da Mt. Gox é recente o bastante para lembrar que custódia terceirizada também tem histórico de perda. O equilíbrio prático é ter uma parte em autocustódia com seed nova e conferida, e uma parte em plataforma regulada, na proporção do seu patrimônio e do quanto você consegue proteger com as próprias mãos.

O que fazer agora: 7 passos

1. Descubra qual firmware gerou a sua seed atual. Se foi Mk2/Mk3 entre 4.0.1 e 4.1.9, ou Mk4/Mk5/Q antes das versões corrigidas, trate a seed como afetada.
2. Consulte o endereço público em cryptorecoverytrust.com para ver se ele está entre os fundos já recuperados.
3. Se houver correspondência, inicie a reivindicação assinando a mensagem no próprio aparelho e reúna comprovantes de origem dos fundos. Um endereço na lista não garante pagamento — mas sem isso não há devolução.
4. Se a seed veio de firmware afetado e você não adicionou pelo menos 50 lançamentos privados de dados, instale o firmware corrigido, gere uma seed nova e migre os fundos em etapas, testando com valor pequeno primeiro.
5. Nunca pague ninguém pela recuperação. Taxa antecipada, “desbloqueio” e pedido de seed são assinatura de golpe.
6. Reporte. No Brasil, golpes podem ser registrados na delegacia virtual e no IC3 se houver alcance internacional.
7. Reveja onde o saldo está guardado. Uma carteira de hardware com seed fraca não é autocustódia de verdade: é risco disfarçado de segurança.

O que quebrou não foi o bitcoin. Foi a implementação de uma biblioteca dentro de um aparelho que todo mundo tratava como inviolável, e o conserto não vem por atualização — vem por gerar uma chave nova. Quem entende isso hoje sai na frente: seed nova, aparelho atualizado, endereço conferido e uma parte do patrimônio numa plataforma regulada. Isso está inteiramente sob o seu controle, e é o único pedaço desse episódio que ninguém pode tirar de você.

A regra foi anunciada pelo Banco Central na quarta-feira (23), em duas resoluções que ajustam a regulação dos serviços de ativos virtuais e as normas de prevenção à lavagem de dinheiro e ao financiamento do terrorismo (Valor).

E antes que a notícia vire pânico: ninguém está proibindo você de guardar as suas próprias chaves. O que muda é o rastro.

O que exatamente passou a valer

Três pontos resumem o pacote, conforme o comunicado oficial do BC reproduzido pela Agência Brasil:

• Transferências de ativos virtuais de US$ 10 mil ou mais envolvendo carteiras autocustodiadas (nos dois sentidos: da corretora para a sua carteira e da sua carteira para a corretora) passam a ter comunicação específica ao Coaf;
• Operações de câmbio com entrega ou recebimento de moeda estrangeira em espécie a partir de US$ 10 mil entram na lista de comunicações automáticas ao órgão — ou seja, o dinheiro vivo ganhou o mesmo tratamento;
• As empresas do setor passam a entregar novas informações ao Banco Central para fins de supervisão. Essa parte específica só produz efeitos em 1º de janeiro de 2027.

O ponto que mais gera confusão: US$ 10 mil é um valor de comunicação, não um limite. O BC não proibiu operações acima desse montante nem restringiu quanto você pode transferir para a sua própria carteira (CNN Brasil). A obrigação de avisar o Coaf é da prestadora de serviços — corretora, banco ou plataforma —, não sua. Você não vai preencher nada no Coaf.

Por que o BC olhou justamente para a autocustódia

Carteira autocustodiada é aquela em que o próprio usuário controla as chaves privadas. Não existe uma instituição autorizada responsável pela custódia no meio do caminho. E é exatamente aí que mora a preocupação: sem intermediário, sobra menos informação disponível para monitorar as operações e avaliar riscos.

A analogia usada no próprio mercado é direta. Para Carlos Bloquo, CEO da Bloquo e coordenador na ABToken (Associação Brasileira de Tokenização e Ativos Digitais), o Banco Central está tratando a transferência para carteira própria como o equivalente digital de uma operação em espécie: quando o cliente saca dinheiro no caixa, o valor sai do circuito rastreável do sistema financeiro; quando ele saca stablecoin para uma carteira própria, acontece a mesma coisa. E ele faz questão de fechar a porta do alarmismo: “O Brasil manteve o direito do usuário de guardar os próprios ativos.”

Vale repetir o óbvio que muita gente esquece em dia de manchete: ser comunicado ao Coaf não significa operação ilegal. O Coaf recebe, analisa e encaminha informações sobre movimentações que podem indicar irregularidade. Aparecer num relatório não é acusação — é o sistema fazendo o trabalho de rastreamento que ele existe para fazer.

O que as empresas terão de mostrar ao BC

Além do tema do Coaf, as resoluções ampliaram o que as prestadoras de serviços de ativos virtuais precisam reportar (InfoMoney):

1. Saldos contábeis mantidos em favor de clientes e usuários das plataformas;
2. Volume total sob custódia — próprio ou de terceiros, no Brasil ou no exterior — em quantidade e em valor financeiro, com os totais por cliente;
3. Provas de reservas verificáveis, discriminadas por ativo virtual;
4. Declarações verificáveis do total de ativos de clientes destinados a staking, quando a instituição fizer esse tipo de operação.

Traduzindo: o regulador quer enxergar estoque e não só fluxo. Saber que existe lastro, quanto existe e onde está.

Atenção: são duas regras diferentes (e elas vão se somar)

Este é o ponto onde quase todo mundo se perde, porque existe outra norma, de agosto, com o mesmo número mágico de US$ 10 mil.

A Resolução BCB nº 584, publicada em 7 de agosto, criou uma retenção cautelar de até 24 horas para transferências destinadas a entidades no exterior ou a carteiras autocustodiadas quando a operação passar de US$ 10 mil (por operação ou pelo total do mesmo dia em nome do cliente). A retenção é para análise de risco, não é indisponibilidade definitiva, a instituição precisa avisar o cliente — e essa regra só entra em vigor em 1º de janeiro de 2027 (Resolução BCB nº 584, Contabeis).

Ou seja: a regra que começa em 1º de outubro é de comunicação (o dado vai para o Coaf). A regra que começa em 1º de janeiro de 2027 é de espera de até 24 horas (o dinheiro fica parado para análise). Quem transferir US$ 10 mil para a própria carteira em janeiro de 2027 vai encostar nas duas ao mesmo tempo.

O calendário que importa

Sobre a estrutura do setor, o BC publicou as regras de funcionamento e autorização das prestadoras nas Resoluções BCB nº 519, 520 e 521 (nota oficial do BC).

Quanto é US$ 10 mil em reais hoje

Usando a PTAX de venda de 23 de setembro de 2026 (R$ 5,1414), divulgada pelo próprio Banco Central (série histórica de cotações):

Para dar escala: os US$ 10 mil que disparam a comunicação são o equivalente a 0,1169 BTC com o bitcoin cotado a US$ 85.534,22 (cerca de 11.691.227 satoshis). Não é uma faixa de cliente institucional — é uma faixa de investidor pessoa física que já comprou bitcoin algumas vezes.

O que fazer agora (sem drama, sem esperteza)

1. Guarde a origem do dinheiro. Comprovantes de compra, extratos da corretora, recibos de Pix. Quem tem documento dorme tranquilo; quem não tem é que vai passar aperto.
2. Não faça fracionamento para fugir da faixa. A leitura regulatória considera a operação isolada e o total movimentado pelo mesmo cliente no mesmo dia. Quebrar US$ 30 mil em três transferências de US$ 10 mil não esconde nada — só cria um padrão estranho no seu histórico.
3. Confirme com quem você está operando. A partir de 6 de novembro, operar com contraparte não autorizada fica vedado. Antes de mandar recurso para uma plataforma, verifique se ela está autorizada ou em processo de autorização no BC.
4. Não confunda Coaf com Receita Federal. A comunicação ao Coaf é feita pela prestadora de serviços. A sua obrigação com o Fisco é outra coisa e não mudou com essas resoluções.
5. Revise o seu roteiro de stablecoin. Mais de 90% do fluxo cripto brasileiro passa por stablecoins — é justamente o caminho que o regulador está apertando. Se o seu dinheiro faz um trajeto em etapas, todas as etapas precisam estar dentro da regra.
6. Mantenha o hábito de registrar. Data, valor, endereço de destino, motivo. Isso vale tanto para o banco quanto para o seu próprio imposto de renda.

Se você está começando agora e prefere não carregar essa papelada toda, operar por uma corretora regulada continua sendo o caminho mais simples:

O mercado por trás da regra

A nova fase regulatória chega num momento em que o mercado está renovando máximas. Na quarta-feira (23), por volta das 10h30, o bitcoin recuava 0,6% em 24 horas, a US$ 85.534,22, e era negociado no Brasil a R$ 439.323,16 (-0,36%, segundo o CoinTrader Monitor, em reportagem do Valor). Mais tarde, às 16h30, a moeda operava a US$ 84.458,04, em queda de 2,34%, com o ether a US$ 2.675,05 (-3,19%), segundo dados da Binance citados pelo Estadão. Na segunda-feira, o bitcoin havia tocado US$ 87.374, a maior cotação desde 29 de janeiro de 2026.

O combustível da alta continua vindo dos Estados Unidos: os ETFs de bitcoin à vista receberam US$ 714,7 milhões na terça-feira, depois de quase US$ 1 bilhão na segunda, acumulando cerca de US$ 1,71 bilhão de entradas na semana, segundo dados citados pelo Mercado Bitcoin.

Do lado brasileiro, a regulação está reorganizando o tabuleiro. Nos últimos meses, plataformas como Bitnuvem, NovaDAX, Digitra.com, Coinext, Bitso e Crypto.com anunciaram o encerramento ou a redução das operações para o varejo no país, em vários casos citando as novas exigências regulatórias (Dinheiro Portal). O capital exigido varia de R$ 10,8 milhões a R$ 37,2 milhões, e até agora apenas cinco empresas protocolaram pedido de autorização no BC — quatro em análise e um indeferido. A Onda Finance foi a primeira companhia divulgada publicamente pelo BC como instituição em processo de autorização, em 21 de setembro, o que não significa licença concedida.

A leitura de quem está dentro do mercado é de concentração. Em encontro com jornalistas na quarta-feira (23), Bruno Samora, diretor de produtos da Matera, lembrou que o BC trabalhava com a expectativa de 100 a 150 pedidos de autorização e revisou a projeção para pouco mais de dez depois do aumento das exigências; o capital inicial, que se discutia na casa de R$ 2 milhões no começo, pode começar em cerca de R$ 15 milhões e passar de R$ 30 milhões dependendo da atividade (Monitor do Mercado). A mesma reportagem lembra o tamanho do mercado em jogo: entre julho de 2024 e junho de 2025, o Brasil movimentou US$ 318,8 bilhões em criptoativos, alta de 109,9% sobre o período anterior, com mais de 90% desse fluxo em stablecoins.

E o imposto?

Não mudou nada por causa dessas resoluções. O que vale desde 1º de julho de 2026 é a DeCripto (IN RFB 2.291/2025), que substituiu a IN 1.888/2019 e alinhou o Brasil ao padrão internacional CARF: as prestadoras de serviços licenciadas reportam mensalmente, sem valor mínimo, e o investidor pessoa física que opera fora de uma prestadora brasileira (corretora no exterior, plataforma descentralizada ou sem intermediário) reporta quando o total do mês passa de R$ 35.000. A isenção mensal de R$ 35.000 sobre ganho de capital na venda continua igual, e a declaração anual de bens segue obrigatória (Receita Federal).

O recado final é simples: autocustódia continua permitida no Brasil — e continua sendo uma decisão sua. O que 1º de outubro muda é que a partir de agora essa escolha aparece no papel. Quem tem os registros organizados não sente diferença nenhuma. Quem não tem vai sentir na hora errada.