Faltam 6 dias para o vencimento da primeira DeCripto, a de julho de 2026. O prazo é 31 de agosto de 2026. Para a startup que encosta em criptoativo, essa data é só uma linha de um calendário cheio. O compliance em cripto e Web3 virou lista de obrigações com prazo, órgão responsável e multa.

Compliance é o conjunto de práticas que mantém a empresa dentro da lei e das normas do setor. No mercado cripto brasileiro, ele tem endereço: Banco Central, Receita Federal e a governança do próprio dado.

Este artigo organiza as obrigações em ordem de urgência, para fundador, CFO e contador. Começo pela pergunta que define o resto. Ela muda o regulador, o custo e o prazo da operação.

Sua empresa é PSAV ou apenas usa cripto?

Sua empresa é PSAV quando presta a terceiros serviço de troca, transferência, custódia ou participação em oferta de ativo virtual. Se ela apenas compra, vende ou mantém cripto na tesouraria própria, não é PSAV. A Lei 14.478/2022 é o marco das prestadoras de serviços de ativos virtuais. Essa linha separa dois mundos de obrigação.

O que conta como serviço a terceiros

Conta o que a empresa faz pelo cliente. O nome do produto não define nada. Trocar cripto por real ou por outro cripto em nome de terceiro é serviço. Transferir ativo de terceiro entre carteiras é serviço. Guardar chave privada de cliente é custódia, mesmo dentro de um aplicativo maior. Participar de oferta de ativo virtual em nome de terceiro também entra.

Uma fintech que segura o saldo do usuário e executa a conversão presta serviço de ativo virtual. Ela não precisa se chamar exchange. O desenho societário e operacional está no artigo sobre como operar cripto como empresa em 2026.

Uso próprio e tesouraria não são serviço

Comprar cripto com o caixa da empresa é ato da própria empresa. O mesmo vale para manter posição em tesouraria. Receber pagamento de cliente em stablecoin e pagar fornecedor em cripto também são atos próprios. Nada disso é prestação de serviço de ativo virtual.

Isso não leva a empresa ao Banco Central, mas leva à Receita Federal. É o segundo caminho deste artigo, e ele tem prazo mensal.

As quatro camadas do compliance em cripto e Web3

Toda empresa que toca criptoativo responde em quatro camadas. Tratar as quatro como bloco único é o erro que mais atrasa fundador.

A camada do dado não tem órgão fiscalizador. É ela que sustenta as outras três. Sem registro na origem, nenhuma entrega fecha no prazo.

O que o Banco Central exige da PSAV

A PSAV entrou em regime autorizado. Não dá mais para prestar serviço de ativo virtual a terceiros só com contrato social e site no ar.

Resoluções BCB 519, 520 e 521

As três normas estão em vigor desde 2 de fevereiro de 2026. Elas desenham as modalidades de prestadora e as condições de funcionamento. A empresa que já opera tem até 30 de outubro de 2026 para pedir autorização ao Banco Central.

As resoluções não fixam valor de capital: remetem aos requerimentos mínimos da regulamentação em vigor, apurados pela metodologia da Resolução Conjunta CMN/BCB nº 14/2025. Aplicada às prestadoras, essa metodologia resulta em R$ 10,8 milhões a R$ 37,2 milhões, segundo a comunicação do Banco Central de 10 de novembro de 2025, conforme o conjunto de atividades. É capital social integralizado e patrimônio líquido da própria empresa, não depósito no Banco Central. O valor do caso concreto tem que ser apurado pela metodologia, e costuma redefinir o plano de negócio de startup em estágio inicial. Melhor descobrir isso agora.

Resolução BCB 580 e o regime prudencial

A Resolução BCB 580 é de 1º de julho de 2026. Ela leva as PSAVs ao regime prudencial. Na prática, a prestadora passa a conviver com exigências de capital e de controle. O detalhamento está na análise da Resolução BCB 580 e a entrada das PSAVs no regime prudencial.

O que a PSAV reporta na DeCripto

A prestadora reporta em três frentes. Pelo art. 7º da IN RFB 2.291/2025, envia o individualizado mensal: data, tipo de operação, identificação do usuário, criptoativo, quantidade, valor em reais e taxas. Envia também os saldos de 31/12, com o custo de obtenção.

O art. 8º vale desde 1º de janeiro de 2026. Por ele, a prestadora envia o bloco agregado anual por pessoa reportável. Esse bloco alimenta a troca internacional do CARF, o Crypto-Asset Reporting Framework da OCDE.

O Anexo II fecha a lista. Ele pede diligência AML e KYC compatível com as recomendações do GAFI. Pede ainda autodeclaração de residência tributária e guarda dos documentos por 5 anos. As obrigações da pessoa jurídica estão detalhadas em DeCripto para empresas.

O Blue Cripto consolida operações de exchange, DEX e carteira própria numa base única. Ele registra o custo de aquisição por operação e alerta quando o mês passa do limiar. Comece grátis.

E se a empresa não é PSAV, mas opera cripto?

Aqui está a maioria das startups de Web3. Elas usam criptoativo, não prestam serviço de criptoativo. Não vão ao Banco Central, mas são usuárias obrigadas perante a Receita Federal.

O limite de R$ 35 mil por mês

O art. 5º, inciso II da IN RFB 2.291/2025 alcança a pessoa jurídica residente no Brasil. A regra vale para quem opera via prestadora estrangeira, plataforma descentralizada ou sem intermediário. O § 3º fixa o limite: a entrega é obrigatória quando o conjunto do mês fora de prestadora nacional passa de R$ 35 mil.

O teste é da soma do mês, não de cada plataforma. Duas contas com R$ 20 mil cada somam R$ 40 mil e disparam a obrigação. O guia geral está na nova declaração de criptoativos criada pela IN 2.291.

As multas do art. 13 para pessoa jurídica seguem duas faixas. São R$ 500 por mês de atraso para Simples Nacional, lucro presumido, imune, isenta ou início de atividade. Para as demais, R$ 1.500 por mês. Informação incorreta ou omitida custa 3% do valor da operação, com mínimo de R$ 100.

Exemplo 1 (ilustrativo): empresa que recebe em stablecoin

Uma empresa de software do lucro presumido atende clientes do exterior e recebe em stablecoin. O valor cai direto na carteira própria. Parte dele é convertida em real por P2P. Em julho de 2026, foram R$ 62 mil recebidos e R$ 30 mil convertidos, tudo fora de prestadora nacional.

O conjunto do mês soma R$ 92 mil e passa dos R$ 35 mil. A DeCripto de julho vence em 31/08/2026. Suponha que a empresa perceba a obrigação só em novembro. Setembro, outubro e novembro contam como três meses ou frações: 3 x R$ 500 = R$ 1.500.

Entregando antes de procedimento de ofício, a multa de atraso cai à metade: R$ 750. Se ela também omitir a conversão de R$ 30 mil, entra o percentual de 3%: R$ 900. O recebimento em stablecoin compõe a receita da empresa e segue o regime tributário adotado.

O cenário global e o Brasil de hoje

A regulação de criptoativos avançou em blocos, em ritmos diferentes. Nos Estados Unidos, a SEC concentrou a fiscalização sobre ofertas de tokens. Na União Europeia, o regulamento MiCA (Markets in Crypto-Assets) criou regime comum para prestadoras. Na Ásia, Japão e Singapura construíram ambientes regulatórios estáveis.

O Brasil saiu da fase de debate. Existe marco legal, existe regulação do Banco Central em vigor e existe obrigação fiscal específica. Desde 1º de julho de 2026, a IN 1.888/2019 está revogada e a DeCripto vale para todos. Startup que descreve o país como território sem regra está lendo um mapa de 2024.

Há um efeito comercial nisso. Empresa em conformidade abre conta com mais facilidade e fecha parceria com instituição regulada. Ela também responde due diligence de investidor sem travar a rodada. Conformidade deixou de ser custo e virou condição de operação.

Calendário de compliance até janeiro de 2027

Quatro datas mandam no calendário da empresa. Cada uma precisa de um responsável nomeado.

Entre elas, a rotina mensal continua. Fechar o mês, conferir o limiar e entregar até o último dia útil do mês seguinte.

Cinco erros comuns de compliance em empresa cripto

1. Achar que a empresa não é exchange: guardar chave privada de cliente ou executar troca por terceiro já é serviço de ativo virtual.
2. Tratar stablecoin como se não fosse cripto: o criptoativo referenciado em ativo entra no escopo da IN 2.291 e no limite mensal.
3. Somar o limite por plataforma: o § 3º do art. 5º olha o conjunto do mês fora de prestadora nacional, e não cada conta.
4. Deixar a diligência para depois: o Anexo II pede AML e KYC compatíveis com o GAFI, com guarda por 5 anos.
5. Não registrar o dado na origem: sem custo de aquisição, contraparte e data, a retificação sem multa do art. 15 fica inviável.

Conteúdo educativo não substitui serviço técnico. Na Blue Consult, atendemos empresas de criptoativo desde 2018, com mais de 10.000 declarações processadas. A ordem que funciona é sempre a mesma: classificar a operação, organizar o dado, depois entregar.

Perguntas frequentes

Minha startup só aceita cripto como pagamento. Ela é PSAV?

Não, se o recebimento é da própria empresa, por produto ou serviço que ela vende. Prestação de serviço de ativo virtual pressupõe atuar para terceiros. Isso vale para troca, transferência, custódia ou participação em oferta. A empresa segue como usuária obrigada quando o mês fora de prestadora nacional passa de R$ 35 mil.

Até quando minha empresa precisa pedir autorização ao Banco Central?

Até 30 de outubro de 2026, se ela presta serviço de ativo virtual. As Resoluções BCB 519, 520 e 521 estão em vigor desde 2 de fevereiro de 2026. Elas definem as modalidades e remetem o capital mínimo à metodologia da Resolução Conjunta CMN/BCB nº 14/2025, que na comunicação do Banco Central de 10/11/2025 resulta em R$ 10,8 milhões a R$ 37,2 milhões. A Resolução BCB 580 acrescentou o regime prudencial em 1º de julho de 2026.

Qual é a multa da DeCripto para pessoa jurídica?

Pelo art. 13 da IN RFB 2.291/2025, o atraso custa R$ 500 por mês ou fração. Essa faixa vale para Simples Nacional, lucro presumido, imune, isenta e início de atividade. As demais pagam R$ 1.500 por mês. Informação incorreta ou omitida custa 3% do valor da operação, com mínimo de R$ 100. A multa de atraso cai à metade antes de procedimento de ofício.

Empresa que opera só em exchange brasileira entrega DeCripto?

Nesse caso, quem reporta é a prestadora nacional, pelo art. 5º, inciso I. A obrigação da empresa nasce quando ela opera via prestadora estrangeira, plataforma descentralizada ou sem intermediário. E só acima de R$ 35 mil no mês. Escrituração e comprovantes continuam obrigatórios de qualquer forma.

Por onde começar o compliance de uma startup de cripto e Web3?

Comece pela classificação. Descubra se a empresa presta serviço a terceiros ou apenas usa cripto. Depois monte o registro operação a operação, com data, tipo, contraparte, valor em reais e custo de aquisição. Com o dado organizado, cada entrega vira consequência, e não corrida de última hora.

Quer o mapa de obrigações da sua empresa cripto em ordem de urgência? A equipe da Blue Consult classifica a operação e monta a DeCripto da pessoa jurídica. Também organiza a documentação exigida pelo regulador e pela Receita. Fale com um contador especialista em cripto.

Mychel Mendes

Contador (CRC-DF 028007-O), fundador e CEO da Blue Consult, o maior escritório do Brasil especializado em Imposto de Renda de criptoativos. Desde 2018, a Blue processou mais de 10.000 declarações e analisou mais de R$ 5 bilhões em ativos digitais. Mychel também é cofundador da Tokeniza e mantém o maior acervo de conteúdo sobre IR Cripto do país, com mais de 1.700 vídeos publicados.