Introdução
A Instrução Normativa 1888 (IN 1888), publicada pela CVM em 2024, marcou um divisor de águas na regulação das criptomoedas no Brasil. Para usuários iniciantes e intermediários, entender seus detalhes é essencial para operar com segurança, evitar sanções e aproveitar oportunidades de forma alinhada à lei. Neste artigo, analisaremos o contexto, os principais requisitos, os impactos práticos e as medidas de compliance que todo cripto‑entusiasta deve adotar.
Principais Pontos
- Objetivo da IN 1888 e sua abrangência;
- Requisitos de registro para exchanges, custodians e provedores de serviços;
- Obrigações de KYC/AML e relatórios mensais à CVM;
- Impactos fiscais e a necessidade de declaração de ativos digitais;
- Sanções previstas para descumprimento.
Contexto Histórico da IN 1888
Antes da publicação da IN 1888, o mercado brasileiro de criptoativos era regulado de forma fragmentada, com normas esparsas da Receita Federal, do Banco Central e da própria CVM. A crescente adoção de Bitcoin, Ethereum e tokens de finanças descentralizadas (DeFi) trouxe à tona lacunas regulatórias que dificultavam a supervisão efetiva. Em 2023, após consultas públicas que contaram com mais de 2.000 contribuições de investidores, exchanges, advogados e academia, a CVM consolidou as diretrizes em um único documento.
Objetivo Principal
A IN 1888 tem como objetivo garantir a transparência, a integridade do mercado e a proteção dos investidores, estabelecendo regras claras para:
- Registro e autorização de plataformas que negociam criptoativos;
- Procedimentos de identificação e monitoramento de clientes (KYC/AML);
- Comunicação de operações suspeitas e relatórios de movimentação;
- Fiscalização de ofertas públicas de tokens (STOs) e de projetos de tokenização de ativos reais.
Quem Precisa se Adequar?
A norma abrange três categorias principais de agentes de mercado:
- Exchanges de Criptomoedas: plataformas que permitem a compra, venda e negociação de criptoativos.
- Custodians: empresas que oferecem serviços de guarda de ativos digitais para terceiros.
- Provedores de Serviços de DeFi: projetos que oferecem empréstimos, staking, yield farming e outros serviços financeiros descentralizados.
Cada uma dessas categorias tem obrigações específicas que detalhamos a seguir.
Exchanges
As exchanges devem:
- Obter registro formal na CVM, apresentando plano de negócios, estrutura de governança e políticas de segurança da informação.
- Implementar um processo de Know Your Customer (KYC) robusto, coletando documentos de identidade, comprovante de residência e avaliação de risco.
- Manter um programa de combate à lavagem de dinheiro (AML) que inclua monitoramento em tempo real de transações acima de R$ 10.000,00.
- Enviar relatórios mensais à CVM contendo volume de negociação, número de usuários ativos e listagem de alertas de atividades suspeitas.
Custodians
Para quem oferece serviços de custódia, a IN 1888 exige:
- Segregação de ativos de clientes em wallets frias (cold wallets) e quentes (hot wallets) com auditoria independente trimestral.
- Política de seguro contra perdas decorrentes de hacking ou falhas operacionais, com cobertura mínima de R$ 5 milhões.
- Procedimentos de recuperação de chaves privadas que atendam às normas de segurança da ISO/IEC 27001.
Provedores DeFi
Embora a natureza descentralizada dificulte a aplicação direta de regras, a CVM determinou que projetos que operam com smart contracts e oferecem rendimentos garantidos devem:
- Registrar-se como “Entidade de Serviços de Investimento” (ESI) quando houver promessa de retorno fixo.
- Divulgar white paper completo, incluindo riscos, modelo de governança e auditorias de código.
- Permitir que usuários façam a autoregistro de suas carteiras para fins de monitoramento AML.
Impactos Práticos para Usuários de Criptomoedas
Para o investidor comum, a IN 1888 traz mudanças tangíveis no dia a dia:
Maior Transparência nas Exchanges
Com o registro obrigatório, as plataformas precisam exibir seu número de registro CVM em seus sites, assim como políticas de privacidade e segurança. Isso permite que o usuário compare diferentes serviços e escolha aqueles com maior credibilidade.
Obrigações de Declaração Fiscal
A norma reforça a necessidade de declarar criptoativos no e‑Social e na declaração de Imposto de Renda. A partir de 2025, a Receita Federal exigirá o envio de um “relatório de movimentação de criptoativos” (RMC) contendo:
- Saldo inicial e final de cada carteira;
- Valor de compra e venda em reais (R$) por operação;
- Imposto devido sobre ganho de capital, com alíquota de 15% para lucros acima de R$ 35 mil.
Custódia Segura
Ao escolher um custodiante, verifique se ele possui auditoria de segurança reconhecida e seguro contra perdas. Caso contrário, o risco de perda total de ativos aumenta significativamente.
Riscos em Projetos DeFi
Mesmo com a regulamentação, projetos DeFi ainda carregam risco de contratos mal‑escritos. A CVM recomenda que investidores leiam o código-fonte, verifiquem auditorias independentes e nunca invistam mais do que podem perder.
Aspectos Técnicos e de Compliance
Entender os detalhes técnicos ajuda a garantir que sua operação esteja em conformidade.
KYC e Verificação de Identidade
O processo de KYC deve incluir:
- Coleta de documento oficial com foto (RG, CNH ou passaporte);
- Comprovante de residência recente (conta de luz, água ou telefone);
- Selfie segurando o documento para validação biométrica.
Plataformas que utilizam APIs de validação (ex.: Serpro, ClearSale) reduzem a taxa de falsos positivos.
Monitoramento de Transações (AML)
O algoritmo de monitoramento deve aplicar regras de rule‑based e machine‑learning para identificar padrões suspeitos, como:
- Transferências frequentes acima de R$ 50 mil entre carteiras desconhecidas;
- Uso de mixers ou tumblers para ofuscar origem dos fundos;
- Concentração de ativos em poucas wallets (indicativo de “whale”).
Quando um alerta é gerado, a exchange tem 24 horas para comunicar a CVM via Sistema de Informação de Atividades Suspeitas (SIAS).
Relatórios Mensais
Os relatórios devem ser enviados em formato XML com schema definido pela CVM, contendo campos como:
<ExchangeReport> <Month>2025-01</Month> <TotalVolume>R$ 2.350.000.000</TotalVolume> <ActiveUsers>150.432</ActiveUsers> <SuspiciousAlerts>23</SuspiciousAlerts> </ExchangeReport>
Falhas de entrega acarretam multa de até 0,5% do volume negociado no período.
Segurança da Informação
A IN 1888 alinha-se à norma ISO/IEC 27001, exigindo que:
- Todos os dados de clientes sejam criptografados em repouso (AES‑256) e em trânsito (TLS 1.3).
- Procedimentos de resposta a incidentes estejam documentados e testados semestralmente.
- Auditores externos realizem avaliações de vulnerabilidade (pentest) a cada 12 meses.
Sanções e Penalidades
O descumprimento da IN 1888 pode gerar:
- Advertência formal;
- Multa diária de até R$ 100 mil por cada infração;
- Suspensão ou cancelamento do registro na CVM;
- Responsabilização criminal em casos de lavagem de dinheiro.
Empresas que adotarem boas práticas de compliance podem se beneficiar de redução de multas em até 30%.
Perguntas Frequentes (FAQ)
Confira as dúvidas mais comuns sobre a IN 1888.
1. A IN 1888 se aplica a wallets pessoais?
Não diretamente. A norma regula entidades que prestam serviços ao usuário, mas o titular de uma wallet deve, mesmo assim, declarar seus ativos na Receita Federal.
2. Trocas internacionais precisam se registrar na CVM?
Se operarem no Brasil ou oferecerem serviços a residentes brasileiros, sim. Caso contrário, a responsabilidade recai sobre o usuário que deve cumprir a obrigação de declaração.
3. Como saber se uma exchange está em conformidade?
Verifique o número de registro CVM no rodapé do site, a política de privacidade e se há certificação ISO/IEC 27001.
Conclusão
A Instrução Normativa 1888 representa um marco na maturidade regulatória do mercado de criptoativos brasileiro. Ao estabelecer requisitos claros para exchanges, custodians e projetos DeFi, a norma fortalece a transparência, protege investidores e cria um ambiente mais seguro para inovação. Para quem deseja investir ou operar com cripto, o caminho mais prudente é escolher plataformas registradas, manter procedimentos de KYC atualizados e cumprir as obrigações fiscais. Assim, você minimiza riscos, evita sanções e aproveita o potencial de crescimento desse ecossistema emergente.