A Autoridade de Conduta Financeira do Reino Unido abriu uma consulta sobre orientações para DeFi em 21 de outubro de 2026, com prazo para envio de respostas até 18 de novembro. A questão imediata é a responsabilização: quando uma empresa financeira usa um protocolo descentralizado, quais responsabilidades permanecem com a empresa?
A consulta GC26/7 trata da resiliência operacional e de crimes financeiros de acordo com os requisitos existentes aplicáveis. Trata-se de uma orientação proposta, e não de uma nova licença para DeFi ou de uma aprovação de protocolos individuais. Essa distinção é importante para empresas que escolhem sua infraestrutura e clientes que decidem em quem podem confiar.
Duas consultas respondem a perguntas diferentes
A GC26/7 diz respeito à forma como as empresas gerenciam os riscos. A CP26/36, que a acompanha, trata do perímetro regulatório, incluindo exclusões para determinados serviços técnicos. Nenhum dos dois documentos deve ser usado como atalho para a outra avaliação.
Em termos simples, uma empresa precisa primeiro estabelecer qual atividade realmente exerce, se essa atividade é conduzida como negócio no Reino Unido e se uma exclusão ou isenção é relevante. Se as obrigações se aplicarem, a próxima questão é como a empresa as cumpre ao depender de DeFi. Operar um site, escrever software, selecionar estratégias e executar transações de clientes são funções diferentes; a resposta jurídica depende da estrutura.
A minuta de orientação sobre o perímetro da CP26/36 enfatiza a substância e a avaliação dos participantes relevantes separadamente. Governança descentralizada ou infraestrutura no exterior não resolvem a questão. Da mesma forma, seria errado concluir que todo desenvolvedor ou detentor de token de governança automaticamente precisa de autorização.
Acompanhe o serviço que o cliente realmente recebe
Considere um aplicativo hipotético que seleciona um pool de empréstimos, encaminha o depósito de um cliente e exibe um botão de saque. Os contratos do pool podem ser acessíveis publicamente. Ainda assim, o aplicativo toma decisões sobre o produto que apresenta. Um cliente que não consegue sacar precisa de mais do que uma explicação de que a blockchain continua online.
A investigação útil acompanha o serviço desde a tela até a liquidação. Quem selecionou o pool? Quem controla a interface? Qual fonte de dados avalia as garantias? Qualquer pessoa pode alterar os parâmetros do contrato? Qual parte recebe alertas quando os saques falham? Essas são perguntas práticas para avaliar uma estrutura, não um teste jurídico universal nem uma alocação de responsabilidade predeterminada.
| Função observada | Pergunta a investigar | O que o rótulo, por si só, não pode estabelecer |
|---|---|---|
| Acesso por frontend ou carteira | É apenas acesso técnico ou faz parte de outro serviço? | Que toda interface é excluída |
| Seleção de protocolo ou estratégia | Quem escolhe as exposições e pode alterá-las? | Que uma votação de DAO elimina decisões empresariais |
| Controles de atualização ou emergência | Quem detém os poderes e sob quais restrições? | Que deter uma chave determina todas as obrigações legais |
| Serviço financeiro voltado ao cliente | Quais autorizações e obrigações contínuas se aplicam? | Que usar contratos abertos transfere essas obrigações |
Essa abordagem também mantém os diferentes riscos separados. Uma parte pode controlar um frontend sem ter a custódia dos ativos. Um gestor de estratégias pode escolher protocolos sem controlar seu código. Os clientes precisam entender tanto as escolhas feitas por um provedor quanto os limites de seus poderes de intervenção.
Uma auditoria é evidência sobre o código, não um plano de recuperação
As observações estabelecidas da FCA sobre resiliência operacional exigem o mapeamento de dependências e testes de interrupções. Nos termos do SYSC 15A, as empresas abrangidas estabelecem tolerâncias de impacto para serviços empresariais importantes, considerando possíveis danos aos clientes. A preocupação vai além de saber se um servidor está funcionando.
Por exemplo, imagine que uma carteira dependa de um único provedor de RPC para enviar transações. Se essa conexão falhar, a rede pode permanecer saudável enquanto os clientes da carteira perdem o acesso. Um segundo provedor de RPC pode ajudar com essa falha, mas não pode reparar uma exploração de bridge nem remover uma fila de saques do protocolo. Os testes precisam corresponder à falha real.
Um exercício realista perguntaria se os clientes conseguem visualizar saldos precisos, se as transações podem ser enviadas por uma rota alternativa e o que a empresa pode dizer quando o prazo de recuperação é desconhecido. Informar “nenhum ativo foi roubado” ofereceria pouca tranquilidade a um tomador que se aproxima da liquidação porque um depósito não pode ser movimentado.
As revisões de código têm uma finalidade mais limitada. Elas podem identificar vulnerabilidades dentro de seu escopo; não podem garantir acesso ininterrupto nem um comprador para um token de recibo. A explicação da KTX sobre staking líquido mostra por que o resgate pelo protocolo e a venda de um recibo transferível são saídas diferentes.
Os registros públicos de transações ainda precisam ser interpretados
Os controles contra crimes financeiros exigem mais do que a visibilidade dos endereços. O Guia sobre crimes financeiros da FCA aborda a compreensão das análises de blockchain, a investigação de alertas e a manutenção de controles adequados de sanções. Uma pontuação de risco é um elemento para uma decisão; não é um relato completo da pessoa ou da transação.
Considere um depósito hipotético que chega após várias trocas e uma transferência por bridge. Um analista precisa compreender o alerta, suas evidências e suas limitações. A execução automática torna o momento importante: analisar um alerta depois que a empresa concluiu uma transferência irreversível é diferente de analisá-lo antes. Esse exemplo não implica que toda transferência por bridge seja suspeita.
A direção política mais ampla também é visível no relatório da FATF sobre DeFi de julho de 2026, que favorece uma análise funcional e baseada em riscos, incluindo a identificação de controle. As recomendações da FATF e as obrigações legais do Reino Unido não devem ser apresentadas como regras intercambiáveis.
O efeito comercial depende de como os serviços são prestados
Nossa avaliação é que limites mais claros poderiam favorecer provedores capazes de explicar sua cadeia de dependências e suas decisões em incidentes. Isso poderia significar registros melhores, menos integrações sem suporte ou acesso mais seletivo a produtos. Também poderia aumentar os custos operacionais. A própria consulta não estabelece quais empresas mudarão suas ofertas.
Para os usuários, a comparação útil é mais concreta do que “centralizado versus descentralizado”. Pergunte quem oferece o serviço, o que o serviço promete, onde os ativos podem ficar inacessíveis e quais opções de recuperação realmente existem. O guia da KTX sobre yield farming automatizado oferece outro exemplo de automação posicionada acima das exposições aos protocolos subjacentes. Nem um artigo educativo nem a marca de um provedor estabelecem autorização da FCA.
Acompanhe o cronograma e a redação final
A página da consulta prevê janeiro de 2027 para a orientação final da GC26/7, enquanto seu PDF indica o primeiro trimestre de 2027. A CP26/36 prevê a primavera de 2027. O novo regime mais amplo para criptoativos está programado para 25 de outubro de 2027. Esses são marcos diferentes; o encerramento da consulta não significa o início do regime.
As próximas evidências úteis serão o tratamento final do acesso técnico, a explicação da responsabilidade entre participantes distribuídos e quaisquer mudanças após o recebimento das contribuições. Até lá, as interpretações propostas devem permanecer claramente identificadas como propostas.
Perguntas frequentes
Uma auditoria de contrato inteligente comprova a conformidade regulatória?
Não. Uma auditoria aborda um escopo técnico definido. Ela não estabelece que a empresa possui as autorizações ou os controles exigidos para suas atividades.
Ser não custodial significa automaticamente não ser regulado?
Não. A custódia é uma característica da estrutura. Outros serviços e exclusões aplicáveis ainda precisam ser avaliados.
Todo participante de DeFi precisa realizar verificações de identidade idênticas?
A consulta não justifica essa conclusão. Os deveres dependem das atividades do participante e dos requisitos aplicáveis, e não de um único rótulo válido para todo o ecossistema.
A consulta garante uma compensação após uma perda?
Não. Uma consulta não é uma promessa de compensação. Quaisquer direitos ou proteções dependem do serviço relevante, das estruturas jurídicas e das condições de elegibilidade.
18 de novembro é um prazo para os usuários transferirem seus ativos?
Não. É o prazo para envio de respostas à consulta, não uma instrução geral de saque.
Apenas para fins informativos; não constitui aconselhamento jurídico ou de investimento. As orientações propostas podem mudar. DeFi pode envolver perdas decorrentes de contratos, interrupção de acesso e recuperação limitada.