A Autoridade de Conduta Financeira do Reino Unido abriu, em 21 de outubro de 2026, uma consulta sobre orientações relativas a DeFi, com respostas até 18 de novembro. A questão imediata é a responsabilização: quando uma empresa financeira utiliza um protocolo descentralizado, que responsabilidades permanecem com a empresa?
A consulta GC26/7 aborda a resiliência operacional e a criminalidade financeira ao abrigo dos requisitos existentes aplicáveis. Trata-se de orientações propostas, e não de uma nova licença DeFi ou de uma aprovação de protocolos individuais. Esta distinção é importante para as empresas que escolhem a infraestrutura e para os clientes que decidem em quem podem confiar.
Duas consultas respondem a perguntas diferentes
A GC26/7 diz respeito à forma como as empresas gerem os riscos. A CP26/36, que a acompanha, diz respeito ao perímetro regulamentar, incluindo exclusões para determinados serviços técnicos. Nenhum dos títulos deve ser utilizado como atalho para a outra avaliação.
Em termos simples, uma empresa precisa primeiro de determinar qual é a atividade que efetivamente exerce, se essa atividade é exercida no Reino Unido a título profissional e se é relevante alguma exclusão ou isenção. Se forem aplicáveis obrigações, a questão seguinte é saber como a empresa as cumpre enquanto recorre a DeFi. Operar um website, escrever software, selecionar estratégias e executar transações de clientes são funções diferentes; a resposta jurídica depende do acordo em causa.
O projeto de orientações sobre o perímetro da CP26/36 salienta a substância e a avaliação separada dos participantes relevantes. A governação descentralizada ou uma infraestrutura no estrangeiro não resolvem a questão. Do mesmo modo, seria errado inferir que todos os programadores ou titulares de tokens de governação necessitam automaticamente de autorização.
Siga o serviço que o cliente efetivamente recebe
Considere uma aplicação hipotética que seleciona um pool de empréstimos, encaminha o depósito de um cliente e apresenta um botão para levantar fundos. Os contratos do pool podem estar publicamente acessíveis. No entanto, a aplicação continua a tomar decisões sobre o produto que apresenta. Um cliente que não consiga levantar fundos precisa de mais do que uma explicação de que a blockchain continua online.
A investigação útil acompanha o serviço desde o ecrã até à liquidação. Quem selecionou o pool? Quem controla a interface? Que fonte de dados avalia as garantias? Alguém pode alterar os parâmetros do contrato? Que parte recebe alertas quando os levantamentos falham? Estas são questões práticas para avaliar um acordo, não um teste jurídico universal nem uma distribuição de responsabilidade predeterminada.
| Função observada | Questão a investigar | O que a designação, por si só, não pode determinar |
|---|---|---|
| Acesso através de frontend ou carteira | Trata-se apenas de acesso técnico ou faz parte de outro serviço? | Que todas as interfaces estão excluídas |
| Seleção de protocolo ou estratégia | Quem escolhe as exposições e pode alterá-las? | Que uma votação de uma DAO elimina as decisões empresariais |
| Controlos de atualização ou de emergência | Quem detém os poderes e sob que limitações? | Que deter uma chave determina todas as obrigações jurídicas |
| Serviço financeiro dirigido ao cliente | Que autorizações e deveres contínuos são aplicáveis? | Que a utilização de contratos abertos transfere esses deveres |
Esta abordagem também mantém separados os diferentes riscos. Uma parte pode controlar um frontend sem ter a custódia dos ativos. Um gestor de estratégias pode escolher protocolos sem controlar o respetivo código. Os clientes precisam de compreender tanto as escolhas feitas por um prestador como os limites dos seus poderes de intervenção.
Uma auditoria é prova sobre o código, não um plano de recuperação
As observações estabelecidas da FCA sobre resiliência operacional exigem o mapeamento das dependências e a realização de testes de interrupção. Ao abrigo do SYSC 15A, as empresas abrangidas definem tolerâncias de impacto para serviços empresariais importantes, tendo em conta os potenciais prejuízos para os clientes. A preocupação vai além de saber se um servidor está a funcionar.
Por exemplo, imagine que uma carteira depende de um único fornecedor de RPC para submeter transações. Se essa ligação falhar, a blockchain pode continuar saudável enquanto os clientes da carteira perdem o acesso. Um segundo fornecedor de RPC pode ajudar a ultrapassar essa falha, mas não pode reparar uma exploração de uma bridge nem eliminar a fila de levantamentos de um protocolo. Os testes precisam de corresponder à falha efetiva.
Um exercício realista perguntaria se os clientes conseguem ver saldos exatos, se as transações podem ser submetidas através de uma rota alternativa e o que a empresa pode dizer quando o prazo de recuperação é desconhecido. Comunicar “não foram roubados quaisquer ativos” ofereceria pouca tranquilidade a um mutuário que se aproxima da liquidação porque não consegue movimentar um depósito.
As revisões de código têm um objetivo mais limitado. Podem identificar vulnerabilidades dentro do seu âmbito; não podem garantir acesso ininterrupto nem um comprador para um token representativo. A explicação da KTX sobre staking líquido mostra por que motivo o resgate através do protocolo e a venda de um token representativo transferível são formas de saída diferentes.
Os registos públicos de transações continuam a precisar de interpretação
Os controlos contra a criminalidade financeira exigem mais do que a visibilidade dos endereços. O Guia da FCA sobre criminalidade financeira aborda a compreensão da análise de blockchain, a investigação de alertas e a manutenção de controlos adequados em matéria de sanções. Uma pontuação de risco é um elemento para uma decisão; não é um relato completo da pessoa ou da transação.
Considere um depósito hipotético que chega depois de várias trocas e de uma transferência através de uma bridge. Um analista precisa de compreender o alerta, as respetivas provas e limitações. A execução automática torna o momento importante: analisar um alerta depois de a empresa ter concluído uma transferência irreversível é diferente de o analisar previamente. Este exemplo não implica que todas as transferências através de bridges sejam suspeitas.
A orientação política mais ampla também é visível no relatório da FATF sobre DeFi de julho de 2026, que privilegia uma análise funcional e baseada no risco, incluindo a identificação do controlo. As recomendações da FATF e as obrigações jurídicas do Reino Unido não devem ser apresentadas como regras intercambiáveis.
O efeito comercial depende da forma como os serviços são prestados
A nossa avaliação é que limites mais claros poderão favorecer os prestadores capazes de explicar a sua cadeia de dependências e as decisões tomadas perante incidentes. Isso poderá significar melhores registos, menos integrações sem suporte ou um acesso mais seletivo aos produtos. Poderá também aumentar os custos operacionais. A consulta, por si só, não determina quais serão as empresas que alterarão as suas ofertas.
Para os utilizadores, a comparação útil é mais concreta do que “centralizado versus descentralizado”. Pergunte quem oferece o serviço, o que o serviço promete, onde os ativos podem ficar inacessíveis e que opções de recuperação existem efetivamente. O guia da KTX sobre yield farming automatizado fornece outro exemplo de automação que funciona acima das exposições aos protocolos subjacentes. Nem um artigo educativo nem a marca de um prestador determinam a autorização da FCA.
Acompanhe o calendário e a redação final
A página da consulta prevê janeiro de 2027 para as orientações finais da GC26/7, enquanto o respetivo PDF indica o primeiro trimestre de 2027. A CP26/36 prevê a primavera de 2027. O regime mais amplo relativo aos novos criptoativos está previsto para 25 de outubro de 2027. Estes são marcos diferentes; o encerramento da consulta não corresponde ao início do regime.
As próximas informações úteis serão o tratamento final do acesso técnico, a explicação da responsabilidade entre participantes distribuídos e quaisquer alterações na sequência do feedback. Até lá, as interpretações propostas devem continuar claramente identificadas como propostas.
Perguntas frequentes
Uma auditoria de um contrato inteligente comprova a conformidade regulamentar?
Não. Uma auditoria aborda um âmbito técnico definido. Não determina que a empresa dispõe das autorizações ou dos controlos exigidos para as suas atividades.
O facto de não haver custódia significa automaticamente que não existe regulamentação?
Não. A custódia é uma característica de um acordo. Os outros serviços e as exclusões aplicáveis também precisam de ser avaliados.
Todos os participantes DeFi têm de realizar verificações de identidade idênticas?
A consulta não justifica essa conclusão. Os deveres dependem das atividades do participante e dos requisitos aplicáveis, e não de uma única designação válida para todo o ecossistema.
A consulta garante uma compensação após uma perda?
Não. Uma consulta não constitui uma promessa de compensação. Quaisquer direitos ou proteções dependem do serviço relevante, dos acordos jurídicos e das condições de elegibilidade.
O dia 18 de novembro é um prazo para os utilizadores transferirem os seus ativos?
Não. É o prazo para apresentação de respostas à consulta, não uma instrução geral para efetuar levantamentos.
Apenas para fins informativos, não constitui aconselhamento jurídico ou de investimento. As orientações propostas podem ser alteradas. DeFi pode envolver perdas decorrentes de contratos, interrupção do acesso e recuperação limitada.