A ESMA vai analisar pela primeira vez a custódia das exchanges autorizadas
As autoridades competentes de todos os Estados-Membros vão examinar em conjunto como os CASP guardam as chaves, respondem a incidentes e lidam com fornecedores externos. O trabalho decorre até meados de 2027 e incide exatamente na parte que os clientes menos veem.
Quem deixa as moedas numa exchange confia em algo que não pode inspecionar: a forma como essa empresa guarda as chaves. A ESMA vai agora olhar para isso de forma dirigida, pela primeira vez.
O que é uma Common Supervisory Action
Uma Common Supervisory Action não é uma ação sancionatória nem uma inspeção a uma única entidade. É um exercício coordenado em que as autoridades competentes nacionais — AFM, FSMA, BaFin, AMF, CNMV, CMVM, CONSOB, KNF e Finanstilsynet — usam o mesmo questionário e o mesmo critério de avaliação. Assim torna-se visível se uma autorização num país significa, na prática, o mesmo que noutro.
É a primeira vez que a ESMA aplica este instrumento ao setor cripto. O motivo é a combinação entre o MiCA e o DORA, o regulamento europeu de resiliência operacional digital das entidades financeiras, aplicável desde 17 de janeiro de 2025.
O que vai ser examinado
A ESMA indica sete áreas: os riscos inerentes à DLT, a governação, a gestão e o armazenamento de chaves, os controlos das transações, a deteção e resposta a incidentes, os riscos dos smart contracts e a dependência de fornecedores externos.
Este último ponto é mais silencioso do que parece. Muitos prestadores autorizados não guardam eles próprios os ativos: subcontratam a custódia a uma entidade especializada. Se dez exchanges recorrerem ao mesmo subcontratado, existe um único ponto de falha para dez autorizações ao mesmo tempo.
Uma amostra, não um levantamento completo
Um pormenor importante: as autoridades vão trabalhar com uma amostra baseada no risco de CASP autorizados, não com todos. O facto de a sua exchange preferida não constar do exercício nada diz sobre a qualidade da custódia. E ao contrário: ser incluída não é indício de que algo esteja mal.
O calendário
O exercício decorre do segundo semestre de 2026 até ao primeiro semestre de 2027. O relatório final segue no segundo semestre de 2027 para o Conselho de Supervisores da ESMA e vai conter as conclusões, as boas práticas do setor, as fragilidades identificadas e recomendações.
Na prática: até 2028 pouco muda de forma visível para si enquanto cliente. O que já está a acontecer é que os prestadores estão a organizar a documentação, porque sabem que o questionário está a caminho.
O que ganha com isto
Duas coisas a reter. Primeira: uma autorização MiCA diz que uma entidade cumpre as regras no papel, e este exercício vai finalmente verificar se isso também funciona na sala das máquinas. Essa diferença existe e passou a ser oficialmente reconhecida.
Segunda: enquanto o relatório não existir, mantém-se a regra antiga. O que deixa numa exchange, guarda-o outra pessoa. O que guarda por si, guarda-o mesmo, com todas as vantagens e desvantagens que isso implica.
Fontes: comunicado da ESMA de 8 de julho de 2026 sobre a Common Supervisory Action relativa à resiliência operacional digital dos CASP na custódia. Última verificação: 5 de agosto de 2026.