Hoje, o registo VASP em Portugal significa autorização MiCA. Um prestador de serviços de ativos virtuais (VASP, virtual asset service provider) é uma empresa que troca, guarda ou transfere criptoativos por conta de clientes, ou que presta aconselhamento sobre eles. Em Portugal, a via de registo nacional que existia antes do Regulamento Europeu dos Mercados de Criptoativos (MiCA) foi substituída: para servir clientes portugueses de forma legal, uma empresa precisa de autorização como prestador de serviços de criptoativos (CASP) concedida pelo Banco de Portugal, o banco central e supervisor de mercados do país.
Esta é a resposta curta. A resposta longa importa se gere pagamentos dentro de uma empresa de criptoativos, porque a autorização muda os bancos com que pode trabalhar, o que tem de documentar e o cuidado com que tem de verificar as contas para as quais envia dinheiro.
Confirme as regras em vigor antes de apresentar o processo
O MiCA aplica-se em toda a UE, mas as datas de aplicação, os regimes transitórios e os documentos exatos pedidos pelo Banco de Portugal são definidos a nível nacional e podem mudar. Confirme os requisitos atuais junto do Banco de Portugal ou do seu advogado antes de construir um plano sobre eles.
O que mudou: do registo nacional à autorização MiCA
Antes do MiCA, as empresas de criptoativos em Portugal registavam-se ao abrigo das regras nacionais de prevenção do branqueamento de capitais e constavam de uma lista nacional. O MiCA substituiu esse mosaico por uma autorização única à escala da UE. As consequências práticas são estas:
- Uma autorização, alcance europeu. Um CASP autorizado em Portugal pode passaportar os seus serviços para outros Estados-Membros em vez de apresentar um pedido país a país.
- Um único supervisor para a licença. O Banco de Portugal avalia o pedido, a governação e os controlos.
- Uma lista definida de serviços. O MiCA identifica os serviços de criptoativos que exigem autorização — entre eles a guarda, a exploração de uma plataforma de negociação, a troca de criptoativos por fundos ou por outros criptoativos e os serviços de transferência por conta de clientes.
- Exigências mais elevadas. Requisitos prudenciais, governação e testes de idoneidade e competência da direção, segregação dos ativos dos clientes e obrigações detalhadas de PBC/AML e de tratamento de reclamações.
As empresas que já operavam ao abrigo das regras nacionais tiveram uma janela transitória para mudar de regime. Se ainda está a decidir onde instalar uma empresa de criptoativos, a resposta honesta é que a escolha hoje tem menos a ver com o registo nacional mais fácil e mais com o supervisor, as relações bancárias e as infraestruturas de pagamento com que consegue realmente operar.
Porque uma licença de criptoativos não torna os seus pagamentos seguros
A autorização diz respeito a saber se pode prestar o serviço. Não diz nada sobre se um pagamento concreto parte para a conta certa. São perguntas diferentes, e é na segunda que o dinheiro se perde de facto.
Uma empresa de criptoativos move dinheiro em duas direções. Do lado dos criptoativos, as transferências são verificadas em função dos endereços das carteiras e com ferramentas de triagem. Do lado fiduciário, envia transferências em euros para contas bancárias de clientes, de fornecedores de liquidez, de plataformas de negociação e de fornecedores — e esses são pagamentos SEPA comuns, com os riscos SEPA comuns. Um cliente que pede um levantamento para «o seu» IBAN, um email que altera os dados bancários de uma contraparte, um ficheiro de pagamentos construído a partir de uma folha de cálculo: cada um destes casos pode enviar dinheiro real para o sítio errado, e nenhuma licença de criptoativos o impede.
Onde entra a Verification of Payee
A Verification of Payee (VoP) é a verificação do nome UE/SEPA. Antes de uma transferência em euros ser enviada, o seu prestador de serviços de pagamento (PSP) — o seu banco ou instituição de pagamento — envia o nome do beneficiário e o IBAN ao PSP que detém a conta de destino. Esse banco compara o nome com o nome registado do titular e devolve um de quatro resultados normalizados:
- Correspondência — o nome coincide com o titular da conta. Prossiga com a confiança habitual.
- Correspondência parcial — os nomes são semelhantes mas não idênticos, por exemplo um segundo nome em falta ou uma designação comercial face a um nome registado. O nome verificado é devolvido para que o possa confirmar ou corrigir.
- Sem correspondência — o nome não pertence a essa conta. Pare e volte a verificar através de um canal em que confie.
- Verificação não possível — o banco do beneficiário não conseguiu responder naquele momento. Nem boa nem má notícia; trate um beneficiário novo e não verificável com cuidado redobrado.
A verificação é indicativa: avisa-o, não bloqueia o pagamento. É intencional, porque a decisão de enviar continua a ser sua. Para uma empresa de criptoativos, o padrão útil é executar a verificação em cada pagamento fiduciário antes da libertação e voltar a executá-la sempre que um cliente ou uma contraparte altere os dados bancários — que é exatamente o momento que a fraude de desvio de faturas aproveita.
Dois controlos diferentes, ambos necessários
A triagem de carteiras responde a «este endereço é de risco?». A VoP responde a «este IBAN pertence à parte que indiquei?». Um processo de pagamento precisa dos dois, porque um endereço de carteira limpo e uma conta bancária que não corresponde podem aparecer no mesmo pedido de levantamento.
Uma lista de verificação prática para um CASP português
- 1 Confirme com o Banco de Portugal a via de autorização e os documentos em vigor antes de planear qualquer outra coisa.
- 2 Mapeie todos os fluxos fiduciários: levantamentos de clientes, liquidações com fornecedores de liquidez e plataformas de negociação, pagamentos a fornecedores e salários.
- 3 Verifique se o seu banco já oferece a VoP nas suas transferências em euros — os PSP portugueses têm de o fazer desde 9 de outubro de 2025.
- 4 Se envia pagamentos através de vários bancos ou de um prestador de pagamentos, padronize numa única integração VoP para que todos os fluxos devolvam os mesmos quatro resultados.
- 5 Verifique o ficheiro de pagamentos inteiro antes da libertação em vez de conferir os beneficiários à mão, e volte a verificar sempre que os dados bancários mudarem.
- 6 Guarde o resultado da VoP junto do registo do pagamento, para que um auditor ou supervisor possa ver o que verificou e quando.
A mesma pergunta noutros mercados
Portugal não é o único país onde o «registo VASP» está a ser redefinido. As empresas que comparam jurisdições — Portugal, República Checa, Lituânia, Malta — estão na verdade a comparar supervisores, prazos e acesso bancário. A direção à escala da UE é a mesma: uma autorização única ao abrigo do MiCA, aplicada pelos supervisores nacionais. Se está a ponderar opções, leia os requisitos como estão hoje e não como eram descritos há um ano.
A RoxPay disponibiliza a Verification of Payee no esquema SEPA através de uma única API REST e de um painel, devolvendo os resultados normalizados — correspondência, correspondência parcial, sem correspondência e verificação não possível — em bem menos de um segundo, com o nome verificado em caso de correspondência parcial, para um único pagamento ou para um ficheiro de pagamentos inteiro.