Como verificar se uma plataforma de criptoativos tem autorização MiCA

Uma plataforma de criptoativos só está autorizada ao abrigo do Regulamento relativo aos Mercados de Criptoativos (MiCA) quando uma entidade jurídica concreta consta de um registo oficial, juntamente com os serviços que pode prestar e uma data de autorização. Por isso, descubra qual é a empresa que realmente lhe presta o serviço, identifique o respetivo supervisor e procure essa entidade no registo da ESMA ou na lista do próprio regulador. Um nome numa loja de aplicações ou um número de licença no rodapé de um sítio Web não prova nada por si só.

Pontos principais

• Desde o fim do período transitório a nível da UE, a 1 de julho de 2026, uma empresa precisa de autorização MiCA (ou, no caso de certas entidades já reguladas, de uma notificação) para oferecer serviços de criptoativos a clientes da UE.
• A autorização pertence a uma entidade jurídica, e não a uma marca que pode abranger várias empresas.
• O registo provisório MiCA da ESMA e as listas nacionais indicam a designação jurídica, o LEI, o país de origem, a data de autorização e os serviços permitidos.
• Compare os serviços indicados com o que pretende fazer. A autorização para custódia não é autorização para tudo.
• A autorização é um estatuto de supervisão. Não elimina o risco de preço, a fraude dirigida aos utilizadores nem as falhas operacionais.

O que significa, na prática, «autorizado ao abrigo do MiCA»?

Um prestador de serviços de criptoativos (CASP) está autorizado ao abrigo do MiCA quando a autoridade competente de um Estado-Membro da UE lhe concedeu autorização, nos termos do Regulamento (UE) 2023/1114, para prestar determinados serviços de criptoativos. O estatuto pertence a essa entidade jurídica, abrange apenas os serviços constantes do respetivo registo e estende-se a outros Estados-Membros mediante notificação.

O MiCA define dez serviços de criptoativos, entre os quais a custódia, a troca de criptoativos por fundos, a execução de ordens e os serviços de transferência (enumerados no Passo 4). Uma empresa que os ofereça precisa de autorização nos termos do artigo 59.º, e um prestador autorizado tem de ter a sua sede social num Estado-Membro. Os bancos, as empresas de investimento, as instituições de moeda eletrónica e algumas outras entidades já supervisionadas podem, em alternativa, notificar o seu regulador pelo menos 40 dias úteis antes de começarem a prestar serviços equivalentes (artigo 60.º), pelo que uma entidade legítima pode não ser um «CASP» em sentido estrito.

Autorização MiCA versus registo nacional de VASP

Antes do MiCA, cada país tinha o seu próprio regime, normalmente um registo como prestador de serviços de ativos virtuais (VASP), e a ESMA assinalou que essa mistura resultava numa proteção desigual dos consumidores. As empresas que operavam legalmente ao abrigo das regras nacionais em 30 de dezembro de 2024 podiam continuar até 1 de julho de 2026, ou até o seu pedido de autorização MiCA ser deferido ou indeferido, consoante o que ocorresse primeiro (artigo 143.º, n.º 3). Essa janela fechou.

Um registo nacional anterior ao MiCA documenta um historial, não o estatuto atual. Segundo a declaração da ESMA de 17 de abril de 2026, qualquer entidade que preste serviços de criptoativos a clientes da UE depois de 1 de julho de 2026 sem autorização MiCA infringe o direito da UE e tem de cessar a atividade.

Passo 1 — Identificar a entidade jurídica por trás da aplicação

As marcas, as aplicações e os sítios Web são camadas de marketing. A parte que tem deveres para consigo é uma empresa identificada nos documentos que aceitou ao registar-se. Procure nos primeiros parágrafos dos Termos de Utilização («os serviços são prestados por…»), na política de privacidade (que identifica o responsável pelo tratamento de dados), no aviso legal ou ficha técnica, nas letras pequenas do rodapé e nos e-mails de integração.

Anote a designação jurídica exata com o respetivo sufixo (GmbH, SAS, OÜ, Ltd), a morada da sede, o número de registo da empresa e o regulador indicado. Se aparecerem várias empresas, descubra qual presta o serviço que utiliza: a custódia, a troca e as transferências podem estar em entidades diferentes, como numa configuração de IBAN crypto-friendly. As orientações da ESMA para consumidores sublinham o mesmo ponto, porque as proteções do MiCA se aplicam apenas à entidade da UE especificamente autorizada, e não a outras empresas do grupo. Se a documentação não for clara, pergunte por escrito ao apoio ao cliente; uma resposta vaga também é informação.

Passo 2 — Identificar o regulador

A autorização é concedida pela autoridade competente do Estado-Membro de origem da entidade, por exemplo a AMF em França, a BaFin na Alemanha, a CNMV em Espanha, a CONSOB em Itália, o Banco Central da Irlanda ou a MFSA em Malta. O registo indica a autoridade de cada entrada, e a ESMA publica a lista das autoridades designadas. Trate o regulador mencionado no marketing como uma afirmação a testar: uma autoridade de fora da UE não pode conceder autorização MiCA.

Passo 3 — Consultar o registo oficial

A ESMA publica o registo provisório MiCA sob a forma de ficheiros descarregáveis na sua página MiCA: cinco ficheiros CSV que abrangem livros brancos, emitentes de tokens referenciados a ativos, emitentes de tokens de moeda eletrónica, prestadores de serviços de criptoativos e entidades não conformes. Para uma plataforma, use o ficheiro dos prestadores de serviços de criptoativos.

1. Abra a página MiCA da ESMA e localize a secção «Interim MiCA Register».
2. Descarregue o ficheiro dos prestadores de serviços de criptoativos e abra-o numa folha de cálculo.
3. Pesquise pela designação jurídica, pelo Identificador de Pessoa Coletiva (LEI) ou pelo domínio do sítio Web, e não apenas pela marca. O nome comercial consta de uma coluna separada.
4. Leia a linha inteira: autoridade competente, Estado-Membro de origem, designação jurídica, LEI, morada, sítio Web, data de autorização, data de retirada, serviços e Estados-Membros onde a empresa pretende operar.
5. Confirme que existe uma data de autorização e que a data de retirada está vazia.
6. Repita a pesquisa na lista do regulador nacional, que pode estar mais atualizada.

A ESMA atualiza o registo semanalmente com base no que as autoridades nacionais comunicam, pelo que uma autorização muito recente pode não aparecer de imediato, e uma autorização retirada permanece no ficheiro com a respetiva data de termo. Aceda aos ficheiros através da página da ESMA, uma vez que esta os designa como provisórios. Um livro branco que conste do registo não é uma aprovação do token.

Se uma linha não tiver data de autorização, leia o campo de comentários e a página do regulador: a entidade pode ser um banco ou outra empresa supervisionada que recorra à via de notificação do artigo 60.º. Se não encontrar nenhuma linha, peça ao prestador a sua entidade jurídica, o LEI e a referência junto do regulador, consulte a lista do regulador e adie qualquer depósito até que algo coincida.

Passo 4 — Verificar os serviços abrangidos

O registo regista cada serviço com uma letra, reproduzindo os dez serviços da definição do MiCA.

Uma entrada que indique apenas aconselhamento não dá fundamento para guardar os seus ativos. Confirme que o seu país consta dos Estados-Membros indicados.

Passo 5 — Cruzar o domínio e a entidade jurídica

Uma entrada genuína pode ser usada indevidamente por um sítio que a imita. Compare o sítio Web que consta do registo com o endereço que utiliza, caráter a caráter, e confirme que a designação jurídica nos Termos, a morada e o LEI coincidem com o registo e que o programador na loja de aplicações é a mesma empresa. A pesquisa pública do GLEIF mostra o nome e a morada registados associados a um LEI.

Verifique também o tipo de entidade. Uma empresa de fora da UE não pode oferecer serviços MiCA a clientes da UE, exceto no caso restrito em que o cliente a contacta exclusivamente por sua própria iniciativa (reverse solicitation), e a ESMA considera que a promoção dirigida a clientes da UE constitui solicitação.

Passo 6 — Verificar avisos e restrições

Consulte o ficheiro das entidades não conformes, que identifica as entidades que as autoridades detetaram a prestar serviços de criptoativos em violação das regras de autorização, e leia depois a secção de avisos do regulador de origem e do seu regulador nacional. Um resultado limpo significa apenas que ainda não foi levantado qualquer alerta.

Sinais de alerta: afirmações que é preciso verificar

Um exemplo prático (fictício)

Imagine uma aplicação chamada Tidewell. O seu sítio diz «MiCA licensed» e mostra um número de licença, mas nenhum nome de empresa. Os Termos dizem que os serviços na UE são prestados pela Tidewell Digital Services SIA, uma empresa letã. O Passo 3 não encontra qualquer entrada para ela, apenas para a Tidewell Capital Ltd, uma empresa diferente autorizada apenas para aconselhamento. A marca é partilhada, mas as entidades não, pelo que a empresa que lhe presta o serviço não mostra autorização. O passo seguinte é pedir por escrito a referência junto do regulador e o LEI da entidade que detém os ativos dos clientes e não depositar enquanto a resposta não coincidir com uma entrada. (A Tidewell é inventada para fins ilustrativos.)

Pode uma plataforma operar enquanto o seu pedido MiCA está pendente?

Não. A posição da ESMA é que, depois de 1 de julho de 2026, quem ofereça serviços de criptoativos a clientes da UE sem autorização MiCA tem de cessar a atividade, e a ESMA esperava que os prestadores não autorizados tivessem concluído até lá uma cessação ordenada. Um pedido «em curso» não é uma autorização. Um banco que utilize a via de notificação do artigo 60.º é um caso diferente, e uma empresa de fora da UE só pode servir um cliente que a tenha contactado por iniciativa própria. Peça para ver a entrada no registo e, enquanto não existir uma, trate o prestador como não autorizado para novos depósitos.

A autorização MiCA garante que os fundos não se podem perder?

Não. A autorização mostra que uma entidade identificada está sujeita aos requisitos de organização, de custódia e de conduta do MiCA e à supervisão. Não protege contra quedas de preço, burlas que exploram as suas próprias credenciais, interrupções de serviço nem contra a falência de uma empresa. O aviso da ESMA é formulado ao contrário: os clientes de prestadores não autorizados não dispõem das salvaguardas do MiCA, incluindo a proteção dos ativos dos clientes. Encare a autorização como um filtro mínimo e depois avalie a plataforma pelas comissões, pelos mecanismos de custódia e pelo tratamento de reclamações. Para uma análise mais completa, veja o que o MiCA protege e o que não protege.

Lista de verificação

Copie esta lista e preencha-a antes de depositar fundos.

• Designação jurídica exata da empresa que me presta o serviço: ______
• Morada da sede e número de registo da empresa: ______
• Regulador indicado no contrato: ______
• LEI, confirmado numa pesquisa pública de LEI: ______
• Entrada encontrada no ficheiro dos prestadores de serviços de criptoativos da ESMA ou na lista do regulador
• Data de autorização presente, data de retirada vazia, os meus serviços e o meu país indicados
• O sítio Web do registo coincide com o endereço que utilizo
• Nenhuma correspondência no ficheiro das entidades não conformes nem nos avisos do regulador

Aplicar a lista de verificação à Quppy

O sítio Web da Quppy indica que a aplicação é operada pela QUPPY EUROPE OÜ e que os serviços de criptoativos na Europa são prestados pela Payhound Limited, um CASP sediado em Malta e autorizado pela MFSA. Essa é a separação entre marca e entidade regulada que o Passo 1 pede para identificar, e a lista pública de CASP autorizados da AMF também inclui uma entrada para a Payhound Limited. Aplique, por si, os Passos 3 a 5 a esse nome, usando a página sobre o MiCA e os prestadores da Quppy como documento de comparação. Sobre o que um prestador autorizado comunica depois às autoridades fiscais, veja as regras de comunicação da DAC8.

Perguntas frequentes

O registo da ESMA é o único sítio onde verificar?

Não. A ESMA compila o seu registo a partir de informações comunicadas pelas autoridades competentes nacionais e atualiza-o semanalmente, pelo que a lista do próprio regulador nacional pode estar mais atualizada. Use ambos: a ESMA para a visão transfronteiriça e o regulador do Estado-Membro de origem do prestador para o estatuto mais recente, as retiradas e os avisos.

O que é um LEI e porque ajuda?

Um Identificador de Pessoa Coletiva (LEI, Legal Entity Identifier) é um código de 20 caracteres que identifica uma empresa a nível mundial. O registo MiCA regista-o para cada prestador, pelo que pode associar um contrato ou um sítio Web a uma entrada mesmo quando as marcas ou as grafias diferem. Uma pesquisa pública de LEI mostra o nome e a morada registados associados ao código.

O meu prestador é um banco. Aparecerá no registo?

Depende. Um banco pode aparecer, mas não como um CASP convencional: as instituições de crédito e outras empresas supervisionadas podem oferecer serviços de criptoativos equivalentes depois de notificarem o seu regulador nos termos do artigo 60.º. As respetivas entradas no registo podem ter um aspeto diferente, por exemplo sem data de autorização, pelo que deve consultar o campo de comentários e a página do próprio regulador.

O que devo fazer se o meu prestador não estiver autorizado?

A ESMA aconselha a agir rapidamente: transfira os seus criptoativos para um prestador autorizado ou para uma carteira autoalojada, ou pondere encerrar posições, porque permanecer junto de um prestador não autorizado pode significar menos proteção jurídica e maior risco de perder o acesso. Confirme o prestador de destino com os mesmos passos antes de mover o que quer que seja. Se estiver a escolher um novo prestador para comprar, veja como comprar criptoativos legalmente na Europa depois do MiCA.

Informação geral sobre as regras da UE, que não constitui aconselhamento jurídico nem recomendação de qualquer prestador.

Fontes e leitura complementar

• ESMA, Statement on the end of transitional periods under MiCA (declaração sobre o fim dos períodos transitórios ao abrigo do MiCA, 17 de abril de 2026)
• ESMA, Markets in Crypto-Assets Regulation (MiCA) page and interim MiCA register (página sobre o MiCA e registo provisório MiCA), incluindo as descrições dos campos do registo
• Banco Central da Irlanda, summary of ESMA's public statement of 23 June 2026 on unauthorised CASPs (resumo da declaração pública da ESMA de 23 de junho de 2026 sobre CASP não autorizados)
• EUR-Lex, Regulamento (UE) 2023/1114 (MiCA)
• ESMA, Guidelines on reverse solicitation under MiCA (orientações sobre a reverse solicitation ao abrigo do MiCA)
• Finansinspektionen (Suécia), Authorisation and notification for crypto-asset services (autorização e notificação para serviços de criptoativos)
• AMF (França), list entry for Payhound Limited (entrada na lista relativa à Payhound Limited)