Cofres na mira: a MiCA aproxima-se do crédito DeFi

Durante três anos, o crédito on-chain cresceu num ponto cego do direito europeu. A MiCA, o regulamento que desde 2023 organiza o mercado de criptoativos na União Europeia, deixou de fora, de propósito, a atividade de pedir e conceder empréstimos. Na última semana de setembro de 2026, esse ponto cego deixou de ser confortável.

A 24 de setembro, a Autoridade Bancária Europeia (EBA) recomendou formalmente trazer o crédito cripto e o acesso à DeFi para dentro da MiCA. A 30 de setembro, a Autoridade Europeia dos Valores Mobiliários e dos Mercados (ESMA) propôs criar um serviço regulado novo para quem dá aos utilizadores acesso a protocolos descentralizados, no mesmo dia em que fechava a consulta pública da Comissão Europeia sobre a revisão do regulamento. E, entre as duas datas, os dois maiores protocolos de crédito DeFi, a Aave e a Morpho, entraram em rota de colisão sobre uma palavra que o direito europeu nem sequer reconhece: cofre.

Esta é a história de como a Europa decidiu, finalmente, olhar para dentro dos cofres da DeFi, e de porque é que isso é bem mais complicado do que parece.

A semana em que Bruxelas bateu à porta da DeFi

A sequência de acontecimentos concentrou-se em poucos dias. A Comissão Europeia tinha aberto, a 20 de maio de 2026, uma consulta dirigida sobre a revisão da MiCA; o prazo de resposta, inicialmente marcado para 31 de agosto, foi prolongado até 30 de setembro. É esse o pano de fundo: não uma lei nova, mas o fim da fase de escuta e o início do trabalho que o setor já apelida de MiCA 2.0.

Dentro dessa janela, as autoridades europeias alinharam as suas posições. A EBA entregou a sua resposta a 24 de setembro, pedindo que o crédito e o empréstimo de criptoativos passem a ter regras. A ESMA respondeu a 30 de setembro, com um pacote que vai dos influenciadores aos protocolos descentralizados. O facto de os três pilares da supervisão europeia (autoridade bancária, autoridade dos mercados e banco central) terem submetido contributos convergentes na mesma janela sugere que a direção da reforma já está, no essencial, acordada.

Os preços contaram uma história de duas velocidades. A 1 de outubro de 2026, o token da Aave negociava a cerca de 148,62 euros, uma subida de 18,6% em sete dias, com uma capitalização próxima dos 2,29 mil milhões de euros (o 42.º maior ativo). No mesmo dia, o MORPHO caía 12,3% na semana, para cerca de 2,21 euros e uma capitalização de 1,54 mil milhões de euros (o 60.º lugar). O contraste não é inocente: num momento em que Bruxelas discute quem responde pelo risco de cada modelo, o mercado parece preferir o protocolo com uma governação mais visível e um token que recompra receitas àquele cujo valor assenta, sobretudo, na promessa de crescimento.

O buraco deixado de propósito: o Considerando 94

Quando a MiCA foi adotada, em maio de 2023, os legisladores sabiam exatamente o que estavam a deixar de fora. O Considerando 94 do regulamento afirma, em termos práticos, que a concessão e a tomada de empréstimos de criptoativos não são abrangidas. Não foi um esquecimento: foi uma opção deliberada, tomada num momento em que o crédito DeFi ainda era pequeno e em que ninguém queria atrasar o resto do regulamento para resolver um problema complexo.

Três anos depois, o problema deixou de ser pequeno. A própria MiCA previu o seu reexame: os artigos 140.º e 142.º obrigam a Comissão Europeia a apresentar relatórios sobre a aplicação do regulamento e sobre a evolução do mercado, relatórios que, se justificado, podem vir acompanhados de uma proposta legislativa para alterar e completar as regras. A consulta dirigida da Comissão, conduzida pela Direção-Geral da Estabilidade Financeira (DG FISMA), nasceu precisamente desses artigos e agrupou o staking, a concessão e a tomada de empréstimos como atividades atualmente não tratadas na MiCA.

Importa sublinhar o calendário, porque dele depende a enxurrada de manchetes alarmistas. O fecho da consulta a 30 de setembro não muda nada no imediato. É o ponto de partida para um relatório da Comissão e, eventualmente, uma proposta legislativa que dificilmente chegará antes de 2027, e que depois terá de passar pelo Parlamento Europeu e pelo Conselho. Entre a recomendação de um supervisor e uma regra aplicável a um português que usa a Aave há um caminho longo. Mas a direção ficou traçada.

O que a EBA quer mudar

A resposta da EBA é a mais concreta. Segundo o relato da Cointelegraph, a autoridade bancária argumenta que a lacuna se tornou insustentável: a atividade de concessão e tomada de empréstimos de criptoativos está documentada em pelo menos 16 Estados-Membros, e ferramentas de intermediação apoiadas em inteligência artificial estão a esbater a fronteira entre os prestadores de serviços (CASP) já regulados e as pools de DeFi sem supervisão. Por outras palavras, o utilizador comum já nem sabe quando sai do mundo regulado e entra no outro.

As medidas propostas pela EBA andam todas em torno da proteção do investidor de retalho. A autoridade sugere testes de adequação antes de dar a um utilizador acesso a crédito alavancado, limites de alavancagem, divulgações pré-contratuais mais exigentes e avisos explícitos de que os protocolos verdadeiramente descentralizados não estão regulados. Propõe ainda proibir os CASP de intermediar ou facilitar crédito que envolva tokens que cumprem a definição de stablecoin da MiCA mas que não têm a devida autorização.

A ideia mais original, e a que mais desconforto causou ao setor, é um regime de certificação para os protocolos de crédito DeFi, que avaliaria a sua resiliência a ciberataques e a que as empresas licenciadas na UE se poderiam ligar. Seria o primeiro contacto regulatório direto entre o direito europeu e a infraestrutura de um protocolo descentralizado: não um registo do protocolo em si, que ninguém controla, mas um selo que diria às entidades reguladas a que cofres podem encostar o dinheiro dos clientes.

A escala ajuda a perceber o nervosismo de Bruxelas. Segundo a AMBCrypto, o mercado de crédito DeFi vale hoje cerca de 54 mil milhões de dólares, dos quais perto de 10 mil milhões estão alojados em mais de quatro mil cofres curados. Deixar esse volume inteiramente fora do perímetro, quando bancos e gestoras europeias começam a ligar-se a ele, tornou-se política e prudencialmente difícil de justificar.

A ESMA e o novo serviço de acesso à DeFi

Se a EBA olha para o crédito pela lente prudencial, a ESMA olha pela lente dos mercados e do investidor. A sua resposta oficial à consulta, publicada a 30 de setembro, propõe criar um serviço de criptoativos regulado inteiramente novo: o do prestador que dá a clientes acesso a protocolos ou serviços descentralizados, seja fornecendo a interface técnica que permite interagir com a DeFi, encaminhando transações ou atuando, de alguma forma, como intermediário entre o cliente e o smart contract.

É uma mudança de ângulo subtil mas decisiva. Em vez de tentar regular o protocolo (impossível, porque não há uma entidade a quem dar ordens), a ESMA regula a porta de entrada. Quem construir e explorar essa porta passa a ser um serviço sujeito a licença, deveres de informação e supervisão. A autoridade quer também regras mais claras para decidir quando uma atividade é verdadeiramente descentralizada, por oposição a um negócio centralizado disfarçado de DeFi.

O pacote da ESMA não se fica pela DeFi. Inclui regras mais duras para o marketing de criptoativos, sobretudo quando influenciadores e outros terceiros promovem os ativos, e, segundo a CryptoTimes, reforça a capacidade da UE para detetar, bloquear e desativar sites fraudulentos e congelar criptoativos em casos de suspeita de abuso de mercado ou de financiamento do terrorismo. Nada disto se aplica sozinho: qualquer alargamento exige ainda decisão política e, provavelmente, alteração legislativa. A ESMA recomenda; a Comissão, o Parlamento e o Conselho decidem.

Porque é que cofre não existe no direito europeu

Aqui começa a verdadeira dificuldade. Um cofre (vault, no jargão inglês) é, em DeFi, um contrato inteligente que recebe depósitos e os encaminha, segundo regras, para mercados de crédito. Mas o direito europeu não conhece a figura. Como explicou o advogado de ativos digitais Yuriy Brisov, da Digital & Analogue Partners, à Cointelegraph: «O direito europeu não tem nenhuma categoria chamada ‘cofre’. Por isso, um advogado define-o como um regulador o qualificaria: pela função, não pelo rótulo.»

A consequência é que um cofre pode cair em caixas jurídicas muito diferentes consoante o que faz na prática. Se há um gestor que decide a estratégia e recebe uma comissão, aproxima-se de um fundo ou de uma gestão de carteiras, com as regras pesadas que isso implica. Se não há gestor, se o utilizador pode sair antes de qualquer alteração de parâmetros e se os direitos dos depositantes estão inscritos no código, Brisov defende que a estrutura deveria ficar fora do perímetro regulatório. O problema é que a maioria dos cofres reais vive algures no meio deste espectro.

Durante três anos, os cofres sobreviveram graças a interpretações não vinculativas que os colocavam fora da MiCA e fora das regras europeias de fundos. Essa zona cinzenta foi confortável enquanto ninguém olhou. Agora que Bruxelas olha, a pergunta deixa de ser teórica: é pela função de cada cofre que se decidirá se ele precisa, ou não, de licença.

A guerra dos cofres: Aave contra Morpho

Foi exatamente sobre onde traçar essa linha que os dois gigantes do crédito DeFi se desentenderam em público. O fundador da Morpho, Paul Frambot, propôs um sistema de classificação com duas categorias: cofres sem custódia, que limitariam o papel do curador e dariam flexibilidade ao utilizador (incluindo a capacidade de sair ou um bloqueio temporal), e cofres discricionários, geridos por gestores de ativos e que, por isso, acionariam a lógica das leis de valores mobiliários, do tipo da que a SEC aplica nos Estados Unidos.

A reação do fundador da Aave, Stani Kulechov, foi imediata e pouco diplomática. A 25 de setembro, citado pela AMBCrypto, Kulechov afirmou: «Esta categorização não faz sentido e é, no essencial, feita em proveito próprio.» E acrescentou, segundo o CryptoNews, que «os cofres que poderiam razoavelmente ser considerados sem custódia são aqueles que não têm um gestor». A acusação de que a proposta é interesseira (self-serving, no original) tem um fundo de arquitetura: cada empresa sugere a fronteira no sítio que mais lhe convém.

A Aave funciona, no essencial, como uma pool partilhada, com parâmetros definidos por votação da sua organização autónoma descentralizada (DAO) e sem curadores externos a parametrizar mercados. A Morpho construiu precisamente o oposto: uma base mínima sobre a qual curadores independentes montam cofres à medida. Uma classificação que trate os curadores como gestores discricionários apanharia em cheio o modelo da Morpho e deixaria a Aave relativamente intocada; uma que valorize a ausência de custódia favoreceria a Morpho. Daí o calor da troca.

A diferença de avaliação entre os dois tokens não é alheia a este debate. A Aave usa parte das receitas do protocolo para recomprar o seu token, ao passo que o MORPHO continua, por agora, um ativo sobretudo de governação; uma distinção que já vimos pesar noutros protocolos que apostaram em programas de recompra para ligar o preço do token à receita. Quando o risco regulatório sobe, o mercado tende a premiar o modelo cujo valor é mais fácil de explicar a um regulador.

O que é, afinal, um cofre curado

Para perceber o que está em jogo, convém saber como funciona um cofre moderno. No modelo da Morpho, o chamado Vaults V2 é descrito na documentação oficial como uma estrutura de cofres sem permissão para estratégias de crédito curadas, com um sistema de adaptadores, um sistema de limites e acumulação automática de juros a partir de relatórios de ativos em tempo real. Os papéis estão divididos entre quatro funções: o Owner (dono), o Curator (curador), o Allocator (alocador) e o Sentinel (sentinela). Como nota a CryptoNexa, o Owner tem as permissões de topo, mas nenhum controlo direto sobre os ativos; quem define para onde vai o risco é o curador.

É essa figura, o curador, que coloca os reguladores em sentido. Um curador escolhe que colaterais aceitar, que taxas de juro cobrar e que limites impor, e cobra por isso uma comissão. Para um depositante, isto é indistinguível de confiar dinheiro a um gestor de fundos; a diferença é que o curador nunca toca no dinheiro, que permanece no contrato. A Aave evita esta ambiguidade ao concentrar as decisões na sua DAO, mas paga o preço de uma governação mais lenta e de um só conjunto de parâmetros para todos.

O teste da descentralização e o paradoxo que cria

A proposta da ESMA assenta, no fundo, num teste: a atividade é mesmo descentralizada ou há alguém a comandá-la? A intuição é razoável, mas aplicá-la é um campo minado. Jonathan Galea, sócio da Cahill Gordon & Reindel, resumiu o perigo à Cointelegraph: «a descentralização é um espetro e uma função do tempo: um teste assente nela penalizaria os protocolos mais recentes e mais inovadores, entrincheirando os incumbentes maduros que tiveram anos para distribuir o controlo.»

O paradoxo é cruel. Um protocolo jovem, lançado há meses e ainda controlado por uma equipa pequena, falharia o teste e seria regulado; um protocolo antigo, cuja equipa já dispersou as chaves por anos de distribuição, passaria. A regulação premiaria a idade, não a segurança. Galea avisa também contra o rótulo único: «trazer o ‘crédito DeFi’ para o perímetro como uma etiqueta só faz com que estruturas que mereciam respostas opostas corram o risco de ser apanhadas juntas.» Ainda assim, não desvaloriza a utilidade da figura: «os cofres de crédito resolvem mais problemas práticos do que aqueles que criam.»

Michael Egorov, fundador da Curve Finance, vai por outra via. Defende que, se o crédito DeFi vier a ser regulado, «deve ser tratado de forma completamente diferente» do crédito tradicional, porque a estrutura de mercado on-chain dispensa algumas salvaguardas e exige outras, feitas à sua medida. E sugere um pormenor técnico com grandes consequências: em vez de alargar a definição de prestador de serviços de criptoativos, Bruxelas deveria acrescentar explicitamente a concessão e a tomada de empréstimos à lista de serviços regulados. A diferença entre as duas vias decidirá quantos atores são, de repente, apanhados pela rede.

Porque é que os reguladores se preocupam: o historial de 2026

Nada disto acontece no vácuo. A ESMA é explícita sobre os riscos que a motivam: alavancagem excessiva, contágio, ataques informáticos e fraude. E 2026 forneceu exemplos para todos. O mais grave foi o colapso da Kelp DAO em abril: um atacante cunhou rsETH sem lastro através de uma falha de configuração numa ponte e, segundo a CoinDesk, o buraco de cerca de 292 milhões de dólares transformou-se em mais de 200 milhões de dívida malparada na Aave, o maior protocolo de crédito do setor. O ponto incómodo: a Aave tinha listado aquele colateral como legítimo. Não foi um protocolo obscuro que falhou, foi o mais conservador.

Antes disso, houve os colapsos da Stream Finance e da Resolv, que expuseram a fragilidade do modelo de curadores. O da Stream, em novembro de 2025, começou com uma perda de 93 milhões de dólares num gestor externo e irradiou cerca de 285 milhões de dólares de contágio por protocolos interligados, porque o seu xUSD tinha sido reutilizado como colateral alavancado em vários mercados. O da Resolv, em março de 2026, foi um episódio de cerca de 25 milhões de dólares em que uma chave de nuvem comprometida bastou para cunhar stablecoins do nada. E em agosto de 2026 bastou um trader gastar cerca de 320 mil dólares a manipular um oráculo para desencadear 36,14 milhões de dólares em liquidações num mercado da Morpho, sem sequer existir uma falha de código. A isto somou-se, ao longo do ano, uma vaga de ataques com flash loans que manipulam o preço de um ativo num único bloco para enganar um protocolo de crédito. É este padrão repetido, mais do que qualquer caso isolado, que levou os supervisores europeus a concluir que a autorregulação não chega. Quem já estudou como uma cascata de liquidações transforma uma multidão alavancada em alvo reconhece o enredo.

A stablecoin no centro da disputa

Há um detalhe na proposta da EBA que pode ter mais impacto prático do que todo o debate sobre curadores: a ideia de proibir os prestadores regulados de intermediar crédito que envolva stablecoins que cumprem a definição da MiCA mas não têm autorização. Para entender o alcance, há que lembrar que a MiCA divide as stablecoins em duas famílias, os tokens de moeda eletrónica (EMT), ligados a uma única moeda, e os tokens referenciados a ativos (ART), e exige que os seus emitentes sejam autorizados na UE.

O problema é que quase todo o crédito DeFi corre sobre stablecoins. Na Morpho, por exemplo, a esmagadora maioria dos empréstimos ativos é denominada em stablecoins, com o USDC a representar a maior fatia. Ora, se o USDC e o EURC da Circle já se movem dentro do perímetro europeu, o mesmo não se pode dizer das stablecoins descentralizadas (como o DAI e o seu sucessor USDS, o crvUSD ou o GHO), cunhadas contra colateral e sem um emitente autorizado à maneira da MiCA. É um mundo que já explorámos a propósito de quem decide cunhar o próprio dólar.

Se a regra avançar na forma mais dura, um banco ou uma corretora europeia poderia ficar impedido de encaminhar clientes para cofres que emprestam nessas stablecoins, estrangulando uma parte substancial da atividade. É o tipo de medida que, no papel, protege o retalho, mas que, na prática, pode empurrar o crédito para fora da Europa ou para a franja totalmente sem permissão, onde nenhum intermediário responde. O equilíbrio entre proteger e expulsar vai ser o nó górdio da MiCA 2.0.

Portugal: CMVM, Banco de Portugal e o que muda cá

Para o investidor português, a tradução é direta. A MiCA aplica-se cá por via europeia, e a lei nacional que a executa é a Lei n.º 69/2025, de 22 de dezembro, em vigor desde o final desse mês. O período transitório que permitia aos antigos prestadores de serviços com ativos virtuais continuar a operar terminou a 1 de julho de 2026: quem não estiver autorizado tem de parar.

A supervisão é partilhada. Segundo o Dinheiro Vivo, o Banco de Portugal e a Comissão do Mercado de Valores Mobiliários (CMVM) dividem os poderes, com coimas que podem chegar aos cinco milhões de euros. À CMVM cabe a supervisão comportamental do mercado: prevenção de abusos, tratamento de reclamações e conflitos entre entidades e consumidores. A própria CMVM, embora reconheça mais estabilidade com a MiCA, mantém o aviso de que os criptoativos continuam a ser ativos de alto risco e lembra que não estão cobertos pelo Sistema de Indemnização aos Investidores.

Isto tem duas leituras. A primeira: se e quando as regras de crédito entrarem na MiCA, será a CMVM e o Banco de Portugal a fiscalizar os prestadores que, cá, oferecerem acesso a crédito DeFi, tal como o novo serviço de acesso proposto pela ESMA prevê. A segunda: o protocolo em si, o contrato que vive na Ethereum, permanece fora de alcance, e um português que use a Aave diretamente, a partir da sua própria carteira, continua tecnicamente sozinho. Acresce a camada fiscal, com a diretiva DAC8 já a obrigar à troca de informação sobre criptoativos, um terreno que percorremos ao falar de tesourarias cripto e do imposto sobre o lucro em papel.

O que muda para quem usa, e o que não muda

Convém repetir, porque as manchetes vão sugerir o contrário: a 1 de outubro de 2026, nada mudou para quem usa crédito DeFi. O que aconteceu foi o fecho de uma consulta e a entrega de recomendações. O relatório da Comissão e qualquer proposta legislativa só deverão surgir em 2027, e ainda terão de ser negociados. Entre hoje e uma regra vinculativa há, no mínimo, ano e meio.

Quando essa regra chegar, o desenho mais provável é uma bifurcação. De um lado, um canal institucional e de retalho regulado, com testes de adequação, limites de alavancagem e intermediários licenciados a responder pelo que oferecem; do outro, a DeFi pura, acessível a quem assume o risco por sua conta, acompanhada de avisos de que ninguém a supervisiona. A responsabilidade tende a assentar na porta de entrada (o prestador de acesso), não no protocolo. Para o utilizador médio, isto pode significar mais fricção e mais formulários; para o utilizador avançado, pouca diferença, porque continuará a poder ligar-se diretamente.

Há ainda a questão do porquê. Os utilizadores não vão à DeFi por capricho: vão atrás de um rendimento que a banca tradicional não dá. Com a facilidade de depósito do BCE em 2,50% desde 16 de setembro, o custo de oportunidade de deixar o dinheiro parado subiu, mas também subiram as taxas on-chain. É a mesma procura de rendimento real, sustentado por receita e não por emissão de tokens, que move boa parte deste mercado. Regular sem matar essa procura é o verdadeiro desafio da Comissão.

O perímetro e o protocolo: o que a Europa ainda não decidiu

No fundo, toda esta discussão gira à volta de uma única pergunta técnica: é possível regular a porta sem regular a casa? A estratégia europeia (apanhar o prestador de acesso, o emitente de stablecoin, o curador que parece gestor) é inteligente porque ataca os pontos onde há mesmo uma pessoa ou empresa a quem dar ordens. Mas é também porosa: um utilizador determinado passa ao lado da porta regulada e interage diretamente com o contrato, e aí o perímetro europeu acaba.

O risco que preocupa até alguns defensores da regulação é o de empurrar a atividade para fora de alcance, premiando a opacidade em vez de a reduzir. Se o teste da descentralização entrincheira os incumbentes e o rótulo único trata de forma igual o que é diferente, pode acontecer o contrário do pretendido: menos inovação dentro do perímetro e mais risco escondido na franja. A tensão entre o perímetro e o protocolo, entre o que se pode supervisionar e o que apenas se pode avisar, ficará por resolver muito depois de a consulta fechar.

Por agora, o que a última semana de setembro deixou claro é a direção, não o destino. A Europa decidiu que o crédito on-chain é grande e sério demais para continuar num ponto cego. Como o fará sem apagar aquilo que torna a DeFi útil, isso ninguém em Bruxelas, por enquanto, sabe responder.

Perguntas frequentes

A MiCA já regula o crédito e os empréstimos DeFi?

Não. Quando a MiCA foi adotada em 2023, o Considerando 94 deixou de fora, de propósito, a concessão e a tomada de empréstimos de criptoativos. Em setembro de 2026, a EBA e a ESMA recomendaram trazer esta atividade para dentro do regulamento, mas trata-se de propostas: nenhuma regra vinculativa está ainda em vigor, e uma eventual proposta legislativa só deverá surgir em 2027.

O que é um cofre, ou vault, na DeFi?

Um cofre é um contrato inteligente que recebe depósitos e os encaminha, segundo regras, para mercados de crédito on-chain. Nos cofres curados, como os da Morpho, um curador define que colaterais aceitar e que limites impor, cobrando uma comissão, mas nunca detém os fundos, que ficam no contrato. O direito europeu não tem uma categoria chamada cofre, pelo que cada um é avaliado pela função que desempenha.

O que propôs a EBA para o crédito cripto em 2026?

A 24 de setembro de 2026, a EBA recomendou testes de adequação para o retalho, limites de alavancagem, divulgações pré-contratuais mais exigentes, uma restrição ao crédito com stablecoins não autorizadas e um regime de certificação dos protocolos de crédito DeFi quanto à resiliência a ciberataques. Justificou-o com a presença de atividade de crédito cripto em pelo menos 16 Estados-Membros.

O crédito DeFi está protegido em Portugal?

Não da forma que um depósito bancário está. A CMVM e o Banco de Portugal supervisionam os prestadores de serviços de criptoativos ao abrigo da Lei n.º 69/2025, mas a CMVM avisa que os criptoativos continuam a ser ativos de alto risco e não estão cobertos pelo Sistema de Indemnização aos Investidores. O protocolo DeFi em si permanece fora do perímetro regulatório.

Quando entram em vigor as novas regras da MiCA para a DeFi?

A consulta da Comissão Europeia fechou a 30 de setembro de 2026. A seguir vem um relatório da Comissão e, eventualmente, uma proposta legislativa, que dificilmente chegará antes de 2027 e que terá ainda de ser aprovada pelo Parlamento Europeu e pelo Conselho. Na prática, não se espera uma regra vinculativa para o crédito DeFi antes de, pelo menos, 2027.

Por Yuki Tanaka, editor de DeFi da HOGE Wire.