Imediatamente após o fechamento completo do período de transição da MiCA, a ESMA lançou uma ação conjunta de auditoria voltada para provedores de serviços de custódia de criptomoedas, um sinal concreto de que a regulação de criptomoedas na Europa está passando da fase de licenciamento para a fase real de auditoria.

Esta Joint Audit Action foi anunciada em 8 de julho e será realizada do segundo semestre de 2026 ao primeiro semestre de 2027, com o relatório final compilando as descobertas a ser submetido ao Conselho de Supervisores da ESMA no segundo semestre de 2027. Este é um processo realmente longo, não um instantâneo, mas uma revisão que abrange meses.

A auditoria não será conduzida pela própria ESMA, mas pela autoridade reguladora nacional de cada estado-membro, como a BaFin na Alemanha, a AMF na França e a CNMV na Espanha. Cada autoridade nacional selecionará uma amostra baseada em risco de empresas licenciadas em sua região para realizar a auditoria; ou seja, nem todas as empresas serão examinadas, mas aquelas com maior volume, operações transfronteiriças ou maiores ativos de clientes serão priorizadas.

As áreas cobertas pela revisão são bastante técnicas e aprofundadas, focando principalmente na geração de chaves privadas e gestão de custódia, controles de autorização de transações, processos de detecção e resposta a incidentes, riscos de contratos inteligentes e dependência de provedores de tecnologia terceirizados. Este último ponto é particularmente importante porque muitos provedores de serviços de custódia dependem de parceiros de tecnologia externos para sua infraestrutura principal, criando uma fraqueza que, de outra forma, poderia ficar fora do escopo da revisão regulatória. A ESMA visa fechar essa lacuna incluindo-a diretamente.

O momento não é coincidência; o período de transição da MiCA foi oficialmente encerrado em 1º de julho, e o número de provedores registrados aumentou de 243 para 280, impulsionado em grande parte por novos licenciados como Standard Chartered, FalconX e Sygnum Europe. Chipre também foi o país com mais licenças, com seis novas aprovações. Apenas dois dias antes desta auditoria, a Ripple também recebeu autorização CASP completa da CSSF de Luxemburgo, permitindo que a empresa opere em toda a Área Econômica Europeia de trinta países. A CNMV da Espanha afirmou inequivocamente que não serão concedidas extensões para plataformas não licenciadas.

O verdadeiro significado desta supervisão reside no fato de que ter uma licença é agora visto como um piso, não um teto. A ESMA quer testar se as empresas realmente possuem resiliência operacional, não apenas parecem estar em conformidade no papel. Grande parte da infraestrutura de custódia de criptomoedas da Europa é construída sobre um número limitado de provedores de infraestrutura—infraestrutura em nuvem, módulos de segurança de hardware ou empresas de gestão de chaves privadas. Se os reguladores nacionais encontrarem o mesmo provedor terceirizado problemático em várias empresas, isso pode levar a uma migração de infraestrutura cara em todo o mercado—um risco sistêmico exatamente que a lei paralela de resiliência operacional digital da Europa, a DORA, visa prevenir.

Para aqueles que acompanham serviços de custódia de criptomoedas ou plataformas licenciadas pela MiCA na Europa via Gate, o ponto crucial é que os resultados desta auditoria fornecerão um indicador tangível da segurança dos ativos dos usuários, e o quão rigorosamente as autoridades nacionais aplicarem esta auditoria determinará quão diferentes serão os padrões de auditoria para uma empresa licenciada em um estado-membro em comparação com outro. Este será o primeiro teste concreto de se a MiCA pode realmente criar um padrão de auditoria unificado.