Imediatamente após o encerramento total do período de transição do MiCA, a ESMA lançou uma ação de auditoria conjunta direcionada a prestadores de serviços de custódia de criptoativos, um sinal concreto de que a regulamentação de criptomoedas na Europa está a passar da fase de licenciamento para a fase real de auditoria.

Esta Ação de Auditoria Conjunta foi anunciada a 8 de julho e decorrerá do segundo semestre de 2026 ao primeiro semestre de 2027, com o relatório final a compilar as conclusões a ser submetido ao Conselho de Supervisores da ESMA no segundo semestre de 2027. Trata-se de um processo verdadeiramente longo, não de uma fotografia instantânea, mas de uma revisão que se estende por meses.

A auditoria não será conduzida pela própria ESMA, mas por cada autoridade reguladora nacional dos Estados-Membros, como a BaFin na Alemanha, a AMF em França e a CNMV em Espanha. Cada autoridade nacional selecionará uma amostra baseada no risco de empresas licenciadas na sua região para realizar a auditoria; isto é, nem todas as empresas serão examinadas, mas serão priorizadas aquelas com maior volume, operações transfronteiriças ou os maiores ativos de clientes.

As áreas abrangidas pela revisão são bastante técnicas e aprofundadas, focando-se principalmente na geração e gestão de chaves privadas, controlos de autorização de transações, processos de deteção e resposta a incidentes, riscos de contratos inteligentes e dependência de prestadores de tecnologia terceiros. Este último ponto é particularmente importante, pois muitos prestadores de serviços de custódia dependem de parceiros tecnológicos externos para a sua infraestrutura principal, criando uma fragilidade que poderia, de outra forma, ficar fora do âmbito da revisão regulatória. A ESMA pretende colmatar esta lacuna ao incluí-la diretamente.

O momento não é coincidência; o período de transição do MiCA encerrou oficialmente a 1 de julho, e o número de prestadores registados aumentou de 243 para 280, impulsionado em grande parte por novos licenciados como o Standard Chartered, FalconX e Sygnum Europe. Chipre foi também o país com mais licenças, com seis novas aprovações. Dois dias antes desta auditoria, a Ripple recebeu também autorização total CASP da CSSF do Luxemburgo, permitindo à empresa operar em todo o Espaço Económico Europeu, que abrange trinta países. A CNMV espanhola afirmou inequivocamente que não serão concedidas prorrogações a plataformas não licenciadas.

O verdadeiro significado desta supervisão reside no facto de que ter uma licença é agora visto como um piso, não um teto. A ESMA quer testar se as empresas possuem verdadeiramente resiliência operacional, e não apenas parecerem conformes no papel. Grande parte da infraestrutura de custódia de criptomoedas na Europa está construída sobre um número limitado de fornecedores de infraestrutura — infraestrutura na nuvem, módulos de segurança de hardware ou empresas de gestão de chaves privadas. Se os reguladores nacionais identificarem o mesmo fornecedor terceiro como problemático em várias empresas, isso poderá levar a uma migração de infraestrutura dispendiosa em todo o mercado — um risco sistémico precisamente o que a lei europeia paralela de resiliência operacional digital, DORA, visa prevenir.

Para quem acompanha os serviços de custódia de criptomoedas ou plataformas licenciadas pelo MiCA na Europa através da Gate, o ponto crucial é que os resultados desta auditoria fornecerão um indicador tangível da segurança dos ativos dos utilizadores, e a forma como as autoridades nacionais aplicarão esta auditoria determinará quão diferentes serão os padrões de auditoria para uma empresa licenciada num Estado-Membro em comparação com outro. Este será o primeiro teste concreto para saber se o MiCA pode realmente criar um padrão de auditoria unificado.