A Receita Federal descobre que você tem criptomoeda por três caminhos que se somam e se conferem entre si: o reporte direto das corretoras (desde 1º de julho de 2026 pela DeCripto, a Instrução Normativa RFB nº 2.291/2025), o rastro bancário do PIX ou da transferência que você usou para comprar, entregue pelos bancos pela e-Financeira, e a troca internacional de informações sob o padrão CARF da OCDE. Não é preciso vender, nem sacar, nem lucrar. Basta a operação existir. Quando o que você declara não bate com o que esses terceiros informam, a declaração fica retida na malha fina, e a Receita tem cinco anos para revisar.
Este artigo mostra como cada um desses cruzamentos funciona na prática, e por que a velha aposta de "movimentei pouco, ninguém vai notar" virou uma das formas mais rápidas de cair na malha.
Ontem o jogo mudou de regime
Se você está lendo isto em julho de 2026, a regra que vale hoje não é a mesma de anteontem. Em 1º de julho de 2026 entraram em vigor as obrigações mensais da DeCripto, a nova declaração de criptoativos criada pela Instrução Normativa RFB nº 2.291, de 14 de novembro de 2025. No mesmo dia, a antiga IN RFB 1.888/2019, que desde 2019 obrigava corretoras e alguns investidores a reportar operações, deixou de valer.
O que muda de concreto: a DeCripto alinha o Brasil ao CARF, o padrão internacional de reporte de criptoativos da OCDE, e amplia o que precisa ser informado. Não é só compra e venda. Entram permuta, doação, transferência entre carteiras, staking, mineração, airdrop e até empréstimo com garantia em cripto. As corretoras brasileiras reportam mensalmente, para qualquer valor. Quem opera fora desse circuito (P2P, autocustódia, corretora estrangeira sem presença no Brasil) passa a reportar por conta própria quando o volume do mês, somado, ultrapassa R$ 35 mil. Esse limite de reporte não se confunde com a isenção de R$ 35 mil por mês nas vendas, que é outra regra e continua valendo do jeito que era.
Se quiser entender em detalhe quem se enquadra em cada faixa, escrevi sobre isso em quem realmente precisa declarar pela DeCripto e no comparativo entre a IN 1.888 e a DeCripto. A tributação em si não mudou: ganho de capital e a isenção mensal seguem iguais. O que ficou mais forte foi a capacidade de conferência. E é aí que mora o risco de quem declara errado.
Os três canais por onde a Receita enxerga sua cripto
A imagem de um leão que "rastreia Bitcoin" na base da desconfiança é enganosa. A Receita não fica investigando carteira por carteira. Ela recebe informação pronta, de três fontes independentes, e compara com a sua declaração. Vale conhecer cada uma.
1. O reporte direto das corretoras
O caminho mais óbvio, e o mais subestimado. Toda corretora brasileira manda para a Receita, mês a mês, o que cada CPF movimentou. Antes era pela IN 1.888. Agora é pela DeCripto, com mais campos. Se você comprou 0,1 BTC na corretora em março e não colocou isso na declaração, a Receita não precisa investigar nada: ela já tem o número do outro lado da mesa, informado pela própria corretora, pronto para comparar com o que você entregou. A mesma corretora ainda te manda o informe anual das operações, então os dois lados da conta existem por escrito antes de você abrir o programa da declaração.
E as estrangeiras? A Lei nº 14.754/2023 puxou para o alcance brasileiro as corretoras estrangeiras com presença no país, o que inclui domínio .br, publicidade para residentes, uso de PIX ou filial local. O detalhe que quase ninguém percebe é que a classificação da corretora, nacional ou estrangeira, muda como você declara e como a informação chega à Receita. Detalhei essa diferença em corretora nacional ou estrangeira.
2. A pegada bancária: e-Financeira e o PIX da compra
Aqui está o cruzamento que quase ninguém comenta, e que existe muito antes de qualquer regra específica de cripto. A e-Financeira, criada pela IN RFB nº 1.571/2015, obriga bancos, corretoras e instituições de pagamento a reportar à Receita as movimentações financeiras dos clientes, com fatos geradores desde dezembro de 2015. Os limites são baixos: acima de R$ 2 mil por mês para pessoa física e R$ 6 mil para pessoa jurídica, por tipo de operação, a movimentação já entra no radar.
Traduzindo para o mundo cripto: o PIX de R$ 8 mil que você mandou para a corretora comprar Bitcoin apareceu para a Receita como movimentação financeira, pela e-Financeira, independentemente de a operação de cripto ter sido reportada ou não. O dinheiro tem duas pontas, e a Receita vê as duas. Declarou R$ 40 mil de rendimento no ano e movimentou R$ 200 mil comprando cripto? Essa distância é exatamente o tipo de sinal que a malha fina procura.
Repare que esse canal é anterior a qualquer regra de cripto. A e-Financeira foi feita para movimentação financeira em geral, e a compra de um criptoativo é, para o banco, uma transferência como outra qualquer. Por isso a frase "a Receita não tem como saber" já nascia furada lá em 2016, muito antes da primeira instrução normativa específica sobre o assunto. O que a DeCripto acrescenta é a outra ponta: agora a Receita também recebe o detalhe da cripto em si, não só o dinheiro que entrou e saiu.
3. A troca internacional de informações (CARF da OCDE)
A cripto atravessa fronteira com um clique, e a fiscalização foi atrás. O CARF, sigla para Crypto-Asset Reporting Framework, é o padrão da OCDE para que os países troquem de forma automática as informações sobre criptoativos de seus residentes. O Brasil entrou nesse padrão justamente pela DeCripto. Na prática, a corretora estrangeira que hoje parece fora do alcance da Receita tende a entrar numa rede de reporte automático entre dezenas de jurisdições nos próximos anos. Apostar que "a corretora lá fora não fala com o Brasil" é apostar contra a direção para onde a fiscalização do mundo inteiro está andando.
E a autocustódia? O ponto cego fecha no primeiro PIX
"Se eu deixo tudo na minha cold wallet, a Receita não vê." É meia verdade, e a metade que falta é a que pega. A blockchain do Bitcoin e da maioria das redes é pública: qualquer pessoa, a Receita inclusive, enxerga cada transação de cada endereço, para sempre. O que a blockchain não traz sozinha é o seu CPF colado no endereço.
O problema é que esse anonimato dura só até o primeiro ponto de contato com o sistema formal. No instante em que você compra a cripto com um PIX identificado, ou vende e recebe o dinheiro de volta na conta, o endereço ganha dono. Daí para frente, seguir o fluxo na blockchain é trabalho de rotina para software de análise de cadeia. O ponto cego da autocustódia é temporário: dura só até o primeiro on-ramp ou off-ramp, quando o endereço enfim ganha um dono identificado.
Acréscimo patrimonial a descoberto: o cruzamento que não depende de ninguém te entregar
Existe ainda um mecanismo que dispensa a corretora. Chama-se acréscimo patrimonial a descoberto, e é simples: se o seu patrimônio cresce mais do que a renda declarada consegue explicar, a Receita presume renda omitida. Comprou um carro, quitou um imóvel, movimentou volumes que a renda no papel não sustenta? A pergunta "de onde saiu esse dinheiro?" aparece sozinha no cruzamento, sem ninguém precisar apontar. Ganho de cripto não declarado é uma das origens que esse tipo de análise costuma expor.
O que é a malha fina, na prática (retido não é o mesmo que multado)
Vale desfazer uma confusão comum: cair na malha fina não é ser multado. A malha fiscal, nas palavras da própria Receita, é o cruzamento entre o que você declarou e o que terceiros informaram, para separar as declarações com inconsistência. Ficar retido na malha significa que algo não bateu, e a análise (ou a restituição) fica parada até você esclarecer.
A diferença que importa está no timing. Enquanto a Receita não abriu procedimento formal contra você, ainda dá para se autorregularizar: retificar a declaração, pagar o imposto que faltou com juros e seguir a vida. A partir do momento em que ela te intima, você perde a espontaneidade. Aí entra a multa de ofício. Pela regra geral do Imposto de Renda (Lei nº 9.430/1996, art. 44), são 75% sobre o imposto que deixou de ser pago, podendo chegar a 150% se ficar comprovada fraude ou simulação, tudo corrigido pela Selic. É a diferença entre pagar o que devia com um juro e pagar quase o dobro do imposto por cima.
O tempo também não trabalha a seu favor: a Receita tem cinco anos para revisar cada declaração. A omissão de 2023 pode virar problema em 2028. Se você já percebeu que deixou cripto de fora em anos anteriores, o caminho mais barato é corrigir antes de ser procurado. Montei o passo a passo em como retificar e regularizar cripto não declarada.
Antes de sair correndo por conta própria, vale ter os números organizados. É mais fácil bater a declaração com o que a Receita recebeu quando o histórico está reconstituído. Crie sua conta no Controle Cripto e importe seu histórico de operações para ver o ganho de capital apurado mês a mês.
Quatro mitos que ainda saem caro
Alguns desses eu escuto quase toda semana:
- "Não saquei para o banco, então não aparece." O cruzamento acontece na entrada, não só na saída. O PIX que comprou a cripto já foi reportado pela e-Financeira.
- "Movimentei pouco, não caio na malha." A malha dispara na divergência entre o que a corretora reportou e o que você declarou. Uma compra de R$ 3 mil informada pela corretora e deixada de fora já basta para gerar inconsistência.
- "P2P sem CNPJ não deixa rastro." Deixa. O dinheiro que trocou de mãos passou por PIX ou transferência, e essa ponta a Receita recebe.
- "Só declaro se vendi com lucro." A posse também é declarada. Cripto acima de R$ 5 mil por tipo entra em Bens e Direitos mesmo sem nenhuma venda. Tratei dos limites em a partir de qual valor declarar cripto.
Como manter seus números batendo com o que a Receita vai receber
O ponto que a maioria dos artigos não diz: você não precisa torcer para não cair na malha. Precisa fazer os seus números baterem com os que a Receita vai receber de terceiros. Se o ganho de capital que você apurou é o mesmo que a corretora reportou pela DeCripto, não existe divergência para a malha pegar.
Foi para isso que construímos a engine do Controle Cripto. Quando o usuário importa o extrato da corretora, a plataforma recalcula o ganho de capital mês a mês pelo custo médio, a mesma metodologia que a Receita espera, e separa cada transação pela origem: corretora nacional, estrangeira, P2P ou autocustódia. Na prática, o número que vai para a sua DARF e para a sua declaração nasce da mesma base que a Receita recebe do outro lado. Um detalhe que aprendemos observando os dados: segundo nossos números internos, a maior parte dos usuários que chega à plataforma tem movimentação em mais de uma corretora e ao menos uma carteira própria. É justamente essa mistura que faz a conta manual furar, e a declaração divergir.
Um autodiagnóstico rápido, por perfil:
- Só corretora nacional: confira se o ganho de capital que você declarou bate com o informe da corretora, mês a mês.
- Corretora estrangeira: some as operações do mês e verifique se cai no limiar de reporte próprio; a origem estrangeira muda o enquadramento.
- Autocustódia e P2P: reconstitua as entradas e saídas em reais, porque é por elas que o cruzamento chega até você.
O recado que fica
A mudança de 1º de julho não inventou o cruzamento de dados. Ela apertou um parafuso que já girava desde 2015. A Receita não descobre cripto por sorte nem por denúncia: descobre por conferência automática, com informação que já está na mão dela antes de você entregar a declaração. Sobra uma escolha só para o investidor, e ela é bem prática: declarar certo, com os números batendo. Custa muito menos que a alternativa.
