O Tribunal de Contas da União (TCU) recomendou ao Banco Central o reforço dos controles de privacidade, segurança cibernética e gestão de riscos no desenvolvimento do Drex. A avaliação foi analisada pelo plenário do Tribunal em 11 de fevereiro de 2026, no Acórdão 288/2026, que acompanha a implementação da moeda digital brasileira.
Segundo o Tribunal de Contas da União, o Banco Central já mantém estruturas de governança e de gerenciamento de riscos para conduzir o projeto. A recomendação é que, nas próximas fases, sejam utilizadas listas de verificação específicas para avaliar de maneira organizada os aspectos de segurança, privacidade e uso da tecnologia de registros distribuídos.
O acompanhamento do TCU não determinou a interrupção do Drex e também não apontou uma irregularidade central na condução do projeto. A atuação do órgão de controle busca antecipar problemas em uma infraestrutura que poderá integrar operações financeiras digitais e contratos inteligentes, antes de uma eventual utilização em escala por usuários finais.
Quais riscos foram analisados pelo TCU
A análise concentrou-se em desafios associados à tecnologia de registros distribuídos, conhecida pela sigla DLT e frequentemente relacionada ao conceito de blockchain. Esse tipo de infraestrutura precisa permitir o registro e a validação das operações, mas também deve preservar informações protegidas e resistir a tentativas de ataque.
Na prática, o ponto de atenção está no equilíbrio entre rastreabilidade e privacidade. A existência de registros digitais verificáveis pode contribuir para a segurança e para a auditoria das transações, mas o tratamento dessas informações precisa observar controles capazes de impedir exposição indevida de dados financeiros e pessoais.
O TCU também considerou a necessidade de acompanhar os riscos cibernéticos ao longo do desenvolvimento do Drex. A adoção de listas de verificação específicas pode ajudar o Banco Central e as instituições envolvidas a documentar critérios técnicos, identificar vulnerabilidades e verificar se as medidas de proteção estão sendo aplicadas nas diferentes etapas do projeto.
Drex ainda está em fase de testes
A avaliação do Tribunal ocorre enquanto o Drex permanece em ambiente experimental. De acordo com a página oficial do Banco Central sobre o Piloto Drex, instituições autorizadas participam dos testes para simular operações com ativos digitais e contratos inteligentes.
Os usuários finais ainda não participam diretamente da plataforma. Isso significa que o piloto serve para testar soluções, integrações e condições de funcionamento do sistema em um ambiente controlado, sem representar a disponibilidade do Drex para uso cotidiano da população.
O piloto também permite observar como diferentes participantes do sistema financeiro poderão operar em uma infraestrutura baseada em DLT. Nesse contexto, privacidade e segurança não são questões separadas do funcionamento da plataforma: elas precisam ser consideradas na arquitetura, nos processos de validação e no controle de acesso às informações.
O que a recomendação muda para o cidadão
Para o cidadão, a principal consequência da recomendação é a indicação de que os mecanismos de proteção devem ser avaliados antes de uma possível expansão do Drex. A moeda digital do Banco Central poderá afetar a forma como determinadas operações financeiras são registradas e executadas, mas o projeto ainda depende da conclusão de etapas técnicas e institucionais.
A recomendação também reforça que a segurança de uma moeda digital não depende apenas da tecnologia usada para registrar transações. Governança, definição de responsabilidades, monitoramento de riscos e proteção de dados fazem parte da preparação necessária para uma infraestrutura financeira de alcance nacional.
O acompanhamento do TCU acrescenta uma camada de controle público ao desenvolvimento do projeto. Ao recomendar procedimentos específicos de verificação, o Tribunal busca criar referências para que a evolução do Drex seja examinada de forma contínua, especialmente em temas que podem afetar a confiança dos usuários e das instituições participantes.
Assim, a decisão não equivale ao lançamento do Drex nem anuncia uma data para sua chegada ao público. Ela representa uma etapa de fiscalização sobre o desenvolvimento do real digital e destaca que privacidade, segurança cibernética e governança devem avançar junto com os testes tecnológicos.