El organismo de inteligencia financiera de Canadá ha impuesto su mayor multa hasta la fecha contra una plataforma de criptomonedas, sancionando a Cryptomus, con sede en Vancouver, con C$176.96 millones ($126 millones) por fallos generalizados en reportar miles de transacciones sospechosas vinculadas a actividades criminales graves, incluyendo material de abuso sexual infantil, pagos de ransomware y evasión de sanciones.
El Centro de Análisis de Transacciones Financieras e Informes de Canadá (FINTRAC) anunció la multa administrativa contra Xeltox Enterprises Ltd., que opera la plataforma de pagos Cryptomus, el miércoles.
La multa, emitida el 16 de octubre, supera por mucho el récord anterior de la agencia, una multa de C$19.6 millones impuesta a la plataforma de intercambio de criptomonedas KuCoin en septiembre de 2025.
Fallos Sistémicos de Cumplimiento
La investigación de FINTRAC descubrió lo que los reguladores describieron como un desprecio sistémico por el marco de prevención de lavado de dinero de Canadá. La agencia identificó 1,068 instancias donde Cryptomus no presentó informes de transacciones sospechosas durante julio de 2024 para transacciones que involucraban mercados conocidos de la red oscura y billeteras de moneda virtual vinculadas al tráfico de material de abuso sexual infantil, fraude, pagos de ransomware y evasión de sanciones.
"Dado que numerosas violaciones en este caso estaban conectadas con el tráfico de material de abuso sexual infantil, fraude, pagos de ransomware y evasión de sanciones, FINTRAC se vio obligado a tomar esta acción de ejecución sin precedentes," dijo Sarah Paquet, directora y CEO de FINTRAC, en un comunicado.
Las violaciones se extendieron más allá del reporte de actividades sospechosas. FINTRAC encontró que Cryptomus no reportó 1,518 transacciones importantes de moneda virtual que superaban el umbral de C$10,000 durante julio de 2024 - un requisito fundamental de reporte bajo la ley canadiense diseñado para crear rastros financieros para movimientos de gran valor.
Violaciones de Sanciones de Irán
Quizás lo más serio desde una perspectiva de seguridad nacional, los reguladores descubrieron que Cryptomus no reportó 7,557 transacciones originadas en Irán entre julio y diciembre de 2024.
Bajo directivas ministeriales, las plataformas de criptomonedas deben tratar las transacciones financieras asociadas con la República Islámica de Irán como de alto riesgo, requiriendo verificación de identidad de remitentes y beneficiarios, debida diligencia mejorada, mantenimiento de registros de transacciones y reporte obligatorio a FINTRAC.
La plataforma supuestamente no cumplió con ninguna de estas obligaciones, lo que podría crear canales para la evasión de sanciones - una preocupación crítica de seguridad nacional ya que las naciones occidentales mantienen restricciones financieras contra Irán por su programa nuclear y actividades regionales.
Vínculos con el Ecosistema del Cibercrimen Ruso
La acción de ejecución llega diez meses después de que KrebsOnSecurity revelara que Cryptomus funciona como procesador de pagos para docenas de intercambios de criptomonedas rusos y sitios web que ofrecen servicios de cibercrimen.
El analista de blockchain Richard Sanders documentó 122 servicios de cibercrimen utilizando Cryptomus, incluyendo proveedores de alojamiento a prueba de balas, sitios que venden cuentas de correo electrónico y financieras comprometidas, servicios de anonimato y plataformas de SMS anónimos.
La investigación de Sanders encontró que al menos 56 intercambios de criptomonedas rusos estaban utilizando Cryptomus para procesar transacciones, con nombres como casher[.]su, flymoney[.]biz y obama[.]ru. Estas plataformas, construidas para clientes de habla rusa, anunciaban la capacidad de cambiar anónimamente criptomonedas e intercambiar activos digitales por efectivo en cuentas en los bancos más grandes de Rusia - casi todos los cuales enfrentan sanciones de Estados Unidos y otras naciones occidentales.
La firma de análisis de blockchain Chainalysis confirmó a KrebsOnSecurity que Cryptomus ha sido utilizada por criminales de todo tipo para el lavado de dinero y la compra de bienes y servicios. "Vemos actores de amenaza involucrados en ransomware, narcóticos, mercados de la red oscura, fraude, cibercrimen, entidades y jurisdicciones sancionadas, y hacktivismo realizando depósitos en Cryptomus," declaró la empresa.
Presencia Corporativa Fantasma
Las investigaciones sobre la estructura corporativa de Cryptomus revelaron anomalías preocupantes. Una investigación conjunta de julio de 2024 por CTV National News y la Fundación de Periodismo de Investigación encontró que la dirección registrada para la empresa matriz de Cryptomus, Xeltox Enterprises, figuraba como la sede de al menos 76 operadores de cambio de moneda extranjera, ocho negocios de servicios monetarios y seis intercambios de criptomonedas.
La dirección - un edificio de tres pisos en Vancouver que anteriormente albergaba un banco y ahora contiene una clínica de terapia de masaje y un espacio de trabajo compartido - sugiere que la mayoría de las entidades registradas allí no tienen presencia física en Canadá. No está claro si Cryptomus o Xeltox Enterprises mantienen operaciones reales en el país.
Los registros corporativos del Reino Unido para el antiguo nombre de la compañía, Certa Payments Ltd., muestran su incorporación en una casilla postal de Londres en diciembre de 2023, con una mujer ucraniana de 25 años en la República Checa listada como única accionista y directora.
Escalada en el Paisaje de Cumplimiento
La multa a Cryptomus representa una escalada dramática en la postura de aplicación de FINTRAC. Durante el año fiscal 2024-25, la agencia emitió 23 avisos de infracción de más de $25 millones en multas - el mayor número en un año en su historia. Desde que recibió autoridad legislativa para imponer sanciones en 2008, FINTRAC ha emitido más de 150 sanciones.
La sincronización es significativa. Canadá enfrenta un escrutinio antes de una auditoría de noviembre de 2025 por parte del Grupo de Acción Financiera Internacional (GAFI), el organismo internacional con sede en París que evalúa los sistemas de prevención de lavado de dinero y financiación del terrorismo de los países. La ejecución en el caso de Cryptomus demuestra el compromiso de Canadá con una supervisión robusta de los proveedores de servicios de activos virtuales.
Cryptomus ya había enfrentado sanciones regulatorias antes de esta multa. La Comisión de Valores de Columbia Británica prohibió temporalmente a la empresa de comerciar valores y otras actividades de mercado en mayo de 2025.
Infraestructura de Cumplimiento Inadecuada
Más allá de los fallos en el reporte, FINTRAC encontró que Cryptomus mantenía políticas y procedimientos de cumplimiento "incompletos e inadecuados", creando deficiencias en el monitoreo continuo y obligaciones de conocer a su cliente.
La plataforma no desarrolló ni mantuvo programas de cumplimiento adecuados, no llevó a cabo evaluaciones de riesgo adecuadas, ni notificó a las autoridades sobre cambios en la información comercial - todos requisitos obligatorios bajo la Ley de Procedes de Delito (Lavado de Dinero) y Financiación del Terrorismo.
Expertos legales familiarizados con el caso describieron la multa como la eliminación efectiva de Cryptomus del mercado canadiense. "Esto es una sentencia de muerte para una empresa de ese tamaño," dijo un abogado de cumplimiento con sede en Toronto a FinanceFeeds. "La magnitud de la falta de reporte aquí va más allá de la negligencia - es un desprecio sistemático."
Reflexiones finales
La multa récord subraya la determinación de los reguladores de someter a las plataformas de criptomonedas a los mismos estándares de cumplimiento aplicados a las instituciones financieras tradicionales.
Tras las principales acciones de ejecución contra Binance (C$6 millones en 2024) y KuCoin (C$19.6 millones en septiembre de 2025), la multa a Cryptomus indica que las autoridades canadienses ya no tolerarán plataformas que faciliten actividades delictivas a través de controles inadecuados.
Para la industria global de criptomonedas, la postura agresiva de Canadá refleja tendencias de ejecución en las naciones del G7, donde las violaciones de cumplimiento ahora conllevan sanciones comparables a las del sistema bancario tradicional.
A medida que los proveedores de servicios de activos virtuales registrados en Canadá enfrentan cargas de reporte aumentadas y riesgos de ejecución, el caso Cryptomus establece un precedente sobre cómo los reguladores pueden tratar con plataformas que operan bajo estructuras de cumplimiento débiles.