Il cane da guardia dell'intelligence finanziaria del Canada ha imposto la sua sanzione più alta di sempre a una piattaforma di criptovalute, multando Cryptomus con sede a Vancouver per 176,96 milioni di dollari canadesi (126 milioni di dollari) a causa di fallimenti diffusi nella segnalazione di migliaia di transazioni sospette legate ad attività criminali gravi, tra cui materiale sugli abusi sessuali sui minori, pagamenti di ransomware e elusione delle sanzioni.
Il Financial Transactions and Reports Analysis Centre of Canada (FINTRAC) ha annunciato mercoledì la sanzione monetaria amministrativa contro Xeltox Enterprises Ltd., che gestisce la piattaforma di pagamento Cryptomus.
La multa, emessa il 16 ottobre, supera di gran lunga il precedente record dell'agenzia: una multa di 19,6 milioni di dollari canadesi imposta alla piattaforma di scambio di criptovalute KuCoin nel settembre 2025.
Fallimenti di conformità sistemici
L'indagine di FINTRAC ha svelato ciò che i regolatori hanno descritto come un disprezzo sistematico per il quadro canadese di antiriciclaggio di denaro. L'agenzia ha identificato 1.068 istanze in cui Cryptomus non ha presentato rapporti di transazioni sospette nel luglio 2024 per transazioni coinvolgenti mercati darknet noti e portafogli di valuta virtuale legati al traffico di materiale sugli abusi sessuali sui minori, frode, pagamenti di ransomware ed elusione delle sanzioni.
"Poiché numerose violazioni in questo caso erano collegate al traffico di materiale sugli abusi sessuali sui minori, frode, pagamenti di ransomware ed elusione delle sanzioni, FINTRAC è stata costretta a intraprendere questa azione di enforcement senza precedenti", ha dichiarato Sarah Paquet, direttrice e CEO di FINTRAC, in una dichiarazione.
Le violazioni si estendevano oltre la segnalazione di attività sospette. FINTRAC ha scoperto che Cryptomus non è riuscita a segnalare 1.518 grandi transazioni in valuta virtuale che superavano la soglia di 10.000 dollari canadesi nel luglio 2024, un requisito fondamentale di segnalazione previsto dalla legge canadese per creare tracce finanziarie per movimenti di grande valore.
Violazioni delle sanzioni iraniane
Forse più seriamente dal punto di vista della sicurezza nazionale, i regolatori hanno scoperto che Cryptomus non ha segnalato 7.557 transazioni provenienti dall'Iran tra luglio e dicembre 2024.
Sotto le direttive ministeriali, le piattaforme di criptovalute devono considerare le transazioni finanziarie associate alla Repubblica Islamica dell'Iran come ad alto rischio, richiedendo la verifica dell'identità dei mittenti e dei beneficiari, una maggiore due diligence, registrazione delle transazioni e segnalazione obbligatoria a FINTRAC.
La piattaforma apparentemente non ha adempiuto a nessuno di questi obblighi, creando potenzialmente canali per l'elusione delle sanzioni, una preoccupazione critica per la sicurezza nazionale mentre le nazioni occidentali mantengono restrizioni finanziarie contro l'Iran per il suo programma nucleare e le attività regionali.
Collegamenti con l'ecosistema del crimine informatico russo
L'azione di enforcement arriva dieci mesi dopo che un'indagine giornalistica di KrebsOnSecurity ha rivelato che Cryptomus funge da processore di pagamento per dozzine di piattaforme di scambio di criptovalute russe e siti web che offrono servizi di crimine informatico.
L'analista di blockchain Richard Sanders ha documentato 122 servizi di crimine informatico che utilizzano Cryptomus, inclusi fornitori di hosting a prova di proiettile, siti che vendono account email e finanziari compromessi, servizi di anonimato e piattaforme SMS anonime.
La ricerca di Sanders ha scoperto che almeno 56 piattaforme di scambio di criptovalute russe utilizzavano Cryptomus per elaborare transazioni, con nomi come casher[.]su, flymoney[.]biz e obama[.]ru. Queste piattaforme, costruite per clienti di lingua russa, pubblicizzavano la capacità di scambiare criptovalute in modo anonimo e scambiare beni digitali in contanti in conti presso le più grandi banche russe, quasi tutte soggette a sanzioni da parte degli Stati Uniti e di altre nazioni occidentali.
La società di analisi blockchain Chainalysis ha confermato a KrebsOnSecurity che Cryptomus è stata utilizzata da criminali di ogni tipo per il riciclaggio di denaro e l'acquisto di beni e servizi. "Vediamo attori di minaccia coinvolti in ransomware, narcotici, mercati darknet, frodi, crimini informatici, enti e giurisdizioni sanzionate e attivismo informatico effettuare depositi su Cryptomus", ha dichiarato l'azienda.
Presenza aziendale fantasma
Le indagini sulla struttura aziendale di Cryptomus hanno rivelato anomalie inquietanti. Un'indagine congiunta luglio 2024 condotta da CTV National News e dalla Investigative Journalism Foundation ha scoperto che l'indirizzo della sede legale della società madre di Cryptomus, Xeltox Enterprises, era elencato come sede di almeno 76 rivenditori di valuta estera, otto servizi di denaro e sei piattaforme di scambio di criptovalute.
L'indirizzo, un edificio a tre piani a Vancouver che un tempo ospitava una banca e ora contiene una clinica di massoterapia e uno spazio di coworking, suggerisce che la maggior parte delle entità registrate lì non abbiano una presenza fisica in Canada. Rimane incerto se Cryptomus o Xeltox Enterprises mantengano delle effettive operazioni nel paese.
I registri societari del Regno Unito per il precedente nome della società, Certa Payments Ltd., mostrano un'incorporazione presso una casella postale a Londra nel dicembre 2023, con una donna ucraina di 25 anni nella Repubblica Ceca elencata come l'unica azionista e direttrice.
Escalating Enforcement Landscape
La multa a Cryptomus rappresenta un'escalation drammatica nella postura di enforcement di FINTRAC. Durante l'anno fiscale 2024-25, l'agenzia ha emesso 23 avvisi di violazione per un totale di oltre 25 milioni di dollari in sanzioni, il numero più alto mai registrato in un anno nella sua storia. Dal momento in cui ha ricevuto l'autorità legislativa per imporre sanzioni nel 2008, FINTRAC ha emesso più di 150 sanzioni.
Il momento è significativo. Il Canada è sotto scrutinio in vista di un audit del novembre 2025 da parte del Financial Action Task Force (FATF), l'organismo internazionale con sede a Parigi che valuta i sistemi di antiriciclaggio di denaro e finanziamento del terrorismo dei paesi. L'enforcement di Cryptomus dimostra l'impegno del Canada in una rigorosa supervisione dei fornitori di servizi di asset virtuali.
Cryptomus aveva già affrontato sanzioni normative prima di questa multa. La Commissione per i Titoli e i Valori Mobiliari della Columbia Britannica ha temporaneamente vietato alla società di negoziare titoli e altre attività di mercato a maggio 2025.
Infrastruttura di conformità inadeguata
Oltre ai fallimenti di segnalazione, FINTRAC ha scoperto che Cryptomus manteneva politiche e procedure di conformità "incomplete e inadeguate", creando carenze nel monitoraggio continuo e negli obblighi di conoscenza del cliente.
La piattaforma non ha sviluppato e mantenuto programmi di conformità adeguati, condotto valutazioni del rischio adeguate e notificato le autorità sui cambiamenti delle informazioni aziendali, tutti requisiti obbligatori ai sensi del Proceeds of Crime (Money Laundering) and Terrorist Financing Act.
Esperti legali a conoscenza del caso hanno descritto la sanzione come di fatto la rimozione di Cryptomus dal mercato canadese. "Questa è una condanna a morte per un'azienda di quelle dimensioni", ha detto un avvocato di conformità con sede a Toronto a FinanceFeeds. "La scala della mancata segnalazione qui va oltre la negligenza - è un disprezzo sistematico."
Considerazioni finali
La multa record sottolinea la determinazione dei regolatori a portare le piattaforme di criptovalute agli stessi standard di conformità applicati alle istituzioni finanziarie tradizionali.
Dopo le principali azioni di enforcement contro Binance (6 milioni di dollari canadesi nel 2024) e KuCoin (19,6 milioni di dollari canadesi nel settembre 2025), la sanzione a Cryptomus segnala che le autorità canadesi non tollereranno più piattaforme che facilitano l'attività criminale attraverso controlli inadeguati.
Per l'industria globale delle criptovalute, la posizione aggressiva del Canada rispecchia le tendenze di enforcement in tutti i paesi del G7, dove le violazioni della conformità ora portano sanzioni paragonabili a quelle nel settore bancario tradizionale.
Poiché i fornitori di servizi di asset virtuali registrati in Canada affrontano un aumento dei carichi di segnalazione e dei rischi di enforcement, il caso Cryptomus stabilisce un precedente su come i regolatori potrebbero trattare le piattaforme operative con strutture di conformità deboli.