Canada's financiële inlichtingenautoriteit heeft haar grootste boete ooit opgelegd aan een cryptoplatform en heeft het in Vancouver gevestigde Cryptomus een boete van C$176,96 miljoen ($126 miljoen) opgelegd vanwege grootschalige nalatigheid bij het melden van duizenden verdachte transacties die verband houden met ernstige criminele activiteiten, waaronder kinderpornografie, ransomware-betalingen en sanctie-ontduiking.
Het Financial Transactions and Reports Analysis Centre of Canada (FINTRAC) kondigde woensdag de bestuurlijke geldboete aan tegen Xeltox Enterprises Ltd., die het Cryptomus-betaalplatform exploiteert.
De boete, opgelegd op 16 oktober, overtreft het vorige record van het agentschap—een boete van C$19,6 miljoen opgelegd aan cryptobeurs KuCoin in september 2025.
Systemische Nalevingsfouten
Het onderzoek van FINTRAC onthulde wat regelgevers beschreven als een systematische verwaarlozing van Canada's anti-witwasrichtlijnen. De instantie identificeerde 1.068 gevallen waarin Cryptomus in juli 2024 geen meldingen van verdachte transacties indiende voor transacties met bekende darknet-markten en virtuele valuta-wallets die verband hielden met handel in kinderpornografie, fraude, ransomware-betalingen en sancties-ontduiking.
"Aangezien talrijke overtredingen in deze zaak verband hielden met handel in kinderpornografie, fraude, ransomware-betalingen en sancties-ontduiking, was FINTRAC genoodzaakt om tot deze ongekende handhavingsmaatregel over te gaan," zei Sarah Paquet, directeur en CEO van FINTRAC, in een verklaring.
De overtredingen strekten zich verder uit dan alleen het rapporteren van verdachte activiteiten. FINTRAC ontdekte dat Cryptomus geen 1.518 grote virtuele valuta-transacties boven de C$10.000-drempel meldde in juli 2024 - een fundamentele rapportageverplichting onder de Canadese wet, bedoeld om financiële sporen te creëren voor grote waardeoverdrachten.
Schendingen van Iran-sancties
Wellicht het ernstigst vanuit nationaal beveilingsperspectief ontdekten regelgevers dat Cryptomus 7.557 transacties afkomstig uit Iran tussen juli en december 2024 niet rapporteerde.
Ook moest het platform de identiteit van betrokkenen verifiëren, uitgebreide due diligence uitvoeren, transactiegegevens bijhouden en verplichte rapportages naar FINTRAC opsturen.
Het platform voldeed naar verluidt aan geen van deze verplichtingen, wat mogelijk kanalen creëerde voor sanctie-ontduiking - een kritisch nationaal veiligheidsprobleem. Westerse landen handhaven financiële beperkingen tegen Iran vanwege diens nucleaire programma en regionale activiteiten.
Connecties met Russisch Cybercrime-ecosysteem
De handhavingsactie volgt tien maanden na onderzoeksjournalistiek van KrebsOnSecurity die onthulde dat Cryptomus functioneert als de betalingsverwerker voor tientallen Russische cryptocurrency-uitwisselingen en websites die cybercrime-diensten aanbieden.
Blockchain-analist Richard Sanders documenteerde 122 cybercrime-diensten die Cryptomus gebruikten, waaronder bulletproof hostingproviders, sites die gecompromitteerde e-mail- en financiële accounts verkopen, anonimiteitsdiensten en anonieme SMS-platforms.
Sanders' onderzoek toonde aan dat ten minste 56 Russische cryptocurrency-uitwisselingen Cryptomus gebruikten om transacties te verwerken, met namen als casher[.]su, flymoney[.]biz en obama[.]ru. Deze platforms adverteerden de mogelijkheid om anoniem cryptocurrencies te ruilen en digitale activa om te wisselen voor contant geld op rekeningen bij grote Russische banken - bijna allemaal onderworpen aan sancties van de Verenigde Staten en andere westerse landen.
Blockchain-analysebedrijf Chainalysis bevestigde aan KrebsOnSecurity dat Cryptomus door verschillende criminelen is gebruikt voor het witwassen van geld en het aankopen van goederen en diensten. "We zien dreigingsactoren die betrokken zijn bij ransomware, drugs, darknet-markten, fraude, cybercriminaliteit, gesanctioneerde entiteiten en jurisdicties, en hacktivisme die stortingen doen bij Cryptomus," verklaarde het bedrijf.
Spookachtig Bedrijfsaanwezigheid
Onderzoeken naar de bedrijfsstructuur van Cryptomus onthulden verontrustende anomalieën. Een gezamenlijk onderzoek in juli 2024 door CTV National News en de Investigative Journalism Foundation vond dat het adres voor het moederbedrijf van Cryptomus, Xeltox Enterprises, geregistreerd stond als de thuisbasis van ten minste 76 valutahandelaars, acht money services businesses en zes cryptocurrency-uitwisselingen.
Het adres - een drielaags gebouw in Vancouver dat voorheen een bank huisvestte en nu een massagetherapiepraktijk en co-workingruimte bevat - suggereert dat de meeste hier geregistreerde entiteiten geen fysieke aanwezigheid in Canada hebben. Of Cryptomus of Xeltox Enterprises daadwerkelijke operaties in het land onderhouden, blijft onduidelijk.
Britse bedrijfsregisters voor de voormalige naam van het bedrijf, Certa Payments Ltd., tonen een registratie bij een Londense postadres in december 2023, met een 25-jarige Oekraïense vrouw in Tsjechië als enige aandeelhouder en directeur.
Escalatie van het Handhavingslandschap
De Cryptomus-boete vertegenwoordigt een dramatische escalatie in de handhavingshouding van FINTRAC. Tijdens het fiscale jaar 2024-25 vaardigde de instantie 23 overtredingskennisgevingen uit met in totaal meer dan $25 miljoen aan boetes - het grootste aantal in één jaar in haar geschiedenis. Sinds het verkrijgen van wetgevende bevoegdheid om boetes op te leggen in 2008, heeft FINTRAC meer dan 150 boetes opgelegd.
De timing is significant. Canada staat onder toezicht in aanloop naar een audit in november 2025 door de Financial Action Task Force (FATF), het in Parijs gevestigde internationale orgaan dat de anti-witwas- en terrorismefinancieringssystemen van landen evalueert. De Cryptomus-handhaving toont Canada's inzet voor robuust toezicht op dienstenaanbieders voor virtuele activa.
Cryptomus had eerder al te maken gehad met regulatorische sancties voordat deze boete werd opgelegd. De British Columbia Securities Commission verbood tijdelijk het bedrijf van het verhandelen van effecten en andere marktactiviteiten in mei 2025.
Ontoereikende Nalevingsinfrastructuur
Behalve de rapporteringsfouten ontdekte FINTRAC dat Cryptomus "onvolledige en onvoldoende" nalevingsbeleid en -procedures onderhield, waardoor er tekortkomingen ontstonden in doorlopende monitoring en ken-je-klant-verplichtingen.
Het platform slaagde er niet in om adequate nalevingsprogramma's te ontwikkelen en te onderhouden, risicobeoordelingen uit te voeren en de autoriteiten op de hoogte te stellen van wijzigingen in bedrijfsinformatie - al deze zijn verplichte vereisten onder de Wet bestrijding van criminele opbrengsten (witwassen van geld) en financiering van terrorisme.
Juridische experts bekend met de zaak beschreven de boete als feitelijk een uitsluiting van Cryptomus van de Canadese markt. "Dit is een doodvonnis voor een bedrijf van die omvang," zei een in Toronto gevestigde nalevingsadvocaat tegen FinanceFeeds. "De schaal van het niet-rapporteren hier gaat verder dan nalatigheid - het is een systematische verwaarlozing."
Laatste gedachten
De recordboete onderstreept de vastberadenheid van regelgevers om cryptocurrency-platforms aan dezelfde nalevingsnormen te onderwerpen als traditionele financiële instellingen.
Na grote handhavingsacties tegen Binance (C$6 miljoen in 2024) en KuCoin (C$19,6 miljoen in september 2025), vormt de Cryptomus-boete een signaal dat Canadese autoriteiten platforms die criminele activiteiten mogelijk maken door ontoereikende controles niet langer zullen tolereren.
Voor de wereldwijde cryptocurrency-industrie weerspiegelt Canada's agressieve houding handhavingstrends in G7-landen, waar nalevingsschendingen nu boetes met zich meebrengen die vergelijkbaar zijn met die in het traditionele bankwezen.
Terwijl aanbieders van virtuele activa geregistreerd in Canada geconfronteerd worden met verhoogde rapportageverplichtingen en handhavingsrisico's, stelt de Cryptomus-zaak een precedent vast voor hoe regelgevers mogelijk platforms behandelen die opereren onder zwakke nalevingsstructuren.