O watchdog de inteligência financeira do Canadá impôs sua maior penalidade já aplicada a uma plataforma de criptomoedas, multando a Cryptomus, baseada em Vancouver, em C$176.96 milhões ($126 milhões) por falhas generalizadas em relatar milhares de transações suspeitas ligadas a atividades criminosas graves, incluindo material de abuso sexual infantil, pagamentos de ransomware e evasão de sanções.
O Centro de Análise de Transações e Relatórios Financeiros do Canadá (FINTRAC) anunciou a penalidade administrativa monetária contra a Xeltox Enterprises Ltd., que opera a plataforma de pagamento Cryptomus, na quarta-feira.
A multa, emitida em 16 de outubro, supera o recorde anterior da agência — uma penalidade de C$19,6 milhões imposta à exchange de criptomoedas KuCoin em setembro de 2025.
Falhas Sistêmicas de Conformidade
A investigação do FINTRAC descobriu o que os reguladores descreveram como um desrespeito sistêmico ao quadro de combate à lavagem de dinheiro do Canadá. A agência identificou 1.068 casos onde a Cryptomus deixou de enviar relatórios de transações suspeitas durante julho de 2024 para transações envolvendo mercados darknet conhecidos e carteiras de moeda virtual ligadas ao tráfico de material de abuso sexual infantil, fraude, pagamentos de ransomware e evasão de sanções.
"Dado que inúmeras violações neste caso estavam ligadas ao tráfico de material de abuso sexual infantil, fraude, pagamentos de ransomware e evasão de sanções, o FINTRAC foi compelido a tomar esta ação de execução sem precedentes," disse Sarah Paquet, diretora e CEO do FINTRAC, em uma declaração.
As violações se estenderam além do relato de atividades suspeitas. O FINTRAC descobriu que a Cryptomus falhou ao relatar 1.518 grandes transações de moeda virtual que excederam o limite de C$10.000 durante julho de 2024 — um requisito fundamental de relato sob a lei canadense projetada para criar rastros financeiros para movimentos de grande valor.
Violações de Sanções ao Irã
Talvez mais sério do ponto de vista da segurança nacional, os reguladores descobriram que a Cryptomus não reportou 7.557 transações originárias do Irã entre julho e dezembro de 2024.
Sob diretrizes ministeriais, as plataformas de criptomoedas devem tratar transações financeiras associadas à República Islâmica do Irã como de alto risco, exigindo verificação de identidade dos remetentes e beneficiários, due diligence aprimorada, manutenção de registros de transações e relatório obrigatório ao FINTRAC.
A plataforma supostamente não cumpriu nenhuma dessas obrigações, potencialmente criando canais para evasão de sanções — uma preocupação crítica de segurança nacional, uma vez que as nações ocidentais mantêm restrições financeiras contra o Irã por seu programa nuclear e atividades regionais.
Ligações com o Ecossistema de Cibercrime Russo
A ação de execução vem dez meses após a reportagem investigativa do KrebsOnSecurity ter revelado que a Cryptomus funciona como o processador de pagamentos para dezenas de exchanges de criptomoedas russas e sites que oferecem serviços de cibercrime.
O analista de blockchain Richard Sanders documentou 122 serviços de cibercrime usando a Cryptomus, incluindo provedores de hospedagem à prova de balas, sites vendendo contas de email e financeiras comprometidas, serviços de anonimato e plataformas de SMS anônimas.
A pesquisa de Sanders encontrou que pelo menos 56 exchanges de criptomoedas russas estavam usando a Cryptomus para processar transações, com nomes como casher[.]su, flymoney[.]biz, e obama[.]ru. Essas plataformas, construídas para clientes de língua russa, anunciavam a capacidade de trocar criptomoedas anonimamente e trocar ativos digitais por dinheiro em contas nos maiores bancos da Rússia — quase todos enfrentam sanções dos Estados Unidos e outras nações ocidentais.
A empresa de análise de blockchain Chainalysis confirmou ao KrebsOnSecurity que a Cryptomus tem sido usada por criminosos de todos os tipos para lavagem de dinheiro e compra de bens e serviços. "Vemos agentes de ameaça envolvidos em ransomware, narcóticos, mercados darknet, fraude, cibercrime, entidades e jurisdições sancionadas, e hacktivismo fazendo depósitos para a Cryptomus," declarou a empresa.
Presença Corporativa Fantasma
Investigações sobre a estrutura corporativa da Cryptomus revelaram anomalias preocupantes. Uma investigação conjunta de julho de 2024 pela CTV National News e pela Investigative Journalism Foundation descobriu que o endereço da rua para a empresa-mãe da Cryptomus, Xeltox Enterprises, estava listado como a casa de pelo menos 76 cambistas de moeda estrangeira, oito empresas de serviços monetários e seis exchanges de criptomoedas.
O endereço — um prédio de três andares em Vancouver que anteriormente abrigava um banco e agora contém uma clínica de massagem terapêutica e espaço de co-working — sugere que a maioria das entidades registradas lá não tem presença física no Canadá. Não está claro se a Cryptomus ou a Xeltox Enterprises mantêm qualquer operação real no país.
Os registros corporativos do Reino Unido para o nome anterior da empresa, Certa Payments Ltd., mostram incorporação em uma caixa postal de Londres em dezembro de 2023, com uma mulher ucraniana de 25 anos na República Tcheca listada como única acionista e diretora.
Escalada no Cenário de Execução
A multa à Cryptomus representa uma escalada dramática na postura de execução do FINTRAC. Durante o ano fiscal de 2024-25, a agência emitiu 23 avisos de violação totalizando mais de $25 milhões em penalidades — o maior número em um ano na sua história. Desde que recebeu autoridade legislativa para impor penalidades em 2008, o FINTRAC já emitiu mais de 150 penalidades.
O momento é significativo. O Canadá enfrenta escrutínio antes de uma auditoria em novembro de 2025 do Grupo de Ação Financeira (GAFI), o órgão internacional com sede em Paris que avalia os sistemas de combate à lavagem de dinheiro e financiamento ao terrorismo dos países. A execução contra a Cryptomus demonstra o compromisso do Canadá com a supervisão rigorosa de provedores de serviços de ativos virtuais.
A Cryptomus já enfrentava sanções regulatórias antes desta penalidade. A Comissão de Valores Mobiliários da Colúmbia Britânica temporariamente baniu a empresa de negociar valores mobiliários e outras atividades de mercado em maio de 2025.
Infraestrutura de Conformidade Inadequada
Além das falhas de relato, o FINTRAC descobriu que a Cryptomus mantinha políticas e procedimentos de conformidade "incompletos e inadequados", criando deficiências na monitoração contínua e obrigações de conhecer seu cliente.
A plataforma falhou em desenvolver e manter programas de conformidade adequados, conduzir avaliações de risco adequadas e notificar as autoridades sobre alterações nas informações comerciais — todos requisitos obrigatórios sob a Lei de Produtos do Crime (Lavagem de Dinheiro) e Financiamento do Terrorismo.
Especialistas jurídicos familiarizados com o caso descreveram a penalidade como efetivamente removendo a Cryptomus do mercado canadense. "Esta é uma sentença de morte para uma empresa desse tamanho," disse um advogado de compliance baseado em Toronto ao FinanceFeeds. "A escala de não relato aqui vai além da negligência - é desrespeito sistêmico."
Considerações Finais
A multa recorde reforça a determinação dos reguladores de trazer plataformas de criptomoedas aos mesmos padrões de conformidade aplicados a instituições financeiras tradicionais.
Após ações de execução significativas contra Binance (C$6 milhões em 2024) e KuCoin (C$19,6 milhões em setembro de 2025), a penalidade à Cryptomus sinaliza que as autoridades canadenses não mais tolerarão plataformas que permitam atividade criminosa por meio de controles inadequados.
Para a indústria global de criptomoedas, a posição agressiva do Canadá reflete tendências de execução em todas as nações do G7, onde violações de conformidade agora acarretam penalidades comparáveis às do setor bancário tradicional.
À medida que os provedores de serviços de ativos virtuais registrados no Canadá enfrentam aumentos de encargos de relato e riscos de execução, o caso Cryptomus estabelece um precedente para como os reguladores podem tratar plataformas que operam sob estruturas de conformidade frágeis.