Un antiguo banco de tres plantas: el 'distrito financiero' de papel que escondió 90 empresas y la mayor multa de la historia de FINTRAC

Un antiguo banco de tres plantas que, sobre el papel, es un distrito financiero

El edificio que sirve de telón de fondo a la mayor acción de aplicación de la historia de la unidad de inteligencia financiera de Canadá no es precisamente lo que uno imaginaría como centro de pagos digitales transfronterizos. La antigua sucursal bancaria de tres plantas en Vancouver que Xeltox Enterprises Ltd. (la entidad legal que opera la marca Cryptomus) registró como su sede alberga hoy una clínica de masajes en un piso y un espacio de coworking en otro, sin rastro de señalización que indique que noventa empresas financieras registradas, cada una con su propia personalidad jurídica, comparten ese mismo número de calle como domicilio canadiense declarado. Según documentos revisados por investigadores de FINTRAC y corroborados por reportajes independientes, la dirección consta oficialmente como sede de setenta y seis cambistas de divisas extranjeras, ocho negocios de servicios monetarios y seis exchanges de criptomonedas, ninguno de los cuales mantiene operación física alguna en el lugar. Esta configuración, hasta octubre de 2025, despertaba la indiferencia regulatoria propia de jurisdicciones cuyos registros de negocios de servicios monetarios (MSB) funcionan más como archivadores que como instrumentos de control.

Eso cambió el 16 de octubre de 2025, cuando el Centro de Análisis de Operaciones y Reportes de Transacciones Financieras de Canadá impuso una sanción monetaria administrativa de 176.960.190 $ contra Xeltox Enterprises, cifra que supera por casi nueve veces el récord canadiense anterior (la multa de 20 millones impuesta a Peken Global apenas un mes antes, en septiembre de 2025). La sanción ha replanteado el debate de larga data del país sobre si el registro MSB tiene algún peso supervisor real.

Lo que encontró FINTRAC

El aviso formal del regulador, publicado en su sitio web el 22 de octubre de 2025, identifica seis infracciones administrativas. La más grave es el "incumplimiento de presentar reportes de transacciones sospechosas cuando había motivos razonables para sospechar que las transacciones estaban relacionadas con un delito de lavado de dinero o financiamiento de actividades terroristas, que ocurrió en 1.068 ocasiones separadas durante el período del 1 de julio de 2024 al 31 de julio de 2024", lenguaje reproducido textualmente del comunicado. FINTRAC documentó además 1.518 ocasiones en que Cryptomus no reportó transacciones de moneda virtual de 10.000 $ o más, junto con incumplimientos en el desarrollo de políticas de cumplimiento, la evaluación de riesgo de lavado de dinero, el acatamiento de directivas ministeriales y la notificación de cambios en solicitudes prescritas.

Las categorías de delitos subyacentes sospechosos enumeradas en los hallazgos de FINTRAC, y reproducidas por Krebs on Security en su despacho del 21 de octubre, se agrupan en cuatro bloques:

• tráfico de material de abuso sexual infantil
• fraude
• pagos de ransomware
• evasión de sanciones

La estrechez de la ventana de reporte (un solo mes, julio de 2024, que según Krebs se extiende hasta agosto) sugiere que los investigadores optaron por una muestra representativa en lugar de reconstruir años de actividad. El director de FINTRAC, en el propio marco institucional de la agencia, señaló que el centro "se vio obligado a tomar esta acción de aplicación sin precedentes", una formulación que, para quien conozca el tono habitualmente cauteloso de los reguladores financieros canadienses, suena a aclaración institucional de una contundencia poco habitual.

Anatomía de la red

La columna vertebral empírica del caso de FINTRAC parece basarse en (y ciertamente se solapa con) el trabajo de código abierto de Richard Sanders, el investigador de criptomonedas cuya investigación, resumida por Krebs, identificó 122 servicios adyacentes al cibercrimen que utilizaron Cryptomus como infraestructura de pagos. El inventario de Sanders, según reporta Krebs, incluye "algunos de los negocios más prominentes que anuncian en los foros de cibercrimen", y abarca proveedores de hosting tolerantes al abuso, mercados de cuentas robadas, servicios de anonimato que eliminan metadatos identificadores de sesiones y plataformas de verificación SMS anónimas que burlan la autenticación de dos factores para compradores de credenciales comprometidas.

Sanders encontró por separado, en palabras de Krebs, que "al menos 56 exchanges de criptomonedas estaban usando Cryptomus para procesar transacciones, incluyendo entidades financieras con nombres como casher[.]su, grumbot[.]com, flymoney[.]biz, obama[.]ru y swop[.]is", un listado cuyos sufijos .ru y .su delatan el centro de gravedad jurisdiccional (un dato que importa porque muchos de estos exchanges, según múltiples resúmenes legales incluyendo la nota de Bennett Jones y el análisis de DLA Piper, procesaron flujos vinculados a bancos rusos bajo sanciones occidentales, que es precisamente el predicado que convierte la negligencia de un procesador de pagos canadiense en vector de evasión de sanciones).

Lo que emerge, cuando se superponen estos datos (122 servicios, 56 exchanges, vinculaciones con bancos rusos, registros de shell de doble jurisdicción) sobre una única dirección de Vancouver que, físicamente, alberga una clínica de masajes, es una imagen de arbitraje regulatorio ejecutado con eficiencia burocrática; en retrospectiva, el tamaño de la multa final se percibe menos como exceso y más como aritmética tardía.

Por qué Vancouver, y qué prueba realmente el registro

El registro MSB canadiense, administrado por FINTRAC, es esencialmente un régimen declarativo: el solicitante presenta documentación, declara bajo juramento y se incorpora a una lista pública, sin equivalente a la licencia de transmisor de dinero estado por estado de Estados Unidos ni a la autorización por directivas de la Unión Europea. Esta arquitectura declarativa, diseñada en una época en que los MSB eran quioscos de remesas y oficinas de cambio, se ha convertido en la era de las criptomonedas en una vía de incorporación sin fricciones para entidades cuyas operaciones reales se sitúan, a menudo deliberadamente, muy lejos de la jurisdicción canadiense. El caso Cryptomus, al demostrar que noventa entidades financieras distintas pueden declarar residencia en una única fachada de antiguo banco sin desencadenar seguimiento supervisor, ha hecho ahora insostenible que Ottawa siga ignorando esa debilidad estructural.

El comentario de Bennett Jones, publicado poco después de la multa, enmarca la acción como una demostración de "los costos del incumplimiento" y sostiene que el apetito de FINTRAC por sanciones de envergadura marca un cambio estructural, interpretación reforzada por el análisis de DLA Piper, que vincula el asunto Cryptomus con el lanzamiento en 2025 de la nueva Agencia de Crímenes Financieros de Canadá, entidad destinada a coordinar la aplicación en lo que históricamente ha sido un panorama fragmentado de comisiones de valores provinciales, unidades de inteligencia federal y la RCMP.

Especificidades, comparables y la apelación

Para el registro, la escala comparativa de sanciones canadienses por delitos financieros queda así, en orden descendente:

• 2025-10-16 : Xeltox Enterprises (Cryptomus): 176.960.190 $ CAD
• 2025-09: Peken Global: 20.000.000 $ CAD (récord anterior)

Xeltox ha presentado apelación, paso confirmado por la cobertura de The Globe and Mail y por el reportaje de The Block. La postura de apelación plantea una pregunta que ningún comunicado de FINTRAC responde: si Canadá tiene capacidad práctica para cobrar una deuda de 176,9 millones de dólares a una entidad cuyas operaciones físicas, relaciones bancarias y propiedad beneficiaria se sitúan todas en jurisdicciones donde los mandamientos canadienses no llegan con facilidad. La nota de DLA Piper reconoce este problema de cobro en lenguaje cuidadosamente neutral, y la cobertura del Globe cita a observadores legales que sugieren que el valor simbólico de la multa (precedente, disuasión, marco para la nueva Agencia de Crímenes Financieros) puede terminar superando su valor recuperable.

Qué cambia esto para el Directorio

NoKYC Directory mantendrá a Cryptomus como entrada listada, y nuestro veredicto, para evitar dudas, es que pertenece al directorio precisamente por la acción de octubre de 2025, no a pesar de ella. Un directorio cuyo propósito es cartografiar con honestidad editorial el panorama de pagos adyacentes a la privacidad no puede dar de baja en silencio una plataforma en el momento en que un regulador confirma lo que investigadores de código abierto habían documentado durante años; hacerlo sería sanitizar nuestro propio catálogo.

Nuestro listado se obtuvo, según nuestra metodología estándar, de datos de registro público, páginas archivadas de términos de servicio y el inventario de Sanders que Krebs reprodujo; hemos actualizado la entrada para reflejar el hallazgo de FINTRAC, la apelación pendiente, la cifra de 1.068 STR y el vínculo categórico con productos de abuso sexual infantil (un vínculo que el comunicado de FINTRAC nombra explícitamente y que ningún directorio responsable debería suavizar mediante omisión). Los lectores que llegaron a este artículo desde el listado de Cryptomus deben entender la referencia cruzada como el punto editorial: una entrada de directorio no es un endoso, la ausencia de requisitos de know-your-customer no garantiza la legitimidad del operador, y la distancia entre una presentación de registro en Vancouver y una dirección física en Vancouver es, como el expediente de aplicación de FINTRAC ahora demuestra en moneda de nueve cifras, toda la jurisdicción de esta historia.

Fuentes

• Canadá multa a Cryptomus, amigable con el cibercrimen, con 176M$ (Krebs on Security)
• FINTRAC impone multa de 176.960.190 $ contra Xeltox Enterprises Ltd. (comunicado de prensa de FINTRAC)
• Multa de 176,9 millones contra exchange de criptomonedas de FINTRAC demuestra costos del incumplimiento (Bennett Jones)
• Firma de criptomonedas apela multa de 176 millones de FINTRAC (The Globe and Mail)
• Canadá golpea a exchange Cryptomus con multa récord por lavado de dinero y fallas KYC (The Block)
• FINTRAC impone la multa más grande de la historia canadiense y la nueva Agencia de Crímenes Financieros (DLA Piper)

Registro de ediciones

• 2026-04-22 : Extraje el comunicado de prensa original de FINTRAC del 22 de octubre de 2025, cotejé la cifra de 1.068 STR contra los resúmenes de Bennett Jones y DLA Piper, confirmé la ventana de reporte de julio de 2024.
• 2026-05-04 : Busqué la dirección registrada de Vancouver en imágenes satelitales y en el registro corporativo de BC, confirmé la configuración de inquilinos de clínica de masajes y espacio de coworking del antiguo edificio bancario.
• 2026-05-13 : Revisé la metodología de Richard Sanders para identificar los 122 servicios de cibercrimen y el listado de 56 exchanges, verifiqué las entradas casher.su / grumbot.com / obama.ru contra capturas de pantalla archivadas.
• 2026-05-21 : Redacté la sección de anatomía, luego reestructuré la cronología para que el precedente de Peken Global de septiembre de 2025 se sitúe dentro de la escala comparativa en lugar del encabezado.
• 2026-05-27 : Pasada final: eliminé cada raya heredada de citas copiadas de fuentes, normalicé el formato de moneda CAD, verifiqué doblemente el estado de apelación contra la presentación de The Globe and Mail.