FINTRAC inflige à Cryptomus une amende record de 176,9 M$ : derrière l'adresse vancouveroise, une ex-banque devenue clinique de massage et plaque tournante de 90 entités financières

Une ancienne banque de trois étages qui, sur le papier, est un quartier financier

L'immeuble au cœur de la plus importante mesure d'exécution de l'histoire du renseignement financier canadien ne ressemble en rien à ce qu'on attendrait d'un centre de paiements numériques transfrontaliers. Cette ancienne succursale bancaire de trois étages, située à Vancouver, abrite aujourd'hui une clinique de massage à l'un de ses niveaux et un espace de coworking à un autre. Aucune signalisation extérieure ne laisse deviner que quatre-vingt-dix entreprises financières distinctement enregistrées y ont établi leur siège canadien déclaré, sous le même numéro de rue. Selon les documents examinés par les enquêteurs de FINTRAC et corroborés par des reportages indépendants, cette adresse héberge officiellement soixante-seize négociants de devises étrangères, huit entreprises de services monétaires et six plateformes d'échange de cryptomonnaies. Aucune n'y maintient d'opérations physiques. Avant octobre 2025, cette configuration suscitait l'indifférence réglementaire propre aux juridictions où les registres d'entreprises de services monétaires (ESM) fonctionnent davantage comme des armoires à dossiers que comme des instruments de contrôle.

Cette époque s'est achevée le 16 octobre 2025. Ce jour-là, le Centre d'analyse des opérations et déclarations financières du Canada a infligé à Xeltox Enterprises une pénalité administrative de 176 960 190 $, soit près de neuf fois le précédent record canadien, établi un mois plus tôt en septembre 2025 avec les 20 millions de $ infligés à Peken Global. Ce montant a redéfini le débat de longue date sur la portée réelle de la supervision attachée à l'enregistrement ESM.

Ce que FINTRAC a découvert

L'avis officiel du régulateur, publié sur son site le 22 octobre 2025, énumère six violations administratives. La plus grave est le « défaut de présenter des rapports de transactions suspectes lorsqu'il existait des motifs raisonnables de soupçonner que des transactions étaient liées à une infraction de blanchiment d'argent ou de financement d'activités terroristes survenues à 1 068 occasions distinctes pendant la période du 1er juillet 2024 au 31 juillet 2024 », formulation reprise à l'identique du communiqué de presse. FINTRAC a par ailleurs documenté 1 518 cas où Cryptomus n'a pas signalé de transactions en monnaie virtuelle de 10 000 $ ou plus, auxquels s'ajoutent des manquements à l'élaboration de politiques de conformité, à l'évaluation des risques de blanchiment, au respect des directives ministérielles et à la déclaration des changements prescrits.

Les catégories d'infractions sous-jacentes suspectées, listées dans les conclusions de FINTRAC et reprises par Krebs on Security dans son article du 21 octobre, se répartissent en quatre rubriques :

• trafic de matériel d'abus sexuel sur mineurs
• fraude
• paiements de rançongiciels
• contournement de sanctions

L'étroitesse de la fenêtre de déclaration (un seul mois, juillet 2024, étendu selon Krebs jusqu'en août) suggère que les enquêteurs ont opté pour un échantillon représentatif plutôt que pour une reconstruction pluriannuelle. Le directeur de FINTRAC, dans les termes mêmes de l'agence, a indiqué que le centre « s'est vu contraint de prendre cette mesure d'exécution sans précédent ». Pour quiconque connaît le registre prudent des régulateurs financiers canadiens, cette tournure se lit comme un raclement de gorge institutionnel d'une emphase inhabituelle.

Anatomie du réseau

L'ossature factuelle de l'affaire FINTRAC repose vraisemblablement sur (et chevauche certainement) le travail en source ouverte de Richard Sanders. Cet enquêteur spécialisé dans les cryptomonnaies a identifié, selon le résumé publié par Krebs, 122 services cybercriminels adjacents qui utilisaient Cryptomus comme infrastructure de paiement. L'inventaire de Sanders comprend, d'après le même article, « certaines des entreprises les plus en vue faisant de la publicité sur les forums de cybercriminalité » : hébergeurs tolérants aux abus, marchés de comptes volés, services d'anonymisation effaçant les métadonnées d'identification des sessions, et plateformes de vérification SMS anonymes qui neutralisent l'authentification à deux facteurs pour les acheteurs d'identifiants compromis.

Sanders a également établi, toujours selon Krebs, que « au moins 56 plateformes d'échange de cryptomonnaies utilisaient Cryptomus pour traiter des transactions, y compris des entités financières aux noms de casher[.]su, grumbot[.]com, flymoney[.]biz, obama[.]ru et swop[.]is ». Les suffixes .ru et .su trahissent le centre de gravité juridictionnel, ce qui n'est pas anodin : nombre de ces échanges, selon plusieurs analyses juridiques dont la note de Bennett Jones et celle de DLA Piper, ont traité des flux liés à des banques russes sous sanctions occidentales. C'est précisément ce prédicat qui transforme la négligence d'un processeur de paiements canadien en vecteur de contournement de sanctions.

Quand on superpose ces données (122 services, 56 échanges, liens avec des banques russes, enregistrements de coquilles juridictionnelles doubles) sur une seule adresse vancouvéroise qui abrite physiquement une clinique de massage, se dessine un tableau d'arbitrage réglementaire exécuté avec une efficacité bureaucratique telle que, rétrospectivement, l'ampleur de l'amende paraît moins un excès qu'une arithmétique tardive.

Pourquoi Vancouver, et ce que le registre prouve réellement

L'enregistrement ESM canadien, administré par FINTRAC, relève essentiellement d'un régime déclaratif : le demandeur dépose, atteste, et figure sur une liste publique. Il n'existe pas d'équivalent à la licence d'émetteur de monnaie, octroyée État par État aux États-Unis, ni à l'autorisation préalable requise par la directive de l'Union européenne. Cette architecture, conçue à une époque où les ESM se résumaient à des kiosques de transfert et des bureaux de change, est devenue à l'ère des cryptomonnaies une voie d'intégration sans friction pour des entités dont les opérations réelles se situent, souvent délibérément, bien au-delà de la juridiction canadienne. L'affaire Cryptomus, en démontrant que quatre-vingt-dix entités financières distinctes peuvent déclarer leur résidence à une seule façade d'ancienne banque sans déclencher de suivi de supervision, a rendu cette faille architecturale impossible à ignorer pour Ottawa.

Le commentaire de Bennett Jones, publié peu après l'amende, présente cette action comme une illustration des « coûts de la non-conformité » et soutient que l'appétit de FINTRAC pour des pénalités record marque un changement structurel. Cette interprétation est renforcée par l'analyse de DLA Piper, qui relie l'affaire Cryptomus au lancement, en 2025, de la nouvelle Agence des crimes financiers du Canada, entité destinée à coordonner l'exécution dans un paysage historiquement fragmenté entre commissions provinciales des valeurs mobilières, unités de renseignement fédérales et GRC.

Spécificités, comparables, et l'appel

Pour mémoire, l'échelle comparative des pénalités canadiennes pour crimes financiers se lit désormais, par ordre décroissant :

• 2025-10-16 : Xeltox Enterprises (Cryptomus) : 176 960 190 $ CAD
• 2025-09: Peken Global : 20 000 000 $ CAD (record précédent)

Xeltox a déposé un appel, étape confirmée par The Globe and Mail et The Block. Cette posture introduit une question qu'aucun communiqué de FINTRAC ne résoudra : le Canada dispose-t-il de la capacité pratique de recouvrer une dette de 176,9 millions de $ auprès d'une entité dont les opérations physiques, les relations bancaires et la propriété effective relèvent toutes de juridictions où les actes canadiens peinent à trouver audience ? La note de DLA Piper reconnaît ce problème de recouvrement dans un langage soigneusement neutre. The Globe cite des observateurs juridiques selon lesquels la valeur symbolique de la pénalité (précédent, dissuasion, cadre pour la nouvelle Agence des crimes financiers) pourrait finalement l'emporter sur sa valeur recouvrable.

Ce que cela change pour le répertoire

NoKYC Directory conserve Cryptomus comme entrée listée. Notre verdict, pour éviter tout malentendu, est qu'il appartient au répertoire précisément en raison de l'action d'octobre 2025, et non malgré elle. Un répertoire dont la vocation est de cartographier le paysage des paiements liés à la vie privée avec une honnêteté éditoriale ne peut pas discrètement retirer une plateforme de son listing au moment où un régulateur confirme ce que les chercheurs en source ouverte documentaient depuis des années. Ce serait blanchir notre propre catalogue.

Notre fiche a été constituée, selon notre méthodologie habituelle, à partir de données d'enregistrement public, de pages d'archives des conditions de service, et de l'inventaire Sanders que Krebs a reproduit. Nous l'avons mise à jour pour refléter la conclusion de FINTRAC, l'appel en cours, le chiffre de 1 068 STR, et le lien catégoriel avec le trafic de matériel d'abus sexuel sur mineurs (lien que le communiqué de FINTRAC nomme explicitement et qu'aucun répertoire responsable ne devrait atténuer par omission). Les lecteurs parvenus à cet article via la fiche Cryptomus doivent considérer cette référence croisée comme le point éditorial central : une entrée de répertoire n'est pas une approbation, l'absence d'exigences de connaissance du client ne garantit pas la légitimité de l'opérateur, et l'écart entre un dépôt de registre à Vancouver et une adresse physique à Vancouver constitue, comme le démontre désormais le dossier d'exécution de FINTRAC en neuf chiffres, toute la substance juridictionnelle de cette affaire.

Sources

• Canada Fines Cybercrime-Friendly Cryptomus $176M (Krebs on Security)
• FINTRAC imposes $176,960,190 penalty against Xeltox Enterprises Ltd. (FINTRAC press release)
• $176.9 Million Fine Against Cryptocurrency Exchange from FINTRAC Demonstrates Costs of Non-Compliance (Bennett Jones)
• Cryptocurrency firm appeals $176 million fine by FINTRAC (The Globe and Mail)
• Canada hits Cryptomus exchange with record fine over money-laundering, KYC failures (The Block)
• FINTRAC imposes largest penalty in Canadian history and the new Financial Crimes Agency (DLA Piper)

Journal des modifications

• 2026-04-22 : Extraction du communiqué de presse original de FINTRAC du 22 octobre 2025, recoupement du chiffre de 1 068 STR contre les résumés de Bennett Jones et DLA Piper, confirmation de la fenêtre de déclaration de juillet 2024.
• 2026-05-04 : Consultation de l'adresse enregistrée de Vancouver sur imagerie satellite et sur le registre des sociétés de la Colombie-Britannique, confirmation de la configuration clinique de massage et espace de coworking de l'ancien immeuble de banque.
• 2026-05-13 : Examen de la méthodologie de Richard Sanders pour identifier les 122 services cybercriminels et le roster de 56 échanges, vérification des entrées casher.su / grumbot.com / obama.ru contre des captures d'écran archivées.
• 2026-05-21 : Rédaction de la section anatomie, puis restructuration de la chronologie pour que le précédent Peken Global de septembre 2025 se situe dans l'échelle des comparables plutôt que dans l'introduction.
• 2026-05-27 : Passage final : suppression de tous les tirets cadratins hérités des citations de sources copiées, normalisation du formatage des devises CAD, double-vérification du statut d'appel contre le dépôt du Globe and Mail.