FINTRAC infligge a Cryptomus la maxi-multa da $176.9M in Canada: dietro l'indirizzo di Vancouver, un'ex banca con clinica per massaggi e novanta società finanziarie fantasma

Una ex banca a tre piani che, sulla carta, è un distretto finanziario

L'edificio al centro della più grande azione sanzionatoria della storia dell'unità di intelligence finanziaria canadese non ha nulla dell'aspetto che ci si aspetterebbe da un hub di pagamenti digitali transfrontalieri. La ex filiale bancaria a tre piani di Vancouver che ha registrato Xeltox Enterprises Ltd. (l'entità legale dietro il marchio Cryptomus) ospita oggi una clinica di massaggi a un piano e uno spazio di co-working a un altro, senza alcuna insegna visibile a indicare che novanta distinte attività finanziarie registrate utilizzino lo stesso numero civico come sede canadese dichiarata. Secondo i documenti esaminati dagli investigatori di FINTRAC e corroborati da reportage indipendenti, l'indirizzo ospita ufficialmente settantasei operatori di cambio valuta estera, otto attività di servizi monetari e sei exchange di criptovalute, nessuna delle quali mantiene operazioni fisiche in loco. Una configurazione che, prima dell'ottobre 2025, attirava il tipo di disinteresse regolamentare tipico delle giurisdizioni i cui registri di money services business (MSB) funzionano più come schedari che come strumenti di selezione.

Tutto è cambiato il 16 ottobre 2025, quando il Financial Transactions and Reports Analysis Centre of Canada ha emesso una sanzione monetaria amministrativa di 176.960.190 dollari contro Xeltox Enterprises, un importo che supera di quasi nove volte il precedente record canadese (la sanzione di 20 milioni di dollari inflitta a Peken Global solo un mese prima, nel settembre 2025), e che ha riformulato il dibattito di lunga data del paese sulla reale portata supervisiva della registrazione MSB.

Cosa ha trovato FINTRAC

L'avviso formale del regolatore, pubblicato sul suo sito web il 22 ottobre 2025, identifica sei violazioni amministrative. La più rilevante è il "mancato invio di segnalazioni di operazioni sospette quando vi erano fondati motivi di sospetto che le operazioni fossero collegate a un reato di riciclaggio di denaro o finanziamento di attività terroristiche avvenuto in 1.068 occasioni distinte durante il periodo 1 luglio 2024-31 luglio 2024", con un linguaggio riprodotto verbatim dal comunicato stampa. FINTRAC ha inoltre documentato 1.518 occasioni in cui Cryptomus non ha segnalato operazioni in valuta virtuale di 10.000 dollari o più, insieme a mancate attuazioni di politiche di conformità, valutazione del rischio di riciclaggio, rispetto di direttive ministeriali e segnalazione di modifiche nelle domande prescritte.

Le categorie di reati presupposti sospettati elencate nei risultati di FINTRAC, e ripetute da Krebs on Security nel suo dispaccio del 21 ottobre, rientrano in quattro categorie:

• traffico di materiale di abuso sessuale su minori
• frode
• pagamenti ransomware
• elusione di sanzioni

La ristrettezza della finestra di segnalazione (un singolo mese di luglio 2024, esteso secondo il resoconto di Krebs fino ad agosto) suggerisce che gli investigatori abbiano scelto una fetta rappresentativa piuttosto che tentare una ricostruzione pluriennale. Il direttore di FINTRAC, nella formulazione dell'agenzia stessa, ha notato che il centro "è stato costretto a intraprendere questa azione di enforcement senza precedenti", una frase che, a chi conosce il cauto idioma dei regolatori finanziari canadesi, suona come uno schiarimento di gola istituzionale di tipo insolitamente enfatico.

Anatomia della rete

La spina dorsale empirica del caso FINTRAC sembra attingere (e certamente sovrapporsi) al lavoro open-source di Richard Sanders, l'investigatore di criptovalute la cui ricerca, riassunta da Krebs, ha identificato 122 servizi adiacenti al cybercrime che utilizzavano Cryptomus come infrastruttura di pagamento. L'inventario di Sanders, come riporta Krebs, include "alcune delle attività più prominenti che pubblicizzano sui forum di cybercrime", e spazia da provider di hosting tolleranti agli abusi a marketplace di account rubati, da servizi di anonimato che rimuovono i metadati identificativi dalle sessioni a piattaforme di verifica SMS anonime che aggirano l'autenticazione a due fattori per gli acquirenti di credenziali compromesse.

Sanders ha separatamente trovato, nelle parole di Krebs, che "almeno 56 exchange di criptovalute utilizzavano Cryptomus per elaborare transazioni, inclusi enti finanziari con nomi come casher[.]su, grumbot[.]com, flymoney[.]biz, obama[.]ru e swop[.]is". Un elenco i cui suffissi .ru e .su indicano chiaramente il centro di gravità giurisdizionale, un dato che non è secondario perché molti di questi exchange, secondo molteplici sintesi legali inclusa la nota Bennett Jones e l'analisi DLA Piper, hanno elaborato flussi collegati a banche russe sotto sanzioni occidentali. È proprio questo presupposto che trasforma la negligenza di un processore di pagamenti canadese in un vettore di elusione di sanzioni.

Ciò che emerge, sovrapponendo questi punti dati (122 servizi, 56 exchange, collegamenti con banche russe, registrazioni di shell in doppia giurisdizione) a un singolo indirizzo di Vancouver che fisicamente ospita una clinica di massaggi, è un quadro di arbitraggio regolamentare eseguito con efficienza burocratica. Un quadro che, col senno di poi, fa apparire la dimensione della sanzione finale meno come un eccesso e più come un'operazione aritmetica tardiva.

Perché Vancouver, e cosa prova effettivamente il registro

La registrazione MSB canadese, amministrata tramite FINTRAC, è essenzialmente un regime dichiarativo: il richiedente presenta, attesta, e viene aggiunto a un elenco pubblico, senza alcun equivalente della licenza di trasmettitore di denaro stato per stato degli Stati Uniti o dell'autorizzazione guidata da direttiva dell'Unione Europea. Quell'architettura dichiarativa, progettata in un'era in cui gli MSB erano chioschi di rimesse e uffici di cambio, è diventata nell'era delle criptovalute un percorso di onboarding senza attrito per entità le cui operazioni effettive si trovano, spesso deliberatamente, ben al di fuori della giurisdizione canadese. Il caso Cryptomus, stabilendo che novanta distinte entità finanziarie possono dichiarare residenza in una singola facciata di ex banca senza innescare alcun follow-up supervisivo, ha ora reso quella debolezza architetturale impossibile da ignorare per Ottawa.

Il commento Bennett Jones, pubblicato poco dopo la sanzione, inquadra l'azione come una dimostrazione dei "costi della non conformità" e sostiene che l'appetito di FINTRAC per sanzioni di rilievo headline segna uno spostamento strutturale. Un'interpretazione rafforzata dall'analisi DLA Piper, che collega la vicenda Cryptomus al lancio della nuova Financial Crimes Agency of Canada nel 2025, un'entità destinata a coordinare l'enforcement attraverso ciò che è storicamente stato un panorama frammentato di commissioni provinciali dei titoli, unità federali di intelligence e RCMP.

Specifiche, comparabili e il ricorso

Per completezza, la scala comparativa delle sanzioni canadesi per crimini finanziari ora si legge, in ordine decrescente:

• 2025-10-16 : Xeltox Enterprises (Cryptomus): 176.960.190 CAD
• 2025-09: Peken Global: 20.000.000 CAD (record precedente)

Xeltox ha presentato ricorso, un passo confermato dalla copertura del Globe and Mail e dal reportage di The Block. La postura di appello introduce una domanda che nessun comunicato stampa di FINTRAC risponderà, ovvero se il Canada possieda la capacità pratica di riscuotere un debito di 176,9 milioni di dollari da un'entità le cui operazioni fisiche, relazioni bancarie e proprietà beneficiaria si trovano tutte in giurisdizioni dove i mandati canadesi faticano ad arrivare. La nota DLA Piper riconosce questo problema di riscossione in un linguaggio cautamente neutrale, e la copertura del Globe cita osservatori legali che suggeriscono che il valore simbolico della sanzione (precedente, deterrenza, quadro per la nuova Financial Crimes Agency) possa alla fine superare il suo valore effettivamente riscuotibile.

Cosa cambia per la Directory

NoKYC Directory manterrà Cryptomus come voce elencata, e il nostro verdetto, per evitare dubbi, è che appartiene alla directory proprio a causa dell'azione dell'ottobre 2025 piuttosto che nonostante essa. Una directory il cui scopo è mappare con onestà editoriale il panorama dei pagamenti adiacenti alla privacy non può silenziosamente delistare una piattaforma nel momento in cui un regolatore conferma ciò che i ricercatori open-source documentavano da anni, poiché farlo sarebbe equivalente a riciclare il nostro stesso catalogo.

La nostra voce è stata ricavata, secondo la nostra metodologia standard, da dati di registrazione pubblici, pagine di termini di servizio archiviate e dall'inventario Sanders che Krebs ha riprodotto. Abbiamo aggiornato la voce per riflettere il risultato FINTRAC, il ricorso in sospeso, la cifra di 1.068 STR e il collegamento categorico a proventi di abuso sessuale su minori (un collegamento che il comunicato FINTRAC nomina esplicitamente e che nessuna directory responsabile dovrebbe attenuare per omissione). I lettori che sono arrivati a questo articolo tramite la voce Cryptomus dovrebbero considerare il riferimento incrociato come il punto editoriale: una voce di directory non è un'approvazione, l'assenza di requisiti know-your-customer non è una garanzia di legittimità dell'operatore, e il divario tra una registrazione nel registro di Vancouver e un indirizzo fisico di Vancouver è, come il record di enforcement FINTRAC ora dimostra in cifre a nove zeri, l'intera giurisdizione di questa storia.

Fonti

• Canada Fines Cybercrime-Friendly Cryptomus $176M (Krebs on Security)
• FINTRAC imposes $176,960,190 penalty against Xeltox Enterprises Ltd. (FINTRAC press release)
• $176.9 Million Fine Against Cryptocurrency Exchange from FINTRAC Demonstrates Costs of Non-Compliance (Bennett Jones)
• Cryptocurrency firm appeals $176 million fine by FINTRAC (The Globe and Mail)
• Canada hits Cryptomus exchange with record fine over money-laundering, KYC failures (The Block)
• FINTRAC imposes largest penalty in Canadian history and the new Financial Crimes Agency (DLA Piper)

Registro delle modifiche

• 2026-04-22 : Estratto il comunicato stampa FINTRAC originale del 22 ottobre 2025, incrociata la cifra di 1.068 STR con le sintesi Bennett Jones e DLA Piper, confermata la finestra di segnalazione di luglio 2024.
• 2026-05-04 : Consultato l'indirizzo registrato di Vancouver su immagini satellitari e sul registro delle società della BC, confermata la configurazione di clinica di massaggi e spazio di co-working dell'inquilino dell'ex edificio bancario.
• 2026-05-13 : Esaminata la metodologia di Richard Sanders per identificare i 122 servizi di cybercrime e l'elenco di 56 exchange, verificate le voci casher.su / grumbot.com / obama.ru contro screenshot archiviati.
• 2026-05-21 : Redatta la sezione anatomia, poi ristrutturata la cronologia in modo che il precedente Peken Global di settembre 2025 si trovi all'interno della scala comparativa piuttosto che nell'incipit.
• 2026-05-27 : Passaggio finale: rimosso ogni em dash ereditato da citazioni copiate da fonti, normalizzata la formattazione della valuta CAD, ricontrollato lo stato del ricorso contro la presentazione del Globe and Mail.