Voormalige bank in Vancouver: op papier een heel financieel district, in werkelijkheid een massagekliniek

Een drie verdiepingen tellende voormalige bank die op papier een financieel district is

Het gebouw dat centraal staat in de grootste handhavingsactie uit de geschiedenis van de Canadese financiële inlichtingeneenheid, is niet wat een toevallige voorbijganger zou verwachten van een knooppunt voor grensoverschrijdende digitale betalingen. De drie verdiepingen tellende voormalige bankfiliaal in Vancouver die Xeltox Enterprises Ltd. (de juridische entiteit achter het merk Cryptomus) als adres opgaf, herbergt momenteel een massagekliniek op de ene verdieping en een co-workingruimte op de andere. Nergens is bewegwijzering te zien die zou verraden dat negentig afzonderlijk geregistreerde financiële bedrijven hetzelfde straatnummer gebruiken als hun vermelde Canadese zetel. Uit documenten die FINTRAC-onderzoekers beoordeelden, en die door onafhankelijke verslaggeving zijn bevestigd, blijkt dat het adres officieel onderdak biedt aan zesenzeventig valutahandelaren, acht geldtransactiebedrijven en zes cryptovalutabeurzen. Geen van hen onderhoudt fysieke activiteiten op die locatie. Vóór oktober 2025 trok die opstelling het soort regelgevend schouderophalen aan dat kenmerkend is voor jurisdicties waar registers voor geldtransactiebedrijven (MSB) eerder als archiefkasten functioneren dan als poortwachters.

Dat veranderde op 16 oktober 2025, toen het Financial Transactions and Reports Analysis Centre of Canada een administratieve geldboete oplegde van $176.960.190 aan Xeltox Enterprises. Dat bedrag is bijna negen keer hoger dan het vorige Canadese record (de boete van $20 miljoen die slechts een maand eerder, in september 2025, aan Peken Global werd opgelegd). De zaak heeft het langlopende debat in het land over de vraag of MSB-registratie wel enige betekenisvolle toezichthoudende waarde heeft, in een ander daglicht geplaatst.

Wat FINTRAC aantrof

De formele kennisgeving van de toezichthouder, gepubliceerd op haar website op 22 oktober 2025, noemt zes administratieve overtredingen. De meest ingrijpende is de "nalatigheid om verdachte transactierapporten in te dienen waar er redelijke gronden waren om te vermoeden dat transacties verband hielden met een witwassen- of terrorismefinancieringsovertreding, hetgeen op 1.068 afzonderlijke gelegenheden plaatsvond gedurende de periode 1 juli 2024-31 juli 2024". Die bewoording is letterlijk uit het persbericht overgenomen. FINTRAC documenteerde daarnaast 1.518 gelegenheden waarop Cryptomus nalatig was in het rapporteren van virtuele valutatransacties van $10.000 of meer. Ook werd nalatigheid geconstateerd bij het ontwikkelen van nalevingsbeleid, het beoordelen van witwasrisico's, het naleven van ministeriële richtlijnen en het rapporteren van wijzigingen in voorgeschreven aanvragen.

De categorieën vermoedelijke basisdelicten die in de FINTRAC-bevindingen zijn opgenomen, en die door Krebs on Security in haar bericht van 21 oktober zijn herhaald, vallen in vier groepen:

• handel in kindermisbruikmateriaal
• fraude
• losgeldbetalingen
• sanctie-ontwijking

De beperkte breedte van het rapportagevenster (een enkele maand juli 2024, volgens het verslag van Krebs uitgebreid tot augustus) suggereert dat onderzoekers een representatieve steekproef hebben genomen in plaats van een poging tot een meerjarige reconstructie. De directeur van FINTRAC merkte in de eigen bewoordingen van de instantie op dat het centrum "genoodzaakt was deze ongekende handhavingsactie te ondernemen". Voor wie de voorzichtige idioom van Canadese financiële toezichthouders kent, leest die formulering als institutioneel keelgeschraap van ongewoon nadrukkelijke aard.

Anatomie van het netwerk

Het empirische ruggengraat van de FINTRAC-zaak lijkt te putten uit (en overlapt zeker met) het open-source werk van Richard Sanders. De cryptovaluta-onderzoeker identificeerde in zijn onderzoek, samengevat door Krebs, 122 cybercriminaliteit-gerelateerde diensten die Cryptomus gebruikten als betalingsrail. De inventaris van Sanders, zoals Krebs rapporteert, omvat "sommige van de meer prominente bedrijven die adverteren op de cybercriminaliteitsforums": misbruiktolerante hostingproviders, marktplaatsen voor gestolen accounts, anonimiteitsdiensten die identificerende metadata uit sessies verwijderen, en anonieme SMS-verificatieplatforms die tweefactorauthenticatie omzeilen voor kopers van gecompromitteerde inloggegevens.

Sanders stelde afzonderlijk vast, in Krebs' woorden, dat "minstens 56 cryptovalutabeurzen Cryptomus gebruikten om transacties te verwerken, inclusief financiële entiteiten met namen als casher[.]su, grumbot[.]com, flymoney[.]biz, obama[.]ru en swop[.]is". De .ru- en .su-achtervoegsels in die lijst geven het jurisdictionele zwaartepunt aan. Dat zwaartepunt is relevant, omdat veel van deze beurzen, volgens meerdere juridische samenvattingen waaronder de notitie van Bennett Jones en de analyse van DLA Piper, stromen verwerkten die verbonden waren met Russische banken onder westerse sancties. Precies dat basisdelict maakt de nalatigheid van een Canadese betalingsverwerker tot een sanctie-ontwijkingsvector.

Wanneer men deze datapunten (122 diensten, 56 beurzen, koppelingen met Russische banken, dubbel-jurisdictionele shell-registraties) stapelt bovenop een enkel Vancouver-adres dat fysiek een massagekliniek herbergt, ontstaat een beeld van regelgevende arbitrage die wordt uitgevoerd met bureaucratische efficiëntie. Achteraf bezien doet dat de omvang van de uiteindelijke boete minder aanvoelen als overreach, en meer als vertraagde rekenkunde.

Waarom Vancouver, en wat het register eigenlijk bewijst

Canadese MSB-registratie, beheerd door FINTRAC, is in wezen een declaratief regime: een aanvrager dient in, verklaart, en wordt toegevoegd aan een openbare lijst. Er is geen equivalent van de staat-bij-staat geldtransmissielicenties in de Verenigde Staten, noch van de richtlijn-gedreven autorisatie van de Europese Unie. Die declaratieve architectuur, ontworpen in een tijdperk waarin MSB's geldtransferkiosken en wisselkantoren waren, is in het cryptovaluta-tijdperk verworden tot een wrijvingsloze onboarding-route voor entiteiten waarvan de werkelijke operaties vaak bewust ver buiten de Canadese jurisdictie zijn gevestigd. De Cryptomus-zaak maakt die architecturale zwakte voor Ottawa onmogelijk om nog langer te negeren, door te bewijzen dat negentig verschillende financiële entiteiten kunnen verklaren te zijn gevestigd in een enkele voormalige bankfaçade zonder dat toezichthouders daarop volgen.

De opiniestukken van Bennett Jones, gepubliceerd kort na de boete, kaderden de actie als een demonstratie van "de kosten van non-naleving" en betoogden dat de eetlust van FINTRAC voor kopwaardige boetes een structurele verschuiving markeert. Die interpretatie wordt versterkt door de analyse van DLA Piper, die de Cryptomus-kwestie koppelt aan de lancering van de nieuwe Financial Crimes Agency of Canada in 2025. Die entiteit is bedoeld om handhaving te coördineren over wat historisch een gefragmenteerd landschap is geweest van provinciale effectencommissies, federale inlichtingeneenheden en de RCMP.

Specifics, vergelijkingen, en het beroep

Voor de duidelijkheid, de vergelijkende ladder van Canadese financiële misdaadboetes luidt nu, in aflopende volgorde:

• 2025-10-16 : Xeltox Enterprises (Cryptomus): $176.960.190 CAD
• 2025-09: Peken Global: $20.000.000 CAD (vorig record)

Xeltox heeft beroep aangetekend, een stap bevestigd door berichtgeving in The Globe and Mail en door het verslag van The Block. Die appelpostuur roept een vraag op die geen enkel FINTRAC-persbericht zal beantwoorden: of Canada over de praktische capaciteit beschikt om een schuld van $176,9 miljoen te innen bij een entiteit waarvan de fysieke operaties, bankrelaties en uiteindelijke eigendom allemaal in jurisdicties zitten waar Canadese dagvaardingen slecht aankomen. De notitie van DLA Piper erkent dit incassoprobleem in zorgvuldig neutrale taal. De berichtgeving van The Globe citeert juridische waarnemers die suggereren dat de symbolische waarde van de boete (precedent, afschrikking, kader voor de nieuwe Financial Crimes Agency) uiteindelijk de invorderbare waarde kan overtreffen.

Wat dit verandert voor de Directory

NoKYC Directory zal Cryptomus behouden als vermelde entry. Ter vermijding van twijfel: ons oordeel is dat het in de directory thuishoort juist vanwege de actie van oktober 2025, in plaats van ondanks die actie. Een directory waarvan het doel is om het privacy-gerelateerde betalingslandschap met redactionele eerlijkheid in kaart te brengen, kan niet stilletjes een platform delisten op het moment dat een toezichthouder bevestigt wat open-source onderzoekers al jaren documenteerden. Dat zou neerkomen op het witwassen van onze eigen catalogus.

Onze vermelding was afkomstig, volgens onze standaardmethodologie, uit openbare registratiegegevens, gearchiveerde servicevoorwaardenpagina's, en de Sanders-inventaris die Krebs reproduceerde. We hebben de entry bijgewerkt om de FINTRAC-bevinding, het lopende beroep, het cijfer van 1.068 STR's, en de categorische koppeling aan opbrengsten van kindermisbruikmateriaal weer te geven. Die laatste koppeling noemt het FINTRAC-bericht expliciet, en geen verantwoordelijke directory zou die moeten verzachten door weglating. Lezers die via de Cryptomus-vermelding bij dit artikel zijn aangekomen, moeten de kruisverwijzing beschouwen als het redactionele punt: een directory-entry is geen aanbeveling, het ontbreken van know-your-customer-eisen is geen garantie van exploitantlegitimiteit, en de kloof tussen een Canadese registratie-indiening en een fysiek adres in Vancouver is, zoals het FINTRAC-handhavingsrecord nu in negencijferige valuta aantoont, de gehele jurisdictie van dit verhaal.

Bronnen

• Canada Fines Cybercrime-Friendly Cryptomus $176M (Krebs on Security)
• FINTRAC imposes $176,960,190 penalty against Xeltox Enterprises Ltd. (FINTRAC press release)
• $176.9 Million Fine Against Cryptocurrency Exchange from FINTRAC Demonstrates Costs of Non-Compliance (Bennett Jones)
• Cryptocurrency firm appeals $176 million fine by FINTRAC (The Globe and Mail)
• Canada hits Cryptomus exchange with record fine over money-laundering, KYC failures (The Block)
• FINTRAC imposes largest penalty in Canadian history and the new Financial Crimes Agency (DLA Piper)

Bewerkingslog

• 2026-04-22 : Het originele FINTRAC-persbericht van 22 oktober 2025 opgehaald, het cijfer van 1.068 STR's gekruisverwezen tegen de samenvattingen van Bennett Jones en DLA Piper, het rapportagevenster van juli 2024 bevestigd.
• 2026-05-04 : Het geregistreerde Vancouver-adres opgezocht op satellietbeelden en in het BC-bedrijvenregister, de configuratie van massagekliniek en co-workinghuurder in het voormalige bankgebouw bevestigd.
• 2026-05-13 : De methodologie van Richard Sanders doorgenomen voor het identificeren van de 122 cybercrimediensten en de lijst van 56 beurzen, de casher.su / grumbot.com / obama.ru-entries geverifieerd tegen gearchiveerde screenshots.
• 2026-05-21 : De anatomie-sectie opgesteld, vervolgens de chronologie herstructureerd zodat het september 2025 Peken Global-precedent binnen de vergelijkende ladder zit in plaats van in de inleiding.
• 2026-05-27 : Laatste passage: elk em-streepje verwijderd dat overgenomen was uit gekopieerde broncitaten, CAD-valutaformatering genormaliseerd, beroepsstatus dubbelgecheckt tegen de indiening van The Globe and Mail.