Były bank w Vancouver: 90 firm na papierze, masaż w parterze. I rekordowa kara FINTRAC

Trzypiętrowy były bank, który na papierze jest dzielnicą finansową

Budynek będący centrum największej w historii kanadyjskiej akcji egzekucyjnej służby wywiadu finansowego nie wygląda tak, jak przypadkowy obserwator mógłby sobie wyobrażać ośrodek transgranicznych płatności cyfrowych. Trzypiętrowa była filia bankowa w Vancouver, w której zarejestrowano Xeltox Enterprises Ltd. (podmiot prawny prowadzący markę Cryptomus), obecnie mieści klinikę masażu na jednym piętrze i przestrzeń coworkingową na drugim. Nie ma tam żadnych widocznych oznaczeń sugerujących, że dziewięćdziesiąt oddzielnie zarejestrowanych firm finansowych używa tego samego numeru ulicy jako swojej zadeklarowanej siedziby kanadyjskiej. Według dokumentów przejrzanych przez śledczych FINTRAC i potwierdzonych przez niezależne doniesienia, pod tym adresem oficjalnie zarejestrowano siedemdziesięciu sześciu dealerów walut obcych, osiem podmiotów usług pieniężnych i sześć giełd kryptowalut. Żaden z nich nie prowadzi tam fizycznych operacji. Taka konfiguracja, jeszcze przed październikiem 2025 r., spotykała się z obojętnym traktowaniem ze strony regulatorów, typowym dla jurysdykcji, w których rejestry podmiotów usług pieniężnych (MSB) funkcjonują raczej jako szafy aktowe niż instrumenty kontroli dostępu.

Sytuacja zmieniła się 16 października 2025 r., gdy Financial Transactions and Reports Analysis Centre of Canada nałożyło na Xeltox Enterprises administracyjną karę pieniężną w wysokości 176 960 190 CAD. Kwota ta przewyższa niemal dziewięciokrotnie poprzedni kanadyjski rekord (20 milionów CAD nałożonych na Peken Global zaledwie miesiąc wcześniej, we wrześniu 2025 r.) i na nowo ukształtowała trwającą od lat w kraju debatę o tym, czy rejestracja MSB niesie ze sobą jakąkolwiek realną siłę nadzorczą.

Co FINTRAC ustaliło

Formalne zawiadomienie regulatora, opublikowane na jego stronie internetowej 22 października 2025 r., wskazuje sześć naruszeń administracyjnych. Najbardziej konsekwencyjne z nich dotyczyło „niezłożenia raportów o podejrzanych transakcjach, gdy istniały uzasadnione podstawy do podejrzenia, że transakcje były związane z przestępstwem prania pieniędzy lub finansowania terroryzmu, które wystąpiły w 1068 oddzielnych przypadkach w okresie od 1 lipca 2024 r. do 31 lipca 2024 r.”; język ten powtórzono dosłownie z komunikatu prasowego. FINTRAC udokumentowało ponadto 1518 przypadków, w których Cryptomus nie zgłosił transakcji walut wirtualnych o wartości 10 000 USD lub więcej. Oprócz tego stwierdzono niepowodzenia w opracowaniu polityk zgodności, ocenie ryzyka prania pieniędzy, przestrzeganiu dyrektyw ministerialnych oraz zgłaszaniu zmian w wymaganych zgłoszeniach.

Kategorie podejrzanych przestępstw pierwotnych wymienionych w ustaleniach FINTRAC, powtórzonych przez Krebs on Security w jego komunikacie z 21 października, dzielą się na cztery grupy:

• handel materiałami o charakterze seksualnym wykorzystującym dzieci
• oszustwa
• płatności okupu ransomware
• unikanie sankcji

Wąskie okno raportowania (pojedynczy miesiąc lipca 2024 r., rozszerzony według relacji Krebsa na sierpień) sugeruje, że śledczy wybrali reprezentatywny przekrój zamiast próby wieloletniej rekonstrukcji. Dyrektor FINTRAC, we własnym ujęciu agencji, zauważył, że centrum „było zmuszone podjąć tę bezprecedensową akcję egzekucyjną”. Dla każdego zaznajomionego z ostrożnym idiomem kanadyjskich regulatorów finansowych, to sformułowanie brzmi jak instytucjonalne odchrząknięcie niezwykle stanowczego rodzaju.

Anatomia sieci

Empiryczny kręgosłup sprawy FINTRAC wydaje się czerpać z pracy open-source Richarda Sandersa (i z pewnością się z nią pokrywać), śledczego kryptowalutowego, którego badania, podsumowane przez Krebsa, zidentyfikowały 122 usługi związane z cyberprzestępczością, które używały Cryptomus jako szyny płatniczej. Inwentarz Sandersa, jak podaje Krebs, obejmuje „niektóre z bardziej znaczących firm reklamujących się na forach cyberprzestępczych”, a w szczególności hostingodawców tolerujących nadużycia, rynki skradzionych kont, usługi anonimizacji usuwające identyfikujące metadane z sesji oraz anonimowe platformy weryfikacji SMS pokonujące dwuskładnikowe uwierzytelnianie dla nabywców skompromitowanych danych uwierzytelniających.

Sanders ustalił osobno, słowami Krebsa, że „co najmniej 56 giełd kryptowalut używało Cryptomus do przetwarzania transakcji, w tym podmiotów finansowych o nazwach takich jak casher[.]su, grumbot[.]com, flymoney[.]biz, obama[.]ru i swop[.]is”. Sufiksy .ru i .su w tym rejestrze sygnalizują określony środek ciężkości jurysdykcyjny, co ma istotne znaczenie; wiele z tych giełd, według wielu podsumowań prawnych, w tym notatki Bennett Jones i analizy DLA Piper, przetwarzało przepływy związane z rosyjskimi bankami objętymi zachodnimi sankcjami. To właśnie ta przesłanka czyni z niedbalstwa kanadyjskiego procesora płatności wektor unikania sankcji.

Gdy ułoży się te punkty danych (122 usługi, 56 giełd, powiązania z rosyjskimi bankami, rejestracje powłok w podwójnej jurysdykcji) na szczycie jednego adresu w Vancouver, który fizycznie gości klinikę masażu, wyłania się obraz arbitrażu regulacyjnego wykonanego z biurokratyczną efektywnością. Z perspektywy czyni to wielkość ostatecznej kary mniej przesadą, a bardziej spóźnioną arytmetyką.

Dlaczego Vancouver i co rejestr faktycznie udowadnia

Kanadyjska rejestracja MSB, administrowana przez FINTRAC, jest w zasadzie reżimem deklaratywnym: wnioskodawca składa dokumenty, poświadcza i trafia na publiczną listę, bez ekwiwalentu licencjonowania przekazicieli pieniędzy stan po stanie w Stanach Zjednoczonych czy autoryzacji opartej na dyrektywach w Unii Europejskiej. Ta deklaratywna architektura, zaprojektowana w erze, gdy MSB oznaczały kioski przekazów pieniężnych i kantory wymiany walut, stała się w erze kryptowalut beztarciową ścieżką onboardingową dla podmiotów, których faktyczne operacje często celowo znajdują się daleko poza kanadyjską jurysdykcją. Sprawa Cryptomus, ustalając że dziewięćdziesiąt odrębnych podmiotów finansowych może zadeklarować siedzibę przy jednej fasadzie byłego banku bez wywołania nadzorczego follow-upu, uczyniła tę słabość architektoniczną niemożliwą do dalszego ignorowania przez Ottawę.

Komentarz Bennett Jones, opublikowany wkrótce po karze, ujmuje działanie jako demonstrację „kosztów niezgodności” i argumentuje, że apetyt FINTRAC na kary o wadze nagłówkowej gazety oznacza zmianę strukturalną. Interpretację tę wzmacnia analiza DLA Piper, która łączy sprawę Cryptomus z uruchomieniem w 2025 r. nowej Financial Crimes Agency of Canada, podmiotu przeznaczonego do koordynacji egzekucji we fragmentarycznym dotąd krajobrazie prowincjonalnych komisji papierów wartościowych, federalnych jednostek wywiadowczych i RCMP.

Szczegóły, porównania i apelacja

Dla porządku, obecna porównawcza drabina kanadyjskich kar za przestępstwa finansowe wygląda następująco, w kolejności malejącej:

• 2025-10-16 : Xeltox Enterprises (Cryptomus): 176 960 190 CAD
• 2025-09: Peken Global: 20 000 000 CAD (poprzedni rekord)

Xeltox złożyło apelację, krok potwierdzony przez doniesienia The Globe and Mail oraz The Block. Postawa apelacyjna rodzi pytanie, na które żaden komunikat prasowy FINTRAC nie odpowie: czy Kanada posiada praktyczną zdolność do ściągnięcia długu w wysokości 176,9 miliona od podmiotu, którego fizyczne operacje, relacje bankowe i własność korzystna wszystkie znajdują się w jurysdykcjach, gdzie kanadyjskie nakazy podróżują słabo? Notatka DLA Piper przyznaje się do tego problemu ściągalności w starannie neutralnym języku, a doniesienia Globe cytują obserwatorów prawnych sugerujących, że wartość symboliczna kary (precedens, odstraszanie, ramy dla nowej Financial Crimes Agency) może ostatecznie przeważyć nad jej wartością ściągalną.

Co to zmienia dla Katalogu

NoKYC Directory zachowa Cryptomus jako wymieniony wpis. Nasz werdykt, dla uniknięcia wątpliwości, jest taki, że należy on w katalogu właśnie z powodu działania z października 2025 r., a nie pomimo niego. Katalog, którego celem jest mapowanie krajobrazu płatności związanych z prywatnością z redakcyjną uczciwością, nie może cicho wykreślić platformy w momencie, gdy regulator potwierdza to, co badacze open-source dokumentowali od lat. Uczynienie tego byłoby praniem własnego katalogu.

Nasz wpis pozyskano, zgodnie ze standardową metodologią, z publicznych danych rejestracyjnych, zarchiwizowanych stron regulaminów usług oraz inwentarza Sandersa, który Krebs reprodukował. Zaktualizowaliśmy wpis, aby odzwierciedlał ustalenie FINTRAC, toczącą się apelację, liczbę 1068 raportów STR oraz kategorialne powiązanie z dochodami z materiałów o charakterze seksualnym wykorzystujących dzieci (powiązanie, które komunikat FINTRAC wymienia wprost i którego żaden odpowiedzialny katalog nie powinien złagodzić przez pominięcie). Czytelnicy, którzy trafili do tego artykułu przez wpis Cryptomus, powinni traktować odniesienie krzyżowe jako redakcyjny punkt: wpis w katalogu nie jest rekomendacją, brak wymogów know-your-customer nie jest gwarancją legalności operatora, a luka między zgłoszeniem rejestracyjnym w Vancouver a fizycznym adresem w Vancouver jest, jak rekord egzekucyjny FINTRAC teraz demonstrowuje w dziewięciocyfrowej walucie, całą jurysdykcją tej historii.

Źródła

• Canada Fines Cybercrime-Friendly Cryptomus $176M (Krebs on Security)
• FINTRAC imposes $176,960,190 penalty against Xeltox Enterprises Ltd. (FINTRAC press release)
• $176.9 Million Fine Against Cryptocurrency Exchange from FINTRAC Demonstrates Costs of Non-Compliance (Bennett Jones)
• Cryptocurrency firm appeals $176 million fine by FINTRAC (The Globe and Mail)
• Canada hits Cryptomus exchange with record fine over money-laundering, KYC failures (The Block)
• FINTRAC imposes largest penalty in Canadian history and the new Financial Crimes Agency (DLA Piper)

Dziennik zmian

• 2026-04-22 : Pobrano oryginalny komunikat prasowy FINTRAC z 22 października 2025 r., skorelowano liczbę 1068 raportów STR z podsumowaniami Bennett Jones i DLA Piper, potwierdzono okno raportowania z lipca 2024 r.
• 2026-05-04 : Sprawdzono zarejestrowany adres w Vancouver na zdjęciach satelitarnych i w rejestrze korporacyjnym BC, potwierdzono konfigurację najemców kliniki masażu i przestrzeni coworkingowej w budynku byłego banku.
• 2026-05-13 : Przeanalizowano metodologię Richarda Sandersa do identyfikacji 122 usług cyberprzestępczych i rejestru 56 giełd, zweryfikowano wpisy casher.su / grumbot.com / obama.ru pod kątem zarchiwizowanych zrzutów ekranu.
• 2026-05-21 : Opracowano sekcję anatomii, następnie przebudowano chronologię tak, aby precedens Peken Global z września 2025 r. znalazł się wewnątrz drabiny porównawczej zamiast w wiodącej części.
• 2026-05-27 : Ostateczna weryfikacja: usunięto każdy myślnik dziedziczony z kopiowanych cytatów źródłowych, ujednolicono formatowanie waluty CAD, dwukrotnie sprawdzono status apelacji pod kątem zgłoszenia The Globe and Mail.