Antigo banco de três andares esconde 90 empresas financeiras, e uma clínica de massagens

Um antigo banco de três andares que, no papel, é um distrito financeiro

O edifício no centro da maior ação de fiscalização da história da unidade de inteligência financeira do Canadá não corresponde ao que um observador casual esperaria de um hub de pagamentos digitais transfronteiriços. O antigo banco de três andares em Vancouver que registrou a Xeltox Enterprises Ltd. (a entidade legal que opera a marca Cryptomus) abriga atualmente uma clínica de massagem num dos pisos e um espaço de co-working noutro, sem qualquer sinalização visível a indicar que noventa empresas financeiras registadas separadamente usam o mesmo número de rua como sede canadiana declarada. Segundo documentos revistos por investigadores da FINTRAC e corroborados por reportagens independentes, o endereço alberga oficialmente setenta e seis negociantes de divisas, oito empresas de serviços de transferência de dinheiro e seis corretoras de criptomoedas, nenhuma das quais mantém operações físicas no local. Esta configuração, antes de outubro de 2025, atrairia o tipo de indiferença regulatória típica de jurisdições cujos registos de empresas de serviços de dinheiro (MSB) funcionam mais como armários de arquivo do que como instrumentos de controlo de acesso.

Isso mudou a 16 de outubro de 2025, quando o Centro de Análise de Transações e Relatórios Financeiros do Canadá emitiu uma penalidade monetária administrativa de $176.960.190 contra a Xeltox Enterprises, um valor que excede, por quase nove vezes, o recorde canadiano anterior (a multa de $20 milhões aplicada à Peken Global apenas um mês antes, em setembro de 2025) e que reformulou o debate de longa data do país sobre se o registo de MSB tem algum peso supervisor significativo.

O que a FINTRAC encontrou

O aviso formal do regulador, publicado no seu site a 22 de outubro de 2025, identifica seis violações administrativas, sendo a mais grave a "falha em apresentar relatórios de transações suspeitas quando havia motivos razoáveis para suspeitar que as transações estivessem relacionadas a uma ofensa de lavagem de dinheiro ou financiamento de atividades terroristas, que ocorreu em 1.068 ocasiões separadas durante o período de 1 de julho de 2024 a 31 de julho de 2024", linguagem reproduzida textualmente do comunicado à imprensa. A FINTRAC documentou ainda 1.518 ocasiões em que a Cryptomus falhou em reportar transações de moeda virtual de $10.000 ou mais, para além de falhas no desenvolvimento de políticas de conformidade, na avaliação de risco de lavagem de dinheiro, no cumprimento de diretrizes ministeriais e na reportagem de alterações em aplicações prescritas.

As categorias de infrações prediadas suspeitas listadas nos achados da FINTRAC, e repetidas pela Krebs on Security na sua reportagem de 21 de outubro, dividem-se em quatro grupos:

• tráfico de material de abuso sexual infantil
• fraude
• pagamentos de ransomware
• evasão de sanções

A estreiteza da janela de reportagem (um único mês de julho de 2024, estendida pelo relato da Krebs até agosto) sugere que os investigadores escolheram uma fatia representativa em vez de tentar uma reconstrução de vários anos. O diretor da FINTRAC, no próprio enquadramento da agência, observou que o centro "se viu compelido a tomar esta ação de fiscalização sem precedentes", uma formulação que soa, para qualquer pessoa familiarizada com o idioma cauteloso dos reguladores financeiros canadianos, como uma clareza de garganta institucional de um tipo incomumente enfático.

Anatomia da rede

A espinha dorsal empírica do caso da FINTRAC parece basear-se (e certamente sobrepor-se) ao trabalho de código aberto de Richard Sanders, o investigador de criptomoedas cuja investigação, resumida pela Krebs, identificou 122 serviços adjacentes ao cibercrime que usavam a Cryptomus como via de pagamentos. O inventário de Sanders, conforme a Krebs reporta, inclui "alguns dos negócios mais proeminentes anunciados nos fóruns de cibercrime", e abrange fornecedores de alojamento tolerantes a abusos, mercados para contas roubadas, serviços de anonimato que removem metadados identificadores de sessões e plataformas de verificação SMS anónimas que derrotam a autenticação de dois fatores para compradores de credenciais comprometidas.

Sanders encontrou separadamente, nas palavras da Krebs, que "pelo menos 56 corretoras de criptomoedas estavam a usar a Cryptomus para processar transações, incluindo entidades financeiras com nomes como casher[.]su, grumbot[.]com, flymoney[.]biz, obama[.]ru e swop[.]is", uma lista cujos sufixos .ru e .su telegrafam o centro de gravidade jurisdicional (um centro de gravidade que importa porque muitas dessas corretoras, segundo múltiplos resumos legais incluindo a nota da Bennett Jones e a análise da DLA Piper, processaram fluxos vinculados a bancos russos sob sanções ocidentais, que é precisamente o predicado que transforma a negligência de um processador de pagamentos canadiano num vetor de evasão de sanções).

O que emerge, quando se empilham esses pontos de dados (122 serviços, 56 corretoras, vinculações a bancos russos, registos de shell em dupla jurisdição) sobre um único endereço de Vancouver que fisicamente alberga uma clínica de massagem, é uma imagem de arbitragem regulatória executada com eficiência burocrática que, em retrospectiva, faz o tamanho da multa eventual parecer menos um exagero e mais uma aritmética tardia.

Por que Vancouver, e o que o registo realmente prova

O registo de MSB canadiano, administrado pela FINTRAC, é essencialmente um regime declarativo: um requerente apresenta, atesta e é adicionado a uma lista pública, sem equivalente ao licenciamento de transmissor de dinheiro estado a estado dos Estados Unidos ou à autorização orientada por diretiva da União Europeia. Esta arquitetura declarativa, concebida durante uma era em que MSBs significavam quiosques de remessas e bureaux de change, tornou-se, na era das criptomoedas, um caminho de integração sem fricção para entidades cujas operações reais situam-se, frequentemente de forma deliberada, muito fora da jurisdição canadiana. O caso Cryptomus, ao estabelecer que noventa entidades financeiras distintas podem declarar residência numa única fachada de ex-banco sem desencadear acompanhamento supervisor, tornou agora essa fraqueza arquitetónica impossível de continuar a ser ignorada por Ottawa.

O comentário da Bennett Jones, publicado pouco depois da multa, enquadra a ação como uma demonstração dos "custos da não conformidade" e argumenta que o apetite da FINTRAC por penalidades de grau midiático marca uma mudança estrutural, uma interpretação reforçada pela análise da DLA Piper, que conecta o caso Cryptomus ao lançamento da nova Agência de Crimes Financeiros do Canadá em 2025, uma entidade destinada a coordenar a fiscalização num cenário historicamente fragmentado de comissões de valores mobiliários provinciais, unidades de inteligência federais e a RCMP.

Especificidades, comparáveis e o recurso

Para registo, a escala comparativa de penalidades canadianas por crimes financeiros lê-se agora, em ordem descendente:

• 2025-10-16 : Xeltox Enterprises (Cryptomus): $176.960.190 CAD
• 2025-09: Peken Global: $20.000.000 CAD (recorde anterior)

A Xeltox apresentou recurso, uma etapa confirmada pela cobertura do The Globe and Mail e pela reportagem do The Block. A postura recursal introduz uma questão que nenhum comunicado de imprensa da FINTRAC responderá, a saber: se o Canadá possui a capacidade prática de cobrar uma dívida de $176,9 milhões a uma entidade cujas operações físicas, relações bancárias e propriedade beneficiária se situam todas em jurisdições onde os mandados canadianos viajam mal. A nota da DLA Piper reconhece esse problema de cobrança em linguagem cuidadosamente neutra, e a cobertura do Globe cita observadores legais a sugerir que o valor simbólico da penalidade (precedente, dissuasão, enquadramento para a nova Agência de Crimes Financeiros) pode acabar por superar o seu valor recuperável.

O que isso muda para o Diretório

O NoKYC Directory manterá a Cryptomus como entrada listada, e o nosso veredicto, para evitar dúvidas, é que ela pertence ao diretório precisamente por causa da ação de outubro de 2025, e não apesar dela. Um diretório cujo propósito é mapear o cenário de pagamentos adjacentes à privacidade com honestidade editorial não pode deslistar silenciosamente uma plataforma no momento em que um regulador confirma o que investigadores de código aberto vinham documentando há anos, pois fazê-lo seria lavar o nosso próprio catálogo.

A nossa listagem foi obtida, conforme a metodologia padrão, de dados de registo público, páginas arquivadas de termos de serviço e do inventário Sanders que a Krebs reproduziu. Atualizámos a entrada para refletir o achado da FINTRAC, o recurso pendente, a cifra de 1.068 STR e a vinculação categórica a recursos de abuso sexual infantil (uma vinculação que o comunicado da FINTRAC nomeia explicitamente e que nenhum diretório responsável deveria suavizar por omissão). Leitores que chegaram a este artigo pela listagem da Cryptomus devem tratar a referência cruzada como o ponto editorial: uma entrada de diretório não é um endosso, a ausência de requisitos de know-your-customer não é uma garantia de legitimidade do operador, e a lacuna entre um registo de jurisdição de Vancouver e um endereço físico de Vancouver é, como o registo de fiscalização da FINTRAC agora demonstra em moeda de nove dígitos, toda a jurisdição desta história.

Fontes

• Canada Fines Cybercrime-Friendly Cryptomus $176M (Krebs on Security)
• FINTRAC imposes $176,960,190 penalty against Xeltox Enterprises Ltd. (FINTRAC press release)
• $176.9 Million Fine Against Cryptocurrency Exchange from FINTRAC Demonstrates Costs of Non-Compliance (Bennett Jones)
• Cryptocurrency firm appeals $176 million fine by FINTRAC (The Globe and Mail)
• Canada hits Cryptomus exchange with record fine over money-laundering, KYC failures (The Block)
• FINTRAC imposes largest penalty in Canadian history and the new Financial Crimes Agency (DLA Piper)

Registo de edições

• 2026-04-22 : Extraído o comunicado de imprensa original da FINTRAC de 22 de outubro de 2025, cruzada a cifra de 1.068 STR contra os resumos da Bennett Jones e da DLA Piper, confirmada a janela de reportagem de julho de 2024.
• 2026-05-04 : Consultado o endereço registado de Vancouver em imagens de satélite e no registo corporativo de BC, confirmada a configuração de locatário de clínica de massagem e espaço de co-working do antigo edifício bancário.
• 2026-05-13 : Revisada a metodologia de Richard Sanders para identificar os 122 serviços de cibercrime e a lista de 56 corretoras, verificadas as entradas casher.su / grumbot.com / obama.ru contra capturas de ecrã arquivadas.
• 2026-05-21 : Redigida a secção de anatomia, depois reestruturada a cronologia para que o precedente de setembro de 2025 da Peken Global fique dentro da escala comparativa em vez da liderança.
• 2026-05-27 : Revisão final: removido cada travessão herdado de citações copiadas de fontes, normalizada a formatação de moeda CAD, verificado novamente o estado de recurso contra o registo do The Globe and Mail.