Lavagem de dinheiro e financiamento do terrorismo com criptoativos

Cada controle em um programa de conformidade com criptoativos existe para impedir, detectar ou comunicar uma forma específica de abuso de criptoativos. Se você não consegue descrever como os criminosos realmente movimentam valor por meio de exchanges, carteiras e protocolos, não consegue avaliar se uma regra, um limite de triagem ou uma pontuação de risco do cliente é adequado à finalidade. Esta aula relaciona o modelo clássico de lavagem de dinheiro aos criptoativos, apresenta as principais tipologias e explica por que o livro-razão público é uma ferramenta para as equipes de conformidade tanto quanto é um risco.

Os três estágios aplicados aos criptoativos

O modelo didático de lavagem de dinheiro tem três estágios. É uma simplificação (esquemas reais pulam, repetem ou combinam estágios), mas continua sendo o vocabulário comum de investigadores, supervisores e unidades de inteligência financeira.

Duas características mudam o cenário em comparação com a moeda fiduciária. Primeiro, a criminalidade nativa dos criptoativos (ransomware, invasões, golpes pagos em criptoativos) dispensa completamente a colocação: os recursos são gerados on-chain, então a principal tarefa de quem lava o dinheiro é ocultá-los e encontrar uma saída confiável para moeda fiduciária. Segundo, essa saída é o ponto de estrangulamento. Quase todo esquema acaba precisando de um serviço de custódia, geralmente uma exchange, uma mesa OTC ou um provedor de pagamentos, para converter criptoativos em moeda fiduciária que possa ser gasta. Esse serviço é a sua empresa.

As principais tipologias

O FATF, as equipes de monitoramento do Conselho de Segurança das Nações Unidas e as unidades de inteligência financeira descrevem padrões recorrentes. Um profissional de conformidade deve conseguir reconhecer cada um deles e identificar o controle que visa combatê-lo.

Várias dessas tipologias se sobrepõem. Hackers ligados a Estados combinam roubo, ocultação e evasão de sanções. Redes de golpes usam "mulas" financeiras que abrem contas em exchanges para converter em dinheiro os fundos das vítimas. Os sinais de alerta detalhados de cada padrão são abordados na aula Sinais de alerta e tipologias; aqui, o objetivo é conhecer os padrões existentes e saber que cada um deles deve ser considerado na avaliação de risco.

Casos públicos como exemplos

Os casos públicos mostram o que falhou, e é isso que uma equipe de conformidade precisa aprender.

• Ransomware: em 2021, a operadora de um importante oleoduto de combustíveis pagou um resgate de cerca de 75 BTC. Mais tarde, investigadores rastrearam a maior parte do valor até um único endereço e a recuperaram, demonstrando que os recursos de ransomware permanecem visíveis on-chain até chegarem a um intermediário cooperativo.
• Roubos ligados a Estados: em março de 2024, o Painel de Peritos do Conselho de Segurança das Nações Unidas sobre a RPDC informou que estava investigando 58 ciberataques suspeitos da RPDC contra empresas relacionadas a criptoativos entre 2017 e 2023, avaliados em cerca de USD 3 bilhões. O roubo de cerca de USD 1,46 bilhão da exchange Bybit, em fevereiro de 2025, atribuído a agentes norte-coreanos, foi o maior roubo individual registrado até aquele momento. Os ativos roubados foram trocados e transferidos entre blockchains em poucos dias.
• Ocultação de fundos roubados em invasões: as pessoas condenadas por lavar o dinheiro do roubo da Bitfinex em 2016 usaram milhares de transações automatizadas, transferência entre blockchains, contas em mercados da darknet como intermediárias, conversão em moedas de privacidade e contas abertas em exchanges com identidades falsas. Essas contas eram a porta de entrada para converter os fundos em dinheiro, e por isso a verificação de identidade em cada exchange era importante.
• Financiamento do terrorismo: em 2020, as autoridades interromperam campanhas online de grupos terroristas que pediam doações em bitcoin a seus apoiadores, publicando endereços em redes sociais e canais de mensagens. Esses endereços podiam ser incluídos na triagem assim que fossem conhecidos.

Pseudonimato não é anonimato

A maioria das blockchains públicas é pseudônima: as transações são vinculadas a endereços, não a nomes, mas todas as transações são públicas, permanentes e têm registro de data e hora. Três fatos decorrem disso para a conformidade.

1. Um ponto identificado permite acessar um histórico. Quando um cliente verifica sua identidade na sua empresa, todos os endereços de onde ele deposita ou para os quais saca ficam vinculados a uma pessoa real nos seus registros, e o histórico on-chain desses endereços passa a ser uma evidência.
2. A análise pode agrupar e identificar endereços. Heurísticas de agrupamento e atribuição permitem que analistas estimem quais endereços pertencem à mesma entidade e quais pertencem a serviços, partes sancionadas ou carteiras criminosas. Essas estimativas têm margens de erro (consulte a aula do IDFE-BA O que é agrupamento e por que ele importa).
3. A ofuscação deixa rastros. O uso de um mixer, uma ponte ou uma moeda de privacidade é, por si só, visível nos pontos de entrada e saída: tanto o depósito no mixer quanto o saque para sua plataforma aparecem on-chain, mesmo quando o vínculo entre eles é rompido.

O anonimato real é mais difícil de alcançar do que os criminosos imaginam, mas não é impossível. As moedas de privacidade ocultam valores e contrapartes por projeto, e algumas técnicas de mistura dificultam o rastreamento na prática. A aula Riscos tecnológicos específicos dos criptoativos aborda esses recursos como fatores de risco.

Como interpretar números sobre o volume de crimes

As equipes de conformidade costumam ser questionadas sobre a dimensão do problema. Use os números com cautela.

• O Escritório das Nações Unidas sobre Drogas e Crime cita há muito tempo estimativas de que entre 2% e 5% do PIB global seja lavado a cada ano. O número é antigo, muito aproximado e abrange todos os canais, não apenas os criptoativos.
• Empresas de análise de blockchain publicam estimativas da parcela ilícita do volume on-chain. Essas estimativas contabilizam apenas endereços já identificados como ilícitos, então costumam ser revisadas para cima à medida que mais endereços são identificados.
• A composição dos ativos também muda. As stablecoins ultrapassaram o bitcoin como principal ativo em fluxos ilícitos em muitas tipologias, o que influencia os tokens e as blockchains que uma empresa precisa conseguir incluir na triagem.

Trate todos os números como exemplos datados que dependem do método utilizado. Em um documento para o conselho ou em uma avaliação de risco, informe quem fez a estimativa, quando e como, e nunca use um número referente ao mercado como um todo para determinar a classificação de risco da sua própria empresa. O que importa é a exposição revelada pelos clientes e fluxos da sua empresa.

Da tipologia ao controle

O hábito prático que esta aula desenvolve é traduzir cada tipologia em uma pergunta que o seu programa precisa responder.

Cada linha reaparece mais adiante no curso como um controle concreto acompanhado de evidências: triagem na aula Triagem de carteiras e transações, monitoramento na aula Monitoramento de transações para empresas de criptoativos e comunicação na aula Obrigações de comunicação de transações suspeitas.

Foco no exame: colocação, ocultação e integração e seus equivalentes no mundo dos criptoativos; por que os recursos nativos dos criptoativos dispensam a colocação e por que a saída para moeda fiduciária é o ponto de estrangulamento; as sete principais tipologias e onde um VASP pode identificar cada uma; o que os casos públicos (recuperação de resgate de ransomware, roubos da RPDC, lavagem dos fundos roubados da Bitfinex e campanhas de doações terroristas) revelam sobre falhas nos controles; por que pseudonimato não é anonimato e como a verificação de um cliente vincula um endereço ao seu histórico; por que os números publicados sobre o volume de crimes são exemplos datados e dependentes do método, e não uma base para a classificação de risco da própria empresa.