Riscos tecnológicos específicos de criptoativos

Os criptoativos acrescentam uma categoria de risco em que os programas tradicionais de AML quase não precisavam pensar: a própria tecnologia. O fato de uma empresa oferecer suporte a uma privacy coin, aceitar depósitos provenientes de uma bridge ou permitir que clientes retirem fundos para qualquer endereço altera sua exposição tanto quanto o perfil de seus clientes. O responsável pela conformidade precisa entender cada recurso suficientemente bem para avaliá-lo, controlá-lo e explicar ao conselho por que a empresa o aceita, limita ou recusa.

Tecnologia como categoria de risco

A Recomendação 15 exige que as empresas avaliem os riscos de novos produtos, práticas comerciais, mecanismos de distribuição e tecnologias antes do lançamento, e a Orientação Atualizada do FATF de 2021 sobre ativos virtuais discute recursos que aumentam o anonimato ou ocultam fluxos. Na avaliação de risco corporativo (veja a aula A abordagem baseada em risco), a categoria de tecnologias faz três perguntas para cada recurso:

1. Ele rompe o rastro? O valor pode se movimentar sem uma ligação visível entre a origem e o destino?
2. Ele elimina o intermediário? O valor pode se movimentar sem que uma entidade obrigada aplique CDD?
3. Conseguimos enxergá-lo? Nossas ferramentas de triagem e análise cobrem a cadeia, o token ou o protocolo?

Uma resposta "sim, sim, não" caracteriza um recurso de alto risco.

Privacy coins, mixers e CoinJoin

Privacy coins, que o FATF chama de criptomoedas com anonimato aprimorado, ocultam por projeto os remetentes, destinatários ou valores, por exemplo, por meio de assinaturas em anel, endereços furtivos ou provas de conhecimento zero. Algumas oferecem privacidade opcional; nesse caso, transações transparentes continuam rastreáveis. Para um VASP, o problema é concreto: quando os fundos entram em um pool protegido, as ferramentas de análise não conseguem mostrar de onde vieram os depósitos.

Mixers agrupam fundos de muitos usuários e pagam para novos endereços. Mixers centralizados custodiam os fundos; mixers de contratos inteligentes, como o Tornado Cash, operam sem um operador que detenha os fundos. CoinJoin combina entradas de vários usuários em uma transação com saídas de igual valor. A mistura tem usos legítimos para privacidade, mas mixers também foram centrais na lavagem de proventos de ransomware e de roubos vinculados à RPDC, e os indicadores de alerta do FATF (setembro de 2020) listam fundos provenientes diretamente de serviços de mistura. A forma como a mistura aparece na cadeia está abordada na aula IDFE-BA Mixers, CoinJoin e ofuscação em grafos; as sanções sobre contratos inteligentes estão abordadas na aula Triagem de carteiras e transações.

Bridges, saltos entre cadeias, DeFi e DEXs

Bridges transferem valor entre cadeias bloqueando ou queimando ativos em uma delas e liberando ou emitindo ativos em outra. Saltos entre cadeias consistem no uso de bridges e swaps para transferir valor rapidamente entre várias cadeias, de modo que cada análise veja apenas um fragmento. Após o roubo de cerca de US$ 620 milhões da bridge Ronin em 2022 e o roubo da Bybit em 2025, ambos atribuídos a agentes vinculados à RPDC, os ativos roubados atravessaram várias cadeias em poucos dias. As próprias bridges também são alvos de ataques.

Os protocolos DeFi e as exchanges descentralizadas (DEXs) permitem que os usuários façam swaps, emprestem e tomem empréstimos sem um custodiante. Para um VASP, o risco é indireto: os fundos provenientes de um roteador de DEX ou de um pool de empréstimos não trazem informações sobre quem os forneceu, e o protocolo não aplica CDD. Seus controles são a análise de exposição on-chain, a cobertura das cadeias envolvidas e os métodos de rastreamento entre cadeias descritos na aula IDFE-BA Rastreamento entre cadeias.

Carteiras não hospedadas, P2P e OTC

Carteiras não hospedadas são controladas pelo usuário, sem intermediário. A maioria das transferências para elas e a partir delas é legítima, mas as transferências P2P entre carteiras não hospedadas ocorrem inteiramente fora do perímetro das entidades obrigadas, uma lacuna que as atualizações direcionadas do FATF têm destacado repetidamente. Os controles do VASP se concentram nas interações com esse perímetro: coletar informações sobre a contraparte, comprovar a titularidade do endereço quando o risco exigir e monitorar a exposição (veja a aula Carteiras não hospedadas e transferências autocustodiadas).

As plataformas P2P e os corretores OTC criam um risco relacionado: um cliente que negocia em volume para terceiros pode estar operando uma exchange não registrada por meio da sua conta, o que é conhecido como serviço aninhado. Mesas OTC que liquidam grandes negociações em dinheiro ou por meio de terceiros são uma rota clássica para converter moeda fiduciária de origem criminosa em criptoativos e vice-versa.

Quiosques, NFTs e stablecoins em grande escala

Caixas eletrônicos e quiosques de criptoativos combinam dinheiro em espécie com a entrega instantânea de criptoativos. Os riscos recorrentes incluem vítimas de golpes orientadas a depositar dinheiro em espécie, intermediários financeiros ilícitos que alimentam muitas transações pequenas e verificações de identidade fracas para valores baixos. Os operadores mitigam esses riscos com limites de transação, verificação de identidade, avisos na tela, monitoramento de uso repetido em diferentes quiosques e triagem de endereços de destino.

Em geral, NFTs ficam fora da definição de VA quando usados como itens colecionáveis (veja a aula O VASP como entidade obrigada), mas os marketplaces registram negociações fictícias, manipulação de preços e vendas de alto valor entre carteiras vinculadas, que podem disfarçar transferências de valor.

As stablecoins são hoje o principal ativo de liquidação para muitos fluxos legítimos e ilícitos. O relatório direcionado do FATF sobre stablecoins e carteiras não hospedadas (março de 2026) baseou-se em dados do setor que mostram que elas se tornaram a classe de ativos mais usada em fluxos ilícitos de ativos virtuais, uma mudança explicada pela estabilidade de preço, liquidez e alcance entre cadeias. Para a avaliação de risco, isso significa que a exposição a stablecoins, por token e por cadeia, é um fator importante por si só. As stablecoins também oferecem uma medida de mitigação que falta à maioria dos ativos: muitos emissores podem congelar endereços, e o mesmo relatório citou como boa prática exigir que os emissores possam congelar, queimar ou retirar tokens do mercado secundário. A equipe de conformidade deve saber quais stablecoins oferece, em quais cadeias e se seus emissores de fato congelam ativos.

Como cada recurso entra na avaliação de risco

As classificações devem se basear nos seus próprios dados, não em uma tabela genérica. A consulta abaixo mede quanto do volume mensal de entrada vem diretamente de cada categoria de análise, o que oferece uma base factual para a avaliação de risco corporativo e permite que o conselho veja as tendências.

-- Volume mensal de entrada por categoria de exposição direta (esquema fictício)
SELECT DATE_TRUNC('month', d.block_time)          AS month,
       COALESCE(e.category, 'unlabeled')          AS category,  -- mixer, bridge, dex...
       COUNT(*)                                   AS deposits,
       SUM(d.amount_usd)                          AS volume_usd,
       SUM(d.amount_usd) * 1.0 / SUM(SUM(d.amount_usd))
         OVER (PARTITION BY DATE_TRUNC('month', d.block_time)) AS share_of_month
FROM deposits d
LEFT JOIN address_exposure e
  ON  e.address = d.source_address
  AND e.exposure_type = 'direct'
  AND e.snapshot_date = d.screened_on          -- rótulo conforme conhecido no momento da triagem
GROUP BY DATE_TRUNC('month', d.block_time), COALESCE(e.category, 'unlabeled')
ORDER BY month, volume_usd DESC;

A consulta associa cada depósito ao rótulo de análise que se aplicava ao endereço de origem no dia em que ele foi triado, de modo que os números reflitam o que a empresa sabia naquele momento. Uma junção à esquerda mantém no total os depósitos sem rótulo, o que impede que as proporções sejam infladas, e a função de janela divide o volume de cada categoria pelo total do mês. As funções de data variam entre mecanismos (alguns usam DATETRUNC ou DATE_FORMAT). A exposição indireta e os limites dos rótulos estão abordados na aula Análise de blockchain para conformidade.

Mitigação versus redução indiscriminada de riscos

Diante de um recurso arriscado, a empresa dispõe de várias opções: aceitá-lo com monitoramento, aplicar limites ou diligência devida reforçada, restringir o recurso (por exemplo, permitir depósitos, mas não saques para determinados protocolos) ou recusá-lo por completo. A abordagem baseada em risco espera que a escolha decorra da avaliação, caso a caso.

O FATF tem alertado repetidamente contra a redução indiscriminada de riscos, que significa cortar categorias inteiras de clientes ou atividades para evitar riscos, em vez de gerenciá-los. Sua declaração de outubro de 2014 afirmou que a abordagem baseada em risco implica decisões caso a caso, não redução indiscriminada de riscos, e seu balanço de outubro de 2021 sobre as consequências não intencionais das normas concluiu que essa prática empurra a atividade para canais menos transparentes e prejudica a inclusão financeira. As alterações de fevereiro de 2025 à Nota Interpretativa da R.1 pedem que os supervisores fiquem atentos à conformidade excessiva baseada em uma compreensão parcial dos riscos.

Recusar um recurso ainda é legítimo quando a empresa realmente não consegue controlá-lo, como no caso de uma privacy coin cujas transações suas ferramentas não conseguem triar. O critério é verificar se a decisão está documentada, se baseia na avaliação própria da empresa e se é revisada quando as ferramentas ou os fatos mudam. "Bloqueamos todas as transferências para carteiras não hospedadas porque era mais fácil" não atende a esse critério; "não listamos o ativo Z porque não há cobertura de triagem, e revisamos a decisão trimestralmente" atende.

Foco no exame: o dever da R.15 de avaliar novas tecnologias antes do lançamento; as três perguntas (rastro rompido, intermediário eliminado, visibilidade) para avaliar um recurso; os riscos de privacy coins, mixers e CoinJoin, bridges e saltos entre cadeias, DeFi e DEXs, carteiras não hospedadas e P2P, OTC e serviços aninhados, quiosques, NFTs e stablecoins; por que as stablecoins são tanto um importante canal ilícito quanto uma fonte de mitigação por meio do congelamento pelos emissores; a medição da exposição com rótulos referentes ao momento da triagem; a escala de opções de mitigação e por que o FATF rejeita a redução indiscriminada de riscos, embora permita recusas documentadas.