Exposição a sanções e triagem · Aula 2 de 5
Riscos de sanções específicos de criptoativos
9 min de leitura
Os criptoativos mudam a forma como surge a exposição a sanções. Uma parte designada pode abrir uma carteira em segundos, movimentar valores entre fronteiras sem um banco e se ocultar por trás de serviços que reúnem fundos de muitos usuários. Ao mesmo tempo, cada transferência deixa um registro público permanente que uma equipe de conformidade bem equipada pode rastrear. Esta aula mapeia os riscos de sanções específicos de criptoativos, para que os controles de verificação das próximas aulas sejam direcionados aos alvos certos.
Endereços designados e suas limitações
Desde 2018, alguns regimes autônomos incluem endereços de ativos virtuais nas entradas de designação, listados como identificadores de uma pessoa ou entidade designada, da mesma forma que um número de passaporte. Uma transferência de ou para um desses endereços constitui uma operação direta com a parte designada.
As listagens de endereços são úteis, mas limitadas:
- Cobertura. A Lista Consolidada da ONU não tem um campo específico para endereços de ativos virtuais, de modo que as designações da ONU geralmente alcançam criptoativos por meio de nomes e entidades, não de endereços. As listas autônomas publicam endereços apenas para algumas designações.
- Abundância. Uma parte designada pode gerar novos endereços sem custo. Um endereço listado mostra onde a parte esteve, não todos os lugares onde ela está.
- Formato. As listas podem publicar endereços com uma indicação de rede ou token ausente, ambígua ou incorreta, e a mesma sequência de caracteres pode ser válida em várias redes compatíveis com EVM.
- Pontos de partida, não limites. É melhor tratar os endereços listados como pontos de partida. A análise de blockchain os expande em agrupamentos de endereços provavelmente controlados pela mesma parte (consulte as aulas do IDFE-CF sobre agrupamento), e a verificação passa então a abranger o agrupamento.
A regra prática é que uma empresa que verifica apenas os endereços publicados deixará de identificar a maior parte da exposição a sanções. Os endereços são um dos insumos; nomes, entidades, geografia e comportamento são os demais.
Serviços sancionados
Os regimes autônomos designaram não apenas indivíduos, mas também serviços de criptoativos: exchanges acusadas de processar recursos provenientes de ransomware e da darknet, mixers usados para lavar recursos de furtos vinculados a Estados e, em um caso, um conjunto de contratos inteligentes: em 2022, os Estados Unidos designaram o mixer Tornado Cash listando os endereços de seus contratos (consulte a aula Verificação de carteiras e transações). Quando um serviço é designado, cada endereço de depósito e carteira quente atribuído a ele passa a representar uma exposição a sanções para as contrapartes.
Dois padrões são recorrentes. Primeiro, uma exchange designada frequentemente continua operando, às vezes sob um novo nome ou por meio de uma entidade sucessora que assume seus clientes e sua liquidez. Segundo, clientes de um serviço designado podem migrar para outras plataformas, levando fundos com exposição direta ou indireta. Ambos significam que as atualizações das listas devem ser acompanhadas de atualizações das análises e que a devida diligência sobre o VASP da contraparte (consulte a aula Identificação e avaliação da contraparte) deve investigar vínculos com sanções, não apenas a preparação para a Travel Rule.
Furtos vinculados ao Estado: o caso da RPDC
O risco de sanções de nível estatal mais importante em criptoativos é o furto praticado por agentes vinculados à República Popular Democrática da Coreia, comumente identificados pelo nome Lazarus Group. A RPDC está sujeita a sanções do Conselho de Segurança da ONU nos termos da resolução 1718 (2006) e de resoluções posteriores, que visam interromper o financiamento de seus programas de armamentos.
O Painel de Especialistas que apoiava o Comitê 1718 documentou essa atividade durante anos. Seu relatório publicado em março de 2024 afirmou que estava investigando 58 suspeitas de ataques cibernéticos contra empresas relacionadas a criptoativos entre 2017 e 2023, no valor de cerca de USD 3 bilhões, e informou que os furtos cibernéticos geravam até metade da receita em moeda estrangeira da RPDC. O mandato do Painel terminou em 30 de abril de 2024, após o veto a um projeto de resolução de renovação em março de 2024. Um grupo de 11 Estados então criou uma equipe de monitoramento fora da estrutura da ONU, que continua a divulgar relatórios sobre furtos cibernéticos da RPDC. O furto de cerca de USD 1,46 bilhão da exchange Bybit em fevereiro de 2025 foi atribuído a agentes da RPDC.
O padrão de lavagem descrito em relatórios públicos é consistente: trocas rápidas de tokens furtados em exchanges descentralizadas, uso de mixers e pontes entre redes, conversão em bitcoin ou stablecoins e saque por meio de intermediários OTC e contas em exchanges de jurisdições permissivas. O Painel e relatórios públicos posteriores também descreveram profissionais de TI da RPDC no exterior usando identidades falsas ou emprestadas para obter empregos remotos e contratos de trabalho autônomo, frequentemente pagos em stablecoins. Para um VASP, isso cria uma segunda exposição: cadastrar um cliente que, na realidade, atua em nome de um Estado designado.
Ransomware e cibercriminosos designados
Alguns regimes autônomos designam operadores de ransomware, os indivíduos por trás deles e os serviços que lavam seus recursos. Isso importa para os VASPs de duas maneiras. Uma vítima que compra criptoativos por meio de uma exchange para pagar um resgate pode enviá-los a um endereço controlado por uma parte designada, o que pode fazer com que o pagamento e qualquer empresa que o facilite constituam uma violação de sanções. Além disso, os recursos de resgates chegam posteriormente às exchanges como depósitos com exposição direta ou indireta. As empresas que atendem empresas de resposta a incidentes ou vítimas precisam de um procedimento para transferências relacionadas a resgates: verificar o destino, encaminhar o caso ao responsável por sanções e contatar a autoridade competente antes de qualquer envio.
Tipologias de evasão
| Tipologia | Como funciona | Sinais que um VASP pode observar | Controle típico |
|---|---|---|---|
| Serviços aninhados | Uma exchange não licenciada ou mesa OTC conduz suas operações por meio de uma conta em um VASP maior | Volumes muito altos, muitas contrapartes sem relação entre si, depósitos de agrupamentos de serviços sancionados | Devida diligência sobre contrapartes e clientes; proibição de aninhamento não declarado |
| Intermediários OTC | Intermediários convertem grandes quantias em dinheiro em espécie ou transferências bancárias fora de ambientes regulados | Negociações com valores redondos, entradas e saídas rápidas, vínculos com agrupamentos de furtos ou mixers | Devida diligência reforçada sobre intermediários; verificação de exposição |
| Saltos entre redes | Fundos se movimentam entre redes por meio de pontes e serviços de troca para interromper o rastro | Depósitos provenientes de contratos de pontes logo após um furto conhecido | Análise entre redes; retenção de entradas recentes de alto risco |
| VPNs e proxies | Usuários em territórios sancionados ocultam sua localização | Endereços IP de provedores de hospedagem, incompatibilidades de fuso horário ou idioma | Controles de geolocalização com detecção de VPN |
| Empresas de fachada e interpostas pessoas | Um nome sem restrições serve de fachada para um proprietário designado | Histórico empresarial limitado, mudanças de propriedade após a designação | Análise de propriedade e controle; nova verificação |
| Fraude de identidade | Identidades emprestadas ou falsas, como no caso dos profissionais de TI da RPDC | Dispositivos ou endereços de pagamento compartilhados entre contas, perfis inconsistentes | Verificações de prova de vida, análise de dispositivos, monitoramento de comportamento |
Essas tipologias se combinam. Um único caso pode envolver um mixer, uma ponte, um intermediário OTC e uma conta aninhada, com cada etapa reduzindo a chance de detecção por uma simples consulta a listas. As aulas Sinais de alerta e tipologias e Análise de blockchain para conformidade abordam o aspecto do monitoramento.
Geografia: controles de IP e localização
Algumas sanções são territoriais: proíbem operações com pessoas localizadas em um país ou região ou que ali residam habitualmente. Para uma empresa on-line sem filiais, a única maneira de aplicá-las é inferir onde o cliente está. Sinais úteis incluem:
- o país do documento de identidade e o endereço residencial declarado;
- o endereço IP no cadastro, no login e no saque, com sinalizações de VPNs, nós de saída Tor e provedores de hospedagem;
- o código de país do número de telefone e o país das contas bancárias ou dos cartões vinculados;
- configurações do dispositivo, como fuso horário e idioma, usadas como evidências de apoio, e não como prova.
Um bom controle combina esses sinais. Bloquear endereços IP de territórios sancionados logo no acesso inicial é o mínimo; verificar dados de IP de contas existentes e agir diante de incompatibilidades é o que distingue um programa eficaz de um meramente cosmético. Um cliente que passou pelo cadastro com um documento de um país permitido, mas faz login mês após mês a partir de um território sancionado, representa um alerta de sanções, não uma curiosidade.
Os sinais às vezes serão conflitantes, e o procedimento deve definir o que fazer nesses casos. Um único login a partir de um território sancionado por um cliente antigo com histórico consistente pode justificar um pedido de explicação, como um comprovante de viagem. Logins repetidos, um padrão de uso de VPN que começa logo após o cadastro ou a mudança do número de telefone para o código daquele país justificam restringir a conta até que a localização do cliente seja esclarecida e encerrar o relacionamento se isso não for possível. Cada decisão, incluindo as evidências fornecidas pelo cliente, deve constar no registro do caso. A aula Gestão de um programa de conformidade com sanções mostra como ações públicas de fiscalização puniram empresas que coletaram esses dados e os ignoraram.
Foco no exame: por que os endereços listados são pontos de partida, não limites, e por que verificar apenas endereços deixa de identificar a maior parte da exposição; que a Lista Consolidada da ONU não tem um campo específico para endereços de ativos virtuais e que as designações da ONU alcançam criptoativos por meio de nomes e entidades; serviços designados e entidades sucessoras; o padrão de furto e lavagem da RPDC e o papel do Painel de Especialistas (os valores são contexto datado); profissionais de TI da RPDC como risco no cadastro; pagamentos de resgate como risco de sanções; as principais tipologias de evasão e seus sinais; combinação de sinais de IP, documentos, telefone e dispositivos para sanções territoriais e atuação com base nos dados de IP de clientes existentes.