Exposição a sanções e triagem · Aula 2 de 5
Riscos de sanções específicos do setor cripto
9 min de leitura
O setor cripto muda a forma como surge a exposição a sanções. Uma parte designada pode abrir uma carteira em segundos, transferir valor entre fronteiras sem um banco e se ocultar por trás de serviços que agrupam os fundos de muitos usuários. Ao mesmo tempo, cada transferência deixa um registro público permanente que uma equipe de compliance bem equipada pode rastrear. Esta aula mapeia os riscos de sanções específicos do setor cripto, para que os controles de triagem das próximas aulas sejam direcionados aos alvos certos.
Endereços designados e seus limites
Desde 2018, alguns regimes autônomos incluem endereços de ativos virtuais nas entradas de designação, listados como identificadores de uma pessoa ou entidade designada, da mesma forma que se lista um número de passaporte. Uma transferência para ou de um desses endereços é uma negociação direta com a parte designada.
As listagens de endereços são úteis, mas limitadas:
- Cobertura. A Lista Consolidada da ONU não tem um campo específico para endereços de ativos virtuais, então as designações da ONU geralmente alcançam o setor cripto por meio de nomes e entidades, não de endereços. As listas autônomas publicam endereços apenas para algumas designações.
- Abundância. Uma parte designada pode gerar novos endereços sem custo. Um endereço listado mostra onde a parte esteve, não todos os lugares onde está.
- Formato. As listas podem publicar endereços com um rótulo de blockchain ou token ausente, ambíguo ou incorreto, e a mesma sequência pode ser válida em várias blockchains compatíveis com EVM.
- Sementes, não limites. É melhor tratar os endereços listados como sementes. A análise de blockchain os expande em grupos de endereços provavelmente controlados pela mesma parte (consulte as aulas IDFE-BA sobre agrupamento), e a triagem passa então a abranger o grupo.
A regra prática é que uma empresa que faça a triagem apenas em relação aos endereços publicados deixará passar a maior parte da exposição a sanções. Os endereços são um dos elementos considerados; nomes, entidades, geografia e comportamento são os outros.
Serviços sancionados
Regimes autônomos designaram não apenas indivíduos, mas também serviços cripto: exchanges acusadas de processar resgates de ransomware e valores provenientes da darknet, mixers usados para lavar roubos vinculados a Estados e, em um caso, um conjunto de contratos inteligentes: em 2022, os Estados Unidos designaram o mixer Tornado Cash ao listar os endereços de seus contratos (consulte a aula Triagem de carteiras e transações). Quando um serviço é designado, cada endereço de depósito e carteira quente atribuídos a ele passam a representar uma exposição a sanções para as contrapartes.
Dois padrões se repetem. Primeiro, uma exchange designada costuma continuar operando, às vezes com um novo nome ou por meio de uma entidade sucessora que assume seus clientes e sua liquidez. Segundo, clientes de um serviço designado podem migrar para outras plataformas, levando consigo fundos com exposição direta ou indireta. Ambos os casos significam que as atualizações das listas devem ser acompanhadas por atualizações de análise e que a diligência prévia sobre a VASP contraparte (consulte a aula Identificação e verificação da contraparte) deve perguntar sobre vínculos com sanções, não apenas sobre a preparação para a Travel Rule.
Roubos vinculados a Estados: o caso da RPDC
O risco de sanções em nível estatal mais importante no setor cripto são os roubos cometidos por agentes vinculados à República Popular Democrática da Coreia, geralmente mencionados pelo nome Lazarus Group. A RPDC está sujeita a sanções do Conselho de Segurança da ONU nos termos da resolução 1718 (2006) e de resoluções posteriores, que buscam cortar o financiamento de seus programas de armamento.
O Painel de Peritos que apoiava o Comitê 1718 documentou essa atividade durante anos. Seu relatório, divulgado em março de 2024, afirmou que estava investigando 58 suspeitas de ataques cibernéticos contra empresas relacionadas a cripto entre 2017 e 2023, no valor de cerca de USD 3 bilhões, e informou que o roubo cibernético gerava até metade da renda em moeda estrangeira da RPDC. O mandato do Painel terminou em 30 de abril de 2024, após o veto, em março de 2024, a um projeto de resolução para renová-lo. Um grupo de 11 Estados criou então uma equipe de monitoramento fora da estrutura da ONU, que continua a informar sobre os roubos cibernéticos da RPDC. O roubo de cerca de USD 1,46 bilhão da exchange Bybit, em fevereiro de 2025, foi atribuído a agentes da RPDC.
O padrão de lavagem descrito em relatos públicos é consistente: trocas rápidas de tokens roubados em exchanges descentralizadas, uso de mixers e pontes entre blockchains, conversão para bitcoin ou stablecoins e conversão em dinheiro por meio de corretores OTC e contas em exchanges de jurisdições permissivas. O Painel e relatórios públicos posteriores também descreveram trabalhadores de TI da RPDC no exterior que usam identidades falsas ou emprestadas para conseguir empregos remotos e contratos freelance, geralmente pagos em stablecoins. Para uma VASP, isso cria uma segunda exposição: aceitar como cliente alguém que, na realidade, atua em nome de um Estado designado.
Ransomware e cibercriminosos designados
Alguns regimes autônomos designam operadores de ransomware, as pessoas por trás deles e os serviços que lavam os valores provenientes dessas atividades. Isso importa para as VASPs de duas maneiras. Uma vítima que compra cripto por meio de uma exchange para pagar um resgate pode enviá-la a um endereço controlado por uma parte designada, o que pode tornar o pagamento, e qualquer empresa que o facilite, uma violação de sanções. Além disso, os valores de resgates chegam mais tarde às exchanges como depósitos com exposição direta ou indireta. Empresas que atendem empresas de resposta a incidentes ou vítimas precisam de um procedimento para transferências relacionadas a resgates: fazer a triagem do destino, encaminhar o caso ao responsável por sanções e consultar a autoridade competente antes de enviar qualquer valor.
Tipologias de evasão
| Tipologia | Como funciona | Sinais visíveis para uma VASP | Controle típico |
|---|---|---|---|
| Serviços aninhados | Uma exchange não licenciada ou uma mesa OTC conduz suas atividades por meio de uma conta em uma VASP maior | Volumes muito altos, muitas contrapartes sem relação entre si, depósitos provenientes de grupos vinculados a serviços sancionados | Diligência prévia sobre a contraparte e o cliente; proibir o aninhamento não divulgado |
| Corretores OTC | Corretores convertem grandes quantias em dinheiro ou por transferências bancárias fora de plataformas regulamentadas | Negociações com valores redondos, entradas e saídas rápidas, vínculos com grupos de roubos ou mixers | Diligência prévia reforçada sobre corretores; triagem de exposição |
| Troca entre blockchains | Os fundos passam por diferentes blockchains por meio de pontes e serviços de troca para romper o rastro | Depósitos recebidos de contratos de pontes pouco depois de um roubo conhecido | Análise entre blockchains; retenção de entradas recentes de alto risco |
| VPNs e proxies | Usuários em territórios sancionados ocultam sua localização | Endereços IP de provedores de hospedagem, incompatibilidades de fuso horário ou idioma | Controles de geolocalização com detecção de VPNs |
| Empresas de fachada e representantes | Um nome sem vínculos aparentes encobre um proprietário designado | Histórico empresarial escasso, propriedade que muda após a designação | Análise de propriedade e controle; nova triagem |
| Fraude de identidade | Identidades falsas ou emprestadas, como no caso dos trabalhadores de TI da RPDC | Dispositivos compartilhados ou endereços de pagamento usados em várias contas, perfis inconsistentes | Verificações de vivacidade, análise de dispositivos, monitoramento de comportamento |
Essas tipologias se combinam. Um único caso pode envolver um mixer, uma ponte, um corretor OTC e uma conta aninhada, com cada etapa reduzindo a probabilidade de que uma simples verificação em listas o detecte. As aulas Sinais de alerta e tipologias e Análise de blockchain para compliance abordam o monitoramento.
Geografia: controles de IP e localização
Algumas sanções são territoriais: proíbem negociar com pessoas localizadas em um país ou região, ou que residam habitualmente neles. Para uma empresa on-line sem filiais, a única maneira de aplicá-las é inferir onde o cliente está. Entre os sinais úteis estão:
- o país do documento de identidade e o endereço residencial declarado;
- o endereço IP durante o cadastro, o login e o saque, com sinalizações para VPNs, nós de saída do Tor e provedores de hospedagem;
- o código de país do número de telefone e o país das contas bancárias ou dos cartões vinculados;
- configurações do dispositivo, como fuso horário e idioma, usadas como elementos de apoio, não como prova.
Um bom controle combina esses sinais. Bloquear, na entrada, endereços IP de territórios sancionados é o mínimo; verificar os dados de IP em contas existentes e agir diante de incompatibilidades é o que diferencia um programa eficaz de um programa meramente cosmético. Um cliente que passou pelo cadastro com um documento de um país permitido, mas faz login mês após mês de um território sancionado, é um alerta de sanções, não uma curiosidade.
Os sinais às vezes entrarão em conflito, e o procedimento deve especificar o que fazer nesses casos. Um único login de um território sancionado, feito por um cliente antigo com histórico consistente, pode justificar um pedido de explicação, como comprovantes de viagem. Logins repetidos, um padrão de uso de VPN que começa logo após o cadastro ou a mudança para um número de telefone com o código daquele país justificam restringir a conta até que a localização do cliente seja esclarecida e encerrar a relação se isso não for possível. Cada decisão, inclusive as evidências fornecidas pelo cliente, deve constar do registro do caso. A aula Execução de um programa de compliance de sanções mostra como medidas públicas de execução puniram empresas que coletaram esses dados e os ignoraram.
Foco no exame: por que os endereços listados são sementes, não limites, e por que a triagem apenas de endereços deixa passar a maior parte da exposição; que a Lista Consolidada da ONU não tem um campo específico para endereços de ativos virtuais e que as designações da ONU alcançam o setor cripto por meio de nomes e entidades; serviços designados e entidades sucessoras; o padrão de roubo e lavagem da RPDC e o papel do Painel de Peritos (os números são um contexto datado); trabalhadores de TI da RPDC como risco no cadastro de clientes; pagamentos de resgates como risco de sanções; as principais tipologias de evasão e seus sinais; a combinação de sinais de IP, documentos, telefone e dispositivo para sanções territoriais e a tomada de medidas com base nos dados de IP de clientes existentes.