MSTR Cat

Direito Cripto/Nível V · Quem cria e quem lança/5.2 Regras sobre dinheiro/Lição 3

KYC, AML e o Bank Secrecy Act

O que uma empresa cripto de serviços monetários precisa de fato construir sob o Bank Secrecy Act, das verificações de identidade às comunicações de atividade suspeita, e o que os casos OKX e Binance mostram sobre errar nisso.

É educação, não aconselhamento jurídico, tributário ou de investimento. O direito cripto varia entre países e estados e muda com frequência. Antes de agir, confirme as regras vigentes onde você mora com um advogado ou consultor tributário habilitado.

O caminho enxuto

A rota mais barata, com menos impostos, mais simples e mais privada que a lei permite, da melhor para a pior. Cada passo indica a regra em que se apoia e a condição que o mantém dentro da lei.

  1. Desenhe o produto de modo que ele não seja um negócio de serviços financeiros (money services business) (não custodial, sem manuseio de moeda fiduciária, sem comprar e vender como atividade empresarial). Os deveres do programa de AML, de SAR e de CTR do Bank Secrecy Act então não se aplicam.
  2. Se você for uma MSB, um programa escrito e proporcional ao risco, nos termos de 31 CFR 1022.210, pode ser montado internamente. A revisão independente pode ser feita por um empregado que não seja o responsável pela conformidade (compliance officer), e o programa deve estar em vigor em até 90 dias.
  3. Evite manusear dinheiro vivo, o que elimina os relatórios de transações em espécie (currency transaction reports) para valores acima de US$ 10.000. Os relatórios de atividade suspeita (suspicious activity reports) ainda se aplicam a partir de US$ 2.000 e vencem em até 30 dias da detecção.
  4. Guarde os registros exigidos por cinco anos em um único repositório pesquisável. É mais barato do que reconstruí-los durante uma fiscalização, e são as provas que os reguladores pedem primeiro.
  5. Uma proibição escrita a clientes americanos não é um escudo; a OKX pagou mais de US$ 504 milhões apesar de ter uma. Ou se exclui de fato um mercado, por exemplo verificando a nacionalidade e a residência no KYC, ou se cumpre as regras lá.

Materiais31 CFR 1022.210, a regra do programa de prevenção à lavagem de dinheiro para empresas de serviços monetários (no ecfr.gov)31 CFR 1022.320, comunicações de atividade suspeita por empresas de serviços monetáriosComunicado de imprensa do Departamento de Justiça de 24 de fevereiro de 2025 sobre a confissão de culpa da OKXSeu próprio fluxo de integração do cliente, descrito passo a passo

Curiosidade

  1. O que exatamente um “programa eficaz de AML” exige que uma pequena empresa de criptomoedas tenha?
  2. Uma política que proíbe clientes dos EUA protege uma corretora offshore que mesmo assim os recebe?
  3. Quem é punido quando o programa falha: a empresa, os fundadores ou ambos?

Explorar

  1. “Know your customer” (KYC, conheça seu cliente) significa coletar e verificar quem é o cliente; “anti-money-laundering” (AML, prevenção à lavagem de dinheiro) é o conjunto mais amplo de controles destinados a impedir que uma empresa seja usada para lavar dinheiro de crimes. Nos EUA, ambos vêm do Bank Secrecy Act de 1970 e das regras do FinCEN editadas com base nele (lição 1.3.4). Para uma empresa cripto que é empresa de serviços monetários (lição 5.2.1), a regra central é o 31 CFR 1022.210: ela deve desenvolver, implementar e manter um programa de AML eficaz, por escrito, razoavelmente concebido para impedir que seja usada para lavagem de dinheiro ou financiamento do terrorismo, proporcional aos riscos de sua localização, porte, serviços e volume.
  2. A regra fixa quatro componentes mínimos. Primeiro, políticas, procedimentos e controles internos, inclusive para verificar a identificação dos clientes, apresentar comunicações, manter registros e responder a pedidos das autoridades policiais. Segundo, uma pessoa designada como responsável pela conformidade no dia a dia. Terceiro, treinamento do pessoal pertinente, inclusive para identificar transações suspeitas. Quarto, uma revisão independente do programa, que pode ser feita por um funcionário, desde que não seja o responsável pela conformidade. Uma empresa nova deve ter seu programa implantado em até 90 dias após sua constituição. Os bancos têm uma regra separada e detalhada de identificação de clientes; para as empresas de serviços monetários, a verificação de identidade está dentro desta regra do programa.
  3. O programa alimenta comunicações. Uma empresa de serviços monetários deve apresentar uma comunicação de atividade suspeita (SAR) sobre transação de pelo menos 2.000 dólares que ela saiba, suspeite ou tenha motivo para suspeitar que envolve recursos ilícitos, se destina a evitar comunicações ou não tem finalidade lícita aparente, e deve fazê-lo em até 30 dias corridos após detectar inicialmente os fatos (31 CFR 1022.320). Um relatório de transação em espécie (currency transaction report) é exigido para transações em dinheiro acima de 10.000 dólares (31 CFR 1010.311), o que importa sempre que entra dinheiro físico, como em quiosques. Os registros exigidos geralmente devem ser mantidos por cinco anos (31 CFR 1010.430), e é por isso que as corretoras guardam dados de cadastro e de transações muito depois do encerramento de uma conta.
  4. O caso OKX mostra o que os reguladores examinam. Em 24 de fevereiro de 2025, a operadora da corretora sediada nas Seychelles declarou-se culpada em Nova York de operar um negócio de transmissão de dinheiro sem licença e concordou em pagar mais de 504 milhões de dólares. Segundo o que admitiu, a OKX tinha desde 2017 uma política oficial contra usuários dos EUA, mas buscava clientes americanos; até cerca de novembro de 2022, clientes de varejo podiam abrir contas e negociar sem concluir o KYC; seu bloqueio a endereços de internet dos EUA podia ser contornado com VPNs baratas; e, em 2023, um funcionário sugeriu a um cliente americano que informasse outra nacionalidade. Uma proibição por escrito vale pouco quando a empresa sabe que os clientes que ela proíbe estão lá.
  5. As falhas atingem pessoas físicas, além das empresas. O fundador da Binance, Changpeng Zhao, declarou-se culpado em novembro de 2023 de não manter um programa de AML eficaz, como parte do acordo descrito na lição 1.3.4, e foi condenado em 30 de abril de 2024 a quatro meses de prisão; o presidente Trump o indultou em 23 de outubro de 2025. Em 27 de janeiro de 2025, a corretora KuCoin declarou-se culpada de operar um negócio de transmissão de dinheiro sem licença e concordou em pagar quase 300 milhões de dólares. Um indulto põe fim à punição de uma pessoa; não muda os deveres que o Bank Secrecy Act impõe a qualquer empresa que opera hoje.
  6. A lista de empresas abrangidas continua crescendo. O GENIUS Act faz dos emissores autorizados de stablecoins de pagamento instituições financeiras para fins do Bank Secrecy Act (lição 3.2.4), e em 10 de abril de 2026 o FinCEN e o OFAC propuseram conjuntamente as regras de programa para eles; a proposta ainda não era definitiva em outubro de 2026. Para quem desenvolve, os deveres acompanham o que a empresa faz, não o nome que ela se dá. Uma verificação prática: marque em um diagrama cada ponto em que dinheiro entra ou sai, ou em que sua empresa controla as chaves dos clientes, e para cada ponto anote quem verifica a identidade, quem monitora atividade suspeita e onde os registros são guardados.

Fatos-chave

  • Nos termos do 31 CFR 1022.210, uma empresa de serviços monetários deve manter um programa escrito de prevenção à lavagem de dinheiro que seja eficaz e razoavelmente concebido para prevenir a lavagem de dinheiro.
  • A regra do programa MSB exige controles internos, uma pessoa designada para conformidade, treinamento e uma revisão independente.
  • Uma empresa de serviços monetários deve comunicar transações suspeitas envolvendo pelo menos US$ 2.000 em até 30 dias corridos a partir da detecção inicial.
  • Relatórios de transação em espécie (currency transaction reports) são exigidos para transações em dinheiro acima de $10.000.
  • Em 24 de fevereiro de 2025, a OKX declarou-se culpada de operar um negócio de transmissão de dinheiro sem licença e concordou em pagar mais de 504 milhões de dólares.
  • Changpeng Zhao foi condenado a quatro meses de prisão em 30 de abril de 2024 e foi indultado em 23 de outubro de 2025.

Exercício nove, seis, três, um

9ReunirListe até 9 verificações pelas quais você passou ao abrir ou usar uma conta de cripto, como envio de documento de identidade, selfie, pergunta sobre a origem dos recursos, retenção de saque ou pedido de explicação sobre uma transferência (algumas listas são mais curtas).
6AgruparClassifique-os em 6 categorias: verificação de identidade, monitoramento contínuo, apuração de atividade suspeita, regras sobre dinheiro em espécie, guarda de registros e verificações que você não consegue explicar.
3DestilarReduza os 6 para 3 grupos: verificações exigidas pelas regras do programa AML, verificações decorrentes de obrigações de relatórios e verificações que correspondem às escolhas de risco da própria plataforma.
1CristalizarEscreva 1 frase explicando, com suas próprias palavras, por que uma política que proibia certos clientes não protegeu a OKX.

Verificação de fatos

Datas, números e afirmações verificados com as fontes publicadas listadas abaixo.

Abrir na academia interativa →

EN ES ZH JA KO RU DE FR MS