Um oficial de conformidade em uma exchange dos EUA abre a carta do examinador. As constatações se repetem a cada ciclo. O monitoramento foi executado apenas no onboarding. Os relatórios de transações suspeitas foram enviados com atraso. A renovação da licença travou por lacunas no registro. A conformidade com AML para uma exchange de criptomoedas não é uma tarefa única. É uma pilha de cinco obrigações que um provedor de serviços de ativos virtuais, ou VASP, deve executar continuamente. Falhar em qualquer camada coloca a licença, os parceiros bancários ou ambos sob pressão.
O Que Significa Conformidade com AML para uma Exchange de Criptomoedas
A conformidade com AML para uma exchange de criptomoedas é o conjunto de obrigações de prevenção à lavagem de dinheiro e ao financiamento do terrorismo que um VASP deve cumprir para operar legalmente. As obrigações são definidas pelas Recomendações do GAFI para ativos virtuais e, nos Estados Unidos, pelas regras de negócios de serviços monetários da FinCEN. A exchange é responsável por todas as cinco camadas, não apenas pela verificação do cliente no onboarding.
Um VASP é o rótulo regulatório para qualquer entidade que troca, transfere ou custodia ativos virtuais para clientes. Uma exchange recebe esse rótulo no momento em que lista um par de tokens. Suas obrigações de AML não são uma cópia do programa de um banco. Elas se somam a endereços e transações on-chain que se movem em segundos, entre blockchains e frequentemente por meio de mixers.
Essa velocidade muda a natureza do trabalho. Um banco verifica um pagamento em uma lista de nomes e um banco de dados de contrapartes. Uma exchange verifica um depósito que pode ter passado por um mixer três saltos atrás, e a exposição só aparece quando o caminho dos fundos é rastreado. O cadastro do cliente não carrega esse sinal. A blockchain sim. É por isso que uma das cinco obrigações, o monitoramento de transações, não tem equivalente bancário na mesma velocidade e deve ler a própria blockchain.
Este artigo define o framework e se mantém no que. O como operacional, o fluxo de triagem e a exportação do relatório estão em um guia de implementação separado. Para o padrão global que define o rótulo VASP e suas obrigações, consulte a orientação do GAFI sobre ativos virtuais.
As Cinco Obrigações Fundamentais do VASP Detalhadas
O framework possui cinco obrigações. Cada uma corresponde a uma Recomendação do GAFI e, para exchanges nos EUA, a uma regra da FinCEN. Um programa de conformidade que cobre apenas algumas delas reprova na auditoria. As duas primeiras e a última são infraestrutura tradicional de conformidade. As duas do meio são onde os dados on-chain fazem o trabalho mais pesado.
1. Registro e licenciamento. Antes de atender clientes, uma exchange deve se registrar junto à autoridade competente. Nos Estados Unidos, isso significa registrar-se como negócio de serviços monetários na FinCEN e obter licenças estaduais de transmissor de dinheiro. O regime MiCA da UE e a BitLicense de Nova York adicionam suas próprias etapas de autorização. Operar sem registro é, por si só, uma violação, independente de qualquer falha posterior de AML. O GENIUS Act (Lei Pública 119-27), sancionado em julho de 2025 e com vigência a partir de janeiro de 2027 aguardando regulamentação da FinCEN, traz os emissores de stablecoins de pagamento para o escopo da Lei de Sigilo Bancário, de modo que exchanges que lidam com fluxos de stablecoins agora estão dentro do mesmo perímetro de AML que os próprios emissores.
2. Diligência prévia do cliente. A exchange deve identificar seus clientes, avaliar o risco deles e aplicar diligência prévia aprimorada a relacionamentos de maior risco. A verificação de identidade está dentro deste pilar. Ela confirma quem o cliente afirma ser. Ela não visualiza a transação. Um cliente pode passar pelo onboarding e ainda assim enviar um depósito cujos fundos se originaram em um mixer, porque identidade e fluxo de fundos são objetos distintos.
3. Monitoramento de transações. A exchange deve monitorar continuamente as atividades em busca de padrões suspeitos. Em criptomoedas, isso significa triagem dos endereços com os quais interage e das transações que tocam suas carteiras, não apenas o cadastro do cliente. O risco se move após o onboarding, portanto o monitoramento deve ser contínuo e em tempo real. Um endereço liberado na segunda-feira pode ser vinculado a atividade ilícita na quinta-feira, e um depósito na sexta-feira pode carregar fundos que eram limpos três saltos atrás e contaminados na origem.
4. Reporte de transações suspeitas. Quando o monitoramento sinaliza atividade que parece lavagem de dinheiro ou financiamento do terrorismo, a exchange deve registrar um relatório. Nos Estados Unidos, o registro é um relatório de atividade suspeita. Outras jurisdições o chamam de relatório de transação suspeita. Nos Estados Unidos, o prazo para envio do SAR é de 30 dias corridos a partir da detecção inicial (até 60 se o suspeito não for identificado). Outras jurisdições têm prazos mais curtos — Hong Kong exige o registro em 24 horas. O relatório deve conter evidências suficientes para satisfazer um examinador.
5. Manutenção de registros. A exchange deve reter os registros que comprovam a execução das quatro primeiras obrigações. Pela Lei de Sigilo Bancário dos EUA, isso significa manter arquivos de CDD, logs de monitoramento e relatórios enviados por cinco anos. Os examinadores tratam registros ausentes como um controle ausente. O período de retenção supera o relacionamento com o cliente, portanto os logs devem ser auditáveis muito depois que a carteira for encerrada.
| # | Obrigação do VASP | Base Regulatória | Cobertura de Monitoramento On-Chain |
|---|---|---|---|
| 1 | Registro e licenciamento | FinCEN MSB (31 CFR Ch. X), MTL estadual, EU MiCA, NY BitLicense | Instituição (assessoria jurídica) |
| 2 | Diligência prévia do cliente (identidade) | Rec. 10 do GAFI (CDD) | Instituição (fornecedor de CDD) |
| 3 | Monitoramento de transações | Rec. 10 do GAFI (CDD contínuo) + Rec. 15 (RBA para VASPs) + Rec. 20 (STR) | Phalcon Compliance: KYA + KYT |
| 4 | Reporte de transações suspeitas | SAR FinCEN / STR | Phalcon Compliance: exportação de STR para múltiplas jurisdições principais |
| 5 | Manutenção de registros | Retenção de 5 anos pela BSA | Log de triagem do Phalcon Compliance o alimenta |
As cinco obrigações representam a visão do VASP. Elas descrevem o que a exchange deve fazer. Diferem dos pilares internos de um programa de AML, que abrangem políticas, um oficial de conformidade designado, treinamento, auditoria independente e o próprio programa de CDD. Essa visão de programa é uma questão separada para uma leitura separada. Aqui, o foco permanece nas obrigações que a exchange deve cumprir.
Consolidando o Pilar de Monitoramento de Transações
Das cinco obrigações, o monitoramento de transações e o reporte de transações suspeitas são os dois que dependem de dados on-chain que uma exchange não consegue ler com ferramentas bancárias. O Phalcon Compliance cobre esses dois pilares com KYA e KYT. Ele não fornece verificação de identidade para CDD, assessoria sobre registro ou licenciamento, nem infraestrutura de manutenção de registros. O escopo é a camada de monitoramento e triagem.
KYA, ou Know Your Address (Conheça Seu Endereço), faz a triagem de um endereço de carteira quanto ao risco de AML e CFT usando um banco de dados de endereços rotulados e o grafo de interação ao seu redor. KYT, ou Know Your Transaction (Conheça Sua Transação), faz a triagem de cada transferência de token dentro de uma transação, rastreia o caminho dos fundos na direção do depósito ou saque e atribui um nível de risco. Juntos, eles respondem a duas perguntas distintas. O KYA responde o que é o endereço. O KYT responde o que a transação faz.
O mecanismo de risco por trás das duas triagens utiliza 17 indicadores de risco, desde Sancionado e Financiamento do Terrorismo até Mixing, Ransomware e Jurisdição na Lista Cinza do GAFI. Cada endereço ou transferência triada é classificado em um dos seis níveis de risco, de Crítico passando por Alto, Médio, Baixo e Informativo até Sem Risco. Os níveis são configuráveis, de modo que a equipe mapeia cada camada para sua própria política interna e apetite ao risco. Mecanismos padrão baseados nas orientações do GAFI são fornecidos prontos para uso e podem ser editados para corresponder à abordagem baseada em risco da exchange.
Quando uma triagem sinaliza uma transferência, um alerta é disparado pelos canais escolhidos pela equipe. O analista confirma a exposição e exporta um relatório de transação suspeita para aquela transferência, com a direção de depósito ou saque especificada no momento da triagem. Esse relatório está alinhado com as principais jurisdições regulatórias e pode ser exportado por meio de um modelo específico por região para envio direto. O STR exportado é a evidência do pilar de reporte. O log de triagem alimenta o pilar de manutenção de registros. Uma ferramenta fecha duas obrigações.
Os três pilares que a BlockSec não cobre são infraestrutura tradicional de conformidade. Uma exchange obtém o registro com assessoria jurídica, a verificação de identidade com um fornecedor de CDD e a retenção de registros com um sistema de registros. Os pilares de monitoramento e reporte são onde as ferramentas nativas on-chain ocupam seu lugar, porque os dados que esses pilares devem processar vivem na blockchain. Para o guia operacional de como o KYT opera ao longo do ciclo de vida de uma transação em uma exchange, consulte o guia KYT Compliance.
Do Framework à Ação
Uma definição é o ponto de entrada, não o destino. Assim que uma equipe de conformidade consegue nomear as cinco obrigações do VASP, o próximo passo é executá-las. Dois caminhos ajudam. Para ler o framework completo de conformidade com AML e a plataforma por trás do pilar de monitoramento, visite o Phalcon Compliance. Para ir da definição à implantação em uma exchange, siga o guia de implementação de conformidade KYT para exchanges de criptomoedas.
As exchanges norte-americanas devem priorizar a camada de registro como negócio de serviços monetários na FinCEN e a licença estadual de transmissor de dinheiro, uma vez que operar sem ela é uma violação independente. Os pilares de monitoramento e reporte vêm em seguida, e são os que escalam com o volume on-chain.
→ Agende uma demonstração do Phalcon Compliance e execute o pilar de monitoramento no fluxo de trabalho da sua exchange: Agendar uma demonstração
Perguntas Frequentes
O que é conformidade com AML para uma exchange de criptomoedas? É o conjunto de cinco obrigações do VASP que uma exchange deve executar continuamente: registro e licenciamento, diligência prévia do cliente, monitoramento de transações, reporte de transações suspeitas e manutenção de registros.
As cinco obrigações do VASP são as mesmas que os cinco pilares de um programa de AML? Não. As obrigações do VASP são o que a exchange deve fazer. Os pilares do programa de AML são como seu departamento de conformidade é estruturado. Este artigo aborda as obrigações.
O KYC conta como uma obrigação separada? Não. A verificação de identidade é a etapa dentro do pilar de diligência prévia do cliente. Ela confirma quem é o cliente. Ela não faz a triagem da transação.
Quais obrigações o monitoramento on-chain cobre? Monitoramento de transações e reporte de transações suspeitas. A triagem de endereços e transações lê a blockchain, e o STR exportado é o relatório.
Por quanto tempo uma exchange nos EUA deve manter registros de AML? Cinco anos sob a Lei de Sigilo Bancário. A retenção abrange arquivos de CDD, logs de monitoramento e relatórios enviados.
