O Que É Conformidade AML para Exchanges de Criptomoedas? As Cinco Obrigações dos VASPs

Um oficial de conformidade em uma bolsa dos EUA abre a carta do examinador. As constatações se repetem a cada ciclo. O monitoramento foi realizado apenas no onboarding. Os relatórios de transações suspeitas foram apresentados com atraso. A renovação da licença ficou paralisada por lacunas no registro. A conformidade AML para uma exchange de criptomoedas não é uma tarefa única. É uma pilha de cinco obrigações que um provedor de serviços de ativos virtuais, ou VASP, deve executar continuamente. Deixar de atender a qualquer camada coloca a licença, os parceiros bancários, ou ambos, sob pressão.

O Que Significa Conformidade AML para uma Exchange de Criptomoedas

Conformidade AML para uma exchange de criptomoedas é o conjunto de obrigações de prevenção à lavagem de dinheiro e ao financiamento do terrorismo que um VASP deve cumprir para operar legalmente. As obrigações são definidas pelas Recomendações do GAFI para ativos virtuais e, nos Estados Unidos, pelas regras de negócios de serviços monetários do FinCEN. A exchange é responsável por todas as cinco camadas, não apenas pela verificação do cliente no onboarding.

Um VASP é o rótulo regulatório para qualquer entidade que troque, transfira ou custodie ativos virtuais para clientes. Uma exchange recebe esse rótulo no momento em que lista um par de tokens. Suas obrigações de AML não são uma cópia do programa de um banco. Elas se baseiam em endereços on-chain e transações que se movem em segundos, entre redes, e frequentemente por meio de mixers.

Essa velocidade muda a natureza do trabalho. Um banco verifica um pagamento em uma lista de nomes e um banco de dados de contrapartes. Uma exchange verifica um depósito que pode ter passado por um mixer três saltos acima, e a exposição só aparece quando o caminho dos fundos é rastreado. O arquivo do cliente não carrega esse sinal. A blockchain carrega. É por isso que uma das cinco obrigações, o monitoramento de transações, não tem equivalente bancário na mesma velocidade e deve ler a própria blockchain.

Este artigo define o framework e se limita ao quê. O como operacional, o fluxo de triagem e a exportação de relatórios estão em um guia de implementação separado. Para o padrão global que define o rótulo VASP e suas obrigações, consulte o guia do GAFI sobre ativos virtuais.

As Cinco Obrigações Principais do VASP Detalhadas

O framework tem cinco obrigações. Cada uma mapeia para uma Recomendação do GAFI e, para exchanges nos EUA, para uma regra do FinCEN. Um programa de conformidade que cobre apenas algumas delas falha no exame. As duas primeiras e a última são infraestrutura de conformidade tradicional. As duas do meio são onde os dados on-chain realizam o trabalho mais pesado.

1. Registro e licenciamento. Antes de atender clientes, uma exchange deve se registrar junto à sua autoridade competente. Nos Estados Unidos, isso significa registrar-se como um negócio de serviços monetários junto ao FinCEN e obter licenças estaduais de transmissão de dinheiro. O regime EU MiCA e a BitLicense de Nova York acrescentam suas próprias etapas de autorização. Operar sem registro é, por si só, uma violação, separada de qualquer falha de AML posterior. O GENIUS Act (Lei Pública 119-27), sancionado em julho de 2025 e com vigência a partir de janeiro de 2027, sujeito à regulamentação do FinCEN, traz os emissores de stablecoins de pagamento para dentro do Bank Secrecy Act, de modo que as exchanges que lidam com fluxos de stablecoins agora se encontram dentro do mesmo perímetro de AML que os próprios emissores.

2. Due diligence do cliente. A exchange deve identificar seus clientes, avaliar seu risco e aplicar due diligence aprimorada a relacionamentos de maior risco. A verificação de identidade está dentro deste pilar. Ela confirma quem o cliente afirma ser. Ela não vê a transação. Um cliente pode passar pelo onboarding e ainda assim enviar um depósito cujos fundos se originaram em um mixer, porque identidade e fluxo de fundos são objetos diferentes.

3. Monitoramento de transações. A exchange deve monitorar a atividade contínua em busca de padrões suspeitos. Em criptomoedas, isso significa triagem dos endereços com os quais interage e das transações que tocam suas carteiras, não apenas o arquivo do cliente. O risco se move após o onboarding, portanto o monitoramento deve ser contínuo e em tempo real. Um endereço liberado na segunda-feira pode ser vinculado a atividades ilícitas na quinta-feira, e um depósito na sexta-feira pode carregar fundos que estavam limpos três saltos atrás e foram contaminados na origem.

4. Reporte de transações suspeitas. Quando o monitoramento sinaliza atividade que parece lavagem de dinheiro ou financiamento do terrorismo, a exchange deve apresentar um relatório. Nos Estados Unidos, o registro é um relatório de atividade suspeita. Outras jurisdições chamam de relatório de transação suspeita. Nos Estados Unidos, o prazo de registro do SAR é de 30 dias corridos a partir da detecção inicial (até 60 dias se o suspeito não for identificado). Outras jurisdições têm prazos mais curtos — Hong Kong exige o registro em até 24 horas. O relatório deve conter evidências suficientes para satisfazer um examinador.

5. Manutenção de registros. A exchange deve reter os registros que comprovem a execução das primeiras quatro obrigações. Sob o Bank Secrecy Act dos EUA, isso significa manter arquivos de CDD, logs de monitoramento e relatórios apresentados por cinco anos. Os examinadores tratam registros ausentes como um controle ausente. O período de retenção sobrevive ao relacionamento com o cliente, portanto os logs devem ser auditáveis muito após o encerramento da carteira.

As cinco obrigações são a visão do VASP. Elas descrevem o que a exchange deve fazer. Elas diferem dos pilares internos de um programa de AML, que abrangem políticas, um oficial de conformidade designado, treinamento, auditoria independente e o próprio programa de CDD. Essa visão de programa é uma questão separada para uma leitura separada. Aqui, o foco permanece nas obrigações que a exchange deve cumprir.

Consolidando o Pilar de Monitoramento de Transações

Das cinco obrigações, o monitoramento de transações e o reporte de transações suspeitas são as duas que dependem de dados on-chain que uma exchange não consegue ler com ferramentas bancárias. O Phalcon Compliance cobre esses dois pilares com KYA e KYT. Ele não fornece verificação de identidade de CDD, assessoria sobre registro ou licenciamento, nem infraestrutura de manutenção de registros. O escopo é a camada de monitoramento e triagem.

KYA, ou Know Your Address (Conheça Seu Endereço), faz a triagem de um endereço de carteira para riscos de AML e CFT usando um banco de dados de endereços rotulados e o grafo de interação ao redor dele. KYT, ou Know Your Transaction (Conheça Sua Transação), faz a triagem de cada transferência de token dentro de uma transação, rastreia o caminho dos fundos na direção do depósito ou saque e atribui um nível de risco. Juntos, eles respondem a duas perguntas diferentes. O KYA responde o que é o endereço. O KYT responde o que a transação faz.

O mecanismo de risco por trás de ambas as triagens utiliza 17 indicadores de risco, desde Sancionado e Financiamento do Terrorismo até Mixing, Ransomware e Jurisdição na Lista Cinza do GAFI. Cada endereço ou transferência triada recebe um dos seis níveis de risco, de Crítico descendo por Alto, Médio, Baixo e Informativo até Sem Risco. Os níveis são configuráveis, para que uma equipe mapeie cada camada para sua própria política interna e apetite a risco. Mecanismos padrão baseados nas orientações do GAFI são fornecidos prontos para uso e podem ser editados para corresponder à abordagem baseada em risco da exchange.

Quando uma triagem sinaliza uma transferência, um alerta é disparado pelos canais escolhidos pela equipe. O analista confirma a exposição e exporta um relatório de transação suspeita para aquela transferência, com a direção de depósito ou saque especificada no momento da triagem. Esse relatório está alinhado com as principais jurisdições regulatórias e pode ser exportado por meio de um modelo específico por região para registro direto. O STR exportado é a evidência do pilar de reporte. O log de triagem alimenta o pilar de manutenção de registros. Uma ferramenta fecha duas obrigações.

Os três pilares que a BlockSec não cobre são infraestrutura de conformidade tradicional. Uma exchange obtém o registro com assessoria jurídica, a verificação de identidade com um fornecedor de CDD e a retenção de registros com um sistema de arquivos. Os pilares de monitoramento e reporte são onde as ferramentas nativas on-chain ganham seu lugar, porque os dados sobre os quais esses pilares devem agir vivem na blockchain. Para o guia operacional de como o KYT funciona ao longo do ciclo de vida de uma transação em uma exchange, consulte o guia de Conformidade KYT.

Do Framework à Ação

Uma definição é o ponto de entrada, não o destino. Assim que uma equipe de conformidade consegue nomear as cinco obrigações do VASP, o próximo passo é executá-las. Dois caminhos ajudam. Para ler o framework completo de conformidade AML e a plataforma por trás do pilar de monitoramento, visite o Phalcon Compliance. Para ir da definição à implantação em uma exchange, siga o guia de implementação de conformidade KYT para exchanges de criptomoedas.

As exchanges norte-americanas devem priorizar a camada de registro no FinCEN como MSB e a licença estadual de transmissão de dinheiro, uma vez que operar sem ela é uma violação autônoma. Os pilares de monitoramento e reporte vêm em seguida, e são os que escalam com o volume on-chain.

Perguntas Frequentes

O que é conformidade AML para uma exchange de criptomoedas? É o conjunto de cinco obrigações VASP que uma exchange deve executar continuamente: registro e licenciamento, due diligence do cliente, monitoramento de transações, reporte de transações suspeitas e manutenção de registros.

As cinco obrigações VASP são as mesmas que os cinco pilares de um programa de AML? Não. As obrigações VASP são o que a exchange deve fazer. Os pilares do programa de AML são como seu departamento de conformidade é estruturado. Este artigo aborda as obrigações.

O KYC conta como uma obrigação separada? Não. A verificação de identidade é a etapa dentro do pilar de due diligence do cliente. Ela confirma quem é o cliente. Ela não faz a triagem da transação.

Quais obrigações o monitoramento on-chain cobre? Monitoramento de transações e reporte de transações suspeitas. A triagem de endereços e transações lê a blockchain, e o STR exportado é o relatório.

Por quanto tempo uma exchange dos EUA deve manter os registros de AML? Cinco anos sob o Bank Secrecy Act. A retenção cobre arquivos de CDD, logs de monitoramento e relatórios apresentados.