Um oficial de conformidade integra um cliente com um documento de identidade governamental verificado. Três semanas depois, a carteira desse cliente recebe fundos de um endereço recém-adicionado a uma lista de sanções. O arquivo de integração está limpo. A carteira não está. Esta é a lacuna que a devida diligência de endereço de cliente em cripto foi criada para fechar.
A devida diligência tradicional de cliente (CDD) verifica quem é o cliente no momento da integração. A devida diligência de endereço verifica o que a carteira fez e a quais riscos ela fica exposta ao longo do tempo. Em cripto, o comportamento da carteira é a superfície de risco, porque o blockchain o registra permanentemente. Este artigo explica como funciona o CDD no nível de endereço, o que ele abrange, por que o monitoramento contínuo é necessário e o que os reguladores esperam.
CDD Tradicional vs. Devida Diligência de Endereço: O Que Muda On-Chain
A devida diligência de cliente (CDD) confirma a identidade; a devida diligência de endereço avalia o comportamento da carteira. As duas são complementares, não intercambiáveis, e a conformidade em cripto exige ambas.
O CDD tradicional coleta documentos na integração: um passaporte, uma selfie, um comprovante de endereço. Uma vez aprovado, o cliente é presumido em conformidade até que um gatilho force uma atualização. A unidade de análise é a pessoa.
A devida diligência de endereço inverte a unidade de análise. O objeto em análise é o endereço da carteira, e a evidência é seu histórico completo de transações on-chain. Enquanto um cliente pode apresentar documentos de forma seletiva, a carteira não pode ocultar suas transferências. Cada depósito, contraparte e interação com contratos inteligentes fica registrado.
| Dimensão | CDD Tradicional (Identidade) | Devida Diligência de Endereço (On-Chain) |
|---|---|---|
| Objeto analisado | Pessoa física ou jurídica | Endereço de carteira |
| Fonte de evidência | Documentos enviados, registros | Histórico público de transações no blockchain |
| Sinal de risco | Verificação de identidade, correspondência de nome em PEP/sanções | Exposição a contrapartes, caminho de origem dos fundos, agrupamento de entidades |
| Modelo de atualização | Periódico ou acionado por evento | Contínuo, atualizações de rótulos em tempo quase real |
| Principal lacuna de conformidade | Não é possível ver o comportamento da carteira pós-integração | Não é possível verificar o ser humano por trás da carteira |
Os dois métodos são complementares. A verificação de identidade trata de quem o cliente afirma ser; a devida diligência de endereço trata do que seus fundos realmente fazem. Uma plataforma que utiliza apenas o CDD tradicional está cega à exposição no nível da carteira, onde a maior parte do volume de transações cripto ilícitas aparece. Para entender como isso se encaixa na pilha de AML mais ampla que as exchanges utilizam, consulte Conformidade AML em Cripto.
Categorias de Risco e Sinais Cobertos pela Devida Diligência de Endereço
O CDD no nível de endereço avalia uma carteira em relação a categorias de risco estruturadas e produz evidências que um analista pode defender. Não se trata de uma simples verificação de aprovação ou reprovação; é uma avaliação de múltiplos sinais que combina exposição, comportamento e proveniência em um único perfil de risco da carteira. O objeto da avaliação é a carteira, não o ser humano por trás dela.
A lista SDN da OFAC é a referência base dos EUA para exposição direta. A OFAC esclareceu que endereços de moeda digital podem ser adicionados diretamente às designações SDN (OFAC FAQ 561). Uma carteira não precisa estar sancionada em si para apresentar risco; estar a um ou dois saltos de um cluster designado altera seu perfil, e o caminho de origem dos fundos tem peso próprio.
A taxonomia completa de dezessete indicadores que alimenta essa avaliação — de Sancionado a Mixing e risco de jurisdição FATF — é detalhada em nosso guia de triagem de risco de endereço. Aqui, focamos em como o CDD reúne esses sinais em um perfil de risco de carteira defensável.
Por Que Verificações Únicas de Endereço Falham
Uma carteira que estava limpa na integração pode se tornar de alto risco da noite para o dia. Designações de sanções chegam a qualquer hora, o produto de hacks se move pela cadeia em minutos, e uma única nova transação pode reclassificar um endereço anteriormente benigno. Uma verificação pontual captura o status naquele momento e nada mais.
Esta é a fraqueza estrutural da triagem única: ela trata o risco como estático quando ele é dinâmico. Um endereço que passou pela integração em janeiro pode, em março, ter recebido fundos de um mixer designado apenas em fevereiro. O arquivo de aprovação original ainda indica "limpo", mas a exposição real mudou.
As Recomendações do GAFI exigem devida diligência contínua na relação de negócios, não apenas na integração. A Atualização de 2025 do GAFI sobre Ativos Virtuais reforça que os VASPs devem triagem de transações continuamente e retriar endereços de clientes existentes à medida que novas informações surgem. Uma verificação única não satisfaz essa obrigação.
O monitoramento contínuo de endereços opera em dois cadências. A primeira é acionada por evento: quando uma nova designação de sanção, incidente de hack ou movimentação de fundos ilícitos afeta uma carteira monitorada, o sistema a pontua novamente imediatamente. A segunda é a revisão periódica: uma retriagem programada de todo o catálogo de endereços para que exposições de acúmulo lento (uma contraparte derivando para um cluster de risco ao longo de meses) ainda sejam detectadas. O Phalcon Compliance suporta ambos os modos, em vez de tratar a triagem como um único evento de aprovação ou reprovação.
Em uma implementação, a Interlace, uma instituição de pagamento licenciada em Hong Kong, reduziu o tempo de revisão em 70% e bloqueou 99,9% dos saques de alto risco após integrar o Phalcon Compliance para triagem contínua no nível de endereço (Estudo de caso Interlace, BlockSec).
Expectativas Regulatórias para a Devida Diligência de Endereço
Os reguladores esperam cada vez mais o gerenciamento de risco no nível de endereço, mesmo quando as regras aplicáveis são anteriores ao cripto. A expectativa abrange diversas jurisdições.
A Recomendação 10 do GAFI (devida diligência de cliente) e a Recomendação 15 (novas tecnologias) exigem conjuntamente que os VASPs apliquem uma abordagem baseada em risco que abranja tanto o cliente quanto o fluxo de transações. Na prática, isso significa compreender não apenas quem foi integrado, mas o perfil de risco das carteiras que esse cliente utiliza. A atualização direcionada de 2025 constatou que, das 163 jurisdições pesquisadas, apenas uma pequena minoria estava totalmente em conformidade com a supervisão de VASPs.
Na União Europeia, o MiCA exige que os CASPs (prestadores de serviços de criptoativos) implementem controles efetivos de AML, o que na prática inclui a triagem das carteiras dos clientes quanto à exposição ilícita. Nos Estados Unidos, o framework BSA da FinCEN exige que os negócios de serviços monetários executem um programa de AML baseado em risco que aborde os riscos específicos de seus produtos. Para plataformas de cripto, a triagem no nível de carteira faz parte desse programa, não é opcional.
Um fio condutor comum é que os resultados da triagem devem ser documentados, retidos e estar prontos para auditoria. A devida diligência de endereço não é apenas uma função de detecção; é uma função de prontidão para auditoria. O Phalcon Compliance suporta relatórios prontos para STR/SAR alinhados com múltiplas jurisdições regulatórias-chave e exporta os resultados da triagem de endereços em formatos utilizáveis para a manutenção de registros de conformidade.
| Framework | Expectativa no Nível de Endereço | Requisito Prático |
|---|---|---|
| FATF Rec 10 + 15 | CDD baseada em risco cobrindo cliente e fluxo de transações | Triagem de carteiras de clientes quanto à exposição ilícita; documentação de decisões de risco |
| EU MiCA | Controles de AML para transações com criptoativos nos CASPs | Triagem de carteiras pré-transação; monitoramento contínuo |
| U.S. FinCEN BSA | Programa de AML baseado em risco para MSBs | Triagem no nível de carteira integrada ao programa de AML; SAR sobre atividades detectadas |
| OFAC SDN | Nenhuma transação com partes designadas, incluindo endereços | Triagem contra a lista SDN incluindo identificadores de moeda digital; bloqueio e reporte de correspondências |
Para equipes de conformidade que operacionalizam essas obrigações, os módulos de nível de endereço (KYA) e de nível de transação (KYT) do Phalcon Compliance fornecem as duas camadas de triagem. A plataforma completa está em Phalcon Compliance.
→ Agende uma demonstração do Phalcon Compliance e execute a devida diligência de endereço nos fluxos de carteiras de seus clientes: Agende uma demonstração
Perguntas Frequentes
A devida diligência de endereço de cliente é o mesmo que KYC?
Não. O KYC verifica a identidade da pessoa por trás da conta na integração, utilizando documentos emitidos pelo governo. A devida diligência de endereço avalia o perfil de risco da própria carteira, com base no histórico de transações on-chain e na exposição a contrapartes. Elas são complementares: o KYC responde "quem é essa pessoa", a devida diligência de endereço responde "o que essa carteira faz". Os produtos da BlockSec cobrem as camadas de endereço e transação (KYA e KYT), não a verificação de identidade.
Quais sinais tornam um endereço cripto de alto risco?
Exposição direta a entidades sancionadas ou endereços listados na SDN, histórico de transações com clusters ilícitos documentados (phishing, pig-butchering, carteiras vinculadas a ataques de hackers, contratos drainer, mixers) e proximidade a clusters de financiamento ao terrorismo. Padrões comportamentais também contam, como layering de salto rápido ou estruturação em cadeia de descascamento. A taxonomia de risco do Phalcon Compliance abrange mais de 200 tipos de sinais (Documentação do Phalcon Compliance).
Com que frequência os endereços de clientes existentes devem ser retriados?
Continuamente, não apenas em um cronograma fixo. Designações de sanções e incidentes de hack chegam a qualquer momento e podem reclassificar um endereço anteriormente limpo. A melhor prática combina a repontuação acionada por evento com a retriagem periódica completa do catálogo de endereços. O requisito de devida diligência contínua do GAFI não é satisfeito por uma verificação única na integração.
A devida diligência de endereço se aplica a carteiras de autocustódia?
Sim, quando uma plataforma regulada interage com elas. Quando um cliente saca para ou deposita de uma carteira de autocustódia, a plataforma ainda precisa do perfil de risco desse endereço. O histórico on-chain é independente de quem controla as chaves. As diretrizes do MiCA e do GAFI contemplam a triagem de carteiras de contrapartes, mesmo quando a contraparte é o próprio endereço de autocustódia do cliente.
