Uma política de "KYC por níveis" pode ser abordagem baseada em risco ou pode ser uma porta aberta, e a diferença está no que o nível mais baixo deixa fazer. A ordem de consentimento do Financial Crimes Enforcement Network (FinCEN), a unidade de inteligência financeira do Tesouro americano, de novembro de 2023, contra as empresas que operam a Binance.com, descreve o segundo caso: de julho de 2017 a pelo menos agosto de 2021, o nível "Tier One", também chamado de "no-KYC", abria conta só com e-mail e permitia saque diário abaixo de 2 bitcoins, valor que chegou a passar de US$ 130 mil. A resposta curta para quem opera ativos virtuais no Brasil: a Circular BCB 3.978/2020, que vale para a prestadora autorizada pelo Banco Central, exige no mínimo nome e CPF do cliente pessoa natural e firma e CNPJ da empresa, e a comunicação de suspeita é decisão fundamentada em dossiê, nunca política de não comunicar.
Em resumo
- A ordem do FinCEN impõe multa civil de US$ 3,4 bilhões e um monitor independente por cinco anos; a empresa consentiu e admite só os fatos do acordo criminal com o Departamento de Justiça.
- O nível sem KYC permitia operar cripto contra cripto só com e-mail; pelas contas da própria empresa, havia quatro vezes mais usuários americanos sem KYC do que com KYC.
- Sem nome, não havia triagem de sanções: um prestador de serviço avisou a empresa em 2019 que triagem eficaz exigia pelo menos nome e sobrenome.
- A empresa não fez nenhuma comunicação de suspeita ao FinCEN no período, e o FinCEN identificou mais de cem mil transações suspeitas não comunicadas.
O que o documento é, e em que situação está
A ordem de consentimento (Consent Order 2023-04) é a resolução administrativa do FinCEN. O texto diz que a empresa "admits only to the facts admitted" no acordo de confissão com o Departamento de Justiça, de 21 de novembro de 2023, "and neither admits nor denies the remainder of the facts", e que consente com a ordem, a multa e o monitor. É, portanto, um acordo, não uma decisão contestada; o FinCEN aceitou creditar contra a multa valores pagos em outras resoluções do mesmo caso. O acordo criminal tem período diferente e não foi lido na íntegra para este texto, que se apoia só na ordem do FinCEN.
O nível sem KYC: o desenho e o que ele causou
A ordem descreve o desenho como a empresa o chamava, uma abordagem por níveis, e conclui que "in reality it resulted in a categorical gap". Os elementos, todos da ordem:
| Na ordem do FinCEN | Na norma brasileira |
|---|---|
| Conta aberta só com e-mail, sem diligência nenhuma (jul. 2017 a ago. 2021) | Identificação com, no mínimo, nome completo e CPF (Circular 3.978, art. 16, § 2º, I) |
| Saque diário abaixo de 2 bitcoins sem KYC; saque em moeda fiduciária de até US$ 300 por dia | Nenhum limite de valor dispensa a identificação do art. 16 |
| Contas antigas sem KYC só remediadas em maio de 2022 | Informações de identificação "mantidas atualizadas" (art. 17) |
| Sem nome, sem triagem de sanções | Cumprimento imediato das sanções do Conselho de Segurança (Resolução BCB 44/2020) |
| Programa escrito que proibia relação com cassino on-line, sem como aplicar sem KYC | Procedimentos compatíveis com a política e descritos em manual (art. 38, § 3º) |
O documento mostra que o risco foi avisado. Em agosto de 2018, um prestador de serviço escreveu à área de compliance que rastreava dinheiro roubado por um grupo de hackers e via estruturação "just under your KYC limit of 2 [bitcoin]". Em março de 2019, um prestador de serviço avisou que não dava para triar sanções sem pelo menos nome e sobrenome. A ordem conclui que a empresa levou mais de quatro anos para começar a desligar as contas sem KYC.
Nota
A leitura útil para quem desenha produto: um limite de valor só é controle de risco se, abaixo dele, ainda existe identificação e monitoramento. O limite sem identificação vira o valor-alvo da estruturação, exatamente o que o prestador viu em 2018.
A política de não comunicar
A seção F da ordem é curta e definitiva: "Binance filed no SARs with FinCEN throughout the Relevant Time Period", e o FinCEN identificou "well over a hundred thousand suspicious transactions" não comunicadas, nas categorias de ransomware, financiamento do terrorismo, jurisdição de alto risco, mercado da dark web, golpes e material de abuso sexual infantil. A ordem registra ainda que o ex-diretor de compliance contou a outros funcionários que a política da alta administração era nunca comunicar transação suspeita, e que a empresa se comprometeu com uma revisão retroativa formal.
Na norma brasileira, a comunicação não é escolha de política. A Lei 9.613/1998 manda comunicar ao Conselho de Controle de Atividades Financeiras (Coaf) "no prazo de 24 (vinte e quatro) horas" (art. 11, II), e a Circular 3.978 diz como a decisão nasce:
A decisão de comunicação da operação ou situação ao Coaf deve: I - ser fundamentada com base nas informações contidas no dossiê mencionado no art. 43, § 2º; II - ser registrada de forma detalhada no dossiê mencionado no art. 43, § 2º; e III - ocorrer até o final do prazo de análise referido no art. 43, § 1º.
A comunicação sai "até o dia útil seguinte ao da decisão de comunicação" (§ 2º). Uma diretriz de não comunicar contraria o art. 11 da lei e cai nas sanções do art. 12, que alcançam também os administradores; o detalhe está em quanto custa falhar em PLD.
O que vale para a prestadora brasileira
Desde 2 de fevereiro de 2026, a prestadora de serviços de ativos virtuais autorizada pelo Banco Central deve atender a "regulamentação específica relativa à prevenção e ao combate à lavagem de dinheiro" (Resolução BCB 520/2025, art. 44) e o conjunto da regulamentação das instituições autorizadas, "conforme aplicáveis" (art. 87). Como instituição autorizada, ela está no art. 1º da Circular 3.978. O quadro está em regulação de VASP pelo Banco Central, e os sinais de alerta que o GAFI listou para o setor estão em sinais de alerta em ativos virtuais.
A lição do caso não é sobre cripto. É sobre uma régua de risco cujo nível mais baixo não tem identificação, e sobre a decisão de comunicar tirada da análise e posta na política. As duas coisas a norma brasileira já fecha no texto.
Fontes citadas
- Financial Crimes Enforcement Network, Consent Order Imposing Civil Money Penalty, Number 2023-04, Binance Holdings Limited e outras, seções II e F e a avaliação da penalidade, em fincen.gov
- Banco Central do Brasil, Circular BCB 3.978/2020, versão consolidada, arts. 1º, 16, 17, 38, 43 e 48, em normativos.bcb.gov.br
- Banco Central do Brasil, Resolução BCB 520/2025, arts. 44 e 87, na busca de normas do BCB
- Banco Central do Brasil, Resolução BCB 44/2020, na busca de normas do BCB
- Lei 9.613/1998, arts. 11 e 12, texto compilado no Planalto