# KYC opcional e a política de não comunicar: o caso Binance Análise · UNIFOKAL · 17 de outubro de 2026 · 6 min de leitura · KYC A ordem do FinCEN contra a Binance: conta aberta só com e-mail, saque abaixo de 2 bitcoins por dia sem identificação e nenhuma comunicação de suspeita. O que a norma brasileira proíbe. Uma política de "KYC por níveis" pode ser abordagem baseada em risco ou pode ser uma porta aberta, e a diferença está no que o nível mais baixo deixa fazer. A ordem de consentimento do Financial Crimes Enforcement Network (FinCEN), a unidade de inteligência financeira do Tesouro americano, de novembro de 2023, contra as empresas que operam a Binance.com, descreve o segundo caso: de julho de 2017 a pelo menos agosto de 2021, o nível "Tier One", também chamado de "no-KYC", abria conta só com e-mail e permitia saque diário abaixo de 2 bitcoins, valor que chegou a passar de US$ 130 mil. A resposta curta para quem opera ativos virtuais no Brasil: a Circular BCB 3.978/2020, que vale para a prestadora autorizada pelo Banco Central, exige no mínimo nome e CPF do cliente pessoa natural e firma e CNPJ da empresa, e a comunicação de suspeita é decisão fundamentada em dossiê, nunca política de não comunicar. **Em resumo** - A ordem do FinCEN impõe multa civil de US$ 3,4 bilhões e um monitor independente por cinco anos; a empresa consentiu e admite só os fatos do acordo criminal com o Departamento de Justiça. - O nível sem KYC permitia operar cripto contra cripto só com e-mail; pelas contas da própria empresa, havia quatro vezes mais usuários americanos sem KYC do que com KYC. - Sem nome, não havia triagem de sanções: um prestador de serviço avisou a empresa em 2019 que triagem eficaz exigia pelo menos nome e sobrenome. - A empresa não fez nenhuma comunicação de suspeita ao FinCEN no período, e o FinCEN identificou mais de cem mil transações suspeitas não comunicadas. ## O que o documento é, e em que situação está A ordem de consentimento (Consent Order 2023-04) é a resolução administrativa do FinCEN. O texto diz que a empresa "admits only to the facts admitted" no acordo de confissão com o Departamento de Justiça, de 21 de novembro de 2023, "and neither admits nor denies the remainder of the facts", e que consente com a ordem, a multa e o monitor. É, portanto, um acordo, não uma decisão contestada; o FinCEN aceitou creditar contra a multa valores pagos em outras resoluções do mesmo caso. O acordo criminal tem período diferente e não foi lido na íntegra para este texto, que se apoia só na ordem do FinCEN. ## O nível sem KYC: o desenho e o que ele causou A ordem descreve o desenho como a empresa o chamava, uma abordagem por níveis, e conclui que "in reality it resulted in a categorical gap". Os elementos, todos da ordem: **o nível "no-KYC" descrito na ordem do FinCEN e o que a norma brasileira exige** | Na ordem do FinCEN | Na norma brasileira | |---|---| | Conta aberta só com e-mail, sem diligência nenhuma (jul. 2017 a ago. 2021) | Identificação com, no mínimo, nome completo e CPF (Circular 3.978, art. 16, § 2º, I) | | Saque diário abaixo de 2 bitcoins sem KYC; saque em moeda fiduciária de até US$ 300 por dia | Nenhum limite de valor dispensa a identificação do art. 16 | | Contas antigas sem KYC só remediadas em maio de 2022 | Informações de identificação "mantidas atualizadas" (art. 17) | | Sem nome, sem triagem de sanções | Cumprimento imediato das sanções do Conselho de Segurança (Resolução BCB 44/2020) | | Programa escrito que proibia relação com cassino on-line, sem como aplicar sem KYC | Procedimentos compatíveis com a política e descritos em manual (art. 38, § 3º) | O documento mostra que o risco foi avisado. Em agosto de 2018, um prestador de serviço escreveu à área de compliance que rastreava dinheiro roubado por um grupo de hackers e via estruturação "just under your KYC limit of 2 \[bitcoin\]". Em março de 2019, um prestador de serviço avisou que não dava para triar sanções sem pelo menos nome e sobrenome. A ordem conclui que a empresa levou mais de quatro anos para começar a desligar as contas sem KYC. > **Nota** > > A leitura útil para quem desenha produto: um limite de valor só é controle de risco se, abaixo dele, ainda existe identificação e monitoramento. O limite sem identificação vira o valor-alvo da estruturação, exatamente o que o prestador viu em 2018. ## A política de não comunicar A seção F da ordem é curta e definitiva: "Binance filed no SARs with FinCEN throughout the Relevant Time Period", e o FinCEN identificou "well over a hundred thousand suspicious transactions" não comunicadas, nas categorias de ransomware, financiamento do terrorismo, jurisdição de alto risco, mercado da dark web, golpes e material de abuso sexual infantil. A ordem registra ainda que o ex-diretor de compliance contou a outros funcionários que a política da alta administração era nunca comunicar transação suspeita, e que a empresa se comprometeu com uma revisão retroativa formal. Na norma brasileira, a comunicação não é escolha de política. A Lei 9.613/1998 manda comunicar ao Conselho de Controle de Atividades Financeiras (Coaf) "no prazo de 24 (vinte e quatro) horas" (art. 11, II), e a Circular 3.978 diz como a decisão nasce: > A decisão de comunicação da operação ou situação ao Coaf deve: I - ser fundamentada com base nas informações contidas no dossiê mencionado no art. 43, § 2º; II - ser registrada de forma detalhada no dossiê mencionado no art. 43, § 2º; e III - ocorrer até o final do prazo de análise referido no art. 43, § 1º. > > Circular BCB 3.978/2020, art. 48, § 1º A comunicação sai "até o dia útil seguinte ao da decisão de comunicação" (§ 2º). Uma diretriz de não comunicar contraria o art. 11 da lei e cai nas sanções do art. 12, que alcançam também os administradores; o detalhe está em [quanto custa falhar em PLD](https://unifokal.com/blog/quanto-custa-falhar-em-pld). ## O que vale para a prestadora brasileira Desde 2 de fevereiro de 2026, a prestadora de serviços de ativos virtuais autorizada pelo Banco Central deve atender a "regulamentação específica relativa à prevenção e ao combate à lavagem de dinheiro" (Resolução BCB 520/2025, art. 44) e o conjunto da regulamentação das instituições autorizadas, "conforme aplicáveis" (art. 87). Como instituição autorizada, ela está no art. 1º da Circular 3.978. O quadro está em [regulação de VASP pelo Banco Central](https://unifokal.com/blog/regulacao-de-vasp-pelo-banco-central), e os sinais de alerta que o GAFI listou para o setor estão em [sinais de alerta em ativos virtuais](https://unifokal.com/blog/sinais-de-alerta-em-ativos-virtuais). A lição do caso não é sobre cripto. É sobre uma régua de risco cujo nível mais baixo não tem identificação, e sobre a decisão de comunicar tirada da análise e posta na política. As duas coisas a norma brasileira já fecha no texto. ## Fontes citadas - Financial Crimes Enforcement Network, Consent Order Imposing Civil Money Penalty, Number 2023-04, Binance Holdings Limited e outras, seções II e F e a avaliação da penalidade, em [fincen.gov](https://www.fincen.gov/system/files/enforcement_action/2023-11-21/FinCEN_Consent_Order_2023-04_FINAL508.pdf) - Banco Central do Brasil, Circular BCB 3.978/2020, versão consolidada, arts. 1º, 16, 17, 38, 43 e 48, em [normativos.bcb.gov.br](https://normativos.bcb.gov.br/Lists/Normativos/Attachments/50905/Circ_3978_v6_P.pdf) - Banco Central do Brasil, Resolução BCB 520/2025, arts. 44 e 87, na [busca de normas do BCB](https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=520) - Banco Central do Brasil, Resolução BCB 44/2020, na [busca de normas do BCB](https://www.bcb.gov.br/estabilidadefinanceira/exibenormativo?tipo=Resolu%C3%A7%C3%A3o%20BCB&numero=44) - Lei 9.613/1998, arts. 11 e 12, texto compilado no [Planalto](https://www.planalto.gov.br/ccivil_03/leis/l9613compilado.htm)