Verificação AML de criptoativos: como funciona a análise de endereços de carteira e porque é que as plataformas a fazem

Uma verificação AML de criptoativos é uma avaliação de risco de um endereço de carteira ou de uma transação na blockchain. Analisa por onde passaram os fundos e assinala ligações a partes sancionadas, fraude, mercados da darknet ou serviços de mistura. As plataformas de criptoativos reguladas fazem estas verificações por rotina nos depósitos e levantamentos, e qualquer pessoa pode perceber o essencial antes de enviar ou aceitar criptoativos.

Este guia explica o que é a análise de carteiras, as regras que a impõem na UE, o que uma pontuação de risco pode e não pode dizer-lhe e porque é que uma transferência que julgava rotineira pode acabar em análise.

Pontos principais

• «Verificação AML», «análise de carteiras» (wallet screening) e «KYT» (know your transaction, conhecer a sua transação) são termos do setor para a mesma ideia: avaliar o risco associado a um endereço ou a uma transação.
• Na UE, os prestadores de serviços de criptoativos têm de monitorizar as transações, e as orientações da EBA dizem que devem usar ferramentas analíticas avançadas em função do risco, em particular para endereços autoalojados.
• A travel rule da UE (Regulamento (UE) 2023/1113) aplica-se desde 30 de dezembro de 2024 e exige que as informações sobre o remetente e o destinatário acompanhem as transferências de criptoativos, seja qual for o montante.
• Um resultado limpo não torna um endereço seguro nem uma contraparte fiável. Um resultado assinalado não prova qualquer ilícito.
• Os emitentes de stablecoins podem bloquear endereços, pelo que, no caso do USDT e do USDC, o historial de um endereço pode importar tanto como o ativo.

O que é uma verificação AML de criptoativos?

As blockchains públicas registam todas as transferências entre endereços. Isso permite reconstituir para trás o historial de uma moeda e ver se passou por endereços já associados a atividades ilícitas. Uma verificação AML de criptoativos pega num endereço ou no hash de uma transação, segue essas ligações e devolve algum tipo de classificação de risco, normalmente com as categorias que a justificam.

Os sinais de risco típicos incluem:

• exposição direta ou indireta a endereços constantes de uma lista de sanções;
• fundos que passaram por um misturador (mixer, tumbler) ou outro serviço concebido para ocultar o rasto;
• ligações a mercados da darknet, fraudes, ransomware ou fundos roubados;
• transferências através de corretoras não reguladas ou de plataformas com controlos fracos;
• padrões que não correspondem à atividade esperada do cliente.

Como os endereços são pseudónimos, a análise nada diz sobre quem é o titular de um endereço. Indica aquilo a que o endereço esteve ligado.

Análise de carteiras ou KYT

Os termos sobrepõem-se, mas são usados para duas tarefas.

A análise de carteiras verifica um endereço antes de uma relação ou de uma transferência: este destino, ou esta origem, está ligado a um risco conhecido?

O KYT (know your transaction) é a monitorização contínua das transações. Cada transferência recebida e enviada é pontuada no momento em que acontece, e os alertas seguem para uma equipa de conformidade para análise.

Nenhum dos termos está definido no direito da UE. Os deveres legais são expressos como diligência devida relativa aos clientes, monitorização das transações e travel rule. As ferramentas são a forma como as plataformas os cumprem.

Porque é que as plataformas verificam endereços de carteira

Monitorização das transações ao abrigo das orientações da UE

A Autoridade Bancária Europeia alargou aos prestadores de serviços de criptoativos as suas orientações sobre os fatores de risco de branqueamento de capitais e de financiamento do terrorismo. Aplicam-se desde 30 de dezembro de 2024. Entre os fatores de risco que enumeram estão as transferências de ou para plataformas de mistura (mixers e tumblers), os criptoativos associados à darknet ou a atividades ilegais e os resultados de ferramentas analíticas avançadas que indiquem um nível de risco acrescido.

As orientações dizem que os prestadores devem aplicar ferramentas analíticas avançadas às transações em função do risco, como complemento da monitorização normal, e em particular às transações que envolvam endereços autoalojados, porque essas ferramentas permitem ao prestador reconstituir o historial das transações e identificar potenciais ligações a atividades criminosas. É esta a base regulamentar da análise de carteiras com que se depara na prática.

A travel rule

O Regulamento (UE) 2023/1113, a reformulação do regulamento relativo às transferências de fundos, aplica-se desde 30 de dezembro de 2024. Exige que o prestador de quem envia criptoativos garanta que a transferência é acompanhada do nome do ordenante, do endereço da carteira e do número de conta, do endereço postal com um documento oficial ou número de cliente (ou a data e o local de nascimento), bem como do nome e do endereço da carteira do beneficiário. Os seus considerandos dizem que as transferências de criptoativos devem estar sujeitas aos mesmos requisitos independentemente do montante, porque os criptoativos podem facilmente ser divididos por muitos endereços.

Se a informação estiver em falta, o prestador que recebe tem, em função do risco e sem demora injustificada, de rejeitar ou devolver a transferência, ou de pedir a informação antes de disponibilizar os criptoativos. Os prestadores que falhem repetidamente o envio dos dados exigidos podem receber avisos e prazos e, em última instância, ver a relação restringida ou terminada.

Para as carteiras autoalojadas, as regras acrescentam um limiar. Quando mais de 1000 EUR são enviados para um endereço autoalojado ou dele recebidos por conta de um cliente, o prestador deve verificar que o endereço pertence efetivamente a esse cliente ou é por ele controlado. O nosso artigo sobre a travel rule entra em mais pormenor.

Sanções

As sanções aplicam-se aos criptoativos tal como ao dinheiro. Nos Estados Unidos, o Office of Foreign Assets Control (OFAC) do Tesouro pode acrescentar endereços de moeda digital à sua lista de sanções para alertar o público, embora afirme que essas inscrições provavelmente não são exaustivas. As ferramentas de análise baseiam-se nessas listas e alargam depois o quadro aos endereços que lhes estão ligados.

Como verificar por si um endereço de carteira de cripto

Uma verificação rápida do risco de um endereço de carteira antes de enviar ou aceitar criptoativos não exige uma ferramenta comercial. Alguns hábitos detetam a maioria dos problemas.

1. Consulte-o num explorador de blocos. Verifique se o endereço tem historial, que idade tem e se a transferência de que lhe falaram existe realmente.
2. Pergunte de onde vieram os fundos. Se alguém lhe quer pagar em criptoativos, uma corretora regulada ou uma carteira com um historial simples é melhor sinal do que um endereço financiado através de uma cadeia de saltos recentes.
3. Atenção aos misturadores e às pontes (bridges). Fundos que passaram recentemente por serviços de ofuscação são o desencadeador clássico de uma análise.
4. Use um serviço de análise quando disponível e leia as categorias, e não apenas a pontuação.
5. Não reencaminhe depósitos inesperados. Criptoativos recebidos de origem desconhecida podem ser a preparação de uma fraude ou uma transferência feita por engano; fale com o apoio do prestador antes de os movimentar.

Uma verificação de risco é um retrato instantâneo. Os endereços podem ser associados a novos incidentes depois de os verificar, e as ferramentas de fornecedores diferentes podem discordar.

Verificações AML para Bitcoin e USDT

Uma verificação AML de Bitcoin funciona com o mesmo princípio que qualquer outra: reconstituir as entradas e saídas e pontuar a exposição. O modelo de transações da Bitcoin, em que uma transação pode combinar muitas entradas, significa que um pagamento pode transportar uma pequena parte de historial arriscado de um salto anterior.

As stablecoins acrescentam uma segunda camada. Os termos da Tether permitem-lhe colocar em lista negra endereços que detenham os seus tokens quando suspeita de utilização proibida ou quando um governo o determina, e os termos do USDC da Circle reservam o direito de bloquear determinados endereços USDC. Assim, uma verificação AML de USDT é mais do que uma questão de conformidade: os tokens num endereço que o emitente bloqueou podem tornar-se inutilizáveis. Note também que o mesmo token pode existir em várias redes; analise o endereço na rede que o pagamento vai efetivamente usar.

O que uma verificação AML de criptoativos não lhe pode dizer

• Que um endereço é seguro. A formulação da própria Quppy é um bom resumo: uma verificação AML é uma avaliação de risco e não garante que um endereço, uma transação ou um ativo seja seguro, lícito ou isento de risco.
• Quem é o titular do endereço. A análise descreve ligações, e não identidades.
• Que uma transferência vai ser aceite. O prestador que recebe aplica a sua própria política, e os dados da travel rule também têm de estar completos.
• Que uma pontuação elevada significa um ilícito. Utilizadores inocentes recebem fundos contaminados. Uma análise é uma pergunta, e não uma acusação.

Verificações de carteiras e análises na Quppy

A Quppy oferece o AML Quppy Bot, um serviço separado de avaliação de risco para endereços de carteira e transações na blockchain suportados, que pode usar antes de enviar ou aceitar criptoativos. Como qualquer ferramenta deste tipo, o seu resultado é uma avaliação de risco, e não uma garantia.

Nas próprias transferências, a Quppy ou o prestador de serviços de criptoativos aplicável podem fazer perguntas sobre uma carteira externa: se é sua ou de outra pessoa, o nome legal do remetente ou do destinatário, a plataforma externa, a finalidade da transferência e, em alguns casos, uma prova de titularidade ou de controlo. As razões indicadas nas páginas de conformidade da Quppy são a travel rule, as sanções e o risco de branqueamento de capitais e financiamento do terrorismo (AML/CFT), e a confirmação de que o ativo e a rede são suportados.

Um depósito recebido pode ser analisado quando, por exemplo, falta a informação da travel rule, o endereço apresenta indicadores de risco ou a transferência vem de um misturador, de um serviço de reforço da privacidade, de uma origem sancionada ou de uma plataforma de alto risco. Uma confirmação na blockchain não elimina estas verificações, e uma transação pode, em consequência, ser atrasada, devolvida ou rejeitada. A Quppy não publica um prazo de análise garantido e pode não poder divulgar todos os indicadores de risco. Leia porque é que uma transação pode ser atrasada ou rejeitada e porque é que lhe podem perguntar sobre uma carteira externa para o quadro completo.

Nenhuma verificação legítima precisa da sua chave privada ou da sua frase-semente. Nunca as partilhe.