Guia CCAS: blockchain, regulação e controles de AFC

CCAS: guia de estudo sobre criptoativos e prevenção a crimes financeiros

O Certified Cryptoasset AFC Specialist (CCAS), da ACAMS, destina-se a profissionais de prevenção à lavagem de dinheiro, conformidade em criptoativos, análise de blockchain, investigação, supervisão e gestão de riscos de ativos digitais.

Para a versão estabelecida do exame, a ACAMS informa 100 questões em 175 minutos e disponibilidade somente em inglês. A ACAMS anunciou materiais, cursos e exame redesenhados para 19 de novembro de 2026. Antes de agendar, confirme com a ACAMS qual versão será aplicada.

Este guia percorre três áreas: funcionamento dos criptoativos e da blockchain; fundamentos de prevenção à lavagem de dinheiro; e programas de gestão de riscos. As porcentagens da tabela representam prioridades de estudo deste guia, não pesos oficiais do exame. Consulte a página da certificação CCAS para informações oficiais.

Percurso de estudo

Área de estudo	Abrangência	Prioridade deste guia
Criptoativos e blockchain	Conceitos 1 a 18: transações, carteiras, custódia, tokens e protocolos	30% do tempo sugerido; alocação editorial, sem peso oficial atribuído
Fundamentos de prevenção à lavagem de dinheiro	Conceitos 19 a 36: padrões internacionais, enquadramento, sanções e obrigações locais	30% do tempo sugerido; alocação editorial, sem peso oficial atribuído
Programas de gestão de riscos	Conceitos 37 a 60: avaliação, controles, análise, investigação, reporte e testes	40% do tempo sugerido; alocação editorial, sem peso oficial atribuído

60 conceitos essenciais 1-10

1. O que um livro-razão público permite verificar

Criptoativos e blockchain

Uma blockchain pública registra transações segundo regras de consenso que permitem conferir valores, endereços, sequência e estado da rede. Essa visibilidade ajuda a reconstruir fluxos, mas não revela automaticamente quem controla cada endereço. Comece identificando a cadeia, o ativo e o intervalo de blocos; depois separe fatos observáveis de hipóteses sobre pessoas. Essa distinção preserva a qualidade das conclusões de prevenção a crimes financeiros.

Exemplo: Uma analista encontra três transferências sucessivas de um token entre endereços novos. Ela confirma os hashes, valores e horários na cadeia antes de pedir dados da corretora para investigar quem iniciou o primeiro envio.

Equívoco comum: Interpretar transparência como identificação pessoal transforma um registro técnico em prova de titularidade. Endereços visíveis sustentam o trajeto dos ativos; o vínculo com uma pessoa precisa de evidência independente.

2. Endereço, chave e controle

Criptoativos e blockchain

Um endereço recebe ativos, enquanto a chave privada ou outro mecanismo de assinatura autoriza movimentações. A pessoa que conhece um endereço pode observá-lo sem controlá-lo; quem controla uma chave também pode agir por conta de terceiros. Ao avaliar uma alegação de titularidade, procure assinatura verificável, registros de custódia e contexto contratual. Mesmo uma assinatura demonstra capacidade técnica naquele momento, não necessariamente propriedade econômica ou identidade civil.

Exemplo: Um cliente informa que um endereço de saque pertence à sua empresa. A equipe obtém confirmação técnica de controle e confronta a informação com o mandato societário e os registros da plataforma custodiante.

Equívoco comum: Tratar uma assinatura como prova completa de beneficiário final ignora representação, custódia compartilhada e chaves comprometidas. O controle técnico responde a uma pergunta mais estreita que a titularidade jurídica.

3. Transação e finalidade econômica

Criptoativos e blockchain

Uma transação demonstra mudança de estado na rede, como transferência de tokens ou execução de contrato. Seu significado econômico depende de quem a iniciou, da finalidade declarada e dos serviços envolvidos. Leia entradas, saídas, taxas e eventos do contrato antes de chamar um movimento de pagamento ou saque. A mesma estrutura técnica pode representar negociação legítima, transferência interna de tesouraria ou etapa de dissimulação.

Exemplo: Uma empresa envia stablecoins para outro endereço sob seu controle para reorganizar a custódia. O fluxo parece pagamento externo até que registros internos, autorização e reconciliação mostram a transferência entre carteiras próprias.

Equívoco comum: Classificar toda movimentação entre endereços como transação comercial cria alertas sem fundamento. O registro em cadeia mostra o movimento; documentos e contexto operacional esclarecem sua função.

4. Confirmações, reorganizações e tempo

Criptoativos e blockchain

A inclusão de uma transação em bloco indica que a rede a processou, mas a estabilidade prática varia conforme o mecanismo de consenso e o número de confirmações. Reorganizações podem alterar blocos recentes. Em investigações, registre horário de observação, altura do bloco e critério operacional para considerar o evento final. Isso evita decisões precipitadas quando um depósito aparece na interface antes de atingir o padrão de confirmação da instituição.

Exemplo: Uma corretora recebe aviso de depósito e o sistema cria alerta de sanções. O analista preserva o evento preliminar, espera o limiar de confirmações previsto e documenta se a transação permaneceu na cadeia.

Equívoco comum: Confundir um aviso de transação pendente com liquidação definitiva pode produzir bloqueios ou liberações prematuros. O estado da rede e o critério de confirmação precisam constar da decisão.

5. Modelos UTXO e de contas

Criptoativos e blockchain

Em redes baseadas em saídas não gastas, uma transação consome saídas anteriores e cria novas saídas, inclusive troco. Em redes baseadas em contas, o saldo e o estado mudam por operações atribuídas a contas e contratos. O método de rastreamento deve refletir o modelo da cadeia: uma saída de troco não é automaticamente pagamento a terceiro, e uma chamada de contrato pode conter vários eventos economicamente distintos.

Exemplo: Ao examinar uma operação com duas saídas, a investigadora identifica uma saída provável de troco pelo padrão técnico. Ela mantém a conclusão provisória até comparar valores, histórico e dados de serviço.

Equívoco comum: Aplicar a mesma heurística a todas as cadeias confunde troco, pagamento e interação contratual. Primeiro determine como a rede representa propriedade e mudança de estado.

6. Taxas e identificadores de transação

Criptoativos e blockchain

Taxas remuneram recursos da rede e podem variar por congestionamento, prioridade e complexidade de execução. O identificador de transação ajuda a localizar um evento, mas não descreve sozinho a operação econômica completa. Guarde também cadeia, ativo, endereço, bloco e horário, pois identificadores semelhantes podem existir em ambientes diferentes. Ao reconciliar valores, distinga montante enviado, recebido e taxa paga para não atribuir a diferença a desvio de fundos.

Exemplo: Um cliente questiona por que o valor recebido é menor que o enviado. A equipe confere a taxa, a rede utilizada e o comprovante da prestadora antes de registrar qualquer suspeita de apropriação.

Equívoco comum: Uma diferença entre valores brutos e líquidos pode decorrer de taxas legítimas. Sem identificar a rede e o tipo de operação, a reconciliação produz uma suspeita artificial.

7. Carteiras custodiais e autocustódia

Criptoativos e blockchain

Em custódia, uma prestadora pode manter as chaves e registrar direitos dos clientes em livro interno; na autocustódia, o usuário normalmente controla o mecanismo de assinatura. Essa diferença determina quais dados e controles cada parte consegue oferecer. Uma transferência para endereço externo não prova que o cliente o controla. Identifique o modelo, a prestadora e o ponto em que a visibilidade deixa de ser individualizada.

Exemplo: Uma cliente retira ativos da corretora para uma carteira externa. A equipe confirma a ordem e avalia o endereço, mas registra separadamente que ainda não verificou quem controla a carteira de destino.

Equívoco comum: Presumir que toda retirada para autocustódia pertence ao cliente dispensa uma pergunta essencial. A autenticação da ordem não demonstra controle do endereço beneficiário nem elimina o risco da transferência.

8. Endereços de depósito e contas internas

Criptoativos e blockchain

Uma prestadora pode atribuir endereços de depósito a clientes e depois concentrar ativos em carteiras comuns. O saldo exibido ao cliente costuma depender do livro interno, não de uma carteira exclusiva permanente. Para atribuir um depósito, combine endereço, identificador da operação, janela temporal e registros da prestadora. Esse procedimento reduz erros quando endereços são reutilizados, transferidos ou associados a estruturas de custódia complexas.

Exemplo: Dois depósitos chegam a endereços ligados à mesma corretora e seguem para uma carteira central. Apenas os registros internos da prestadora mostram que pertenciam a clientes diferentes.

Equívoco comum: Atribuir todos os fundos de uma carteira central a um único usuário distorce a exposição individual. Carteiras compartilhadas exigem reconciliação com os registros internos da prestadora.

9. Exchanges, corretoras e caminhos de conversão

Criptoativos e blockchain

Plataformas podem intermediar compra, venda, troca e transferência, mas suas funções jurídicas e operacionais variam. Uma conversão entre ativos pode ocorrer em livro interno e não aparecer como negociação individual na cadeia. Para reconstruir o percurso, combine entradas e saídas em cadeia com ordens, saldos e registros de execução. Pergunte em que ponto os ativos mudaram de titular econômico, não apenas onde mudou o endereço.

Exemplo: Um usuário deposita bitcoin, negocia por stablecoin e retira em outra rede. A investigadora solicita histórico de ordens e saques para preencher a lacuna entre as duas cadeias.

Equívoco comum: Concluir que não houve troca porque não aparece uma operação pública ignora negociações internas. A ausência de registro em cadeia limita a observação, não elimina a atividade.

10. Stablecoins e risco do emissor

Criptoativos e blockchain

Stablecoins procuram manter referência de valor por reservas, mecanismos de resgate ou desenho algorítmico, com riscos diferentes em cada modelo. Avalie emissor, direito de resgate, possibilidade de congelamento, rede e pontos de conversão. Estabilidade de preço não significa baixo risco de crime financeiro: liquidez e aceitação ampla podem facilitar deslocamentos rápidos. A análise deve distinguir risco financeiro do ativo e risco de uso indevido do serviço.

Exemplo: Uma empresa recebe grande volume de stablecoins e afirma que não há risco porque o preço acompanha uma moeda. A equipe examina origem, contrapartes, emissor e possibilidade de resgate.

Equívoco comum: Usar a estabilidade do preço como substituto de diligência confunde volatilidade com integridade financeira. Um ativo de preço estável ainda pode transportar recursos ilícitos.

60 conceitos essenciais 11-20

11. Pontes entre cadeias

Criptoativos e blockchain

Uma ponte pode bloquear ou queimar um ativo em uma cadeia e liberar ou emitir representação em outra. O investigador precisa relacionar os eventos correspondentes por contrato, valor, horário e identificadores disponíveis. A mudança de rede dificulta o rastreamento e introduz riscos de contrato ou operador, mas não apaga automaticamente o histórico anterior. Registre a confiança da correspondência, sobretudo quando muitos usuários utilizam o mesmo mecanismo.

Exemplo: Fundos provenientes de uma fraude entram em uma ponte e surgem como token representativo em outra rede. A analista associa os eventos, preserva a incerteza e continua o rastreamento.

Equívoco comum: Encerrar o fluxo ao encontrar uma ponte deixa de examinar o destino econômico. Também é incorreto ligar eventos apenas por valores parecidos quando há operações simultâneas.

12. Contratos inteligentes e eventos

Criptoativos e blockchain

Contratos inteligentes executam regras codificadas quando recebem chamadas válidas. Uma única chamada pode gerar vários eventos de transferência, troca ou empréstimo. Para interpretar exposição, examine função executada, contrato, tokens movimentados e resultado final, em vez de contar cada evento como pagamento independente. O código ajuda a entender possibilidades técnicas, enquanto a intenção do usuário exige contexto adicional e evidências fora da cadeia.

Exemplo: Uma chamada a contrato produz três eventos de token. O analista identifica que representam entrada em um pool, emissão de recibo e cobrança de taxa, sem presumir três beneficiários distintos.

Equívoco comum: Somar eventos como transferências independentes infla volumes e número de contrapartes. A unidade econômica pode ser uma única interação contratual com efeitos contábeis diferentes.

13. Pools e finanças descentralizadas

Criptoativos e blockchain

Pools de liquidez agregam ativos para trocas, empréstimos ou outras operações automatizadas. Uma interação com o pool não identifica, por si, a contraparte econômica final; o desenho do protocolo e os fluxos seguintes importam. Avalie contratos, administradores, interfaces e possibilidade de intervenção humana ao estudar risco e enquadramento. Chamar uma aplicação de descentralizada não resolve a análise funcional de quem presta serviço ou exerce controle.

Exemplo: Um cliente troca um token por outro em um pool. A equipe reconstrói a operação, identifica o contrato e verifica se há operador relevante antes de concluir quais controles cabem à instituição.

Equívoco comum: Tratar todo protocolo descentralizado como prestadora regulada, ou nenhum deles como tal, substitui análise funcional por rótulo. Papel humano e atividade efetiva precisam ser examinados.

14. NFTs e direitos subjacentes

Criptoativos e blockchain

Um token não fungível pode representar acesso, coleção, direito contratual ou outro interesse, dependendo de sua estrutura e uso. O rótulo NFT não define sozinho se o instrumento entra em uma categoria regulatória de ativo virtual ou criptoativo. Examine negociabilidade, finalidade econômica, direitos associados e padrão de transações. Preços difíceis de justificar e negociações entre partes relacionadas podem merecer análise, mas não demonstram lavagem sem evidências adicionais.

Exemplo: Uma coleção registra vendas repetidas do mesmo item entre carteiras próximas. A analista compara pagamentos, vínculos conhecidos e preços de mercado antes de decidir se há autonegociação suspeita.

Equívoco comum: Presumir que todo NFT está fora das regras cria lacunas de controle. Presumir que toda venda cara é lavagem também ignora escassez, utilidade e evidência de mercado.

15. Camadas de execução e transações agrupadas

Criptoativos e blockchain

Soluções de segunda camada processam operações fora da cadeia principal ou em ambiente separado e publicam provas ou lotes posteriormente. Uma transação na cadeia principal pode representar muitas operações de usuários. Para investigar um caso, identifique o ambiente de execução, os dados acessíveis e o vínculo entre depósitos, operações e retiradas. Não atribua todo o lote a uma pessoa apenas porque ele aparece sob um único contrato.

Exemplo: Um saque de segunda camada chega à cadeia principal após um lote coletivo. A equipe usa o histórico da camada de execução para relacionar o saque ao cliente correto.

Equívoco comum: Ler uma operação agrupada como transação individual gera atribuição falsa. A granularidade visível na cadeia principal pode ser insuficiente para identificar o fluxo de cada usuário.

16. Agrupamento de endereços como hipótese

Criptoativos e blockchain

Ferramentas agrupam endereços por heurísticas, como padrões de entradas, troco ou comportamento operacional. Cada técnica tem condições de validade e pode falhar diante de serviços compartilhados, privacidade ou mudanças de arquitetura. Documente a heurística e o grau de confiança antes de utilizar o agrupamento em uma decisão. Atribuição de identidade requer evidências independentes; um conjunto provável de endereços continua sendo uma hipótese sobre controle comum.

Exemplo: Uma ferramenta reúne cinco endereços e sugere uma mesma entidade. A investigadora confere a regra de agrupamento, encontra uso compartilhado de custódia e limita a conclusão no relatório.

Equívoco comum: Transformar pontuação de agrupamento em identidade comprovada elimina a incerteza do método. A hipótese precisa ser confrontada com dados de cliente, prestadora ou outra fonte verificável.

17. Risco de entrada e saída do ecossistema

Criptoativos e blockchain

Entradas e saídas entre moeda fiduciária e criptoativos criam pontos em que instituições podem conhecer o cliente e observar a finalidade econômica. Esses pontos também revelam diferenças entre valor declarado, volume negociado e patrimônio esperado. Mapeie intermediários, contas bancárias, origem dos recursos e beneficiário do resgate. A trilha em cadeia complementa, mas não substitui, os registros financeiros usados para verificar a explicação do cliente.

Exemplo: Um cliente compra criptoativos com transferências de terceiros e retira imediatamente. A equipe compara nomes das contas de origem, justificativas e endereços de destino antes de escalar.

Equívoco comum: Examinar somente a carteira de destino pode ocultar financiamento por terceiros. O risco surge da combinação entre a entrada fiduciária, a operação em cripto e a saída.

18. Explicar um fluxo técnico com precisão

Criptoativos e blockchain

Um relatório útil descreve a sequência de fatos em linguagem verificável: ativo, cadeia, transação, serviço identificado, valor e horário. Separe observação, inferência e informação fornecida por terceiros. Essa estrutura permite que decisores sem formação técnica entendam por que a análise sustenta uma medida. Se houver lacunas, indique exatamente quais dados poderiam resolvê-las, como registros de conta da prestadora ou documentação de custódia.

Exemplo: Ao resumir uma ponte entre redes, a analista escreve quais eventos verificou e qual ligação ainda depende da prestadora. O comitê consegue decidir sem confundir hipótese com fato.

Equívoco comum: Jargão e mapas visuais sem explicação podem esconder premissas fracas. O leitor precisa saber o que foi observado, o que foi inferido e o que permanece desconhecido.

19. Padrões do GAFI e obrigação doméstica

Fundamentos de prevenção à lavagem de dinheiro

As Recomendações do GAFI estabelecem padrões internacionais, mas a obrigação exigível de uma entidade decorre da lei e da regulação aplicáveis. Use as Recomendações do GAFI para identificar expectativas de risco e depois localize a norma doméstica, o supervisor e a atividade coberta. Registre eventuais diferenças de definição ou prazo. Essa sequência impede que uma orientação internacional seja apresentada como comando legal universal.

Exemplo: Uma prestadora atua em dois países com regras distintas de cadastro. A equipe usa o padrão internacional como referência e documenta separadamente as exigências vigentes em cada licença.

Equívoco comum: Citar o GAFI como se fosse a lei local pode gerar procedimento incorreto. O padrão orienta a comparação; a consequência jurídica exige identificação da norma aplicável.

20. Definir prestadora de serviços de ativos virtuais

Fundamentos de prevenção à lavagem de dinheiro

O enquadramento como prestadora de serviços de ativos virtuais depende da atividade realizada para terceiros, e não apenas do nome comercial ou da tecnologia usada. A orientação do GAFI sobre ativos virtuais ajuda a examinar troca, transferência, custódia e participação em serviços financeiros relacionados. Depois, compare a definição local. Um desenvolvedor de software e um operador que controla transações podem ter papéis diferentes mesmo no mesmo protocolo.

Exemplo: Uma equipe avalia uma interface que encaminha ordens e cobra tarifas. Ela mapeia quem decide parâmetros, movimenta ativos e presta serviço antes de consultar a definição regulatória local.

Equívoco comum: Chamar qualquer desenvolvedor de prestadora regulada confunde criação de código com operação de serviço. Ignorar controle efetivo por causa do rótulo descentralizado produz o erro oposto.

60 conceitos essenciais 21-30

21. Distinguir prestadora de ativos virtuais e prestadora europeia

Fundamentos de prevenção à lavagem de dinheiro

O conceito internacional de prestadora de ativos virtuais e a categoria europeia de prestadora de serviços de criptoativos têm fontes e efeitos diferentes. Para uma operação com vínculo europeu, examine serviços e categorias previstos no regulamento MiCA, inclusive exclusões e vias específicas para instituições já reguladas. A autorização para prestar serviço e as obrigações de prevenção à lavagem de dinheiro também exigem análise própria. Um rótulo não substitui o outro.

Exemplo: Um banco pretende oferecer custódia de criptoativos na União Europeia. A equipe identifica a via regulatória aplicável ao banco e avalia separadamente suas obrigações de prevenção a crimes financeiros.

Equívoco comum: Usar uma classificação internacional como licença europeia cria uma conclusão jurídica indevida. Primeiro identifique serviço e entidade; depois verifique o instrumento regulatório competente.

22. Mapear o vínculo jurisdicional

Fundamentos de prevenção à lavagem de dinheiro

Uma transferência pode envolver cliente, prestadora, endereço, emissor e contraparte em países distintos. Antes de aplicar regra de cadastro, reporte ou sanções, identifique estabelecimento, licença, residência das partes e local de prestação do serviço. A localização de um nó de rede isolado raramente resolve essa análise. Documente o vínculo que torna uma norma relevante e consulte especialistas locais quando a consequência depender de interpretação jurídica.

Exemplo: Uma prestadora sediada no país A atende cliente do país B e usa infraestrutura no país C. A equipe mapeia entidades contratantes e serviços prestados antes de selecionar requisitos de monitoramento.

Equívoco comum: Aplicar a regra do país onde está um servidor pode ignorar os verdadeiros vínculos jurídicos. A análise começa pelos papéis e pela prestação do serviço.

23. Travel Rule: partes e informações

Fundamentos de prevenção à lavagem de dinheiro

A Travel Rule trata da transmissão e disponibilidade de informações sobre originador e beneficiário em transferências cobertas. Determine quais prestadoras participam, qual norma local se aplica e quais dados precisam acompanhar a operação. A orientação internacional não autoriza importar um limite monetário único para todos os países. Qualidade dos dados, identificação da contraparte e capacidade de corrigir informações incompletas são tão importantes quanto a transmissão técnica.

Exemplo: Uma prestadora envia criptoativos a outra e recebe dados incompletos do beneficiário. A equipe identifica a regra aplicável, solicita correção e registra a decisão operacional conforme o risco.

Equívoco comum: Confundir o envio de dados com aprovação automática da transação ignora sanções e monitoramento. A Travel Rule cobre uma obrigação informacional específica, não toda a análise de risco.

24. Transferências europeias e endereços de autocustódia

Fundamentos de prevenção à lavagem de dinheiro

No âmbito europeu, o regulamento sobre informações que acompanham transferências estabelece deveres para transferências de criptoativos com prestadoras cobertas. A direção do fluxo, o valor, a presença de endereço de autocustódia e o papel da prestadora afetam verificações adicionais. Não presuma isenção geral abaixo de mil euros nem aplique o texto a transferência puramente entre pessoas sem prestadora. Relacione cada controle ao artigo pertinente e ao cenário concreto.

Exemplo: Uma prestadora europeia recebe ativos de endereço de autocustódia. A equipe examina valor, direção e dados exigidos antes de definir verificações adicionais e registrar o resultado.

Equívoco comum: Tratar toda transferência pequena como livre de obrigações elimina requisitos de informação que podem continuar aplicáveis. O limite relevante depende da disposição e do tipo de verificação.

25. Diligência sobre clientes e beneficiários

Fundamentos de prevenção à lavagem de dinheiro

A diligência identifica o cliente, compreende sua atividade e, quando cabível, determina quem o controla ou se beneficia dela. Para empresas de criptoativos, relacione estrutura societária, serviços, origem dos recursos e padrões esperados de uso. Limiares de participação e exceções dependem da norma aplicável; nenhum percentual isolado serve para todos os países. Revise informações quando eventos concretos questionarem sua confiabilidade ou alterarem o risco.

Exemplo: Uma empresa recém-criada solicita limite elevado e apresenta sócios indiretos em várias camadas. A equipe reconstrói a cadeia de controle e compara o volume pretendido com sua atividade declarada.

Equívoco comum: Confundir endereço de carteira com beneficiário final deixa de identificar pessoas com controle econômico. A investigação societária e o rastreamento técnico respondem a perguntas diferentes.

26. Identificação, prova de identidade e autenticação

Fundamentos de prevenção à lavagem de dinheiro

Verificar quem uma pessoa afirma ser, autenticar seu acesso posterior e cumprir diligência financeira são tarefas relacionadas, porém distintas. A orientação técnica de prova de identidade do NIST ajuda a avaliar documentos, atributos e inscrição; a obrigação de diligência decorre da norma financeira aplicável. Uma autenticação forte reduz tomada de conta, mas não comprova origem dos recursos nem propósito da relação comercial.

Exemplo: Um cliente entra com autenticação resistente a fraude e envia ativos de fonte incompatível com seu perfil. A equipe mantém a análise de origem dos recursos apesar da segurança da sessão.

Equívoco comum: Considerar autenticação robusta como diligência completa mistura segurança de acesso com compreensão do cliente. Cada controle produz evidência para uma pergunta específica.

27. Risco de financiamento por terceiros

Fundamentos de prevenção à lavagem de dinheiro

Depósitos feitos por terceiros podem ser legítimos, mas reduzem a confiança na explicação de origem dos recursos se não houver relação clara com o cliente. Compare nomes, contas, frequência, justificativa e destino dos ativos. A decisão depende de regra local, perfil e evidência, não de uma proibição presumida. Quando o padrão divergir da finalidade declarada, ajuste limites, peça esclarecimentos ou abra investigação documentada.

Exemplo: Uma pequena empresa recebe compras de criptoativos pagas por várias pessoas sem vínculo aparente. A equipe pede contratos e reconcilia pagamentos antes de decidir se o padrão merece escalonamento.

Equívoco comum: Aceitar a explicação de que são familiares sem verificar vínculos pode ocultar interposição. Proibir todo pagamento de terceiro sem análise também ignora relações comerciais legítimas.

28. Crimes precedentes e hipóteses de uso

Fundamentos de prevenção à lavagem de dinheiro

Criptoativos podem movimentar produto de fraude, extorsão, corrupção ou outros crimes, mas o tipo de ativo não identifica o crime precedente. Formule uma hipótese a partir de comportamento, vítimas conhecidas, relatos, padrões de pagamento e informações externas verificáveis. Depois teste explicações alternativas. Essa disciplina evita que a presença de um mixer ou de uma stablecoin se torne, sozinha, uma conclusão sobre origem ilícita.

Exemplo: Uma carteira recebe muitos pagamentos pequenos após divulgação de um investimento falso. A investigadora compara datas, reclamações de vítimas e destinos dos fundos para avaliar a hipótese de fraude.

Equívoco comum: Chamar todo fluxo ofuscado de produto de ransomware antecipa uma conclusão sem suporte. A tipologia orienta perguntas; a evidência determina o que pode ser afirmado.

29. Ransomware e preservação do contexto

Fundamentos de prevenção à lavagem de dinheiro

Uma exigência de resgate pode fornecer endereço, prazo e quantia que ajudam a ligar um pagamento a uma ocorrência, mas endereços podem ser reutilizados ou repassados. Preserve comunicação da vítima, hash, horário, valor e informações da prestadora antes de rastrear conversões. Avalie também obrigações de sanções e reporte no território aplicável. A associação entre carteira e grupo criminoso deve indicar a fonte e o grau de confiança.

Exemplo: Uma empresa mostra mensagem de extorsão com endereço de pagamento. A equipe preserva o original, confere a transação e separa a associação ao incidente da atribuição pública do grupo.

Equívoco comum: Repetir uma atribuição pública como fato definitivo pode contaminar o relatório. A evidência do pagamento e a identificação do operador têm níveis de certeza diferentes.

30. Golpes de investimento e saída rápida

Fundamentos de prevenção à lavagem de dinheiro

Golpes podem concentrar depósitos de vítimas e converter rapidamente os recursos antes de saques ou transferências entre plataformas. Procure concentração temporal, promessas documentadas, reclamações, estruturas de indicação e discrepâncias entre retorno anunciado e fluxo real. Um aumento de volume, isoladamente, também ocorre em campanhas legítimas. A análise deve ligar o comportamento financeiro ao mecanismo de engano antes de qualificar a hipótese.

Exemplo: Uma plataforma recebe dezenas de depósitos após prometer rendimento fixo e envia quase tudo para carteiras externas. A equipe compara registros de clientes, material divulgado e pagamentos efetivos.

Equívoco comum: Classificar captação intensa como fraude sem examinar oferta e uso dos recursos é precipitado. A suspeita ganha força quando fluxo e representação aos clientes se contradizem.

60 conceitos essenciais 31-40

31. Sanções: lista, identidade e alcance

Fundamentos de prevenção à lavagem de dinheiro

A triagem de sanções começa por uma possível correspondência, não por uma conclusão. Confirme identidade por atributos disponíveis, identifique o regime, o vínculo jurisdicional e a medida específica. A lista consolidada do Conselho de Segurança da ONU informa designações, mas a implementação e as proibições concretas dependem do regime e da jurisdição. Registre por que um nome semelhante foi descartado ou escalado.

Exemplo: Uma cliente compartilha nome com pessoa listada. A equipe compara data de nascimento, país, documentos e informações da designação antes de decidir sobre a correspondência.

Equívoco comum: Bloquear com base apenas no nome pode afetar pessoa distinta; descartar por grafia diferente também é arriscado. A decisão precisa de atributos e da norma aplicável.

32. Regra norte-americana de propriedade bloqueada

Fundamentos de prevenção à lavagem de dinheiro

Nas sanções dos Estados Unidos, a regra de 50 por cento da OFAC considera a propriedade agregada, direta ou indireta, por pessoas bloqueadas. Controle sem esse patamar não torna automaticamente a entidade bloqueada por essa regra, embora outras proibições possam incidir. Reconstrua a cadeia societária conforme a orientação da OFAC, sem multiplicação mecânica através de intermediárias bloqueadas. Verifique sempre o vínculo norte-americano antes de aplicar a consequência.

Exemplo: Duas pessoas bloqueadas detêm participações em uma prestadora. A equipe soma participações relevantes pela metodologia da OFAC e documenta separadamente qualquer risco de controle ou outra proibição.

Equívoco comum: Importar a regra de 50 por cento para todos os países cria decisões erradas. O teste pertence ao contexto norte-americano e não substitui regras locais de propriedade ou controle.

33. Distinguir medidas dos Estados Unidos, Reino Unido e União Europeia

Fundamentos de prevenção à lavagem de dinheiro

Regimes de sanções podem divergir quanto a alcance territorial, licenças, propriedade, controle e reporte. Para uma operação transfronteiriça, faça matrizes separadas por regime e identifique qual instrumento se aplica a cada participante. A orientação britânica sobre sanções financeiras exige análise própria de propriedade e controle; ela não pode ser reduzida à regra norte-americana de 50 por cento. A decisão operacional deve refletir cada proibição efetivamente incidente.

Exemplo: Uma corretora atende grupo com sócios em três países. A equipe examina separadamente vínculos britânicos, europeus e norte-americanos antes de decidir se pode processar um resgate.

Equívoco comum: Escolher a regra mais conhecida e aplicá-la globalmente pode deixar uma restrição sem análise. Cada regime requer fundamento, vínculo e medida específica.

34. Licenciamento e cadastro regulatório

Fundamentos de prevenção à lavagem de dinheiro

Uma prestadora pode precisar de autorização, registro ou comunicação conforme atividade e país. O nome de uma licença em uma jurisdição não garante permissão equivalente em outra, e autorização prudencial não elimina deveres de prevenção a crimes financeiros. Crie um inventário por entidade, serviço, território e data de início. Revise mudanças de produto e distribuição, pois a passagem de tecnologia para serviço ao cliente pode alterar o enquadramento.

Exemplo: Uma empresa registrada para custódia quer acrescentar troca de tokens. A equipe compara a nova atividade com o alcance da autorização e atualiza os controles antes do lançamento.

Equívoco comum: Assumir que um registro cobre qualquer produto cripto ignora limites de atividade. A autorização deve ser lida contra o serviço concreto e a entidade que o oferece.

35. Regras de reporte por entidade coberta

Fundamentos de prevenção à lavagem de dinheiro

Deveres de registrar e comunicar operações suspeitas dependem de lei, tipo de instituição e fatos do caso. Nos Estados Unidos, o arcabouço da Lei de Sigilo Bancário deve ser lido com suas normas de implementação; uma prioridade governamental não cria, sozinha, novo gatilho de reporte. Defina entidade coberta, prazo, canal e padrão de suspeita antes de desenhar o procedimento. Preserve também a análise quando a decisão for não reportar.

Exemplo: Uma equipe detecta transferências atípicas de cliente empresarial. Ela identifica a entidade legal que presta o serviço, consulta sua regra de comunicação e documenta os fatos que sustentam a decisão.

Equívoco comum: Aplicar o formulário ou prazo de outra instituição pode gerar descumprimento. O reporte começa pela identificação da obrigação da entidade coberta, não pela semelhança da tipologia.

36. Proporcionalidade e inclusão

Fundamentos de prevenção à lavagem de dinheiro

Medidas baseadas em risco permitem ajustar intensidade de verificação e monitoramento quando a norma local admite essa flexibilidade. A orientação do GAFI sobre inclusão financeira apoia controles proporcionais e métodos alternativos de identificação em situações de menor risco; isso não significa ausência de diligência. Para um produto cripto de baixo valor, documente limites, canais, perfil e sinais de aumento de risco que exigem controles mais fortes.

Exemplo: Uma prestadora oferece serviço de baixo limite a usuários com documentação alternativa permitida. Ela valida os atributos exigidos, impõe limites proporcionais e reavalia contas que passam a receber grandes volumes.

Equívoco comum: Excluir todos os clientes com documentação não convencional pode ser desproporcional. Aceitá-los sem verificação quando a lei exige diligência também não é uma solução baseada em risco.