KYC

Anna quer comprar bitcoin pela primeira vez. Escolhe uma corretora, abre uma conta e, em vez do botão de compra, encontra uma solicitação para verificar sua identidade. Isso pode envolver um documento, uma verificação facial ou perguntas sobre como pretende usar a conta. Ela acaba de conhecer o KYC. O serviço procura saber com quem está iniciando uma relação comercial e cumprir suas obrigações. KYC integra AML/CFT, as medidas contra lavagem de dinheiro e financiamento do terrorismo. Conferir o documento é só uma parte: também há avaliação de riscos, conservação de registros e comunicação de operações suspeitas. Não se trata de uma exigência da rede Bitcoin nem de prova de que Anna fez algo errado. [1]

Se Anna recebesse bitcoin diretamente em sua própria carteira, os nós da rede não examinariam seu documento. Um Full Node é um computador com um programa que verifica por conta própria as transações e os blocos do Bitcoin conforme as regras da rede. Já uma corretora ou empresa que guarda recursos de clientes atua como um prestador de serviço separado, com obrigações legais próprias. Documentos internacionais usam a sigla VASP para certos prestadores de serviços de ativos virtuais. Ter as próprias chaves, por si só, não transforma Anna em um desses prestadores. A chave privada é um dado secreto que a carteira usa para criar uma assinatura digital autorizando um pagamento. Mas Self-custody, ou administrar as próprias chaves, não elimina as obrigações da corretora quando ela faz um saque para essa carteira. Por isso, a empresa pode perguntar a quem pertence o endereço de destino, mesmo que Anna controle a carteira. [2] [10]

O serviço confere os dados do cliente com fontes confiáveis e independentes. No caso de uma empresa, seu nome não basta: também importam as pessoas físicas que, em última instância, a possuem ou controlam, chamadas beneficiários finais. O prestador também procura entender a finalidade da relação comercial. No entanto, verificar um documento não comprova a origem de cada real nem quem detém naquele momento a chave privada de um endereço Bitcoin. Anna pode ter informado o endereço de outra pessoa. Identidade do cliente, controle de um endereço e origem do dinheiro são questões relacionadas, mas diferentes. [1] [5]

Anna pode passar por uma verificação breve em um serviço e receber outras perguntas em outro. A diferença pode estar ligada à legislação, ao produto, ao país, ao valor ou ao risco avaliado. Um risco maior pode exigir uma análise mais cuidadosa; um risco menor pode permitir um processo simplificado, desde que as condições sejam atendidas. Não existe uma lista única de documentos válida no mundo inteiro. FATF, conhecido em português como GAFI, é o organismo internacional que estabelece padrões contra lavagem de dinheiro. Ele fornece uma estrutura que os países incorporam às suas normas. Uma recomendação sua não é, por si só, uma lei que imponha o mesmo formulário a todo usuário de Bitcoin. O serviço deve conseguir explicar quais dados pede e por quê. [1]

Mais tarde, Anna vende seu carro e quer usar parte do valor para comprar bitcoin. A corretora pode pedir uma explicação para um depósito fora do habitual. Source of funds se refere à origem do dinheiro usado em uma operação específica, como essa venda. Source of wealth trata de como a pessoa formou seu patrimônio de modo geral. São perguntas diferentes. O prestador também pode atualizar informações anteriores e comparar as operações com o uso esperado da conta. A solicitação deve fazer sentido na situação e no regime jurídico; isso não significa que todo cliente tenha de documentar sua vida inteira a cada compra. [1]

Quando Anna transfere bitcoin entre prestadores, também podem circular informações exigidas sobre quem envia e quem recebe. Esse é o campo da Travel Rule. Não é preciso gravar nomes ou cópias de documentos na blockchain pública: os serviços trocam ou conservam essas informações separadamente. Na União Europeia, o Regulamento 2023/1113 é uma das normas que tratam do assunto. Ele distingue transferências com participação de um prestador daquelas feitas diretamente entre pessoas sem esse intermediário. A exclusão destas últimas desse regulamento não é uma isenção de todas as leis. Uma transferência entre uma carteira própria e uma corretora continua envolvendo um serviço que pode ter obrigações de verificação. [3] [4] [9]

Além dos dados do cliente, o prestador pode usar análise da blockchain. Essa análise acompanha endereços e conexões entre transações. Cada saída de uma transação define um valor e as condições para gastá-lo. Enquanto não for gasta, ela é chamada de UTXO; uma transação posterior pode fazer referência a ela por meio de uma entrada. O analista pode associar parte desses rastros a serviços conhecidos. Parte das conclusões depende de inferências. CoinJoin, por exemplo, permite que várias pessoas participem de uma transação; por isso, entradas gastas juntas não precisam ter um único dono. Uma pontuação de risco, sozinha, não prova identidade nem origem criminosa dos recursos. É importante não transformar um rastro técnico em uma narrativa supostamente certa sobre alguém, e poder apresentar contexto e solicitar revisão diante de um erro. [8] [10]

Anna entrega dados sensíveis que podem ser ligados à sua conta e aos endereços usados para saques. Se houver vazamento, não será apenas uma lista de e-mails exposta: alguém poderá obter pistas sobre a atividade financeira de uma pessoa específica. Vale saber quem trata esses dados, com quem os compartilha, como os protege e por quanto tempo os mantém. Na União Europeia, também se aplicam os princípios do Regulamento Geral sobre a Proteção de Dados (GDPR), como limitação da finalidade e coleta apenas do necessário. A obrigação legal de conservar certos registros pode continuar após o encerramento da conta. Fechá-la, portanto, não apaga automaticamente todos os documentos de imediato; os direitos e prazos específicos dependem da lei aplicável. [6] [1]

Se o serviço não consegue cumprir as verificações exigidas, pode adiar ou recusar a abertura da conta ou uma transferência, ou encerrar a relação comercial. Conforme as circunstâncias, também pode ter de enviar uma comunicação sigilosa ou restringir a movimentação dos recursos. Isso, por si só, não é uma declaração de culpa. Também não é possível prometer que todo saque será atendido imediatamente ou que o suporte sempre poderá explicar todos os detalhes de uma análise. Para Anna, é importante conhecer os termos do serviço, o procedimento de reclamação e a autoridade supervisora pertinente. Regras, prazos e possibilidades de contestação variam entre países e serviços. [1]

Antes de enviar documentos, Anna abre o aplicativo conhecido ou o site oficial e verifica quem está pedindo seus dados. Uma mensagem urgente com o logotipo da corretora não basta para merecer confiança. KYC nunca é motivo para revelar a Seed Phrase, as palavras usadas para recuperar a carteira, nem uma chave privada. O controle de um endereço pode ser verificado de outras maneiras; antes de assinar, é preciso entender o que o dispositivo está autorizando. Quanto aos documentos, ajuda distinguir dados obrigatórios de opcionais e conhecer as consequências de uma recusa. Nem concluir KYC nem possuir uma licença garantem, por si só, capacidade de cumprir suas obrigações financeiras, seguro de depósitos, custódia segura ou bom preço. KYC diz respeito à verificação do cliente, não à ausência de riscos no serviço. [7]