Due diligence de contraparte em ativos virtuais

Quase todo programa de compliance com exposição a ativos virtuais é construído sobre uma ferramenta de classificação de risco: o endereço entra, um rótulo sai. Isso é necessário, é barato e cobre o volume.

O problema aparece quando o rótulo vira a resposta inteira. Porque ele responde uma pergunta — e não é a que vai ser feita depois.

Duas perguntas que parecem uma

"Este endereço tem histórico problemático?" é uma pergunta sobre o endereço. A ferramenta responde bem: ela conhece o histórico daquele identificador e o classifica.

"Quem está por trás desta operação, e o recurso é o que diz ser?" é uma pergunta sobre a estrutura. Nenhuma classificação de endereço responde, porque a resposta não está na blockchain — está na relação entre pessoas, empresas e comportamento ao longo do tempo.

As duas coexistem sem contradição: endereço limpo e contraparte problemática é uma combinação comum, não uma anomalia. Um intermediário recém-criado começa com histórico impecável por definição — ele não tem histórico.

O que a classificação não alcança

• Estrutura societária real, incluindo quem aparece depois que se olha duas camadas além do quadro declarado
• Trajetória, e não só situação atual — a empresa regular hoje pode ter trocado de controle três vezes em dezoito meses
• Reincidência entre casos — a entidade descartada num alerta pode ser central em outro, meses depois, e sem memória isso é invisível
• Coerência entre discurso e comportamento — atividade declarada compatível com volume, presença pública compatível com porte, contraparte compatível com o negócio

Nada disso é falha da ferramenta. É escopo. O erro é tratar o piso como teto.

Sinais que pedem aprofundamento

Nenhum destes é conclusão. Todos são motivo para olhar melhor:

• Volume incompatível com a atividade declarada ou com o histórico da relação
• Estrutura recém-constituída operando valores de operação madura
• Cadeia de intermediários sem razão econômica aparente
• Endereço de destino que muda a cada operação sem justificativa
• Contraparte que resiste a esclarecer origem de recurso — a recusa é dado
• Presença pública inexistente ou construída em bloco, em datas próximas

Isoladamente, cada item tem explicação inocente. Três juntos raramente têm.

O gargalo é a análise, não o alerta

Este é o ponto que mais custa caro na prática.

Volume de transação em ativo virtual não é compatível com análise manual. Uma régua mal calibrada produz alerta em excesso — e alerta que ninguém consegue tratar cria o pior cenário possível: a instituição sabia, registrou que sabia, e não agiu. Do ponto de vista de responsabilização, isso é pior do que não ter gerado o alerta.

Por isso a régua importa mais que a ferramenta. Três decisões que precisam estar escritas antes de o alerta chegar:

1. O que sobe para análise aprofundada, e com base em quê
2. Quem decide, e em qual prazo
3. Para onde vai o que a ferramenta não resolve — capacidade interna ou apoio externo. Alerta sem destino vira alerta ignorado, e alerta ignorado aparece na auditoria

O que ninguém pergunta e deveria

A pergunta mais reveladora sobre um programa não é qual ferramenta ele usa. É esta: pegue um alerta de seis meses atrás e reconstrua a decisão usando só o que ficou registrado.

Se der para reconstruir — o que foi visto, o que se concluiu, por que se decidiu daquele jeito — o programa está de pé. Se a resposta depender da memória de alguém, o problema já existe hoje, e ele só vai aparecer quando alguém de fora fizer a mesma pergunta.

Controle sem trilha é, para efeito de supervisão, controle que não aconteceu.

Em uma linha

A ferramenta responde sobre o endereço; a pergunta é sobre a contraparte. Ter as duas respostas custa mais — e é a diferença entre ter cumprido o processo e conseguir demonstrar isso.

---

A CyberX atua em inteligência digital aplicada à investigação — OSINT, rastreamento on-chain e antifraude. Este conteúdo é informativo e não constitui orientação jurídica.