FINTRAC 2026 : 50 licences révoquées, 23 firmes crypto tombées, anatomie de la vague canadienne

Une accélération discrète, puis brutale

Le 17 mars 2026, FINTRAC, le Financial Transactions and Reports Analysis Centre of Canada, a publié sans préavis la révocation d'enregistrement de 23 Money Services Businesses (MSB) liées à des opérations crypto. Trois mois plus tard, le compteur monte à 50 révocations, dont 47 firmes crypto selon le décompte agrégé par AML Network. Pour un régulateur qui révoquait historiquement deux ou trois licences par an, c'est une accélération d'un ordre de grandeur.

Comprendre cette vague demande de remonter de quelques mois en arrière.

La directive Champagne, février 2026

En février 2026, le ministre des Finances François-Philippe Champagne a adressé à la directrice de FINTRAC une directive ministérielle décrivant comme prioritaire la « mobilisation des ressources contre les menaces de financement illicite ». Le langage juridique cache une indication opérationnelle simple : faire de l'enforcement crypto un thème prioritaire et visible, avec budget et autorité politique pour absorber les inévitables contestations en Cour fédérale.

La directive Champagne n'a pas créé de nouvelles règles. La PCMLTFA, Proceeds of Crime (Money Laundering) and Terrorist Financing Act, était déjà la loi-cadre. FINTRAC avait déjà l'autorité de révocation et de pénalité administrative. Ce qui a changé, c'est la cadence d'exécution. Bennett Jones, dans son analyse de la pénalité Cryptomus, parle d'une « acceleration significative of enforcement pace » dont la trajectoire est claire.

Anatomie des révocations de mars

Sur les 23 MSB révoquées le 17 mars, FINTRAC n'a publié que des fiches techniques par entité. Le décodage par AML Intelligence et AML Network identifie cinq patterns de violation récurrents :

1. Failure to register / late registration : opérer comme MSB sans enregistrement valide, ou avec un enregistrement périmé. C'est le grief le plus fréquent dans la vague de mars.
2. Failure to file suspicious transaction reports (STR) , défaut de signalement de transactions suspectes. Le cas emblématique reste Cryptomus avec 1 068 STR manquantes ; les firmes plus petites avaient des manques proportionnels.
3. Insufficient compliance program, absence d'un programme AML écrit, désignation manquante d'un compliance officer, défaut de revue annuelle.
4. Customer due diligence (CDD) defaults : ouverture de compte sans collecte des informations clients requises.
5. Travel Rule defaults, non-transmission des informations donneur d'ordre / bénéficiaire sur les transferts crypto au-dessus du seuil légal.

Les profils touchés

Le décompte par typologie est plus éclairant qu'une simple liste de noms :

• 13 exchanges centralisés de petite et moyenne taille, souvent des plateformes régionales qui n'avaient jamais atteint la taille critique justifiant un compliance officer dédié.
• 9 P2P dealers, opérateurs individuels ou petites structures servant un marché spot ou OTC, beaucoup opérant via Telegram ou WhatsApp.
• 15 firmes plus complexes, payment processors, custodians, mineurs avec activité de conversion, wallets hosted. Cryptomus / Xeltox Enterprises fait partie de cette dernière cohorte, avec la pénalité record CAD 176,9M.

Lecture pour l'utilisateur

Le signal envoyé par FINTRAC n'est pas adressé à l'utilisateur final. Il est adressé aux opérateurs de plateformes, et indirectement aux investisseurs qui financent ces plateformes, pour leur signifier que le coût de la non-conformité au Canada est désormais à la mesure des bénéfices anticipés. Cela dit, trois conséquences directes touchent l'utilisateur :

1. Risque de freeze pendant l'enforcement. Lorsque FINTRAC révoque un MSB, les fonds en transit chez ce MSB sont de facto immobilisés pendant la liquidation. Aucune plateforme ne communique sur ce risque avant qu'il se matérialise.
2. Migration des opérateurs vers d'autres juridictions. Le rapport TRM Labs documente déjà le pattern Cryptomus → Heleket (Géorgie). D'autres migrations vers la Géorgie, le Costa Rica, Saint-Vincent-et-les-Grenadines sont attendues. L'utilisateur qui suit un opérateur dans sa migration accepte implicitement de changer de régime juridique.
3. Resserrement du périmètre des plateformes accessibles depuis le Canada. La BaFin allemande et l'AMF française ont déjà commencé à bloquer des domaines ; FINTRAC a maintenant les outils techniques pour faire de même.

Le signal global

L'enforcement canadien fonctionne en miroir des actions européennes (MiCA 1ᵉʳ juillet 2026) et américaines (FinCEN proposed rule sur les CVC mixers, OFAC sanctions extensions). L'industrie appelle ce phénomène la « global enforcement convergence » : des outils juridiques différents, des cadences décalées, mais une direction commune. FINTRAC 2026 est l'illustration la plus visible de cette convergence parce qu'elle se traduit en révocations chiffrables plutôt qu'en simples annonces.

Pour le directory, cela signifie une chose précise : la fréquence des mises à jour éditoriales sur la catégorie payment processors et exchange va augmenter. Les fiches Cryptomus et Heleket déjà publiées seront ré-éditées si l'appel Federal Court de Xeltox tranche en faveur de l'une ou l'autre partie. La fiche Card2Crypto reste la référence neutre du segment, no-KYC merchant + customer-side KYC variable, et son score 7,0 / 10 résiste à la vague d'enforcement parce que l'architecture qu'elle représente n'est pas l'architecture qui tombe.