FINTRAC 2026: 50 licenze revocate, 23 aziende crypto cadute, anatomia dell'ondata canadese

Un'accelerazione discreta, poi brutale

Il 17 marzo 2026, FINTRAC, il Financial Transactions and Reports Analysis Centre of Canada, ha pubblicato senza preavviso la revoca di registrazione di 23 Money Services Businesses (MSB) legate a operazioni crypto. Tre mesi dopo, il contatore sale a 50 revoche, di cui 47 aziende crypto secondo il conteggio aggregato di AML Network. Per un regulatore che storicamente revocava due o tre licenze all'anno, è un'accelerazione di un ordine di grandezza.

Comprendere questa ondata richiede di tornare indietro di qualche mese.

La direttiva Champagne, febbraio 2026

Nel febbraio 2026, il Ministro delle Finanze François-Philippe Champagne ha indirizzato alla direttrice di FINTRAC una direttiva ministeriale che descriveva come prioritaria la « mobilitazione delle risorse contro le minacce di finanziamento illecito ». Il linguaggio giuridico nasconde un'indicazione operativa semplice: fare dell'enforcement crypto un tema prioritario e visibile, con budget e autorità politica per assorbire le inevitabili contestazioni in Corte federale.

La direttiva Champagne non ha creato nuove regole. La PCMLTFA, Proceeds of Crime (Money Laundering) and Terrorist Financing Act, era già la legge quadro. FINTRAC aveva già l'autorità di revoca e di sanzione amministrativa. Ciò che è cambiato è la cadenza di esecuzione. Bennett Jones, nella sua analisi della sanzione Cryptomus, parla di una « acceleration significativa of enforcement pace » la cui traiettoria è chiara.

Anatomia delle revoche di marzo

Sulle 23 MSB revocate il 17 marzo, FINTRAC ha pubblicato solo schede tecniche per entità. La decodifica di AML Intelligence e AML Network identifica cinque pattern di violazione ricorrenti:

1. Failure to register / late registration: operare come MSB senza registrazione valida, o con una registrazione scaduta. È il motivo di reclamo più frequente nell'ondata di marzo.
2. Failure to file suspicious transaction reports (STR), mancata segnalazione di transazioni sospette. Il caso emblematico resta Cryptomus con 1.068 STR mancanti; le aziende più piccole avevano carenze proporzionali.
3. Insufficient compliance program, assenza di un programma AML scritto, mancata designazione di un compliance officer, mancata revisione annuale.
4. Customer due diligence (CDD) defaults: apertura di conto senza raccolta delle informazioni clienti richieste.
5. Travel Rule defaults, mancata trasmissione delle informazioni ordinante / beneficiario sui trasferimenti crypto oltre la soglia legale.

I profili colpiti

Il conteggio per tipologia è più illuminante di una semplice lista di nomi:

• 13 exchange centralizzati di piccola e media dimensione, spesso piattaforme regionali che non avevano mai raggiunto la dimensione critica giustificante un compliance officer dedicato.
• 9 P2P dealer, operatori individuali o piccole strutture che servono un mercato spot o OTC, molti operanti via Telegram o WhatsApp.
• 15 aziende più complesse, payment processor, custodian, miner con attività di conversione, wallet hosted. Cryptomus / Xeltox Enterprises fa parte di quest'ultima coorte, con la sanzione record di CAD 176,9M.

Lettura per l'utente

Il segnale inviato da FINTRAC non è indirizzato all'utente finale. È indirizzato agli operatori di piattaforme, e indirettamente agli investitori che finanziano queste piattaforme, per segnalare che il costo della non conformità in Canada è ormai alla misura dei benefici attesi. Detto questo, tre conseguenze dirette toccano l'utente:

1. Rischio di freeze durante l'enforcement. Quando FINTRAC revoca un MSB, i fondi in transito presso quel MSB sono di fatto immobilizzati durante la liquidazione. Nessuna piattaforma comunica su questo rischio prima che si materializzi.
2. Migrazione degli operatori verso altre giurisdizioni. Il rapporto TRM Labs documenta già il pattern Cryptomus → Heleket (Georgia). Altre migrazioni verso la Georgia, il Costa Rica, Saint-Vincent e Grenadine sono attese. L'utente che segue un operatore nella sua migrazione accetta implicitamente di cambiare regime giuridico.
3. Restringimento del perimetro delle piattaforme accessibili dal Canada. La BaFin tedesca e l'AMF francese hanno già iniziato a bloccare domini; FINTRAC ha ora gli strumenti tecnici per fare altrettanto.

Il segnale globale

L'enforcement canadese funziona a specchio delle azioni europee (MiCA 1° luglio 2026) e americane (FinCEN proposed rule sui CVC mixer, OFAC sanctions extensions). L'industria chiama questo fenomeno la « global enforcement convergence »: strumenti giuridici diversi, cadenze sfalsate, ma una direzione comune. FINTRAC 2026 è l'illustrazione più visibile di questa convergenza perché si traduce in revoche quantificabili piuttosto che in semplici annunci.

Per la directory, questo significa una cosa precisa: la frequenza degli aggiornamenti editoriali sulla categoria payment processor e exchange aumenterà. Le schede Cryptomus e Heleket già pubblicate saranno rieditate se l'appello Federal Court di Xeltox deciderà a favore dell'una o dell'altra parte. La scheda Card2Crypto resta il riferimento neutro del segmento, no-KYC merchant + customer-side KYC variabile, e il suo punteggio 7,0 / 10 resiste all'ondata di enforcement perché l'architettura che rappresenta non è l'architettura che cade.