Cryptomus veroordeeld tot 176,9 M CAD: het precedent dat alles verandert voor payment processors
Het vonnis, in cijfers
Op 22 oktober 2025 publiceerde FINTRAC de officiële kennisgeving van de administratieve geldboete tegen Xeltox Enterprises Ltd., een rechtspersoon naar Brits-Columbiaans recht die de crypto-service Cryptomus exploiteert:
- 176 924 045 Canadese dollars aan boete
- 2 593 overtredingen van de PCMLTFA
- Waarvan 1 068 ontbrekende verdachte-transactierapporten
- Overtredingen die betrekking hebben op stromen gelinkt aan: darknet markets, opbrengsten van kinderhandel, fraude, ransomware-betalingen, sanctieontduiking Iran
- En een specifieke nalevingsfout met de Ministerial Directive on Iran van november 2022
Dit is de zwaarste administratieve geldboete die FINTRAC ooit heeft opgelegd aan een Money Services Business in Canada, een factor 10 ten opzichte van de vorige hoogste boete. Het record op zich is het politieke signaal: de Canadese regering heeft besloten dat de kosten van non-conformiteit de verwachte winstgevendheid van het non-conforme model moeten overtreffen.
Het beroep, en de verdediging « Padel West »
Xeltox heeft eind 2025 / begin 2026 beroep aangetekend bij het Federale Hof van Canada. De openbare argumentatie, zoals gerapporteerd door CBC News, de Globe and Mail en de Times Colonist, steunt op een opmerkelijke verdediging waarvan de juridische reikwijdte aandachtig moet worden gelezen.
Xeltox betoogt dat FINTRAC « errors of law » heeft begaan door Xeltox aan te merken als exploitant van Cryptomus. Volgens het beroepschrift licentieert Xeltox het « Cryptomus platform » aan een Panamese entiteit genaamd Padel West S.A., en is daarom niet verantwoordelijk voor transacties uitgevoerd door andere licensees van datzelfde platform. Xeltox zou zich dus presenteren als een softwareleverancier, niet als exploitant van een crypto-service.
Deze argumentatiestructuur is nieuw in het Canadese ecosysteem. Zij werpt de volgende juridische vraag op: wanneer een crypto- platform technisch wordt ontwikkeld door entiteit A en commercieel wordt geëxploiteerd door entiteit B, welke is dan de gereguleerde MSB? Het antwoord van FINTRAC is duidelijk (beide kunnen het zijn, en in het geval Cryptomus is het de zichtbare exploitant); het antwoord dat Xeltox hoopt te verkrijgen bij het Federale Hof is exotischer en zou steunen op een strikte lezing van de definitie « MSB » in de PCMLTFA.
De Heleket-link, waarom deze telt voor het beroep
In maart 2026 publiceerde TRM Labs haar risk profile- rapport over Cryptomus. Het rapport concludeert met « high confidence » dat Heleket, Handy Elect LLC, Georgië, is opgericht door de exploitanten van Cryptomus kort nadat Cryptomus in februari 2025 haar KYC-controles had ingevoerd. De aangehaalde elementen zijn concreet:
- Identieke branding
- Fees matching op 0,4 %
- Delen van dezelfde privacy registrar
- Personele overlap (dezelfde persoon verschijnt in de communicatieketen van beide entiteiten via Telegram)
- Gedeelde liquiditeiten via de gesanctioneerde Russische Garantex
- Gedocumenteerde migratie van CSAM-vendors en ransomware actors van Cryptomus naar Heleket na de KYC-enforcement
Als het Federale Hof, bij de behandeling van het beroep, oordeelt dat FINTRAC deze TRM-elementen als contextelementen kan produceren, wordt de verdediging « Padel West licensor » moeilijker vol te houden: het is lastig te betogen dat men neutrale licensee is van een platform terwijl men tegelijkertijd een tweelingplatform lanceert om het eigen KYC te ontlopen.
Drie implicaties voor de payment processor-industrie
- De structuur « offshore licensor + onshore operator » is geen black box meer. Noord-Amerikaanse toezichthouders lezen corporate architecturen nu door de lens van hun operationele realiteit in plaats van hun juridische documentatie. Cryptomus is de testcase maar niet de enige.
- Het Cryptomus-precedent creëert een uitbreidingsrisico. Als het beroep faalt, beschikt FINTRAC over een solide precedent om andere vergelijkbare exploitanten aan te pakken. Als het beroep gedeeltelijk slaagt, schetst het een structureringspad dat andere exploitanten zullen kopiëren, en dat op zijn beurt zal worden aangevallen in een tweede enforcementsgolf.
- Het gebruikersrisico wordt niet opgelost na afloop van het beroep. Of Cryptomus nu wint of verliest, de gebruiker die vandaag fondsen op het platform heeft, loopt het risico op operationele bevriezing gedurende de hele duur van het geschil, al meer dan 6 maanden en waarschijnlijk uitgestrekt over meerdere jaren.
De praktijkcase: Card2Crypto als architecturale tegenhanger
In onze directory dient de fiche Card2Crypto als illustratie van de tegengestelde architectuur ten opzichte van Cryptomus / Heleket. Card2Crypto is een aggregator van on-ramps: de merchant heeft geen KYB nodig omdat hij nooit de acquirer is; de KYC van klanten worden uitgevoerd door de on-ramp partners zelf (Stripe, MoonPay, Ramp, Banxa, Transak…). De merchant ontvangt USDC Polygon rechtstreeks in zijn wallet, zonder stromen die door een gecentraliseerde MSB lopen.
De Card2Crypto-architectuur is niet meer privé voor de eindklant dan Cryptomus; beide vereisen ergens in de keten een KYC. Het verschil is waar die KYC leeft: bij gevestigde en gelicenseerde on- ramps (Card2Crypto) versus bij Cryptomus (direct model, veroordeeld). Voor een site-operator die vandaag zijn crypto-betalingsstack kiest, biedt de Card2Crypto-architectuur een fragmentatie van het reglementaire risico die het Cryptomus-model niet meer biedt sinds 22 oktober 2025.
Slotopmerking over het geschil
Het beroep van Xeltox is nog in behandeling op het moment van publicatie van dit artikel. Er is geen uitspraak gedaan. De hier aangehaalde elementen zijn integraal ontleend aan de officiële FINTRAC- publicaties, het TRM Labs-rapport, de Bennett Jones-analyses en de erkende Canadese pers. De directory zal dit artikel en de Cryptomus- fiche bijwerken zodra een uitspraak wordt gedaan of een nieuw feit van materieel belang het beeld wijzigt.
