Cryptomus bị phạt 176,9 triệu CAD: tiền lệ thay đổi mọi thứ cho các payment processor
Phán quyết, bằng số liệu
Ngày 22 tháng 10 năm 2025, FINTRAC đã công bố thông báo mức phạt hành chính đối với Xeltox Enterprises Ltd., công ty theo luật British Columbia vận hành dịch vụ crypto Cryptomus:
- 176.924.045 đô la Canada tiền phạt
- 2.593 vi phạm PCMLTFA
- Trong đó 1.068 báo cáo giao dịch đáng ngờ bị thiếu
- Các vi phạm liên quan đến dòng tiền từ: darknet markets, proceeds of child trafficking, gian lận, thanh toán ransomware, trốn tránh lệnh trừng phạt Iran
- Và một thất bại cụ thể trong tuân thủ Ministerial Directive on Iran tháng 11 năm 2022
Đây là mức phạt hành chính nặng nhất từ trước đến nay do FINTRAC áp đặt đối với một Money Services Business tại Canada, gấp 10 lần so với mức phạt cao nhất trước đó. Bản thân kỷ lục này là tín hiệu chính trị: chính phủ Canada đã quyết định chi phí của việc không tuân thủ phải vượt quá lợi nhuận dự kiến của mô hình không tuân thủ.
Kháng cáo, và lập luận « Padel West »
Xeltox đã nộp đơn kháng cáo lên Tòa án Liên bang Canada cuối năm 2025 / đầu năm 2026. Lập luận công khai, theo như đưa tin bởi CBC News, Globe and Mail và Times Colonist, dựa trên một lập luận độc đáo có phạm vi pháp lý đáng được đọc kỹ lưỡng.
Xeltox cho rằng FINTRAC đã phạm « errors of law » khi xếp Xeltox là đơn vị vận hành Cryptomus. Theo bản ghi nhớ kháng cáo, Xeltox cấp phép « Cryptomus platform » cho một thực thể Panama tên Padel West S.A., và do đó không chịu trách nhiệm về các giao dịch do các licensee khác của cùng nền tảng này thực hiện. Xeltox tự xem mình như một nhà cung cấp phần mềm, không phải đơn vị vận hành dịch vụ crypto.
Cấu trúc lập luận này là mới trong hệ sinh thái Canada. Nó đặt ra câu hỏi pháp lý sau: khi một nền tảng crypto được phát triển về mặt kỹ thuật bởi thực thể A và vận hành thương mại bởi thực thể B, thực thể nào là MSB được quy định? Câu trả lời của FINTRAC rõ ràng (cả hai có thể đều là, và trong vụ Cryptomus đó là đơn vị vận hành có thể nhìn thấy); câu trả lời mà Xeltox hy vọng đạt được tại Tòa án Liên bang kỳ lạ hơn và dựa trên cách đọc nghiêm ngặt định nghĩa « MSB » trong PCMLTFA.
Liên hệ Heleket, tại sao nó quan trọng cho kháng cáo
Tháng 3 năm 2026, TRM Labs đã công bố báo cáo risk profile về Cryptomus. Báo cáo kết luận với « high confidence » rằng Heleket, Handy Elect LLC, Georgia, được thành lập bởi các đơn vị vận hành Cryptomus ngay sau khi Cryptomus triển khai các biện pháp KYC vào tháng 2 năm 2025. Các yếu tố được trích dẫn là cụ thể:
- Branding giống hệt
- Fees matching ở mức 0,4 %
- Chia sẻ cùng một privacy registrar
- Chồng chéo nhân sự (cùng một cá nhân xuất hiện trong chuỗi liên lạc của cả hai thực thể qua Telegram)
- Thanh khoản chia sẻ qua Garantex bị trừng phạt của Nga
- Di cư có tài liệu của các CSAM-vendors và ransomware actors từ Cryptomus sang Heleket sau khi thực thi KYC
Nếu Tòa án Liên bang, trong xử lý kháng cáo, cho rằng FINTRAC có thể đưa các yếu tố TRM này làm bối cảnh, lập luận « Padel West licensor » sẽ khó duy trì hơn: khó có thể lập luận rằng mình là licensee trung lập của một nền tảng trong khi đồng thời ra mắt một nền tảng song song để trốn tránh chính KYC của mình.
Ba ý nghĩa cho ngành công nghiệp payment processors
- Cấu trúc « offshore licensor + onshore operator » không còn là hộp đen. Các cơ quan quản lý Bắc Mỹ hiện nay đọc các kiến trúc doanh nghiệp thông qua thực tế vận hành thay vì tài liệu pháp lý của họ. Cryptomus là vụ thử nghiệm nhưng sẽ không phải vụ duy nhất.
- Tiền lệ Cryptomus tạo ra rủi ro lan tỏa. Nếu kháng cáo thất bại, FINTRAC có một tiền lệ vững chắc để truy quét các đơn vị vận hành tương tự khác. Nếu kháng cáo thành công một phần, nó vẽ ra một lộ trình cấu trúc mà các đơn vị vận hành khác sẽ sao chép, và lộ trình này sẽ bị truy quét trong làn sóng enforcement thứ hai.
- Rủi ro người dùng không được giải quyết sau khi kháng cáo kết thúc. Dù Cryptomus thắng hay thua, người dùng hiện có tiền trên nền tảng đều phải đối mặt với rủi ro đóng băng hoạt động trong suốt thời gian tranh chấp, đã qua 6 tháng và có thể kéo dài hàng năm.
Vụ thực tiễn: Card2Crypto như một kiến trúc thay thế
Trên directory, hồ sơ Card2Crypto đóng vai trò minh họa cho kiến trúc đối lập với Cryptomus / Heleket. Card2Crypto là một aggregator on-ramps: merchant không cần KYB vì họ không bao giờ là acquirer; các KYC khách hàng được vận hành bởi các on-ramp partners (Stripe, MoonPay, Ramp, Banxa, Transak…). Merchant nhận USDC Polygon trực tiếp vào wallet, không có dòng tiền đi qua MSB tập trung.
Kiến trúc Card2Crypto không riêng tư hơn cho customer cuối so với Cryptomus; cả hai đều yêu cầu KYC ở đâu đó trong chuỗi. Sự khác biệt là KYC đó nằm ở đâu: tại các on-ramps được thành lập và licensed (Card2Crypto) so với tại Cryptomus (mô hình trực tiếp, bị kết án). Đối với đơn vị vận hành website đang chọn stack thanh toán crypto hiện nay, kiến trúc Card2Crypto cung cấp một phân mảnh rủi ro quy định mà mô hình Cryptomus không còn có từ ngày 22 tháng 10 năm 2025.
Ghi chú cuối về tranh chấp
Kháng cáo Xeltox vẫn đang trong quá trình thụ lý tại thời điểm xuất bản bài viết này. Chưa có phán quyết nào được đưa ra. Các yếu tố được trích dẫn ở đây hoàn toàn từ các ấn phẩm chính thức của FINTRAC, báo cáo TRM Labs, phân tích Bennett Jones và báo chí Canada có uy tín. Directory sẽ cập nhật bài viết này và hồ sơ Cryptomus ngay khi có phán quyết hoặc sự kiện mới có tính chất thay đổi bức tranh.
