Aquele pop-up "envie seu documento"
Muita gente abre conta na corretora pela primeira vez, preenche o email, animada para depositar, e aí esbarra num pop-up: envie a frente e o verso do seu documento e grave um vídeo do rosto. A primeira reação costuma ser recusar: "eu só quero comprar um pouquinho de moeda, por que tenho que dar meu documento? Vão ficar me vigiando?"
A recusa é compreensível, mas o alvo erra um pouco. Quem obriga você a isso, no fundo, não é uma corretora que "quer saber da sua vida", e sim as regras acima dela. Quando você entende o que são KYC e AML e para que servem, consegue separar "qual é o fluxo de conformidade obrigatório" de "qual é a armadilha de phishing fantasiada de conformidade". É a segunda que de fato te causa dano.
O que são KYC e AML, e por que existem
Essas duas siglas aparecem juntas o tempo todo, mas não são a mesma coisa. A relação é como "objetivo" e "meio":
- AML = Anti-Money Laundering (prevenção à lavagem de dinheiro), este é o objetivo. É um conjunto de regras para impedir que o produto do crime (fraude, tráfico, financiamento ao terrorismo etc.) seja "lavado" pelo sistema financeiro e vire dinheiro de aparência legítima.
- KYC = Know Your Customer (conheça seu cliente), este é um dos meios. Para alcançar o objetivo de prevenção à lavagem, a plataforma precisa antes saber "quem de fato está usando meu serviço", então exige que você verifique a identidade.
Em outras palavras: por existir a régua de AML pressionando, a plataforma faz o KYC, querendo ou não. É a mesma lógica de quando você abre conta no banco ou ativa um chip de celular e precisa registrar a identidade, a corretora cripto só foi colocada no mesmo enquadramento. Se ela não verifica a identidade dos usuários, pode enfrentar multas pesadas, perder autorização ou até fechar; quando isso acontece, o usuário com fundos ainda na plataforma fica numa posição só pior.
Do lado da plataforma, o AML costuma aparecer como: monitorar transferências de valor anômalo ou frequência anômala, sinalizar padrões suspeitos, bloquear a conta quando necessário e reportar às autoridades conforme as regras (no Brasil, o COAF recebe comunicações de operações suspeitas), além de ajudar a polícia a rastrear dinheiro de crime. Essas ações miram "fluxos de dinheiro suspeitos", não espionar a compra e venda diária de cada usuário comum.
Como costuma ser o processo de KYC
Os detalhes variam por plataforma, mas em geral é em níveis conforme o limite, quanto mais você verifica mais funções libera:
| Nível aproximado | Costuma exigir | Em geral libera |
|---|---|---|
| Básico | Email, número de celular | Navegar, às vezes funções pequenas de valor mínimo |
| Verificação de identidade | Nome, documento (RG/CNH) e CPF, verificação facial/selfie | Depósito e saque de moedas, entrada e saída em Real (Pix), limites normais |
| Verificação avançada | Comprovante de endereço (por exemplo conta de luz/água, extrato) | Limites maiores, saque de valor alto |
O processo todo costuma ser feito online e relativamente rápido, mas quais documentos pedir, quanto tempo leva a análise e quais os limites seguem inteiramente a página oficial de cada corretora, variam por plataforma e pela região onde você mora, este artigo não fixa número nenhum. Um princípio que não muda: estes passos só se fazem no app oficial ou no site oficial.
O que acontece se você não fizer KYC
Depende do tipo de plataforma que você usa:
| Tipo de plataforma | Sem KYC | Com KYC |
|---|---|---|
| Exchange centralizada (CEX) | Em geral: entrada e saída em Real, saque e funções centrais ficam limitados ou indisponíveis | Libera as funções completas; quando a conta tem problema, há plataforma e registro de identidade rastreáveis |
| Exchange descentralizada (DEX) | Em geral não exige KYC, conecta a carteira e já dá para fazer swap | Não se aplica; mas também não há rota em Real, não há atendimento, qualquer problema é por sua conta |
Então "sem KYC" na CEX muitas vezes não significa "mais liberdade", e sim "o dinheiro entra mas não sai"; na DEX, embora não tenha KYC, você abre mão de atendimento, da rota de entrada em Real e da chance de recuperar a conta, todo o risco da autocustódia fica com você. Os dois têm suas consequências, não existe almoço grátis de "querer tudo ao mesmo tempo".
Diferenças entre regiões
As exigências de KYC/AML são definidas pelos reguladores de cada lugar, então a mesma plataforma em países/regiões diferentes pode liberar funções diferentes, exigir documentos diferentes, e até deixar ou não você se cadastrar. Há lugares com regulação cripto mais rígida, que exigem verificação de identidade e impõem limites; há outros relativamente mais frouxos; e há os que restringem ou proíbem parte dos serviços. No Brasil, o tema vem ganhando regras próprias, e o que vale para você é o que está em vigor na sua região.
Isso significa duas coisas: primeiro, não use a experiência de alguém em outro país como padrão para o seu lugar; segundo, usar truques técnicos para mascarar a região e furar restrições costuma violar os termos da plataforma, e quando descoberto, a conta e os ativos dentro dela podem ser bloqueados. O concreto segue a regulação da sua região e a explicação oficial da plataforma.
Preocupações de privacidade e segurança do documento
"Será que mandar foto do documento para a plataforma é seguro" é uma preocupação legítima, e não se resolve com um "é por conformidade, então obedece e pronto". Sendo honesto: você de fato entrega informação sensível, o risco não chega a zero, mas dá para reduzir bastante.
Reduzir o risco do documento ao mínimo
- Só faça em plataformas grandes, em conformidade e de reputação madura. O investimento delas em proteção de dados é muito acima de plataformas pequenas de origem duvidosa; as pequenas podem ter capacidade fraca de dados, ou já ter a intenção de sumir.
- Ative a autenticação em dois fatores (2FA), não deixe o SMS como única camada. Mesmo que a senha vaze, ainda há uma camada extra de proteção.
- Em alguns casos, a foto do documento pode receber uma marca-d'água (escreva "apenas para verificação da plataforma tal para o fim tal"), reduzindo o valor de reúso caso vaze; mas se é permitido e se afeta a análise segue os termos da plataforma.
- Desconfie de golpe de precisão após um "vazamento de dados de KYC". Se uma plataforma sofre vazamento, o golpista pode citar seu nome real para se passar por atendimento. Para isso é preciso redobrar a atenção, não baixe a guarda só porque "ele sabe meu nome".
Confira onde você está e a quem entrega o documento
Antes de enviar qualquer documento, gaste um minuto fazendo estas duas coisas, isso barra quase todo risco de uso indevido:
- Confirme em qual página você realmente está. Cheque na barra de endereço do navegador se é mesmo o domínio oficial da plataforma, ou use o app baixado da loja oficial. Sites de phishing são feitos quase idênticos ao oficial, só se denunciam no endereço. Sempre entre pela porta oficial, não clique em link estranho nem em link de "atendimento" no privado para ir fazer KYC.
- Entenda o que os reguladores supervisionam, para ter uma balança na cabeça. Os padrões de prevenção à lavagem têm referência em organismos internacionais como o FATF (Financial Action Task Force, fatf-gafi.org); cada mercado tem ainda seus próprios reguladores, por exemplo a ESMA na União Europeia (esma.europa.eu) ou a CFTC nos EUA (cftc.gov). Sabendo que "a obrigação de verificar identidade é puxada por regras públicas como essas", fica mais fácil reconhecer: o fluxo oficial só acontece dentro da plataforma oficial, e qualquer coisa que "mande você enviar documento para um terceiro" é anomalia.
As regras concretas de cada regulador e seu alcance seguem suas páginas oficiais, e variam por região; este artigo não substitui aconselhamento jurídico, fiscal ou de conformidade.
Alerta anti-golpe: não procure despachante de KYC
"Despachante de KYC" para evitar trabalho? É entregar conta e identidade de bandeja
Na internet há quem venda serviço de "despachante de KYC" ou "ajudo a passar na verificação", soa como economia de trabalho, mas é uma armadilha de alto risco. Não use nenhum serviço de despachante de KYC, e não entregue documentos a intermediário que diz ajudar. As razões:
- Seus dados de identidade vão direto para um estranho. Uma vez entregues documento e dados faciais, podem ser usados para abrir outras contas, pedir empréstimo ou ser vendidos, com consequências irreparáveis.
- Isso viola as regras de quase toda plataforma. Quando a conta não bate com o titular real, ao ser detectada pelo sistema de risco pode ser bloqueada ou banida a qualquer momento, e os ativos dentro podem ficar irrecuperáveis.
- Conta aberta com identidade de outra pessoa, no fundo, não é sua. Aquele intermediário segura a identidade real da conta, e em tese pode se voltar contra os seus ativos.
- É ainda mais provável que seja golpe desde o início. Muitos "despachantes" somem logo após receber o dinheiro e o seu documento, ou te induzem a transferir ativos para uma conta "para verificar" e fogem com tudo.
O jeito certo é só um: você mesmo, no app/site oficial, com documentos no seu nome, concluindo o KYC. Por mais chato que seja, é melhor que entregar identidade e ativos a outra pessoa.
KYC: as suposições erradas mais comuns
Quem precisa se importar mais com isso
Este artigo é muito útil para você, se
- Você vai se cadastrar numa exchange centralizada e vai depositar/sacar em Real (Pix);
- Você tem dúvidas sobre "entregar o documento" e quer separar o que é obrigatório do que é armadilha;
- Alguém perto de você oferece "despachante de KYC" ou "ajudo a passar na verificação", e você está na dúvida se pode usar.
Por favor, pare primeiro, se
- Você vai clicar num link de chat/email para "concluir o KYC", volte antes ao app/site oficial e cheque o domínio;
- Você ficou tentado a procurar despachante de KYC, esse passo coloca identidade e conta em perigo ao mesmo tempo;
- Alguém se diz atendimento, sabe seu nome real e pede código de verificação ou transferência para "ajudar a verificar", plataforma oficial não pede dinheiro nem código assim.
Perguntas frequentes
O que é KYC?
Processo de verificação de identidade na corretora: enviar documento e selfie para confirmar a identidade. Exigência ligada a regras.
E se eu não fizer KYC?
Na CEX as funções ficam limitadas. A DEX não exige KYC, mas não tem funções em Real.
O que é AML?
Regras de prevenção à lavagem de dinheiro. A corretora monitora transações anômalas para impedir que dinheiro de crime entre.
Fontes · confira nas páginas oficiais
- FATF (Financial Action Task Force) · Organismo intergovernamental que define padrões internacionais de prevenção à lavagem de dinheiro.
- ESMA (Autoridade de Valores e Mercados da União Europeia) · Regulador de valores e mercados no nível da União Europeia.
- CFTC (Commodity Futures Trading Commission dos EUA) · Regulador de derivativos e parte do mercado cripto nos EUA.