Sanções cripto em 2026: o que elas significam para você

Em 19 de dezembro de 2024, um trader de criptomoedas copiou um endereço de carteira do próprio histórico de transações e enviou para ele quase 50 milhões de USDT. O endereço era falso. E não estamos falando de semanas — minutos antes, um golpista havia plantado um endereço parecido no histórico do trader por meio de uma pequena transação de "poeira" (dust), um endereço forjado que coincidia com os cinco primeiros e os quatro últimos caracteres do endereço verdadeiro, apostando em um erro de copiar e colar. A aposta deu certo. Em meia hora, o atacante trocou toda a quantia por DAI, depois por cerca de 16.690 ETH, e a empurrou para o Tornado Cash, o mixer, para embaralhar o rastro.

Você não movimenta cinquenta milhões. Mas essa história contém todas as peças do problema das sanções que chegam às pessoas comuns: dinheiro contaminado troca de mãos o tempo todo, ele flui pelos mesmos endereços que os reguladores vigiam, e as regras que punem o contato com esses endereços não se importam muito se você teve ou não a intenção.

Sanções não são só um problema de exchange

A suposição habitual é a de que sanções são dor de cabeça da Binance, não sua. Isso nunca foi bem verdade, e hoje é menos verdade ainda.

O Office of Foreign Assets Control, do Tesouro dos EUA, mantém uma lista de pessoas, entidades e — desde 2018 — endereços de carteiras de cripto bloqueados. No início de 2025, essa lista já continha mais de 1.200 endereços de cripto, um salto de 32% em relação ao ano anterior, espalhados por Bitcoin, Ethereum, Tron e as grandes stablecoins. A regra ligada a esses endereços é direta. Se você é uma pessoa dos EUA e transaciona com um deles, você violou a lei de sanções. O OFAC aplica penalidades civis com base em responsabilidade objetiva (strict liability), que é a parte que as pessoas ignoram. A intenção é irrelevante. Você pode enfrentar uma penalidade mesmo sem ter a menor ideia de que a contraparte estava bloqueada.

A Europa chegou lá também, por um caminho mais silencioso. Desde 30 de dezembro de 2024, a reformulada Transfer of Funds Regulation da UE obriga os provedores de cripto licenciados a anexar informações verificadas de remetente e destinatário a cada transferência e a checar ambos os lados, em tempo real, contra as listas de sanções da UE, da ONU e do OFAC. O MiCA, o livro de regras de cripto da UE agora plenamente em vigor, é a maquinaria que faz isso morder. A janela de transição para os provedores legados se fecha em 1º de julho de 2026.

Tire o jargão e o ponto é simples. Os endereços com os quais os reguladores se importam estão nos mesmos livros-razão públicos que os seus endereços. Não existe uma internet separada para dinheiro sujo.

Como uma pessoa normal de fato é tocada por isso

Ninguém acorda planejando transacionar com o Lazarus Group, da Coreia do Norte. Veja como fundos contaminados chegam a pessoas que não fizeram nada de errado.

• Você recebe moedas com um histórico ruim. Você vende algo, ou alguém paga uma dívida, e a cripto que enviam passou por um mixer sancionado ou por um cluster de fundos roubados dois saltos atrás. Agora o seu endereço tem uma ligação com isso.
• Um ataque de dusting ou de poisoning. Atacantes espalham quantias minúsculas a partir de endereços parecidos ou sinalizados para milhares de carteiras. A maioria é isca para roubo por copiar e colar, mas elas também sujam o seu histórico com conexões que você nunca escolheu.
• Você saca e a exchange congela sua conta. Esse é o que realmente machuca. Quando você deposita fundos de que a triagem de uma exchange não gosta, ela pode reter sua conta pendente de revisão. Você não cometeu crime nenhum, mas seu dinheiro está travado e o ônus é seu de explicar de onde ele veio.

Esse último cenário não é hipotético. Emissores de stablecoin congelam endereços diretamente, no nível do token, sem ordem judicial. A Tether colocou mais de 4.100 endereços na blacklist e congelou cerca de US$ 1,26 bilhão em USDT só durante 2025, parte de mais de US$ 3,29 bilhões congelados em 7.268 endereços desde 2023. A Circle fez o mesmo no instante em que o Tornado Cash foi sancionado, congelando o USDC que estava nesses endereços bloqueados. Se as suas moedas caem numa blacklist, elas podem se tornar inutilizáveis ali mesmo — bem onde estão, sem ninguém a quem apelar.

A saga do Tornado Cash, e por que a reversão não é um sinal verde

O Tornado Cash é o caso para o qual todos apontam, e é mais emaranhado do que as manchetes sugerem.

O OFAC sancionou o mixer em agosto de 2022, alegando que ele havia lavado mais de US$ 7 bilhões, incluindo fundos roubados pelo Lazarus Group. Essa designação tornou os contratos inteligentes do protocolo proibidos para pessoas dos EUA. Então, em 26 de novembro de 2024, o Fifth Circuit Court of Appeals reverteu a decisão em Van Loon v. Treasury. Sua lógica foi estreita e específica: os contratos inteligentes imutáveis do Tornado Cash não são "propriedade" que alguém possa possuir ou controlar, então o OFAC não tinha autoridade para sancioná-los. O Tesouro removeu formalmente os endereços da lista em 21 de março de 2025.

Leia isso como uma vitória do código aberto, não como uma permissão. Porque, no mesmo período, o cofundador do mixer, Roman Storm, foi a julgamento. Em 6 de agosto de 2025, um júri o condenou por conspiração para operar um negócio de transmissão de dinheiro sem licença. Houve impasse nas acusações mais pesadas — lavagem de dinheiro e violação de sanções — e o DOJ pediu, em março de 2026, um novo julgamento. Então o software foi dessancionado, mas uma pessoa ainda foi condenada por como o dinheiro se moveu através dele. Se você está se apoiando em "um tribunal disse que estava tudo bem", você está lendo a metade errada da história.

Lazarus Group: sanções que grudam no dinheiro, não na marca

Se o Tornado Cash mostra a zona cinzenta jurídica, o Lazarus Group, da Coreia do Norte, mostra a realidade da aplicação da lei.

Em 21 de fevereiro de 2025, o Lazarus drenou cerca de US$ 1,5 bilhão em Ethereum da exchange Bybit — o maior roubo de cripto já registrado. O FBI atribuiu o ataque à Coreia do Norte em poucos dias, rotulou a atividade de "TraderTraitor", publicou 51 endereços de lavagem e pediu a toda exchange, ponte e empresa de análise do planeta que bloqueasse qualquer coisa derivada deles. Cerca de US$ 160 milhões já haviam sido lavados por meio de carteiras novas nas primeiras 48 horas.

Aqui está a parte que importa para você: as ferramentas não morrem quando são nomeadas. O OFAC sancionou o mixer Blender.io em maio de 2022 por lavar fundos do Lazarus e o apreendeu. Os mesmos operadores, concluíram os analistas do setor, simplesmente colocaram no ar um sucessor — o Sinbad.io — e continuaram, até que o OFAC também sancionou esse e as autoridades apreenderam seus servidores em novembro de 2023.

A lição é que operações sancionadas mudam de marca, mas os fundos contaminados continuam circulando sob novos nomes. Você não consegue avaliar uma contraparte checando se reconhece a marca. A exposição viaja com as moedas.

Hábitos simples que mantêm você limpo

Você não precisa de um departamento de compliance. Você precisa de alguns hábitos chatos.

Faça a triagem antes de aceitar. Se um cliente, comprador ou contraparte está prestes a pagar você em cripto, verifique a carteira pagadora contra exposição a sanções e mixers primeiro — leva segundos, e é muito mais barato do que uma conta congelada. É exatamente por isso que construímos a verificação instantânea de risco de carteira: cole um endereço, veja os alertas, decida antes de o dinheiro cair.

Além disso: nunca copie às cegas um endereço do seu histórico de transações — redigite ou use um contato salvo e verificado, o que derrota o poisoning por completo. Mantenha uma carteira limpa separada de qualquer coisa experimental, para que um depósito ruim não contamine seu estoque principal. Guarde faturas e registros de conversas; se uma exchange algum dia congelar sua conta, a prova contemporânea de onde os fundos vieram é sua saída mais rápida. E trate a poeira (dust) não solicitada como radioativa — não interaja com tokens que aparecem do nada.

Nada disso faz de você um especialista em finanças criminosas. Faz de você alguém que verificou. Em 2026, com responsabilidade objetiva de um lado e blacklists automatizadas do outro, verificar é o jogo inteiro. As pessoas que se queimam quase nunca são as que olharam primeiro.