Vai pagar um prestador em cripto? Cheque a carteira antes

Onze governos publicaram o mesmo alerta no mesmo dia. Em 31 de julho de 2026, Estados Unidos, Japão, Coreia do Sul, Reino Unido, Austrália, Canadá, França, Alemanha, Itália, Países Baixos e Nova Zelândia divulgaram um alerta conjunto sobre os trabalhadores de TI norte-coreanos — gente que se candidata a vagas remotas comuns usando identidades emprestadas, faz o trabalho de verdade e manda o salário de volta para Pyongyang.

O que virou manchete foram as entrevistas. O alerta diz que esses candidatos já usam vídeo deepfake gerado por IA em tempo real para atravessar uma chamada ao vivo se passando por outra pessoa. Isso é um problema de contratação, e o pessoal de recrutamento já está mastigando o assunto.

O que quase ninguém cobriu é o que acontece depois que você contrata. Eles pedem para receber em cripto.

Por que o problema jurídico está no pagamento

Contratar alguém com nome falso é constrangedor. Pagar uma carteira que está numa lista de sanções é uma infração.

O Tesouro dos EUA deixou isso bem concreto em 12 de março de 2026, quando o OFAC designou seis pessoas e duas entidades pela fraude dos trabalhadores de TI da RPDC. A designação veio com 21 endereços de criptomoedas incluídos na lista SDN, distribuídos entre Ethereum, Tron e Bitcoin. A Amnokgang Technology Development Company, que administra delegações de trabalhadores de TI no exterior, respondeu por sete deles: três de Ethereum e quatro de Tron. Yun Song Guk somou dois endereços de Ethereum. Hoang Minh Quang, um de Bitcoin. Uma designação já existente de Sim Hyon Sop recebeu mais onze.

E tem ainda Nguyen Quang Viet, um diretor de empresa vietnamita que, segundo o Tesouro, converteu cerca de US$ 2,5 milhões em cripto para esses trabalhadores entre meados de 2023 e meados de 2025. Ele era o encanamento. Salários entravam como pagamentos comuns e a cripto saía do outro lado.

O Tesouro estima que o esquema arrecadou perto de US$ 800 milhões só em 2024.

Responsabilidade objetiva significa exatamente isso

Aqui está a parte que pega empresas pequenas de surpresa. A via civil do OFAC funciona por responsabilidade objetiva. Ninguém precisa provar que você sabia, que foi descuidado ou que tinha algum motivo para desconfiar. Basta provar que a transação aconteceu.

Em 2026 o teto de uma infração civil sob a IEEPA é de US$ 377.700, ou o dobro do valor da transação, o que for maior. Pague doze vezes uma fatura mensal de US$ 6.000 para um endereço listado e você tem doze infrações, não uma.

Você não vai receber um aviso antes. Não existe notificação quando uma carteira que você paga desde a primavera acaba designada no outono. A lista SDN muda; o endereço salvo no seu sistema contábil, não. E nada nesse sistema está olhando.

Como são de fato os sinais de alerta

As orientações oficiais sobre isso vêm sendo consistentes há alguns anos, e as pistas do lado do pagamento são pouco glamourosas:

• O prestador desvia da transferência bancária e empurra para cripto ou um serviço de remessa.
• O pagamento é pedido para uma conta no nome de outra pessoa, com um "amigo" ou uma "agência" ficando com uma parte pelo uso dela.
• O endereço de recebimento muda com frequência, ou pedem para você dividir uma fatura entre dois endereços.
• USDT na Tron aparece o tempo todo. É barato, rápido e líquido.

Nada disso prova coisa alguma sozinho. Muitos freelancers honestos em países com o sistema bancário quebrado preferem stablecoins, e interrogar alguém por causa disso não é um programa de compliance. Mas uma contratação remota que você nunca encontrou pessoalmente, um onboarding às pressas e um endereço de recebimento que não para de mudar formam uma combinação que merece dez minutos da sua atenção.

Dez minutos antes do primeiro pagamento

Checar um endereço de recebimento é o controle mais barato que você tem, e ele acontece antes de o dinheiro sair. Você cola o endereço e descobre se ele aparece em alguma lista de sanções, se recebeu fundos de um mixer e com que tipo de contrapartes já se envolveu. Passar o endereço por uma verificação leva segundos e te deixa com algo que dá para arquivar.

Guarde o resultado. Isso não é detalhe. Se um banco ou um regulador um dia perguntar como você avaliou um beneficiário, "checamos o endereço no dia em que fizemos o cadastro, aqui está o relatório" é uma conversa muito diferente de "nunca pensamos nisso".

Repita de tempos em tempos. Uma vez por mês está ótimo para um prestador recorrente. A lista se move.

O que um resultado limpo não significa

Seja honesto sobre os limites, porque a maioria dos fornecedores desse mercado não é.

Uma carteira novinha, sem histórico, passa limpa. Tem que passar — não há nada para pontuar. Quem gera um endereço novo para cada fatura vai passar sempre, e um monte de gente perfeitamente legítima também. A análise de endereço pega endereços sabidamente ruins e a exposição rastreável a eles. Ela não diz nada sobre quem está com as chaves.

Então ela convive com o resto do trabalho chato: conferir documentos de identidade contra uma pessoa real, confirmar que quem está na chamada de vídeo é quem está no passaporte, recusar redirecionar pagamentos para terceiros e guardar registro de tudo isso. O alerta de 31 de julho existe justamente porque a camada de identidade está sendo vencida pelos deepfakes. A camada do dinheiro é o único lugar onde a evidência é pública e permanente.

O número que deveria te incomodar

A Chainalysis colocou o roubo de cripto ligado à Coreia do Norte em US$ 2,02 bilhões em 2025, perto de 60% de tudo que foi roubado em cripto naquele ano, e cerca de US$ 6,75 bilhões acumulados. O esquema dos trabalhadores de TI é a metade silenciosa disso. Sem exploit, sem hack de bridge, sem manchete. Só faturas.

O Departamento de Justiça vem puxando o fio: uma ação civil de perdimento sobre mais de US$ 7,7 milhões em cripto, NFTs e outros ativos digitais ligados à rede de lavagem por trás desses trabalhadores. O alerta do Departamento de Estado é direto sobre onde isso deixa os empregadores: contratar esses trabalhadores e pagá-los por serviços prestados pode violar a legislação nacional de vários países, incluindo Japão, Estados Unidos e Coreia do Sul.

Se você contrata engenheiros remotos e paga algum deles em cripto, você está em algum ponto da cadeia que esses casos descrevem. Não como alvo. Como pagador.

Você não consegue mais verificar um rosto de forma confiável numa chamada de vídeo. Um endereço, consegue. Faça isso antes do primeiro pagamento sair, salve o que voltar e olhe de novo no mês seguinte. Custa menos que uma hora de trabalho do prestador.