Citée en 2025, sanctionnée en 2026, active entre-temps

Ce que Dubaï a publié le 24 juillet

L'avis de la VARA nomme l'entité, les noms commerciaux qu'elle utilisait et trois manquements, et il ne publie aucun montant pour la sanction. La Virtual Assets Regulatory Authority a émis le 24 juillet 2026 un avis d'amendes contre Shelbit General Trading L.L.C, qui opérait commercialement sous les noms Shelbit et Shelbit Exchange. Le régulateur a exposé qu'il avait été constaté que l'entité continuait de fournir des services sur cryptoactifs à des clients à Dubaï et depuis Dubaï sans détenir d'agrément valide, d'enregistrer des utilisateurs sans les vérifications de connaissance du client exigées par le droit émirati, et de promouvoir ses services à Dubaï sans autorisation. En conséquence, la VARA a déclaré avoir pris des mesures d'exécution, infligé des sanctions pécuniaires et ordonné la cessation immédiate de toute activité sur cryptoactifs sans agrément à Dubaï ou depuis Dubaï.

Le mot qui porte cet avis est "continuait". Ce n'est pas ainsi qu'un régulateur écrit sur ce qu'il vient de découvrir. C'est ainsi qu'il écrit sur ce dont il avait déjà ordonné l'arrêt et qui n'a pas cessé. L'avis le dit lui-même dès sa première ligne : la mesure fait suite à l'ordre de cessation du 2 janvier 2025. Tout ce qui est exploitable dans cette affaire tient dans la distance entre ces deux dates.

Le premier ordre était public depuis dix-huit mois

Entre l'ordre de cesser et l'amende publiée, il s'écoule 568 jours. Un ordre de cessation a été émis le 2 janvier 2025. L'avis d'amendes a suivi le 24 juillet 2026. Entre les deux s'étend un an et demi durant lequel l'entité, de l'aveu même du régulateur, enregistrait encore des utilisateurs et faisait sa promotion à Dubaï. Reuters a rapporté que des centaines de millions de dollars supplémentaires avaient été traités dans les mois qui ont suivi ce premier ordre.

Il vaut la peine d'être précis sur ce que le premier avis était et n'était pas. C'était une déclaration publique, à une adresse publique, nommant une personne morale précise et ses noms commerciaux. Quiconque a vérifié le nom Shelbit le 3 janvier 2025 l'aurait trouvée. Ce n'était pas, au vu de ce qui a suivi, un mécanisme capable de retirer l'entité du circuit des paiements. Un régulateur peut publier ; débrancher, il ne peut pas.

Cette distinction est peu spectaculaire et elle constitue toute la leçon pratique. Le registre consigne ce que le régulateur a dit. Il ne consigne jamais ce que la contrepartie a fait depuis. Les entreprises traitent couramment les deux comme équivalents, parce qu'un nom figure sur une liste ou n'y figure pas, et parce que ce oui ou non s'automatise aisément. Ce oui ou non est réel. Ce qui ne l'est pas, c'est le sens que lui prêtent la plupart des processus d'entrée en relation.

Le registre date son propre retard

La page publique d'avis de la VARA porte les horodatages qui prouvent le schéma, et ils se lisent sans effort. Le 5 mars 2026, l'autorité a publié des avertissements nommant dans un avis MEXC Estonia OU et MEXC Global LTD, et dans un autre Phoenixfin Pte Ltd, MEK Global Limited, Peken Global Limited et KuCoin Exchange EU GmbH. Les amendes ont suivi le 22 juin 2026 contre MX Global LTD, qui opère sous le nom MEXC, et le 24 juin 2026 contre Peken Global Limited, qui opère sous le nom KuCoin. Cela fait 109 et 111 jours de l'avertissement à la sanction. CoinMENA FZE a été sanctionnée le même jour de juin que MEXC.

Trois mois, c'est rapide selon les critères de la supervision financière, et rien de tout cela ne suggère une autorité inactive. Le propos est plus étroit et il survit au compliment : même lorsqu'un régulateur agit promptement, il existe une fenêtre mesurable pendant laquelle une entité nommée est nommée et rien d'autre ne lui est arrivé. Pour Shelbit, cette fenêtre a atteint dix-huit mois. Dans les affaires de juin, environ un trimestre.

La question qu'un dirigeant européen doit poser à son propre processus n'est donc pas s'il filtre contre les registres de sanctions. Presque tout le monde le fait. Elle est : à quelle fréquence, et contre quoi. Une revérification trimestrielle et un cycle de sanction de 109 jours représentent le même intervalle, ce qui signifie qu'un rythme trimestriel peut manquer une escalade entière entre deux passages.

Ce que Reuters a suivi à travers elle

L'enquête publiée le 31 juillet 2026 décrit une plateforme fonctionnant comme un nœud et non comme une destination. Reuters a rapporté que Shelbit, dirigée par un expatrié iranien nommé Siavash Kayvanpour, se trouvait au centre de flux d'au moins 4 milliards de dollars déplacés depuis mai 2024, et reliait aux marchés mondiaux des cryptoactifs un réseau illégal de jeu comptant plus de deux mille plateformes, la banque centrale d'Iran et d'autres entités iraniennes sanctionnées. La banque centrale d'Iran est sous sanctions américaines depuis 2019. Une précédente enquête de Reuters avait précédé les sanctions américaines contre la plateforme iranienne Nobitex.

L'imputation est délicate ici, et le reportage la traite avec soin. Les enquêteurs cités estiment que l'opération est menée par les Gardiens de la révolution, mais Reuters a indiqué clairement n'avoir pas pu déterminer si les Gardiens contrôlaient directement Shelbit ou le réseau de jeu. C'est une question ouverte, pas une conclusion, et quiconque résume cela en interne doit reprendre la réserve plutôt que de l'arrondir.

Le détail le plus instructif pour un dirigeant est la réponse de Binance. La plateforme a déclaré que Shelbit n'y avait jamais détenu de compte et que les transactions associées n'avaient pas été signalées comme à haut risque, tout en affirmant avoir enquêté sur des utilisateurs, gelé des comptes et transmis ses constats aux autorités. Il faut le lire attentivement. L'exposition est entrée par les utilisateurs, non par une relation commerciale identifiée. Un contrôle qui demande seulement s'il existe un contrat avec une entité listée aurait répondu proprement à chaque étape.

Un nom sur une liste n'est pas un état du monde

L'instruction pratique consiste à dater ses contrôles et à les répéter, car le registre que l'on consulte est lui-même un document en retard. Notez la date à laquelle vous avez vérifié une contrepartie et la date de l'avis le plus récent que vous avez vu. Si ces deux dates sont séparées de plusieurs mois, vous n'avez pas vérifié une contrepartie : vous avez vérifié ce qu'un régulateur avait publié au moment de votre dernier regard. Pour les entreprises européennes, la même discipline vaut de leur côté, où l'agrément au titre du règlement sur les marchés de cryptoactifs est tenu par les autorités nationales compétentes, en France l'AMF avec l'ACPR, et où le registre répond à la même question étroite : ce qui a été décidé, non ce qui se passe maintenant.

La seconde instruction découle de la réponse de Binance. Demandez qui sont les contreparties de vos contreparties, car c'est par là que cette exposition a circulé. Une entreprise peut n'entretenir aucune relation avec une entité nommée et traiter malgré tout ses flux via des comptes clients. Vérifier le nom figurant au contrat est le contrôle le plus superficiel disponible, et dans ce cas c'est celui qui n'a rien renvoyé.

Rien de tout cela n'exige de nouveaux outils ni un budget de conformité plus large. Cela exige de traiter une inscription au registre comme une preuve portant un horodatage, ce qu'elle a toujours été. L'ordre de janvier 2025 est resté public 568 jours en faisant exactement ce pour quoi il avait été conçu, à savoir informer quiconque regardait. Ce qu'il n'a jamais fait, et n'a jamais pu faire, c'est arrêter l'argent.

À lire ensuite: Le stablecoin dollar est désormais une banque US  |  Cloudflare facture le web aux machines