Genoemd in 2025, beboet in 2026, open ertussen

Wat Dubai op 24 juli publiceerde

Het bericht van VARA noemt de onderneming, de handelsnamen die zij voerde en drie overtredingen, en het noemt geen bedrag voor de straf. De Virtual Assets Regulatory Authority vaardigde op 24 juli 2026 een boetebesluit uit tegen Shelbit General Trading L.L.C, die commercieel opereerde als Shelbit en Shelbit Exchange. De toezichthouder zette uiteen dat was vastgesteld dat de onderneming nog steeds cryptodiensten verleende aan klanten in en vanuit Dubai zonder geldige vergunning, gebruikers aannam zonder de Know-Your-Customer-controles die het recht van de Emiraten voorschrijft, en haar diensten in Dubai aanprees zonder toestemming. Als gevolg daarvan zei VARA handhavingsmaatregelen te hebben genomen, boetes te hebben opgelegd en te hebben bevolen alle activiteit zonder vergunning in of vanuit Dubai onmiddellijk te staken.

Het woord dat het werk doet in dat bericht is "nog steeds". Zo schrijft een toezichthouder niet over iets wat zij zojuist heeft ontdekt. Zo schrijft zij over iets waarvan zij de beeindiging al had bevolen en dat vervolgens niet ophield. Het bericht zegt het zelf in de eerste zin: de maatregel volgt op het stakingsbevel van 2 januari 2025. Alles wat bruikbaar is aan dit verhaal ligt in de afstand tussen die twee data.

Het eerste bevel was achttien maanden eerder openbaar

Tussen het bevel om te stoppen en de gepubliceerde boete zitten 568 dagen. Op 2 januari 2025 ging een stakingsbevel uit. Het boetebesluit volgde op 24 juli 2026. Daartussen ligt anderhalf jaar waarin de onderneming, naar het eigen relaas van de toezichthouder, nog steeds gebruikers aannam en in Dubai adverteerde. Reuters meldde dat in de maanden na dat eerste bevel nog honderden miljoenen dollars werden verwerkt.

Het loont de moeite precies te zijn over wat het eerste bericht wel en niet was. Het was een openbare verklaring, op een openbaar adres, die een bepaalde rechtspersoon en haar handelsnamen noemde. Wie op 3 januari 2025 de naam Shelbit natrok, had het gevonden. Het was, gezien wat volgde, geen mechanisme dat de onderneming uit het betalingslandschap verwijderde. Een toezichthouder kan publiceren; uitschakelen kan zij niet.

Dat onderscheid is weinig spectaculair en het is de hele praktische les. Het register legt vast wat de toezichthouder heeft gezegd. Het legt nooit vast wat de tegenpartij sindsdien heeft gedaan. Ondernemingen behandelen die twee stelselmatig als hetzelfde, omdat een naam op een lijst er ofwel op staat ofwel niet, en omdat dat ja-nee zich makkelijk laat automatiseren. Dat ja-nee is echt. Wat het betekent is alleen niet wat de meeste onboardingprocessen aannemen.

Het register dateert zijn eigen vertraging

De openbare berichtenpagina van VARA draagt de tijdstempels die het patroon bewijzen, en ze zijn zonder moeite af te lezen. Op 5 maart 2026 publiceerde de autoriteit waarschuwingen die in het ene bericht MEXC Estonia OU en MEXC Global LTD noemden en in het andere Phoenixfin Pte Ltd, MEK Global Limited, Peken Global Limited en KuCoin Exchange EU GmbH. Boetes volgden op 22 juni 2026 tegen MX Global LTD, handelend als MEXC, en op 24 juni 2026 tegen Peken Global Limited, handelend als KuCoin. Dat is 109 en 111 dagen van waarschuwing tot sanctie. CoinMENA FZE werd op dezelfde junidatum als MEXC beboet.

Drie maanden is naar de maatstaven van financieel toezicht vlot, en niets hiervan wijst op een stilzittende autoriteit. Het punt is smaller en het overleeft het compliment: zelfs wanneer een toezichthouder voortvarend optreedt, bestaat er een meetbaar venster waarin een genoemde onderneming genoemd is en er verder niets met haar is gebeurd. Bij Shelbit liep dat venster tot achttien maanden. In de junizaken tot ongeveer een kwartaal.

De vraag die een Europese ondernemer aan het eigen proces moet stellen, is daarom niet of hij tegen handhavingsregisters toetst. Vrijwel iedereen doet dat. De vraag is hoe vaak, en waartegen. Een kwartaalcontrole en een handhavingscyclus van 109 dagen zijn hetzelfde interval, en dat betekent dat een kwartaalritme een volledige escalatie tussen twee passages kan missen.

Wat Reuters erdoorheen volgde

Het onderzoek van 31 juli 2026 beschrijft een beurs die functioneerde als knooppunt en niet als bestemming. Reuters meldde dat Shelbit, geleid door een Iraanse expat genaamd Siavash Kayvanpour, het middelpunt vormde van stromen van minstens 4 miljard US-dollar sinds mei 2024, en een illegaal goknetwerk van meer dan tweeduizend platforms, de centrale bank van Iran en andere gesanctioneerde Iraanse entiteiten verbond met de wereldwijde cryptomarkten. De Iraanse centrale bank staat sinds 2019 onder Amerikaanse sancties. Op een eerder Reuters-onderzoek volgden Amerikaanse sancties tegen de Iraanse beurs Nobitex.

Toerekening ligt hier gevoelig, en de berichtgeving gaat er zorgvuldig mee om. Geciteerde onderzoekers schatten de operatie in als geleid door de Revolutionaire Garde, maar Reuters stelde uitdrukkelijk niet te hebben kunnen vaststellen of de Garde Shelbit of het goknetwerk rechtstreeks aanstuurde. Dat is een openstaande vraag, geen bevinding, en wie dit intern samenvat moet het voorbehoud meenemen in plaats van het naar boven af te ronden.

Het leerzaamste detail voor een ondernemer is het antwoord van Binance. Het platform verklaarde dat Shelbit er nooit een rekening had gehouden en dat de betrokken transacties niet als hoog risico waren gemarkeerd, en zei tegelijk gebruikers te hebben onderzocht, rekeningen te hebben bevroren en bevindingen aan de opsporing te hebben gemeld. Lees dat nauwkeurig. De blootstelling kwam binnen via gebruikers, niet via een benoemde handelsrelatie. Een controle die alleen vraagt of u een contract hebt met een genoemde onderneming, had op elke stap schoon geantwoord.

Een naam op een lijst is geen toestand van de wereld

De praktische instructie luidt: dateer uw controles en herhaal ze, want het register dat u raadpleegt is zelf een achterlopend document. Noteer wanneer u een tegenpartij hebt getoetst en welke datum het meest recente bericht droeg dat u zag. Liggen die twee data maanden uit elkaar, dan hebt u geen tegenpartij geverifieerd, maar alleen wat een toezichthouder had gepubliceerd tegen de tijd dat u voor het laatst keek. Voor Europese ondernemingen geldt dezelfde discipline aan de eigen kant, waar de vergunning onder de verordening betreffende markten in cryptoactiva wordt bijgehouden door de nationale toezichthouders, in Nederland de AFM samen met De Nederlandsche Bank, en waar het register dezelfde smalle vraag beantwoordt: wat is besloten, niet wat gebeurt er nu.

De tweede instructie volgt uit het antwoord van Binance. Vraag wie de tegenpartijen van uw tegenpartijen zijn, want daarheen reisde deze blootstelling. Een onderneming kan volstrekt geen relatie hebben met een genoemde entiteit en haar stromen toch via klantrekeningen verwerken. De naam op het contract toetsen is de vlakste controle die er is, en in dit geval was het de controle die niets opleverde.

Niets hiervan vergt nieuw gereedschap of een groter nalevingsbudget. Het vergt dat u een registerpost behandelt als bewijs met een tijdstempel erop, wat het altijd al was. Het bevel van januari 2025 stond 568 dagen in het openbaar en deed precies waarvoor het gebouwd was, namelijk iedereen inlichten die keek. Wat het nooit deed, en nooit kon, was het geld tegenhouden.

Lees hierna: De dollar-stablecoin is nu een Amerikaanse bank  |  Cloudflare rekent het web af voor machines