O que o Dubai publicou a 24 de julho

O aviso da VARA nomeia a entidade, os nomes comerciais que usava e três incumprimentos, e não publica qualquer valor para a sanção. A Virtual Assets Regulatory Authority emitiu a 24 de julho de 2026 um aviso de multas contra a Shelbit General Trading L.L.C, que operava comercialmente como Shelbit e Shelbit Exchange. O regulador expôs que se verificara que a entidade continuava a prestar serviços de criptoativos a clientes no Dubai e a partir do Dubai sem deter licença válida, a registar utilizadores sem as verificações de conhecimento do cliente exigidas pela lei emiradense, e a promover os seus serviços no Dubai sem autorização. Em consequência, a VARA declarou ter adotado medidas de execução, aplicado sanções pecuniárias e ordenado a cessação imediata de toda a atividade de criptoativos sem licença no Dubai ou a partir do Dubai.

A palavra que sustenta esse aviso é "continuava". Não é assim que um regulador escreve sobre algo que acabou de descobrir. É assim que escreve sobre algo cuja cessação já ordenara e que depois não cessou. O próprio aviso diz isso logo na primeira linha: a medida segue a ordem de cessação de 2 de janeiro de 2025. Tudo o que é aproveitável nesta história está na distância entre essas duas datas.

A primeira ordem era pública havia dezoito meses

Entre a ordem para parar e a multa publicada decorrem 568 dias. A 2 de janeiro de 2025 foi emitida uma ordem de cessação. O aviso de multas chegou a 24 de julho de 2026. Pelo meio fica ano e meio em que a entidade, por admissão do próprio regulador, continuava a registar utilizadores e a anunciar-se no Dubai. A Reuters noticiou que nos meses seguintes a essa primeira ordem foram processadas mais centenas de milhões de dólares.

Vale a pena ser preciso sobre o que o primeiro aviso foi e não foi. Foi uma declaração pública, num endereço público, que nomeava uma pessoa coletiva concreta e os seus nomes comerciais. Quem verificasse o nome Shelbit a 3 de janeiro de 2025 tê-lo-ia encontrado. Não foi, à luz do que se seguiu, um mecanismo capaz de retirar a entidade do circuito de pagamentos. Um regulador pode publicar; desligar não pode.

Essa distinção é pouco vistosa e é toda a lição prática. O registo guarda o que o regulador disse. Nunca guarda o que a contraparte fez desde então. As empresas tratam rotineiramente as duas coisas como equivalentes, porque um nome ou está numa lista ou não está, e porque esse sim ou não se automatiza com facilidade. O sim ou não é real. O que não é real é o significado que lhe atribuem a maioria dos processos de entrada em relação.

O registo data o seu próprio atraso

A página pública de avisos da VARA traz as marcas temporais que provam o padrão, e leem-se sem esforço. A 5 de março de 2026 a autoridade publicou advertências que num aviso nomeavam a MEXC Estonia OU e a MEXC Global LTD, e noutro a Phoenixfin Pte Ltd, a MEK Global Limited, a Peken Global Limited e a KuCoin Exchange EU GmbH. As multas seguiram-se a 22 de junho de 2026 contra a MX Global LTD, que opera como MEXC, e a 24 de junho de 2026 contra a Peken Global Limited, que opera como KuCoin. São 109 e 111 dias da advertência até à sanção. A CoinMENA FZE foi multada no mesmo dia de junho que a MEXC.

Três meses é rápido pelos padrões da supervisão financeira, e nada disto sugere uma autoridade parada. O argumento é mais estreito e sobrevive ao elogio: mesmo quando um regulador age com diligência, existe uma janela mensurável em que uma entidade nomeada está nomeada e mais nada lhe aconteceu. No caso da Shelbit essa janela chegou a dezoito meses. Nos casos de junho, a cerca de um trimestre.

Por isso a pergunta que um empresário europeu deve fazer ao seu próprio processo não é se filtra contra registos de contraordenações. Quase toda a gente o faz. É com que frequência, e contra o quê. Uma reverificação trimestral e um ciclo sancionatório de 109 dias são o mesmo intervalo, o que significa que um ritmo trimestral pode falhar uma escalada inteira entre duas passagens.

O que a Reuters seguiu através dela

A investigação publicada a 31 de julho de 2026 descreve uma plataforma a funcionar como nó e não como destino. A Reuters noticiou que a Shelbit, dirigida por um expatriado iraniano chamado Siavash Kayvanpour, estava no centro de fluxos de pelo menos 4 mil milhões de dólares movimentados desde maio de 2024, e ligava aos mercados mundiais de criptoativos uma rede ilegal de jogo com mais de duas mil plataformas, o banco central do Irão e outras entidades iranianas sancionadas. O banco central do Irão está sob sanções norte-americanas desde 2019. Uma investigação anterior da Reuters precedeu as sanções norte-americanas à plataforma iraniana Nobitex.

A imputação é delicada aqui, e a reportagem trata-a com cuidado. Os investigadores citados avaliam a operação como conduzida pela Guarda Revolucionária, mas a Reuters afirmou com clareza que não conseguiu determinar se a Guarda controlava diretamente a Shelbit ou a rede de jogo. É uma questão em aberto, não uma conclusão, e quem resumir isto internamente deve transportar a reserva em vez de a arredondar por excesso.

O pormenor mais instrutivo para um empresário é a resposta da Binance. A plataforma declarou que a Shelbit nunca ali tivera conta e que as transações associadas não foram assinaladas como de risco elevado, afirmando ao mesmo tempo ter investigado utilizadores, congelado contas e comunicado as suas conclusões às autoridades. Convém ler com atenção. A exposição entrou pelos utilizadores, não por uma relação comercial identificada. Uma verificação que apenas pergunta se existe contrato com uma entidade listada teria respondido limpa em cada passo.

Um nome numa lista não é um estado do mundo

A instrução prática é datar as verificações e repeti-las, porque o registo que se consulta é ele próprio um documento atrasado. Anote quando verificou uma contraparte e que data trazia o aviso mais recente que viu. Se essas duas datas distarem meses, não verificou uma contraparte: verificou o que um regulador tinha publicado até à última vez que olhou. Para as empresas europeias a mesma disciplina vale do lado de cá, onde a autorização ao abrigo do regulamento relativo aos mercados de criptoativos é mantida pelas autoridades nacionais competentes, em Portugal a CMVM em articulação com o Banco de Portugal, e onde o registo responde à mesma pergunta estreita: o que foi decidido, não o que está a acontecer agora.

A segunda instrução decorre da resposta da Binance. Pergunte quem são as contrapartes das suas contrapartes, porque foi por aí que esta exposição viajou. Uma empresa pode não ter relação nenhuma com uma entidade nomeada e ainda assim processar os seus fluxos através de contas de clientes. Verificar o nome que consta do contrato é o controlo mais superficial disponível, e neste caso foi o que nada devolveu.

Nada disto exige ferramentas novas nem um orçamento de conformidade maior. Exige tratar uma inscrição num registo como prova com uma marca temporal, que é o que sempre foi. A ordem de janeiro de 2025 esteve pública 568 dias a fazer exatamente aquilo para que foi criada, que era informar quem olhasse. O que nunca fez, nem podia fazer, foi travar o dinheiro.

Leia a seguir: A stablecoin do dólar é agora um banco dos EUA  |  Cloudflare cobra a web às máquinas