Como funcionam KYC e AML em pagamentos cripto e fiat

Um pagamento é liquidado ou não é, e a diferença costuma se resumir a duas siglas que quase nenhum time de engenharia gosta de pensar: KYC e AML. Quando bem resolvidas, elas rodam invisíveis dentro do produto. Quando mal resolvidas, aparecem como contas congeladas, perguntas do regulador e aquele tipo de projeto de remediação que trava o roadmap por um trimestre inteiro.

Este guia explica o que realmente são KYC e AML, em que se diferenciam e como o processo roda passo a passo em uma plataforma que movimenta cripto e fiat. Foi escrito para o time que constrói o produto, então termina mostrando como integrar esses controles em um fluxo de API em vez de tratá-los como uma tarefa manual depois do lançamento. Para o panorama completo de erguer uma plataforma em conformidade, este conteúdo complementa nosso guia de como criar uma fintech de pagamentos cripto e fiat.

O que realmente são KYC e AML

O KYC (Know Your Customer, ou Conheça seu Cliente) é o processo de identificar e verificar quem é o cliente antes de deixá-lo operar. O AML (Anti-Money Laundering, ou Prevenção à Lavagem de Dinheiro) é o programa mais amplo de políticas, controles e comunicações que evita que sua plataforma seja usada para lavar dinheiro ou financiar crimes.

A relação é simples: o KYC é um componente dentro do AML. O KYC responde “quem é essa pessoa ou empresa”. O AML responde “essa atividade é legítima, e consigo comprovar que revisei isso”. Uma forma útil de fixar a ideia: o KYC é uma porta que se atravessa uma vez (e se revisita depois), enquanto o AML é um sistema que nunca para de rodar.

Para empresas em vez de pessoas físicas, o equivalente do KYC é o KYB (Know Your Business), que verifica a entidade legal, seu registro e seus beneficiários finais. Tudo o que vem a seguir se aplica aos dois casos, e o KYB soma uma camada extra de propriedade.

KYC vs AML: a diferença em uma tabela

O KYC é um subconjunto do AML, focado na identidade no cadastro, enquanto o AML cobre todo o ciclo, do screening ao monitoramento e à comunicação. Confundir os dois é o erro mais comum ao dimensionar o compliance, porque se constrói a porta e esquece o sistema que vem atrás dela.

Dimensão	KYC	AML
Escopo	Identidade de um cliente	Programa completo contra crimes financeiros
Quando roda	Cadastro, mais atualização periódica	De forma contínua, ao longo de todo o ciclo do cliente
Atividades centrais	Documentos, biometria, propriedade KYB	Screening, monitoramento, comunicação, registros
Pergunta que responde	Quem é?	Essa atividade é legítima?
Relação	Um componente do AML	O programa que contém o KYC

A conclusão: não existe AML funcional sem KYC, mas o KYC sozinho não é AML. Se o seu plano para no “verificar o usuário no cadastro”, você construiu cerca de um terço do que a atividade regulada exige.

O processo de KYC, passo a passo

O KYC roda em uma sequência definida: coletar identidade, verificá-la, avaliar o risco e mantê-la atualizada. Pular ou encurtar qualquer etapa é o que depois aparece como uma brecha de compliance.

1. Identificação. Colete os dados que identificam o cliente: nome completo, data de nascimento, endereço e documento oficial para pessoas físicas; razão social, número de registro e beneficiários finais para empresas.

2. Verificação de identidade. Comprove que os dados são reais e pertencem a quem os apresenta. Costuma combinar autenticação do documento (checar que o documento é genuíno) com uma prova biométrica ou de vivacidade (confirmar que a pessoa corresponde ao documento).

3. Diligência devida do cliente (CDD). Avalia o risco que o cliente representa conforme quem ele é, onde está e o que pretende fazer. A maioria dos clientes passa pela CDD padrão.

4. Diligência devida reforçada (EDD). Aplica controles mais profundos aos casos de maior risco: pessoas politicamente expostas (PEP), jurisdições de alto risco ou volumes esperados incomumente altos. A EDD envolve mais evidências, perguntas sobre a origem dos fundos e uma revisão contínua mais próxima.

Assim se comparam a diligência padrão e a reforçada na prática:

Fator	Diligência devida padrão (CDD)	Diligência devida reforçada (EDD)
Aplica-se a	A maioria dos clientes	PEP, regiões de alto risco, volumes altos
Evidência de identidade	Identificação e verificação padrão	Documentos e corroboração adicionais
Origem dos fundos	Normalmente não é solicitada	Documentada e revisada
Frequência de revisão	Periódica	Mais frequente, escrutínio mais próximo
Aprovação	Frequentemente automatizada	Costuma exigir aval manual

Como funciona o monitoramento de AML

O monitoramento de AML é a camada sempre ativa que faz screening de com quem um cliente transaciona e observa como ele movimenta dinheiro, escalando tudo que pareça crime financeiro. Enquanto o KYC é um ponto de controle, o monitoramento de AML é um fluxo contínuo.

Três controles fazem quase todo o trabalho. O screening de sanções e listas compara clientes e contrapartes com listas de sanções governamentais, bases de dados de PEP e fontes de mídia adversa, no cadastro e novamente em cada transferência. O monitoramento de transações aplica regras e modelos para sinalizar padrões que sugerem lavagem: fracionamento abaixo dos limiares, movimentação rápida de entrada e saída, ou fluxos para destinos de alto risco. A comunicação de operações suspeitas escala os alertas confirmados para um analista humano, que decide se reporta à autoridade competente e, se necessário, congela a atividade.

O princípio de design que importa: esses controles rodam dentro do fluxo da transação, não em um processo noturno que descobre os problemas depois que o dinheiro já se moveu. Um alerta precisa ser capaz de barrar uma transferência, não apenas registrá-la quando já é tarde.

O que muda em cripto e fiat

A atividade cripto regulada carrega as mesmas obrigações centrais de KYC e AML do fiat, mais dois controles próprios do cripto: o screening de wallets e a troca de dados da travel rule. O erro é tratar o compliance cripto como uma disciplina à parte em vez de uma extensão do mesmo programa.

O screening de wallets verifica os endereços on-chain contra bases de dados de risco antes de interagir com eles, sinalizando fundos ligados a entidades sancionadas, roubos conhecidos ou mercados ilícitos. É o equivalente on-chain do screening de contrapartes.

A travel rule exige que as informações do originador e do beneficiário viajem com as transferências que atingem o limiar entre instituições reguladas, incluindo transferências cripto acima do limiar aplicável. Ela permite que as partes reguladas rastreiem fundos e façam screening de contrapartes, e também se aplica aos trilhos fiat. Explicamos a mecânica em a travel rule explicada para cripto e fintech.

Uma plataforma que movimenta cripto e fiat deveria rodar uma única camada de compliance sobre os dois. Dois sistemas desconectados (um para cartões e transferências bancárias, outro para movimentação on-chain) criam pontos cegos justamente onde a lavagem tenta cruzar entre trilhos. Por isso o modelo de custódia também importa: uma arquitetura não custodial muda o que você precisa proteger, embora não elimine suas obrigações de KYC e AML.

Como integrar KYC e AML ao seu fluxo de pagamentos

A forma mais limpa de rodar KYC e AML é dentro do seu fluxo de onboarding e de transação via API, para que a verificação e o screening aconteçam como parte da movimentação, não como uma etapa manual à parte. Na prática, isso significa um cadastro de cliente que você cria uma vez, eventos de verificação e screening entregues por webhook, e uma camada de monitoramento capaz de reter uma transferência quando uma regra é disparada.

O padrão é este. Você cria o cliente, inicia a verificação e recebe o resultado de forma assíncrona. Uma chave de idempotência torna a chamada segura para repetir sem criar duplicatas, algo que importa porque eventos de compliance nunca devem ser contados duas vezes.

curl https://api.tokelia.com/v1/customers \
  -H "Authorization: Bearer $API_KEY" \
  -H "Idempotency-Key: cus_onb_9f3a21" \
  -H "Content-Type: application/json" \
  -d '{
    "type": "individual",
    "profile": {
      "first_name": "Ana",
      "last_name": "Reyes",
      "country": "BR",
      "date_of_birth": "1991-04-12"
    },
    "kyc": { "level": "standard" },
    "screening": { "sanctions": true, "pep": true, "adverse_media": true },
    "webhook_url": "https://seuapp.com/webhooks/compliance"
  }'

A resposta chega com o cliente em estado de verificação pending. Quando os controles terminam, um webhook entrega o resultado, e só um cliente verified pode ter saldo ou transacionar:

{
  "id": "cus_7Qa1",
  "type": "individual",
  "kyc_status": "pending",
  "screening_status": "pending",
  "risk_tier": null,
  "created_at": "2026-06-27T14:03:00Z"
}

A partir daí, o monitoramento de transações roda a cada movimento. Quando uma regra é disparada, a transferência pode ficar em estado review e aparecer para o seu time de operações em vez de ser liquidada em silêncio. O ponto não são os nomes exatos dos campos, e sim o formato: verificação e screening são eventos no seu fluxo, entregues por webhooks, repetíveis com idempotência e capazes de bloquear a movimentação de dinheiro quando necessário.

Os marcos regulatórios mudam conforme o mercado

As obrigações centrais (verificar identidade, fazer screening, monitorar, reportar) são bastante consistentes ao redor do mundo, mas as leis concretas, os limiares e os supervisores diferem por país, então o compliance precisa ser dimensionado mercado a mercado. Tratar as regras de um país como universais é uma forma segura de errar a entrada em um mercado.

Para dar um contexto sem exagerar: no Brasil, a lei-âncora é a Lei 9.613/1998, que trata da prevenção e do combate à lavagem de dinheiro. O Banco Central do Brasil (BCB) supervisiona as instituições financeiras e de pagamento, a CVM supervisiona o mercado de capitais, e o COAF (Conselho de Controle de Atividades Financeiras), a unidade de inteligência financeira do Brasil, análoga ao FinCEN americano, é a autoridade que recebe as comunicações de operações suspeitas. A atividade de instituições de pagamento também se cruza com a regulação específica do BCB para esse segmento. Nos EUA, o marco do Bank Secrecy Act e o FinCEN estão no centro; na UE aplicam-se as diretivas de AML e, para cripto, regimes dedicados como o MiCA.

Como limiares e obrigações mudam com o tempo e conforme a atividade, trate o que foi dito acima como orientação, não como assessoria jurídica, e confirme os requisitos vigentes com assessoria local. Quais registros e licenças você realmente precisa é uma pergunta relacionada, que cobrimos em licenças para movimentar cripto e fiat: BCB, MSB, EMI e MiCA.

Como escolher sua ferramenta de compliance

A maioria dos times deveria integrar KYC e AML por meio de provedores especializados em vez de construí-los, porque os componentes são indiferenciados, difíceis de acertar e caros de manter. O que é seu é a política e as decisões de revisão; o que você integra é o encanamento técnico.

Há mais ou menos quatro categorias de ferramenta a cobrir:

Capacidade	O que faz	Roda em
Verificação de identidade	Documentos, biometria, prova de vivacidade, propriedade KYB	Cadastro e atualização
Screening de sanções e PEP	Compara clientes e contrapartes com listas	Cadastro e cada transferência
Monitoramento de transações	Regras e modelos que sinalizam padrões suspeitos	Cada movimento
Screening de wallets	Verifica endereços on-chain contra bases de risco	Cada interação cripto

Você pode costurar essas peças sozinho a partir de provedores separados, cada um com seu contrato, seu modelo de dados e seus modos de falha, ou adotar uma infraestrutura em que elas chegam como uma única camada integrada. O caminho integrado elimina as dores de conciliação que surgem quando quatro sistemas discordam sobre o mesmo cliente.

O que custa fazer errado

Falhas de AML não são um risco de papelada, são um risco existencial: sanções, remediações forçadas, perda de acesso a bancos e a redes de cartões, e um dano reputacional que sobrevive à multa. O custo do erro é assimétrico, e por isso o compliance entra na arquitetura desde o primeiro dia.

Os modos de falha são previsíveis. Um onboarding sem verificação adequada deixa entrar maus atores. Um screening que roda uma vez e nunca mais perde de vista um cliente que depois aparece em uma lista de sanções. Um monitoramento que só roda em lote descobre a lavagem depois que ela já foi liquidada. Registros que não são auditáveis transformam uma revisão de rotina em uma crise. Nenhum desses casos é exótico; são resultado direto de tratar o compliance como uma função a ser adicionada depois em vez de um alicerce sobre o qual construir. É a mesma lição de escolher cedo o desenho do seu on-ramp e off-ramp: as partes difíceis de mudar precisam ficar certas logo de início.

Onde o Tokelia se encaixa

O Tokelia é a infraestrutura para o dinheiro programável, com o compliance embutido no stack base em vez de vendido como add-on. A verificação de KYC e KYB, o screening de sanções e PEP, o monitoramento de transações, o screening de wallets e os dados de travel rule rodam sobre trilhos unificados de cripto e fiat atrás de uma única API, em uma arquitetura não custodial na qual os usuários mantêm o controle dos próprios fundos. Os serviços monetários são prestados pela Tokelia LLC, registrada como Money Services Business junto ao FinCEN, com a parte bancária regulada entregue por instituições licenciadas, de modo que você pode lançar com sua própria marca enquanto o encanamento de compliance, difícil e indiferenciado, já está resolvido.

Se você está dimensionando a camada de compliance de um produto cripto-fiat, a forma mais rápida de ver como ela se encaixa nos seus fluxos é percorrer um onboarding e uma transferência reais com nosso time. Fale conosco e consiga uma sandbox key.