Il Regno Unito ha imposto sanzioni economiche alla piattaforma di pagamento in criptovalute Cryptomus l'8 ottobre, prendendo di mira un'infrastruttura accusata di elaborare pagamenti che favoriscono il governo russo e i suoi istituti finanziari.
Secondo il reportage di KrebsOnSecurity, le misure congelano gli asset di Cryptomus detenuti presso banche britanniche e vietano alle aziende britanniche di fare affari con la piattaforma, sia in criptovalute sia attraverso altri canali.
Il provvedimento riguarda Cryptomus, in precedenza noto come Certa Payments e Xeltox Enterprises. Sono stati citati anche VexPay, TokenSpot e il servizio Tsunami Payments. Ricercatori hanno inoltre collegato separatamente Cryptomus a Heleket, un servizio di pagamento presentato come un'operazione parallela, dopo che le autorità canadesi avevano imposto una multa di 176 milioni di dollari canadesi per violazioni antiriciclaggio.
Un hub di pagamento per exchange russi e servizi illeciti
Cryptomus è emerso nel 2022 e si è affermato come processore di pagamenti per decine di exchange di criptovalute russi e siti che vendono servizi legati al cybercrime, secondo un'inchiesta di KrebsOnSecurity pubblicata nel dicembre 2024.
Le società di analisi della blockchain descrivono la sua attività come qualcosa che va oltre l'elusione delle sanzioni. Nella valutazione dell'8 ottobre citata dal reportage, Chainalysis ha dichiarato che Cryptomus e Heleket si sono trasformati in importanti hub di pagamento per transazioni illecite. In tutte le categorie monitorate dalla società, i due servizi avrebbero presumibilmente ricevuto più fondi illeciti dei mixer di criptovalute presenti nel suo dataset.
Chainalysis ha inoltre contato più di 900 controparti illecite che hanno interagito con le piattaforme in un solo mese alla fine del 2025. Si tratta di risultati della società di analisi, non di totali ufficiali delle transazioni nel Regno Unito.
TRM Labs ha stimato nell'aprile 2026 che Cryptomus abbia elaborato più di 7 miliardi di dollari USA di transazioni dal suo lancio nel 2022. Questa cifra rappresenta il volume complessivo delle transazioni, non un'affermazione che tutti i 7 miliardi di dollari siano illeciti. TRM ha dichiarato di aver individuato transazioni collegate a venditori di materiale pedopornografico, reti di finanziamento del terrorismo e operazioni di tratta di esseri umani.
Secondo la stessa valutazione, il volume delle transazioni è calato drasticamente dopo che Cryptomus ha introdotto le verifiche sull'identità dei clienti (KYC). TRM ha affermato che Heleket è stato successivamente lanciato come servizio parallelo che offre l'elaborazione dei pagamenti senza requisiti KYC.
Un addetto all'assistenza di Heleket ha negato su Telegram che il servizio sia affiliato a Cryptomus. Il reportage di KrebsOnSecurity contesta questa smentita sulla base dell'infrastruttura e delle prove societarie esaminate.
Le sanzioni potrebbero interrompere il regolamento e l'accesso ai fondi
Le conseguenze immediate ricadono sugli istituti finanziari e sulle imprese del Regno Unito. Le banche che detengono asset coperti dalle misure descritte sono tenute a congelarli, mentre alle aziende britanniche è vietato fornire servizi a Cryptomus.
Anche clienti ed exchange che dipendono dalla piattaforma potrebbero subire interruzioni dei pagamenti. In uno scambio su Telegram dell'8 ottobre, un bot di assistenza di Cryptomus ha comunicato che il servizio era improvvisamente diventato incapace di elaborare transazioni. Lo screenshot documenta un'interruzione segnalata in quel momento, ma non la sua portata né la sua durata.
Richard Sanders, investigatore della blockchain che ha dichiarato di aver passato mesi a mappare la rete di pagamenti della piattaforma e di aver effettuato transazioni con i suoi clienti, sostiene che l'azione del Regno Unito potrebbe avere un impatto operativo più diretto della multa canadese. «Le sanzioni uccidono l'operazione», ha scritto su LinkedIn.
Sanders ha affermato che Cryptomus ha presentato ricorso contro la sanzione di 176 milioni di dollari canadesi, ha lanciato Heleket e ha continuato a elaborare volumi di transazioni consistenti. Ha inoltre descritto la misura britannica come il primo caso noto in cui un Paese Five Eyes ha sanzionato un'attività di criptovalute registrata in un'altra giurisdizione Five Eyes. Questa caratterizzazione è una valutazione di Sanders.
I registri societari indicano una struttura operativa opaca
L'inchiesta del dicembre 2024 ha rilevato che Cryptomus condivideva un indirizzo a Vancouver con numerosi operatori di cambio valutario e di trasferimento di denaro che non sembravano operare fisicamente da quella sede.
Al momento di quell'inchiesta, l'unico azionista di Certa Payments era identificato come una donna ucraina di 25 anni, che dirigeva anche diverse altre società. Una di queste era WS Management and Advisory Corporation, che si presentava come un ente regolatore per le attività di criptovalute, cambio valutario e gioco d'azzardo online registrate nel Sahara occidentale.
Il suo sito web, crasadr.com, pubblicizzava assistenza per la costituzione di società, accordi bancari, licenze per il gioco e licenze per broker di cambio valutario. Il vecchio dominio di Certa Payments, certa[.]website, condivideva un server con altri dodici domini, tra cui rasd-state[.]ws, che l'inchiesta descriveva come appartenente alla «Central Reserve Authority of the Western Sahara».
KrebsOnSecurity ha stabilito che l'autorità dichiarata alla base di queste attività finanziarie sembrava dipendere da istituzioni fabbricate e da un presunto ente regolatore che operava da un territorio non ampiamente riconosciuto come Stato sovrano. Questa conclusione è un'analisi della testata basata sui registri societari e tecnici esaminati.
Per le banche e le aziende del Regno Unito, la priorità pratica è individuare l'esposizione a Cryptomus e ai nomi Certa Payments e Xeltox Enterprises, oltre che a VexPay, TokenSpot e Tsunami Payments. Heleket va trattato come un presunto servizio parallelo collegato da ricercatori e investigatori, piuttosto che come un'entità separata ufficialmente elencata.
