O Ponto Cego do KYC Cripto: IA do Lado do Solicitante

O KYC sempre assumiu que a pessoa do outro lado de um fluxo de verificação é uma pessoa. Esse pressuposto não se sustenta mais.

Em 8 de outubro de 2026, a Regula divulgou seu Crypto KYC Snapshot — uma análise baseada em uma pesquisa da Sapio Research com 850 tomadores de decisão em fraude e crime financeiro, sendo 102 deles no setor cripto. O dado principal: 44% das empresas cripto confirmaram atividade assistida por IA ou automatizada no lado do usuário de suas verificações de identidade. Em outros setores, o número equivalente é de 31%. O cripto lidera por 13 pontos percentuais.

Esta não é principalmente uma história sobre fraudadores que enviam documentos falsos. É uma história sobre a arquitetura de verificação que a maioria das plataformas cripto utiliza e os pressupostos sobre os quais foi projetada. Esse pressuposto agora está quebrado para quase metade do setor.

O Que Significa Realmente "IA do Lado do Usuário"

A Regula define a IA do lado do usuário de forma ampla: assistentes de IA ajudando os usuários a navegar em formulários de verificação, scripts interagindo com fluxos de captura biométrica, e automação descoberta por meio de investigações ou revisões pós-incidente. A definição abrange um amplo espectro de intenções.

Na extremidade benigna, um usuário com um aplicativo de carteira digital usa um assistente de IA para entender quais documentos são necessários e os formata corretamente. Na extremidade adversária, um anel de fraude organizado implanta agentes de IA que geram personas sintéticas, completam a geração de documentos, alimentam fluxos de vídeo deepfake em verificações de vivacidade, e enviam a solicitação — em escala, em paralelo, sem intervenção humana.

A Regula é explícita que confirmar o envolvimento de IA não indica, por si só, que ocorreu fraude. O que indica é que o modelo de humano-no-loop que sustenta a maioria dos designs de verificação de identidade já não descreve o que realmente acontece em 44% dos fluxos cripto.

Por Que o Cripto Lidera os Demais

A diferença de 13 pontos em relação a outros setores não é aleatória. Três características estruturais do cripto concentram o risco.

O incentivo financeiro é imediato. Passar o KYC de uma exchange cripto desbloqueia o acesso a ativos reais com liquidez real. O retorno de um onboarding automatizado bem-sucedido é calculável, o que torna o investimento em automatizar o ataque rentável.

A base de usuários é tecnicamente sofisticada. A proporção de usuários cripto que conseguem fazer uma chamada de API, executar um script Python ou instruir um agente de IA é estruturalmente maior do que a média de qualquer outro setor de varejo regulado.

O ambiente regulatório comprimiu o terreno intermediário. Desde que a Travel Rule da MiCA tornou-se obrigatória em 1º de julho de 2026, os CASPs enfrentam requisitos de identidade mais rígidos e padronizados do que há 18 meses. As implicações da plena aplicação da MiCA para o KYC cripto criaram pressão para incorporar mais rápido e barato, e essa pressão se expressou em usuários automatizando o atrito do seu lado.

Três Camadas de Risco

A IA do lado do usuário nas verificações de identidade cria uma estrutura de risco composto.

Camada 1: Integridade da verificação

Um sistema KYC é projetado para confirmar que um ser humano específico existe, possui os documentos de identidade que afirma possuir, e está fisicamente presente no momento da verificação. A automação por IA quebra primeiro o vínculo de "presença física". Um agente de IA pode enviar uma verificação de vivacidade sem que haja um humano presente, alimentando vídeo pré-gravado, um fluxo deepfake ou um rosto gerado na camada de captura. Os ataques de injeção contra a detecção de vivacidade foram documentados nas principais exchanges, precisamente porque a detecção de vivacidade foi projetada para detectar um humano segurando uma foto impressa, não uma chamada de API entregando um deepfake perfeito.

Camada 2: Superfície de fraude documental

O Crypto KYC Snapshot revelou que a preocupação com fraude documental é maior entre os respondentes cripto do que em outros setores: 44% versus 34%. Quando os solicitantes podem gerar documentos de suporte programaticamente — comprovantes de endereço, extratos bancários, contas de serviços públicos — a superfície de ataque se desloca para os controles de autenticidade documental.

Camada 3: Escala e rastreabilidade

A fraude manual em escala requer pessoas. A fraude automatizada em escala requer infraestrutura e IA. Uma vez que um agente de IA consegue completar um fluxo KYC de ponta a ponta, ele pode ser executado em paralelo em milhares de exchanges. Os próprios dados da pesquisa da Regula apontam para uma lacuna de rastreabilidade: apenas 62% das empresas cripto afirmaram que poderiam reconstruir completamente uma decisão de identidade.

Por Que a Arquitetura KYC Tradicional Não Foi Projetada Para Isso

A camada de verificação que a maioria das exchanges cripto implantou entre 2018 e 2023 foi projetada em torno de um modelo de ameaça: um ser humano tentando usar a identidade de outra pessoa. Detecção de vivacidade passiva, OCR de documentos, consultas em bancos de dados contra listas de sanções e PPEs. Essa arquitetura é competente contra uma pessoa com um documento roubado.

Ela não foi projetada para um agente de IA que não tem corpo e, portanto, não pode falhar em um controle de vivacidade passivo, que processou milhões de documentos e consegue produzir sintéticos convincentes, e que pode completar o fluxo de verificação em velocidade de máquina sem hesitação.

A dinâmica da Fraude 4.0 — IA implantada contra sistemas de IA é o ponto final natural dessa trajetória. A infraestrutura de verificação estática e baseada em regras encontra a automação adversária dinâmica e que aprende.

O Que Dizem os Reguladores

A Financial Conduct Authority do Reino Unido nomeou explicitamente a fraude de identidade habilitada por GenAI em suas prioridades de supervisão para 2026 — um dos sinais regulatórios mais claros até à data de que este não é um problema futuro antecipado, mas um problema atual sendo detectado.

As diretrizes de monitoramento contínuo da AMLA, publicadas em junho de 2026, criam um dever de monitoramento contínuo de transações e comportamentos que estende a lógica de verificação de identidade além do onboarding. Um modelo de KYC perpétuo aplica monitoramento contínuo baseado em risco ao relacionamento com o cliente, não apenas à verificação inicial.

Como o KYC Agêntico Muda a Equação

A resposta lógica à IA do lado do solicitante é a IA do lado da verificação que foi projetada tendo em mente esse modelo de ameaça desde o início.

Os sistemas de KYC agêntico são construídos para executar o ciclo de vida completo da verificação de forma autônoma. Várias capacidades específicas importam no modelo de ameaça de IA do lado do usuário:

Análise comportamental do fluxo de verificação. Um agente de IA enviando um formulário não se comporta como um humano. Preenche campos mais rápido, navega de forma consistente e não mostra padrões de hesitação.

Monitoramento pós-onboarding. Uma persona sintética que passa no onboarding produzirá padrões de transações e de comportamento de conta que diferem de um usuário genuíno.

Rastreabilidade completa de decisões. Cada decisão no fluxo de verificação precisa ser reconstituível.

Os Agentes de IA da Joinble são construídos em torno desse modelo operacional: monitorando o relacionamento de identidade continuamente, produzindo trilhas de decisão auditáveis, e tratando os sinais comportamentais ao longo de todo o ciclo de vida do cliente como evidência de identidade.

Uma Resposta Prática para as Equipes de Compliance

Auditar a detecção de vivacidade contra ataques de injeção. A sua solução atual de vivacidade verifica se o fluxo de vídeo vem de uma câmera de dispositivo em vez de uma injeção de API?

Adicionar sinais comportamentais à verificação de documentos. A verificação do conteúdo do documento detecta falsificações. O comportamento de envio do documento detecta automação.

Verificar sua postura de rastreabilidade. Se você não consegue reconstruir nenhuma decisão de identidade de ponta a ponta hoje, a detecção de IA do lado do usuário não é possível na prática.

Revisar sua avaliação do estado da arte. O estado do KYC em cripto em 2026 mudou significativamente desde a linha de base sobre a qual a maioria das plataformas construiu seus programas de compliance.

---

Perguntas Frequentes

O que significa "IA do lado do usuário nas verificações de identidade"?

A Regula a define como atividade assistida por IA ou automatizada confirmada no lado do solicitante de um fluxo de verificação. Inclui assistentes de IA ajudando usuários a preencher formulários, scripts interagindo com interfaces de captura biométrica, e automação descoberta por meio de investigações.

Por que as empresas cripto estão mais expostas à IA do lado do usuário do que outros setores?

Três fatores estruturais: incentivo financeiro imediato para passar no KYC, uma base de usuários tecnicamente sofisticada com menores barreiras para implantar automação, e pressão de compliance regulatório que levou os usuários a minimizar o atrito de verificação do seu lado.

IA do lado do usuário confirmada significa fraude confirmada?

Não automaticamente. Um usuário que usa um assistente de IA para entender quais documentos são necessários não está cometendo fraude. A relevância para o compliance é que uma arquitetura de verificação projetada em torno de um modelo de humano-no-loop fica exposta quando 44% dos seus fluxos envolvem algo diferente de um humano agindo sozinho.

Quais controles de verificação são mais eficazes contra envios de identidade automatizados?

Análise comportamental do próprio fluxo de verificação, detecção de vivacidade resistente a injeções, rastreabilidade completa de cada decisão de identidade, e monitoramento comportamental pós-onboarding.

Como o KYC perpétuo aborda a fraude de IA do lado do usuário?

O KYC perpétuo aplica monitoramento comportamental contínuo ao relacionamento com o cliente após o onboarding. Uma persona sintética que passa na verificação inicial produzirá padrões de transações e de comportamentos que divergem de usuários genuínos ao longo do tempo.

O que os reguladores esperam das empresas cripto sobre fraude de identidade por IA?

A FCA nomeou a fraude de identidade habilitada por GenAI como uma prioridade de supervisão específica para 2026. As diretrizes de monitoramento contínuo da AMLA de junho de 2026 exigem monitoramento comportamental contínuo dos relacionamentos com clientes.