Разметка 100% средств в AML-отчёте: точный анализ или красивая иллюзия?

В одном AML-отчёте всё разложено по полочкам: биржи, обменники, азартные игры, мошенничество. Проценты сходятся, диаграмма выглядит убедительно. В другом часть средств обозначена как Unknown. Первый сервис знает больше?

Не обязательно. 100% классифицированного объёма не означают, что установлены все владельцы адресов и первоначальные источники денег. Иногда перед нами качественная разметка конкретного потока. Иногда - результат расчётных допущений, которые интерфейс показывает увереннее, чем позволяют данные.

Для компании разница вполне материальная: от неё зависит, пропустят ли платёж, запросят ли документы у клиента и потратит ли комплаенс-команда полдня на связь, существующую только в модели.

AML-проверка криптовалюты объединяет несколько задач: анализ операций, определение принадлежности адресов и оценку риска. Это разные уровни знания. Увидеть перевод в блокчейне проще, чем установить, кто контролировал адрес и как заработал деньги.

Поэтому первый вопрос к диаграмме: что принято за 100%? Входящий объём, исходящий, остаток на адресе или операции за выбранный период? Например, распределение исторических поступлений не обязательно описывает происхождение текущего баланса.

Все поступления исследуемого адреса действительно могут прийти от одной известной биржи. Тогда 100% категории Exchange объяснимы. Но это не означает, что сервис знает личность каждого клиента биржи и экономическое происхождение его активов.

И обратная ситуация: распределить весь объём по категориям можно расчётным способом. Например, пройти через неразмеченные адреса до известных сущностей. Такой анализ косвенных связей сам по себе не ошибка. Вопрос в том, какие допущения использованы, где остановлен поиск и не представлена ли предполагаемая связь как установленный факт.

Диаграмма умеет складывать проценты до ста. Проверять гипотезы за аналитика она не обязана.

Unknown и Unmarked обычно обозначают отсутствие достаточной разметки в рамках конкретной методологии. Точное значение нужно смотреть у провайдера: речь может идти о неизвестной принадлежности адреса или неклассифицированной части потока.

Неизвестное нельзя автоматически записывать ни в безопасное, ни в преступное. Полноту установления всех владельцев, посредников и источников средств гарантировать нельзя: данные провайдера всегда имеют границы.

Но большая доля Unknown тоже не медаль за честность. Она может отражать разумное ограничение анализа, недостаточное покрытие базы или особенности выбранной сети. Важно, объясняет ли сервис причину и насколько этого объёма данных достаточно для вашей операции.

Для корпоративного AML-контроля полезно различать два вопроса: «какие риски обнаружены?» и «насколько хорошо изучена эта история?». Низкий риск при скудных данных и низкий риск при хорошо известной истории - разные основания для решения.

Представим цепочку: подозрительный адрес внёс средства на централизованную биржу, а позже биржа отправила криптовалюту вашему контрагенту.

У биржи могут быть общие кошельки для обслуживания множества клиентов. Запись о депозите и последующий вывод не доказывают, что это деньги одного человека. Для такого вывода нужны дополнительные сведения, часто из внутреннего учёта площадки.

Автоматически переносить на получателя риск всех прежних отправителей биржевого кошелька - примерно как подозревать каждого посетителя банка из-за одного проблемного клиента.
При этом биржа не «стирает» риск. Значимы её собственный статус, подтверждённые обстоятельства операции и сведения о клиенте. Сам факт перевода с биржи не является гарантией безопасности.

Именно поэтому прямая связь с рискованным адресом, цепочка через самостоятельные кошельки и предполагаемая связь через общую инфраструктуру сервиса требуют разной интерпретации. Число переходов важно, но роль посредников может оказаться важнее.

Возьмём условный адрес и два отдельных распределения за один период. Все входящие средства поступили с кошелька известной биржи. Из исходящего объёма 1% направлен известному сервису, а получатели остальных 99% не классифицированы.

Противоречия здесь нет: источник поступлений установлен на уровне сервиса, а принадлежность большинства адресов-получателей неизвестна. Нельзя заполнить этот пробел репутацией отправившей деньги биржи.

Из этих процентов также нельзя вывести итоговый risk score. Для оценки нужны сами операции, контрагенты и правила расчёта. Присвоить низкий риск только потому, что деньги пришли с известной площадки, было бы ещё одной красивой догадкой.

Микроскопическая доля выглядит несущественной, пока не известна сумма. В условном обороте 1 млрд USDT доля 0,005% составляет 50 000 USDT. Знак после запятой здесь вполне способен заинтересовать комплаенс.

Однако процент сам по себе не доказывает значимую связь. Нужны сумма, направление, маршрут, период и основание метки. Нельзя оценивать Scam, Gambling и Terrorist Financing по одному универсальному порогу: категории и применимые требования различаются.

Отдельный случай - незапрошенное мелкое поступление. Оно не доказывает осознанного взаимодействия получателя с отправителем. Dusting может использоваться для анализа связей адресов, а address poisoning - для засорения истории переводом с похожего адреса в расчёте на ошибку при копировании. Это разные механики, хотя обе могут включать маленькие переводы.

Автоматически игнорировать всё меньше 1 USDT тоже нельзя. Повторяемость и контекст могут быть важнее размера отдельной операции.

Следует различать дату перевода, момент вступления ограничений в силу и дату, когда провайдер узнал о связи адреса с определённым лицом или сервисом.

Позднее появление санкционной метки само по себе не доказывает, что старая операция нарушала действовавшие тогда ограничения. Но и перевод до включения адреса в список нельзя автоматически объявить безопасным: значение могут иметь другие уже действовавшие ограничения и принадлежность адреса.

История остаётся полезной для текущей оценки. Например, OFAC рекомендует анализировать прошлые операции после появления новых санкционных адресов. Это не равнозначно автоматическому признанию всех прошлых переводов нарушениями.

Как обновления данных меняют оценку, отдельно разобрали в статье «Может ли AML-сервис ошибаться и почему меняется risk score».

Красивый Sankey-граф - схему потоков с ветвящимися линиями - полезно читать вместе с методологией. Иначе визуализация предположений легко превращается в презентацию уверенности.

Перед сравнением провайдеров задайте четыре вопроса:

• Что считается за 100% и совпадают ли сеть, актив, период и направление анализа?
• Где прямая связь, где косвенная и можно ли проверить маршрут до рискованной сущности?
• Как обрабатываются общие кошельки сервисов, неизвестные адреса и незапрошенные поступления?
• Можно ли получить объяснение спорной оценки и пересмотреть её основания?

Для значимых расхождений нужен ручной графовый анализ. Но и он не создаёт отсутствующие данные: иногда профессиональный вывод заключается в том, что связь не подтверждается доступными сведениями.

Более общий порядок интерпретации результатов есть в материале «ТОП-10 ошибок при чтении AML-отчёта».

В Btrace можно проверить криптоадрес и изучить оценку риска вместе со структурой источников средств. Если компания выбирает AML-проверки для регулярной работы, стоит начать с характерных для неё операций и обсудить с AML Crypto требования к анализу. Полезный результат такого знакомства - понимание оснований решения, а не просто ещё один зелёный индикатор.

Качественный AML-отчёт показывает не только то, что удалось узнать, но и границу этого знания. Для бизнеса объяснимое «не установлено» часто полезнее уверенных ста процентов, которые никто не может объяснить.