Что показывает AML-проверка криптовалюты и как читать отчёт

Получение криптовалюты с рискованной историей может закончиться вопросами со стороны биржи, которая может заблокировать ваши средства из за связи с незаконной деятельностью, которую вы могли и не вести.

В случае с централизованными стейблкоинами последствия способны наступить прямо на блокчейн-адресе: эмитент может банально заблокировать ваши USDT или USDC, и токены останутся видны в кошельке, но отправить или обменять их будет невозможно. Условия Tether и Circle предусматривают возможность блокировки токенов или адресов при санкционных ограничениях, подозрении на незаконную деятельность и юридически значимых требованиях компетентных органов.

Термином «AML-проверка» часто называют сразу несколько самостоятельных процессов. Между ними есть принципиальная разница.

Wallet Screening отвечает на вопрос: «Насколько рискован этот адрес сейчас?» Transaction Screening помогает оценить конкретный перевод. Transaction Monitoring смотрит шире - что происходит с деньгами и поведением клиента с течением времени. В отраслевой практике screening и monitoring рассматриваются как разные, но дополняющие друг друга уровни контроля.

Разовая проверка адреса не заменяет постоянный мониторинг. Адрес мог выглядеть безопасно при онбординге, но позднее начать взаимодействовать с новыми контрагентами или использоваться в нетипичной последовательности операций и стал рискованным.

AML-система оценивает не один признак, а совокупность качественных и количественных факторов риска. Под ними понимаются характеристики адреса, транзакции и их окружения, которые помогают оценить вероятность нежелательной или незаконной активности.

В расчёт могут входить известные метки адресов, история происхождения средств, поведение кошелька, связанные контрагенты, дистанция до рискованных сущностей, доля связанных с ними активов и последовательность транзакций. Дополнительно используются кластеризация, математические эвристики, результаты расследований и данные OSINT.

Отдельный показатель - степень загрязнения. Упрощённо она отражает, какая доля средств или их истории связана с определёнными рискованными источниками. Это аналитическая характеристика, а не юридическое доказательство того, что активы незаконны или их текущий владелец участвовал в преступлении.

AML-сервис способен обнаружить взаимодействия со скам-проектами, адресами злоумышленников после взломов, похищенными активами, санкционной инфраструктурой, даркнет-маркетами, миксерами и другими сущностями повышенного риска.

При этом важен не только факт наличия метки. Адрес мог получить активы непосредственно от известного злоумышленника, а мог оказаться связан с ним через несколько промежуточных кошельков и сервисов. Эти ситуации нельзя оценивать одинаково.

Качественный анализ должен отвечать как минимум на четыре вопроса:

Для частного пользователя наиболее очевидный риск - блокировка аккаунта или средств после внесения криптовалюты на биржу. Но в случае USDT и USDC защита личным некастодиальным кошельком не абсолютна. То есть стейблкоины могут заморозить и на вашем крипто кошельке.

Это не чисто теоретическая возможность. Например, Tether публично сообщала о заморозке адресов, связанных с незаконной деятельностью и финансированием терроризма.

Помимо потери доступа к активам, пользователь может столкнуться с необходимостью объяснять происхождение средств, участвовать в проверке или оказаться одним из звеньев расследуемой цепочки.

Для бизнеса последствия шире: прямые убытки, заморозка активов, претензии регуляторов, отключение банковских и платёжных партнёров, риски для лицензии VASP и репутационный ущерб. Именно поэтому адрес желательно проверять до зачисления или отправки средств, а результат - сохранять как подтверждение проведённой проверки. Такой подход заложен и в позиционирование Btrace.

Содержание отчётов различается. Одни сервисы показывают только общий уровень риска (например от 0 до 100), другие раскрывают происхождение средств, категории риска, расстояние до источников и основания оценки.

В актуальном отчёте Btrace пользователь видит итоговый risk score, факторы риска и комментарии, состав средств и их происхождение. Неразмеченная часть отображается отдельно: наш сервис не заменяет неизвестное происхождение предположительной категорией только для того, чтобы получить визуально завершённые 100%.

Пример части интерфейса Btrace с данными о проверке крипто адреса:

Прямая связь возникает, когда проверяемый адрес непосредственно взаимодействовал с рискованным адресом или сервисом. Косвенная связь проходит через один или несколько промежуточных кошельков. При косвенной связи меньше шансов, что ваш контрагент замешан в какой-либо рискованной деятельности.

Прямое получение средств от санкционного адреса и отдалённая связь через несколько посредников - не одно и то же. При оценке нужно учитывать категорию сущности, количество переходов, направление движения, долю активов и тайминг транзакций.

Особенно осторожно следует относиться к цепочкам, проходящим через крупные биржи, обменники и другие кастодиальные сервисы. Обычно в таких случаях подразумевается, что рисков нет (ведь крипто сервис вас все проверил). После попадания средств в общий горячий кошелёк активы множества клиентов смешиваются, а внутренний учёт сервиса в блокчейне не виден. Продолжение трассировки за такую точку не всегда повышает точность - иногда оно лишь создаёт ложную уверенность.

Скоринг представляет собой вероятностное суждение. Он может учитывать математические эвристики, атрибуцию адресов, известные метки, транзакционные связи и данные OSINT. Высокая оценка говорит о том, что обнаружены значимые риск-факторы, но не устанавливает личность владельца и не доказывает его виновность.

Обратное тоже верно: низкий score не является бессрочным сертификатом «чистоты». Сервис оценивает данные, известные ему на конкретный момент.

AML-провайдеры работают с одним блокчейном, но их базы атрибуции и аналитические модели различаются. Один сервис может уже знать, что адрес принадлежит определённому обменнику или преступной инфраструктуре, а другой пока видеть только неразмеченный кошелёк.

На итог влияют множество различных факторов, например такие как:

Поэтому расхождение score не всегда означает, что один из сервисов ошибается. Сравнивать следует не только проценты, но и то, какие сущности обнаружены, насколько близки связи и на каких данных основана атрибуция.

Начать следует с определения объекта анализа. Проверялся адрес, конкретная транзакция или поведение клиента за определённый период? Смешивание этих уровней часто приводит к неправильным выводам.

Затем можно двигаться по короткому алгоритму:

Одинаковый балл может быть сформирован совершенно разными причинами. Например, одной прямой критичной связью или сочетанием нескольких слабых косвенных факторов. Поэтому принимать решение только по цифре неправильно.

Дополнительный анализ также оправдан при крупной сумме и высокой цене ошибки. В таком случае нужно изучить конкретную транзакцию, раскрыть маршрут на графе, проверить связанные адреса или кластер и при необходимости запросить сведения о происхождении средств.

Btrace даёт быстрый автоматический скоринг, а графовый инструмент такой как Bholder позволяет вручную исследовать движение средств, контрагентов и связи между адресами. Если собственной компетенции для интерпретации графа недостаточно, случай лучше передать специалисту.

Risk score меняется не только из-за новых транзакций. Возможна ретроспективная разметка: адрес или сервис, который раньше не имел установленной атрибуции, позднее связывают с мошенничеством, санкциями, взломом или другой категорией риска.

Например адрес крипто мошенника может некоторое время быть вполне чистым при проверки до того момента когда станет известно о его преступлениях.

Из-за этого оценка может вырасти, даже если сам проверяемый адрес после первой проверки больше не совершал операций. Именно поэтому отчёт следует сохранять как снимок данных, доступных на дату принятия решения.

Практический результат AML-проверки сводится к одному из трёх действий.

Ценность AML-проверки заключается не в получении красивого процента, а в возможности принять обоснованное и зафиксированное решение.

AML-проверка может анализировать адрес, отдельную транзакцию или поведение пользователя во времени. Чтобы правильно использовать её результат, недостаточно посмотреть на risk score. Нужно понять происхождение средств, степень загрязнения, характер связей и границы доступных данных.

АМЛ-сервисы, такие как Btrace помогают быстро оценить риск криптоадреса и увидеть факторы, которые повлияли на результат. Если автоматического отчёта недостаточно, связи можно изучить глубже в такие решения как Bholder или передать на анализ специалисту.

Проверьте адрес в Btrace до операции и оценивайте не только итоговый балл, но и причины, из которых он сформирован.