Как пользоваться AML-проверкой перед переводом и получением криптовалюты

Большинство ошибок при использовании AML-сервисов происходит не из-за неправильного чтения risk score. Пользователь просто запускает проверку слишком поздно - когда криптовалюта уже поступила на кошелёк или возникли вопросы со стороны биржи.

AML-проверка постепенно становится новым стандартом безопасной работы с цифровыми активами. Для частного пользователя проверка служит практической должной осмотрительностью, которая может сберечь деньги и много нервов.
А для бизнеса она входит в систему риск-контроля. В профессиональном комплаенсе проверка адресов применяется перед операцией и дополняется последующим мониторингом, а FATF рекомендует VASP выявлять, оценивать и снижать риски отмывания денег и финансирования терроризма на основе риск-ориентированного подхода.

Но сама по себе кнопка «Проверить» ещё не решает задачу. Важно понимать, что именно проверять, в какой момент и какое действие должно последовать за результатом.

Универсального объекта проверки нет. Он зависит от того, на какой стороне операции вы находитесь.

При P2P- или OTC-обмене не обязательно пытаться формально проверить «обе стороны». Каждый участник должен оценить тот криптовалютный адрес, с которым он непосредственно взаимодействует: куда отправляет активы или откуда собирается их получить.

Важно также убедиться, что проверяется правильная сеть у крипто адреса. Результат проверки адреса в одной сети автоматически не обязательно применим к другой. Так же не все АМЛ сервисы могут проверять все сети одного адреса.

Проверка после получения рискованных средств отвечает на вопрос: «Что уже оказалось на моём адресе?» Проверка до операции позволяет задать более полезный вопрос: «Стоит ли вообще вступать во взаимодействие с этим адресом?»

Если риск обнаружен заранее, можно запросить другой адрес, уточнить происхождение средств, отказаться от сделки или дополнительно проанализировать ситуацию. После зачисления активов возможностей меньше: средства уже связаны с вашим кошельком, их нельзя бездумно перемещать на основной адрес или отправлять на биржу.

Поэтому Wallet Screening обычно применяется при онбординге или непосредственно перед операцией. Его задача - оценить риск адреса до движения средств и помочь принять решение: провести операцию, заблокировать её или эскалировать.

Одна транзакция показывает конкретное движение средств, но не всегда раскрывает полную картину. Контрагент мог использовать адрес на протяжении нескольких лет, взаимодействовать с разными сервисами или регулярно менять кошельки.

Под проверкой контрагента здесь не подразумевается автоматическое установление личности владельца. Речь идёт о совокупности доступных on-chain данных:

Именно поэтому адрес, транзакция и контрагент не следует считать взаимозаменяемыми объектами. Они дополняют друг друга, но проверка контрагента дает больше информации, а значит решение о взаимодействие может быть более взвешенным.

Пользователь может иметь несколько кошельков, а биржа, обменник или другой сервис - тысячи адресов. Для более глубокого анализа аналитические системы объединяют предположительно связанные адреса в кластеры.

Однако это аналитическое объединение, а не безусловное доказательство общей принадлежности. Ошибка в кластеризации возможна и способна распространить метку или риск на адрес, который фактически не связан с предполагаемым владельцем.

Поэтому для обычной операции разумно начинать с адреса, который дал контрагент. Переходить к кластерному и графовому анализу следует тогда, когда сумма велика, результат неоднозначен или одного адреса недостаточно для обоснованного решения.

Проверка адреса раскрывает накопленную историю кошелька: происхождение средств, взаимодействия с контрагентами, известные метки, возраст и особенности поведения.

Проверка транзакции сосредоточена на конкретном переводе. Она помогает понять, какие средства участвуют именно в этой операции и откуда они поступили.

Различие особенно заметно в Bitcoin. Одна биткоин-транзакция может включать несколько входов, каждый из которых расходует отдельный выход предыдущей транзакции. У этих входов может быть разная история, поэтому один общий адресный score не всегда полностью объясняет происхождение конкретно переводимых монет. Возможность нескольких входов в одной транзакции закреплена в самой структуре Bitcoin-транзакций.

В Ethereum, Tron и других account-based сетях устройство операции иное, но анализ конкретного перевода также может дать информацию, которой недостаточно в общем профиле адреса.

Иногда адрес отправителя становится известен только после поступления криптовалюты. Такое встречается при массовом приёме платежей, работе через некоторые площадки и разовых переводах от новых контрагентов.

В этой ситуации разумный порядок выглядит так:

Отдельный адрес не «очищает» криптовалюту и не меняет её историю. Его задача гораздо проще - изолировать неизвестные средства до проверки и не смешивать их с остальным балансом.

Если проверка выявила серьёзный риск, не следует пытаться решить проблему перемещением активов через дополнительные кошельки. Это не устраняет исходные связи и может только усложнить объяснение дальнейшего маршрута.

Главная ошибка - посмотреть на итоговый risk score и закрыть отчёт. Общий балл нужен для быстрой ориентации, но не объясняет ситуацию сам по себе.

В отчёте следует проверить:

К примеру АМЛ решение от нашей компании Btrace оценивает не один признак, а совокупность факторов, включая происхождение средств, поведение адреса, его контрагентов, возраст и историю. Результат сводится в risk score, который служит ориентиром для решения - провести операцию, отклонить её или эскалировать. Часть отчета о проверки адреса в Btrace:

Подробное объяснение того, как читать risk score, происхождение средств и прямые или косвенные связи мы рассказывали в статье «Что показывает AML-проверка криптовалюты, как правильно читать результат и когда его недостаточно».

Адрес, который вчера показывал низкий риск, не получает пожизненный сертификат безопасности. Он может провести новые операции, начать взаимодействовать с другими контрагентами или попасть в новую транзакционную цепочку.

Оценка способна измениться и без активности самого адреса. Причиной становится ретроспективная разметка: например, ранее неизвестный сервис или кошелёк связывают со взломом, мошенничеством, санкциями или другой рискованной категорией уже позднее, как только об этом узнают. Сервисы непрерывного мониторинга существуют именно потому, что риск-профиль адреса и доступная аналитика со временем меняются.

Биржи, обменники и платёжные сервисы работают с большим количеством операций и не всегда знают внешний адрес контрагента до поступления средств. Поэтому их процесс обычно не ограничивается одной проверкой.

Он может включать скрининг депозитного или адреса куда осуществляется вывод, оценку конкретной входящей или исходящей транзакции и последующий KYT-мониторинг поведения клиента. Wallet Screening даёт точечную оценку адреса, а Transaction Monitoring отслеживает движение средств и формирует предупреждения по мере появления новых операций. Эти механизмы считаются взаимодополняющими, а не альтернативными.

Для бизнеса важен ещё один элемент - фиксация результата. FATF относит оценку рисков, надлежащую проверку, хранение данных и сообщения о подозрительных операциях к базовым элементам риск-ориентированного AML/CFT-подхода для VASP. Конкретные обязанности при этом зависят от юрисдикции.

Например наше решение Btrace позволяет проводить точечные проверки крипто адреса или транзакции через интерфейс, автоматизировать массовый скрининг через API и использовать Telegram-бот для отдельных проверок.

Перед отправкой или получением криптовалюты достаточно пройти несколько шагов:

При неоднозначной цепочке автоматического отчёта может быть недостаточно. Тогда следует изучить связанные адреса и маршрут средств на графе либо подключить специалиста.

Правильное использование AML-проверки начинается не с итогового балла, а с двух вопросов: что именно мы проверяем и успеваем ли мы сделать это до операции.

Перед отправкой нужно оценить адрес получателя. Перед приёмом - адрес отправителя, если он известен. Если предварительная проверка невозможна, средства лучше изолировать на отдельном адресе и не перемещать до анализа.

Адрес показывает общую историю кошелька, транзакция - происхождение конкретного перевода, а изучение контрагента и связанных адресов даёт более полную картину. В совокупности эти данные позволяют принять не интуитивное, а обоснованное решение.

Проверьте адрес в Btrace до перевода или получения криптовалюты и оцените не только risk score, но и факторы, из которых он сформирован.