ТОП-10 ошибок при чтении AML-отчёта: почему одного risk score недостаточно

Risk score удобен для первичной оценки. Но принимать решение только по нему - примерно как согласовывать договор, прочитав лишь его название и преамбулу.

У двух адресов может быть одинаковый балл, но разные причины оценки. У одного - регулярные поступления от рискованного сервиса. У другого - давняя косвенная связь с подозрительным источником. Вопросы к этим адресам будут разными и решения по взаимодействию тоже отличаться.

Начните с причины оценки: какие категории обнаружены, какие операции с ними связаны, насколько эти связи значимы. Сопоставьте итоги с юрисдикцией вашей работы, АМЛ политикой ваших контрагентов.

В Btrace можно проверить криптоадрес и изучить общий показатель риска вместе со структурой источников средств. Если обозначения в отчёте пока непривычны, начните с материала «Что показывает AML-проверка криптовалюты и как читать отчёт».

У нового адреса может быть мало истории. Сервис ещё не видит известных рискованных связей, но это не подтверждает добросовестность владельца. Новый адрес со свежими транзакциями тоже может принадлежать жулику, а АМЛ провайдеры ещё не успели получить нужные данные для его разметки как "хай риск".

Поэтому низкий балл не должен отменять вопросы к сделке. Контрагент внезапно меняет реквизиты, торопит с оплатой и отказывается объяснять происхождение средств? Такого рода признаки заслуживают внимания независимо от результата AML-проверки.

Обратная ситуация: адрес получил перевод из подозрительного источника. Сам факт поступления не доказывает, что получатель участвовал в преступлении. Перевод мог быть нежелательным или связанным с операцией, обстоятельства которой ещё предстоит выяснить.
Проверяйте, что произошло, прежде чем делать вывод о владельце кошелька.

Категория «мошенничество» может описывать сам проверяемый адрес либо источник, с которым у него обнаружена связь. Это разные утверждения.

Уточните, к чему относится метка и в каком направлении двигались средства. Адрес получал переводы от мошеннического сервиса или отправлял ему активы? Во втором случае владелец мог оказаться потерпевшим. Одно название категории этого не объясняет.

Особенно осторожно читайте отчёты по общим кошелькам бирж. Через них проходят операции множества клиентов. Если контрагент получил выплату с такого кошелька, нельзя автоматически приписывать ему всю историю биржевого адреса. И наоборот - если контрагент получил средства с биржи, то это не гарант его безопасности, хотя зачастую такие переводы изначально признаются безопасными.

Практический вопрос здесь простой: что именно известно о вашем контрагенте, а что относится только к инфраструктуре, которой он пользовался?

Прямое поступление от рискованного источника и связь через несколько промежуточных адресов требуют разного разбора. Правило «чем дальше источник, тем безопаснее» чаще всего верное, но тоже может подвести.

Например, средства быстро прошли через три адреса почти без изменения суммы, адреса имеют транзитные признаки и паттерн переводов одинаков - риск передается почти без изменения. Дополнительные остановки, различные типы адресов на пути, разные паттерны поведения сами по себе не делают происхождение средств безопаснее, но увеличивают такой шанс.
Если же грязные средства пришли на адрес через 10-20 хопов, то говорить о высоком риске не стоит, хотя бывают исключения.

Если же маршрут проходит через общий кошелёк биржи, появляется другая проблема: сервис объединяет поступления разных клиентов и отдельно обрабатывает выплаты. Нельзя просто связать любой входящий перевод с любым исходящим.

Смотрите на роль промежуточных адресов, суммы и последовательность операций. Если отчёт показывает связь, но не объясняет маршрут, запросите пояснение или дополнительный анализ.

Предположим, рискованный источник составляет 1% от учтённых в отчёте поступлений. При общей сумме $1 000 это $10. При $20 млн - уже $200 000. Процент одинаковый, масштаб вопросов разный.

Не менее важно, что это за источник. Один процент от игорного сервиса и один процент от адреса с подтверждённой связью с финансированием терроризма принесут проблемы совсем разного характера.
В первом случае нужно выяснить, что это за оператор, где он работает и какие ограничения применимы к сделке.
Во втором небольшая доля не должна успокаивать: следует проверить основание метки и саму связь, приостановить планируемую операцию до выяснения обстоятельств и привлечь специалиста по комплаенсу. А в ряде случаев и обратится в правоохранительные органы.

Есть ещё две детали. Процент нужно считать от правильной базы: поступлений за указанный период, определённого актива или другой величины, принятой в отчёте. А risk score 30 из 100 не означает, что 30% средств украдены. Общий балл и доля источника - разные показатели.

Неразмеченная часть означает, что сервис не установил принадлежность соответствующих источников к известным категориям. Это недостаток информации, а не подтверждение безопасности или незаконности.

Допустим, 20% поступлений связаны с известной биржей, а остальные 80% не размечены. Вывод «проблемных источников нет, значит всё безопасно» будет слишком смелым и даже опасным. О большей части поступлений пока просто мало известно.

Для значимой сделки установите происхождение средств и подходящие подтверждения. Например, если контрагент говорит о выводе с биржи, сопоставьте запись о выводе с фактической транзакцией, суммой и адресом получения.

Документ должен объяснять конкретное поступление. Договор на похожую сумму или скриншот чужого баланса эту задачу не решает.

Общая история адреса может выглядеть спокойно, а отдельное поступление - вызывать вопросы.
Условный пример: Bitcoin-адрес получал средства преимущественно от обычных контрагентов, но одно поступление связано с кражей. Если именно соответствующие средства используются в платеже вам, общий показатель адреса может не отражать риск этой операции.

При этом в сетях вроде Ethereum и Tron нельзя определять происхождение токенов только по совпадению сумм. Если адрес получил подозрительные 1 000 USDT, а затем отправил вам столько же, этого ещё недостаточно, чтобы утверждать, что переведены именно они.

Определите, какой вопрос вы решаете: оцениваете адрес перед взаимодействием или разбираете конкретный платёж (транзакцию). Для второго нужны данные самой операции: TXID, сеть, актив, сумма и участники. Подробнее - в статье «AML-проверка адреса и транзакции: в чём разница».

Контрагент присылает отчёт с низким риском. Он может быть настоящим, но относиться к прошлой неделе, другой сети или адресу, с которого вам ничего не отправят.

Проведите проверку самостоятельно. Сверьте адрес полностью: одинаковое начало и окончание ещё не подтверждают совпадение. Уточните сеть - одинаково записанный адрес в Ethereum и BNB Chain может иметь разную историю у некоторых АМЛ провайдеров.

При AML-проверке USDT убедитесь, что проверяете адрес участника сделки, а не контракт самого токена. Да, и такие ошибки совершают некоторые пользователи.

Если контрагент изменил адрес, прежний отчёт не подходит. А если выплата пришла с биржи, сопоставьте фактическую транзакцию с подтверждением вывода: личный кошелёк клиента и адрес биржевой выплаты могут различаться. Порядок действий разобран в материале «Как пользоваться AML-проверкой перед переводом и получением криптовалюты».

Оценка относится только к моменту проверки. Позднее адрес может получить новые переводы, а сервис - сведения о ранее неизвестном рискованном источнике. Ваш "безопасный" знакомый может в один момент стать крайне опасной персоной с сомнительными крипто операциями.

Результат способен измениться даже без новых операций на самом адресе. Например, один из прежних отправителей позднее оказался связан со взломом. Транзакция осталась прежней, но сведения о ней дополнились, то есть на момент проверки контрагент уже был вором, но информацию о краже АМЛ операторы получили позднее.

Сохраните полный отчёт вместе с датой, адресом, сетью и данными сделки. Перед новой значимой операцией обновите проверку. Для компании полезно также зафиксировать, кто принял решение и на каком основании.

Если балл изменился, сравнивайте причины, а не только цифры. Обновление не всегда означает прежнюю ошибку. Подробнее - в статье «Может ли AML-сервис ошибаться: почему меняются метки и risk score».

Фраза «AML проверили» плохо помогает, если никто не понимает, что делать с результатом.

Если существенных противоречий нет, можно продолжить сделку с учётом применимых требований. Если происхождение средств не объяснено - запросить подтверждения. Если обнаружена серьёзная рискованная связь - приостановить планируемую операцию и передать её на дополнительный анализ.

Если средства уже поступили, не пытайтесь решить вопрос переводом через новый кошелёк. Это не стирает историю. Сначала разберитесь в причине оценки и дальнейших действиях. Для такой ситуации пригодится материал «Высокий AML-риск криптоадреса: можно ли принимать средства и что делать».

Решение стоит записать коротко и по существу. Например:
"Перевод приостановлен: обнаружено повторяющееся поступление от рискованного источника. Объяснение контрагента не совпадает с датами операций. Запрошены подтверждения происхождения средств; после их получения требуется повторная оценка."
Так коллега сможет продолжить работу, а через месяц не придётся проводить отдельное расследование того, кто и почему согласовал платёж.

Полезный вывод из AML-отчёта отвечает на четыре вопроса: что вызвало риск, о какой сумме идёт речь, как это связано с вашей операцией и что делать дальше.

Маленькая доля не делает любой источник приемлемым. Большое количество переходов не отменяет связь. А низкий балл не заменяет проверку объяснений контрагента.

Начать можно с проверки криптоадреса в Btrace. Затем сопоставьте результат с условиями сделки и сохраните основания решения. Сервис помогает увидеть риск-факторы, но не выдаёт гарантию «чистоты» и не принимает окончательное решение за вас.