Средний AML-риск криптовалюты: что означает и что делать

Средний AML-риск - вероятно, самый неудобный результат проверки. С низким всё кажется понятным, высокий хотя бы заставляет насторожиться, а средний оставляет пользователя наедине с вопросом: проводить операцию или всё-таки не стоит?

Универсального ответа нет. Средний риск - не запрет и не подтверждение безопасности. Это сигнал, что автоматический отчёт обнаружил факторы, которые нужно разобрать до принятия решения.

Главная ошибка в такой ситуации - выбрать наиболее удобную трактовку. Получателю хочется считать результат почти низким, сотруднику комплаенса - почти высоким. Но AML-аналитика плохо работает с подходом «стакан наполовину чист». Нужно смотреть, что именно попало в этот стакан.

Причины могут быть совершенно разными:

Поэтому два отчёта с одинаковым risk score могут описывать принципиально разные ситуации. У одного адреса может быть небольшая прямая связь с похищенными активами. У другого - заметная доля поступлений от лицензированного гэмблинг-сервиса. Цифра похожа, а дальнейшие действия - нет.

Итоговый балл удобен для быстрой сортировки операций, но сам по себе почти ничего не объясняет. Чтобы понять реальный уровень риска, нужно разобрать несколько параметров.

Общий принцип прост: чем связь ближе, свежее и существеннее, тем меньше оснований отмахиваться от неё как от фонового шума - нужно провести более глубокую проверку и не спешить проводить транзакцию.

Связь с санкционным адресом, похищенными активами, известным мошенничеством или финансированием терроризма требует более серьёзной реакции, чем большинство косвенных и контекстных факторов. Даже небольшая доля таких средств может оказаться значимой.

С гэмблингом, высокорисковыми обменниками или отдельными P2P-источниками ситуация сложнее. Здесь нельзя ограничиться названием категории. Важно понять, кто именно стоит за адресом, легальна ли деятельность сервиса, есть ли у него лицензия и как к таким средствам относятся площадки, через которые вы собираетесь их проводить.

Иными словами, надпись  Gambling  в отчёте ещё не превращает операцию в преступление. Но и радостно закрывать отчёт только потому, что это «всего лишь казино», тоже преждевременно.

Один и тот же источник может восприниматься по-разному. Лицензированный гэмблинг-оператор в одной стране является законным бизнесом, а в другой взаимодействие с ним может вызвать дополнительные вопросы или прямо противоречить внутренней политике площадки.

Отдельного внимания требуют VASP и обменные сервисы из государств со стратегическими недостатками в AML/CFT-системе или же попавшие под санкции напрямую не связанные с блокчейн деятельностью.

FATF публикует перечень юрисдикций под усиленным мониторингом, который обычно называют серым списком. Попадание страны в него не означает, что каждая местная компания занимается отмыванием денег: государство обязуется исправить выявленные недостатки и находится под более пристальным контролем. Но для конкретной операции это может стать основанием для усиленной проверки. Данные у FATF и других подобных организаций обновляется достаточно часто, поэтому ориентироваться на старые данные не стоит - ваша информация может быть устаревшей.

Схожая логика применяется к офшорным VASP, работающим без понятной лицензии, прозрачного юридического лица и зрелого AML-контроля. Риск создаёт не слово «офшор» само по себе, а сочетание непрозрачности, слабого надзора и невозможности проверить реального оператора. Та же FATF отдельно обращает внимание на риски офшорных VASP и необходимость учитывать качество их регистрации, лицензирования и надзора.

Иногда причина заключается не в конкретной опасной метке, а в поведении адреса. Например, объёмы резко выросли без понятного объяснения, средства начали дробиться на множество переводов или клиент неожиданно стал взаимодействовать с новой группой контрагентов.

Такая активность ещё не доказывает отмывание. Но она может отличаться от обычного профиля пользователя настолько, чтобы система подняла риск. FATF относит необычные транзакционные паттерны, нелогичную активность и неточные объяснения происхождения средств или отношений с контрагентом к признакам, которые следует анализировать в совокупности с другими данными.

Другой распространённый сценарий - косвенная связь с рискованной сущностью на расстоянии двух или трёх хопов.

Особенно осторожно нужно интерпретировать цепочки через крупные биржи и другие кастодиальные сервисы. После попадания активов в общий горячий кошелёк уверенно связывать конкретный вывод с конкретным прежним депозитом нередко уже невозможно без запроса на сам сервис.

Отчёт показывает, какой адрес или транзакция проверялись, в какой сети, в какое время и какие метки были доступны сервису. Это важно, потому что риск-профиль может измениться позднее: появятся новые транзакции, обновится атрибуция или произойдёт ретроспективная разметка старых связей. То есть со временем показатель риска адреса может значительно изменится и это может отобразится и на вас как контрагенте.

Сохранённый отчёт не превращает сомнительную операцию в безопасную, но подтверждает информационную картину на момент решения. Для компаний к нему стоит добавить короткое обоснование: какие факторы рассмотрели, что запросили у клиента и почему операцию продолжили, приостановили или отклонили.

Скриншот без адреса, сети и даты полезен примерно так же, как чек без суммы и магазина. Формально бумага есть, а доказать ею почти ничего нельзя. Например, в нашем АМЛ-сервисе Btrace для этого есть возможность сохранения отчета в том числе в PDF формате:

Следующий шаг - запросить объяснение у контрагента. В зависимости от операции это может быть:

Для крупной сделки могут понадобиться документы, подтверждающие саму сделку и происхождение активов.

Затем объяснение сопоставляют с блокчейн-данными. Если человек утверждает, что вывел средства со своего аккаунта на известной бирже, маршрут, сумма и время должны хотя бы не противоречить этой версии. Ответ «это всё мой кошелёк» сам по себе on-chain доказательством не является.

Компаниям глубину проверки следует выбирать соразмерно риску. Требовать папку документов из-за небольшой понятной косвенной связи столь же неразумно, как закрывать глаза на крупный перевод с очевидными следами кражи. Риск-ориентированный подход как раз предполагает, что меры контроля зависят от характера и уровня выявленного риска, а не применяются механически ко всем операциям.

Автоматический отчёт отвечает на вопрос: где обнаружен риск. Граф помогает понять: как именно возникла связь.

На графе можно изучить маршрут средств, промежуточные адреса, контрагентов, связанные кошельки и кластеры. Например, увидеть, что косвенная связь с мошенничеством проходит через известную биржу, либо, наоборот, обнаружить устойчивую цепочку переводов между связанными адресами.

Bholder - один из примеров такого инструмента: он позволяет визуально исследовать движение средств и переходить от агрегированной картины к отдельным транзакциям. Но важен здесь не конкретный интерфейс, а сам метод. Граф не выдаёт истину по нажатию кнопки - он даёт аналитику больше контекста.

Подключать его к каждой средней оценке нет смысла. Графовый анализ оправдан, когда сумма значительна, происхождение средств непонятно, объяснение клиента противоречит блокчейну или одна спорная связь существенно влияет на решение. При отсутствии опыта лучше передать случай специалисту: красивые линии между кружками ещё не делают расследование правильным.

После проверки должно остаться не абстрактное «ну, риск вроде средний», а одно из трёх решений.

Средний риск не должен автоматически превращаться ни в отказ, ни в разрешение. Его задача - заставить человека или систему задать несколько дополнительных вопросов до того, как операция станет необратимой.

Средний AML-риск означает, что обнаруженные факторы требуют разбора. Нужно сохранить отчёт, изучить категорию, долю средств, прямые и косвенные связи, давность взаимодействия и юрисдикционный контекст.

Затем следует запросить пояснение, сопоставить его с блокчейн-данными и выбрать понятное действие: продолжить операцию, приостановить её либо отказаться.

Btrace помогает увидеть факторы, сформировавшие оценку, а при недостатке автоматического отчёта маршрут можно разобрать на графе или передать специалисту. Главное - не принимать решение по одному цвету индикатора. Светофор полезен на дороге, но в AML зелёный, жёлтый и красный требуют чуть больше размышлений.