Что такое AML-проверка криптовалюты и как читать отчет о риске

Что такое AML-проверка и чем она отличается от KYC

Термин AML расшифровывается как Anti-Money Laundering, противодействие отмыванию денег. В классическом банковском мире это набор процедур, которые заставляют финансовые организации выяснять происхождение средств клиента. В крипто-индустрии принцип тот же, но объект проверки другой: вместо человека проверяется адрес.

Здесь важно не путать AML-проверку с KYC (Know Your Customer). KYC это идентификация человека: паспорт, селфи с документом, подтверждение адреса проживания. Ее проходят один раз при регистрации на бирже. AML-проверка адреса работает иначе: она смотрит на транзакционную историю конкретного кошелька и отвечает на вопрос, связывался ли этот адрес прямо или косвенно с активностью, которую регуляторы и биржи считают высокорисковой.

Мы регулярно видим путаницу у клиентов: человек проходит KYC на бирже, получает верифицированный аккаунт и считает себя полностью защищенным. Но если на его баланс приходят средства с адреса, отмеченного как высокорисковый, аккаунт все равно может быть заморожен, несмотря на пройденный KYC. Проверка личности и проверка происхождения денег это два независимых слоя защиты, и оба должны сработать, чтобы транзакция считалась чистой.

Что такое KYT (Know Your Transaction) и как он работает на практике

KYT, Know Your Transaction, это техническая реализация AML-принципа применительно к блокчейну. В отличие от традиционных финансов, где движение денег скрыто внутри банковской системы, блокчейн-транзакции публичны: адрес отправителя, адрес получателя, сумма и время видны любому, у кого есть доступ к блокчейн-эксплореру. Это свойство и делает KYT-анализ возможным в принципе.

Инструменты вроде Chainalysis KYT, TRM Labs и Elliptic работают по схожей логике. Сначала происходит кластеризация: система группирует множество адресов, которые с высокой вероятностью принадлежат одному владельцу, используя эвристики вроде common-input-ownership (если несколько адресов используются как источники в одной транзакции, они, скорее всего, контролируются одним кошельком). Затем к каждому кластеру применяется атрибуция: система сверяет адреса с базой данных из миллионов помеченных кошельков, биржи, OTC-сервисы, известные миксеры, кошельки даркнет-площадок, адреса из подтвержденных скам-кейсов.

Когда мы проверяем адрес по запросу клиента, отчет строится не по одной транзакции, а по всей доступной цепочке: система прослеживает, откуда пришли средства на этот адрес несколько шагов назад, и куда они уходили дальше. Чем глубже и «чище» история, тем ниже итоговый risk score.

Как читать отчет о риске: уровни, источники и метки

Типовой отчет о риске делится на числовой score (обычно от 0 до 100 или в виде категорий low, medium, high, severe) и список конкретных меток, объясняющих, откуда взялся риск. Числовой score без контекста мало что дает, поэтому в отчете KarCrypto мы всегда прикладываем расшифровку меток. Вот наиболее частые из них:

• Связь с миксером. Адрес получал или отправлял средства через Tornado Cash, Wasabi CoinJoin или аналогичный сервис, специально созданный для обфускации происхождения денег.
• Связь с санкционным адресом. Прямое или короткое косвенное взаимодействие с адресом из списков OFAC SDN или аналогичных санкционных реестров других юрисдикций.
• Связь с даркнет-рынком. Средства проходили через кошельки, атрибутированные площадкам вроде бывших Hydra, AlphaBay и их преемников.
• Связь с известным скамом. Адрес фигурирует в базе подтвержденных случаев фишинга, romance scam, фейковых инвестиционных платформ или rug pull.
• Взаимодействие с высокорисковой биржей. Средства проходили через платформу с минимальным или отсутствующим комплаенсом, которая исторически используется для обналичивания без верификации.
• Peel chain активность. Паттерн множественных мелких переводов, типичный для попытки раздробить крупную сумму и запутать след.

Важная деталь: наличие одной метки на большой глубине цепочки (например, шесть переходов назад) значит гораздо меньше, чем прямое взаимодействие с высокорисковым адресом. Хороший отчет всегда указывает не только факт связи, но и ее «дистанцию» от проверяемого адреса.

Когда стоит делать проверку самому

Проверять каждый входящий перевод на несколько долларов не нужно, это избыточно и непрактично. Но есть ситуации, где потратить несколько минут на AML-проверку разумно и часто предотвращает серьезные проблемы:

• P2P-сделки на крупную сумму. Особенно на биржах, где встречный перевод фиатных денег может быть связан с обналиченными крадеными средствами.
• Прием оплаты для бизнеса в криптовалюте. Если вы принимаете USDT или BTC от клиентов, входящий поток стоит регулярно мониторить, чтобы не накапливать на балансе «токсичные» средства.
• Перевод на незнакомый или новый адрес. Особенно если речь об OTC-сделке, покупке через объявление или переводе по рекомендации в чате.
• Перед крупным выводом на биржу. Проверка собственного адреса перед пополнением аккаунта биржи снижает риск неожиданной заморозки на этапе депозита.

В этих сценариях проверка занимает 5-10 минут, а цена ошибки, замороженный аккаунт биржи, заблокированный банковский счет по подозрению в отмывании денег, потерянные средства, несопоставимо выше.

Мы разобрали, как устроен такой сервис и что он показывает, в материале о бесплатной AML-проверке адреса: вставляете адрес или хэш транзакции и получаете risk score от 0 до 100 за 15 секунд, с проверкой на миксеры, даркнет, скам-схемы и санкционные списки.

Почему одного risk score недостаточно

Мы регулярно видим кейсы, где клиент получает высокий risk score и паникует, хотя реальной проблемы нет. Автоматический скоринг работает по вероятностной модели: он показывает статистическую связь, а не доказанный факт причастности к преступлению. Ложные срабатывания случаются по нескольким причинам.

Во-первых, глубина связи. Если ваш адрес получил средства от биржи, а та биржа несколькими днями ранее приняла депозит с миксера от совершенно другого пользователя, формально в цепочке присутствует «связь с миксером», хотя лично к вам это не имеет отношения. Во-вторых, устаревшие метки: адрес мог быть связан с подозрительной активностью много лет назад, но с тех пор сменил владельца или использовался как ликвидный пул биржи, через который проходят тысячи легитимных транзакций.

Именно поэтому в отчете KarCrypto мы всегда даем не только цифру, но и человеческую интерпретацию: аналитик смотрит на давность связи, ее глубину и совокупность признаков, прежде чем делать вывод. Автоматический score это отправная точка для анализа, а не окончательный вердикт. Слепое доверие только цифре приводит либо к необоснованной панике, либо, что хуже, к игнорированию реального риска, если система не уловила контекст.

Что делать, если ваш адрес получил высокий риск

Если проверка показала высокий или severe уровень риска, действовать нужно последовательно, не паникуя и не игнорируя результат:

1. Запросите детальную расшифровку. Узнайте не только итоговый score, но и конкретные метки: с чем именно связан адрес и на какой глубине цепочки.
2. Проверьте, не связан ли риск с санкционным списком. Это отдельная и более серьезная категория. Подробный разбор в материале «Проверка на санкционность».
3. Соберите документы об источнике средств. Если вы уверены в легитимности своих денег, подготовьте подтверждение: выписки, договоры, историю сделок.
4. Не переводите средства дальше и не пытайтесь «замаскировать» операцию. Дополнительные транзакции только усложняют картину для аналитика и увеличивают подозрительность паттерна.
5. Обратитесь за независимой проверкой. Если вы получаете крупный платеж от контрагента или сомневаетесь в чистоте платформы, на которой работаете, полезно заранее пройти проверку платформы, прежде чем доверять ей средства.