«Я нічого не робив — чому мій акаунт позначили?» Цей посібник пояснює на тому рівні, на якому індустрія працює насправді, чотири категорії сигналів AML-моніторингу, за якими зобов'язана стежити кожна регульована установа, — структурування, відхилення від базової лінії, зіставлення з типологіями та ончейн-скринінг адрес — і чому сигнал запускає перевірку, а не вирок.
Попередня частина цієї серії окреслила чотири широкі категорії, які можуть призвести до блокування активного акаунта: моніторинг транзакційних патернів, ончейн-скринінг адрес, повідомлення третіх сторін і захисні тригери на боці користувача. Перша категорія — та, про яку користувачі питають найчастіше, зазвичай у якомусь варіанті «я нічого не робив, чому мій акаунт позначили?». Цей посібник відповідає на це питання на тому рівні, на якому індустрія працює насправді. Він описує категорії сигналів, за якими регульовані фінансові установи зобов'язані стежити. Він не описує внутрішніх правил жодної конкретної платформи, включно з Bitbase.
Хто визначає «підозріле»
«Підозріле» — не ярлик, який кожна біржа вигадує самотужки. Це категорія, визначена міжнародними рамками протидії відмиванню коштів і безперервно оновлювана через публічні звіти.
Інституційна історія тримається на трьох віхах. Американський Bank Secrecy Act 1970 року запровадив Currency Transaction Reports («CTR») — першу федеральну вимогу повідомляти про готівкові операції понад поріг і перше офіційне визнання того, що поведінка, задумана заради обходу цього порога, сама по собі є сигналом. Група з розробки фінансових заходів («FATF»), заснована в Парижі 1989 року країнами G7, відтоді регулярно публікує звіти про типології — засновані на кейсах каталоги того, як відмивання коштів, фінансування тероризму та суміжні зловживання насправді виглядають у фінансових системах. Після 2013 року третім шаром стала методологія аналітики блокчейну, яка застосовує розпізнавання патернів за адресами до даних публічних реєстрів.
Більшість регульованих фінансових установ — банки, брокери, оператори переказів, криптобіржі — сходяться на дуже схожих вимірах моніторингу. Причина структурна: усі вони відповідають перед одним і тим самим зводом міжнародних стандартів. Рекомендації FATF 10 (належна перевірка клієнта), 11 (зберігання записів) і 20 (повідомлення про підозрілі операції) утворюють спільний хребет.
Термінологічна заувага перед категоріями. Фахівці з AML називають сигнали моніторингу «індикаторами тривоги» — це спостережувані патерни, які заслуговують додаткової уваги, а не висновки про провину. Далі в тексті слово «сигнал» вживається саме в цьому значенні.
Сигнал першого типу — структурування
Структурування — хрестоматійний AML-сигнал. Поняття старше за крипту на десятиліття. У початковій формі часів BSA структурування означало розбити один великий готівковий внесок на кілька менших, кожен трохи нижче порога, що запускав подання CTR, аби уникнути обов'язку звітувати. Американське право вважає структурування окремим злочином із 1986 року, коли ним його зробила норма 31 U.S.C. § 5324 — положення Bank Secrecy Act.
Цей патерн позначають так наполегливо тому, що його можна спостерігати без жодного доступу до намірів клієнта. Системі моніторингу не потрібно знати, чому транзакції мають саме такий розмір. Достатньо побачити, що вони послідовно лягають трохи нижче порогів звітування, що вони йдуть незвичними гронами або що вони розподіляються між акаунтами так, що статистично більше нагадують ухильне структурування, ніж звичайну комерційну діяльність.
У крипті структурування має свої варіанти. Поділ великого переказу на кілька менших до тієї самої контрагентської адреси або від неї. Проведення схожих сум через кілька акаунтів на різні імена. Тестові транзакції на малі суми, за якими одразу йде велика, у послідовності, що повторює відомі сценарії відмивання. Оновлені настанови FATF щодо ризик-орієнтованого підходу до віртуальних активів і VASP (червень 2019 року, перегляд у жовтні 2021 року) називають ці патерни у своєму каталозі типологій.
Дві риси структурування як сигналу. Перша: моніториться патерн, а не окрема транзакція. Одна транзакція нижче будь-якого порога нічого не означає. Реєструється форма послідовності. Друга: зовнішня схожість на структурування сама по собі не свідчить про незаконний намір — багато законних дій (регулярні платежі постачальникам стандартизованими сумами, зарплатні цикли, звичне дроблення підписок) дають схожу картину на поверхні. Саме тому сигнал запускає перевірку, а не висновок.
Сигнал другого типу — відхилення від базової лінії
Кожен акаунт у міру користування формує поведінкову базову лінію. Її виміри знайомі всім, хто читав банківську виписку: типові джерела надходжень, типові контрагенти, типові категорії активів, типові розміри транзакцій, типовий час. Саму базову лінію власнику акаунта не повідомляють, та для цілей моніторингу цього й не потрібно.
Коли активність відхиляється від цієї лінії більше, ніж пояснила б звичайна мінливість, акаунт потрапляє на перевірку. Відхилення, що найчастіше привертають увагу, укладаються в кілька патернів: зростання розмірів транзакцій на порядок; зміщення джерел надходжень від усталених каналів до нових; нові контрагенти, зосереджені в юрисдикціях підвищеного ризику. Реєструються й швидкі зміни складу активів — наприклад, коли акаунт, який довго торгував великими за капіталізацією активами, раптом перебирає низку токенів із низькою ліквідністю. Так само помітні транзакції, згруповані в незвичний для акаунта час.
Базова лінія за задумом не є каральною. Її функція протилежна: вона дає еталон для порівняння, який дозволяє системі вважати звичайну активність звичайною, а не перевіряти кожну транзакцію за замовчуванням. Ціна такого підходу в тому, що будь-яке достатньо різке відхилення від лінії — навіть із цілком безневинним поясненням — реєструється як сигнал.
На практиці життєві події із законними поясненнями теж дають відхилення. Отримання спадщини, продаж бізнесу, велика премія, початок нової інвестиційної стратегії або просто повернення до активності після довгої перерви можуть виглядати як відхилення. Система моніторингу не має доступу до причини. Вона фіксує форму зміни. Верифікація, яку користувач надає під час перевірки, — це механізм, через який пояснення потрапляє в запис.
Рамка така: відхилення від базової лінії — не вирок, що щось не так. Це система відзначає, що картина змінилася і що людині-рецензенту варто на неї глянути.
Сигнал третього типу — зіставлення з типологіями
FATF і його регіональні органи публікують звіти про типології безперервно з 1990-х років. Те саме роблять національні підрозділи фінансової розвідки — FinCEN у США, FCA у Великій Британії, AUSTRAC в Австралії та інші. Ці звіти — засновані на кейсах каталоги того, як конкретні схеми зловживань виглядали в реальних випадках: шахрайство із захопленням акаунта, ланцюги нашарування в операціях відмивання, сценарії маніпулювання ринком, потоки платежів за програми-вимагачі, методи обходу санкцій.
Системи моніторингу використовують ці типології як еталонні шаблони. Коли активність акаунта виявляє достатню схожість із відомою типологією — за патернами транзакцій, профілями контрагентів, часом та іншими ознаками — оцінка схожості перетинає поріг, і акаунт потрапляє на перевірку. Це й називають «зіставленням з типологіями».
Важать дві риси.
Перша: зіставлення ймовірнісне. Система моніторингу в жодному бінарному сенсі не заявляє, що акаунт «збігається» зі схемою відмивання. Вона видає оцінку схожості, яка може бути високою, помірною чи низькою. Збіги з низькою впевненістю все одно потребують перевірки, бо ціна пропущеного справжнього випадку вища за ціну відкинутого хибного спрацювання. Саме ця асиметрія витрат пояснює, чому моніторинг на стадії сигналу навмисно надто широкий.
Друга: типології оновлюються. З'являються нові схеми зловживань, старі змінюються, каталог переглядають безперервно. Поведінка акаунта, яка пів року тому не давала жодного збігу, сьогодні може його дати — не тому, що акаунт змінився, а тому, що бібліотека типологій розширилася й охопила щойно виявлений патерн. Це одна з причин, чому моніторинг описують як безперервний, а не як перевірку в певний момент.
Чим зіставлення з типологіями не є: воно не встановлює, що акаунт займається діяльністю, описаною в типології. Це спостереження, що поверхня поведінки — за ознаками, які система вміє вимірювати — достатньо схожа на відомий патерн, щоб заслуговувати уважнішого людського погляду.
Сигнал четвертого типу — ончейн-скринінг адрес
Перші три типи сигналів читають поведінку користувача. Цей четвертий тип читає інше — попередню історію коштів користувача.
Публічні системи блокчейн-аналітики, які з приблизно 2013 року розвивають компанії на кшталт Chainalysis, Elliptic і TRM Labs, підтримують великі бібліотеки ризикових міток на рівні адрес, побудовані на публічних ончейн-даних, публічних розслідуваннях і розкриттях правоохоронців. Типові категорії: адреси, пов'язані з підсанкційними суб'єктами OFAC; адреси, якими керують відомі міксери; адреси, пов'язані з публічно атрибутованими експлойтами, крадіжками чи виплатами програмам-вимагачам; адреси, пов'язані з даркнет-майданчиками; адреси, задіяні в підтверджених шахрайських операціях.
Коли на біржовий акаунт надходять кошти з адреси з такою міткою, акаунт-одержувач може потрапити на перевірку незалежно від поведінки самого користувача. У вихідному напрямку так само: адреса виведення, що збігається із санкційною міткою або міткою крадіжки, викликає таку саму увагу. Європейський Регламент про перекази коштів, що набув чинності разом із MiCA, закріплює паралельний обов'язок VASP обмінюватися даними ініціатора та одержувача для переказів понад визначені пороги.
Для користувача це означає, що на статус акаунта може вплинути походження коштів, а не лише їхнє призначення. Користувач, який отримав переказ із невідомою йому попередньою історією, може виявити, що акаунт-одержувач потребує верифікації. Це структурна риса того, як ончейн-прозорість взаємодіє з обов'язками AML: ланцюг публічний, методологія міток публічна, а регульовані установи зобов'язані читати і те, і те.
Як і в попередніх трьох типах сигналів, збіг адресної мітки — це привід для перевірки, а не висновок. Багато таких збігів знімаються, щойно користувач надає документи про джерело коштів.
Сигнал — це не вирок
Ця рамка проходить крізь усі попередні розділи.
У кожній із чотирьох категорій дія системи однакова: сигнал породжує обов'язок перевірки. Перевірку проводять люди, зазвичай за сприяння користувача. Користувача просять надати контекст — пояснення, документи, підтвердні записи. Сигнал, пояснення користувача та об'єктивні факти, доступні рецензентові, разом визначають, що буде далі.
Сигнал сам собою не встановлює, що щось не так. Це позначка, яка заслуговує уваги. Більшість сигналів після перевірки знімають. Менша частка веде до наступних кроків — додаткової верифікації чи обмежень на акаунті. У випадках із підозрою на серйозні зловживання передача справи відповідним органам іде законодавчо визначеним шляхом. Пропорцій не оприлюднює жодна платформа, бо це знищило б саму функцію моніторингу.
Для користувача, чий акаунт позначили, висновок прямий. Перевірка — це процедура. Співпрацювати із запитами на верифікацію, надавати достовірні документи та звертатися офіційними каналами підтримки — єдині доречні дії. Швидшого шляху немає, немає людини, з якою можна домовитися зсередини, немає прийому, щоб зняти сигнал. Систему створено, щоб зважувати докази. Відповідна реакція — їх надати.
Це друга частина серії про те, як регульовані біржі керують контролем акаунтів, — читайте інші матеріали Bitbase Academy.
Схожі матеріали
Інші матеріали Bitbase на цю тему:
- Криптоброкер чи біржа: у чому різниця?
- Коефіцієнти витрат і моделі зберігання крипто-ETF
- Агрегована, міжбіржова та прихована ліквідність
Зміст цього посібника (включно, зокрема, з функціями продукту, підтримуваними мережами, структурами комісій і операційними процесами) відображає стан системи та загальні ринкові умови на дату публікації. З огляду на волатильність ринків цифрових активів і розвиток технічного середовища Bitbase залишає за собою право будь-коли оптимізувати чи коригувати наведені параметри. Користувачам слід вважати авторитетними дані, що відображаються в реальному часі на офіційному сайті Bitbase та в інтерфейсі виконання.
Цей посібник є лише оглядом функцій продукту та комісій. Він не є інвестиційною порадою чи юридичною офертою. Щодо параметрів, які безпосередньо впливають на кошти (підтримувані мережі, комісії, мінімальні суми, час обробки), звіряйте найактуальнішу інформацію в офіційному Bitbase Help Center, перш ніж виконувати будь-яку операцію.
Перш ніж користуватися Bitbase, користувачі зобов'язані прочитати та прийняти Умови використання, Заяву про розкриття ризиків і Політику конфіденційності. Усі положення щодо прав користувачів, збереження активів, попереджень про ризики та вирішення спорів регулюються найновішими версіями, оприлюдненими на офіційному сайті Bitbase.
Bitbase діє на засадах комплаєнсу та прозорості ризиків. Користувачі в окремих юрисдикціях можуть бути обмежені у використанні Bitbase або окремих функцій згідно з місцевим законодавством. Bitbase залишає за собою остаточне тлумачення юрисдикційних обмежень.
Звіти FATF про типології та національні регуляторні настанови оновлюються на постійній основі. Ця стаття відображає публічно доступні стандарти на дату публікації та не є юридичною консультацією.
Ця стаття описує публічно задокументовану галузеву методологію моніторингу. Вона не описує внутрішніх правил моніторингу жодної конкретної платформи.
