Сотрудник по вопросам соответствия требованиям на американской бирже открывает письмо инспектора. Выявленные нарушения повторяются в каждом цикле. Мониторинг проводился только при регистрации клиентов. Отчёты о подозрительных транзакциях подавались с опозданием. Продление лицензии застопорилось из-за пробелов в регистрации. Соответствие требованиям AML для криптовалютной биржи — это не одна задача. Это совокупность пяти обязательств, которые поставщик услуг виртуальных активов, или VASP, должен выполнять непрерывно. Упустите хотя бы один уровень — и лицензия, банковские партнёры или и то и другое окажутся под угрозой.
Что означает соответствие требованиям AML для криптовалютной биржи
Соответствие требованиям AML для криптовалютной биржи — это совокупность обязательств по противодействию отмыванию денег и финансированию терроризма, которые VASP должен выполнять для легальной работы. Обязательства установлены Рекомендациями FATF в отношении виртуальных активов, а в Соединённых Штатах — правилами FinCEN для предприятий, оказывающих денежные услуги. Биржа несёт ответственность за все пять уровней, а не только за проверку клиента при регистрации.
VASP — это регуляторное обозначение для любой организации, которая обменивает, переводит или хранит виртуальные активы клиентов. Биржа получает этот статус в момент, когда выставляет первую торговую пару. Её обязательства в сфере AML не являются копией программы банка. Они накладываются поверх адресов и транзакций в блокчейне, которые перемещаются за секунды, между разными сетями и нередко через миксеры.
Эта скорость меняет характер работы. Банк проверяет платёж по списку имён и базе данных контрагентов. Биржа проверяет депозит, который мог пройти через миксер три шага назад, причём уязвимость обнаруживается только при отслеживании пути движения средств. Досье клиента не несёт этого сигнала. Цепочка — несёт. Именно поэтому одно из пяти обязательств, мониторинг транзакций, не имеет банковского аналога с той же скоростью и должно читать саму цепочку.
Эта статья определяет структуру и остаётся в рамках вопроса «что». Операционное руководство «как», процесс проверки и экспорт отчётов рассматриваются в отдельном практическом руководстве по внедрению. Для ознакомления с глобальным стандартом, который определяет статус VASP и его обязательства, см. руководство FATF по виртуальным активам.
Пять основных обязательств VASP: подробный разбор
Структура включает пять обязательств. Каждое соответствует Рекомендации FATF и, для американских бирж, правилу FinCEN. Программа соответствия, охватывающая лишь часть из них, не пройдёт проверку. Первые два и последнее — традиционная инфраструктура соответствия. Средние два — это область, где основную работу выполняют данные блокчейна.
1. Регистрация и лицензирование. Прежде чем начать обслуживание клиентов, биржа должна зарегистрироваться у компетентного органа. В Соединённых Штатах это означает регистрацию в качестве предприятия, оказывающего денежные услуги, в FinCEN и получение государственных лицензий на передачу денег. Режим ЕС MiCA и нью-йоркская лицензия BitLicense предусматривают собственные этапы авторизации. Работа без регистрации сама по себе является нарушением, независимо от любых последующих несоответствий требованиям AML. Закон GENIUS (Публичный закон 119-27), подписанный в июле 2025 года и вступающий в силу в январе 2027 года после разработки правил FinCEN, распространяет на эмитентов платёжных стейблкоинов действие Закона о банковской тайне, поэтому биржи, работающие со стейблкоин-потоками, теперь находятся в той же системе AML, что и сами эмитенты.
2. Надлежащая проверка клиентов. Биржа обязана идентифицировать клиентов, оценивать их риски и применять расширенную проверку к отношениям с повышенным уровнем риска. Верификация личности является частью этого блока. Она подтверждает, кем является клиент. Она не видит транзакцию. Клиент может пройти регистрацию и всё равно внести депозит, средства которого поступили из миксера, поскольку личность и движение средств — это разные объекты.
3. Мониторинг транзакций. Биржа обязана отслеживать текущую активность на предмет подозрительных паттернов. В криптовалютной сфере это означает проверку адресов, с которыми она взаимодействует, и транзакций, затрагивающих её кошельки, а не только досье клиента. Риск возникает после регистрации, поэтому мониторинг должен быть непрерывным и осуществляться в режиме реального времени. Адрес, проверенный в понедельник, к четвергу может оказаться связан с незаконной деятельностью, а депозит в пятницу может содержать средства, которые были чистыми три шага назад и оказались скомпрометированы у источника.
4. Отчётность о подозрительных транзакциях. Когда мониторинг выявляет активность, похожую на отмывание денег или финансирование терроризма, биржа обязана подать отчёт. В Соединённых Штатах подаётся отчёт о подозрительной деятельности. В других юрисдикциях он называется отчётом о подозрительной транзакции. В Соединённых Штатах срок подачи SAR составляет 30 календарных дней с момента первоначального обнаружения (до 60, если подозреваемый не установлен). В других юрисдикциях сроки жёстче — Гонконг требует подачи в течение 24 часов. Отчёт должен содержать достаточно доказательств для удовлетворения проверяющего.
5. Ведение записей. Биржа обязана хранить записи, подтверждающие выполнение первых четырёх обязательств. Согласно американскому Закону о банковской тайне, это означает хранение файлов CDD, журналов мониторинга и поданных отчётов в течение пяти лет. Инспекторы расценивают отсутствие записей как отсутствие контроля. Срок хранения превышает продолжительность отношений с клиентом, поэтому журналы должны поддаваться аудиту ещё долго после того, как кошелёк прекратил использоваться.
| # | Обязательство VASP | Нормативная основа | Охват мониторинга в блокчейне |
|---|---|---|---|
| 1 | Регистрация и лицензирование | FinCEN MSB (31 CFR Ch. X), государственная лицензия MTL, ЕС MiCA, NY BitLicense | Организация (юрисконсульт) |
| 2 | Надлежащая проверка клиентов (идентификация) | Рекомендация FATF 10 (CDD) | Организация (поставщик CDD) |
| 3 | Мониторинг транзакций | Рекомендация FATF 10 (текущая CDD) + Рекомендация 15 (RBA для VASP) + Рекомендация 20 (STR) | Phalcon Compliance: KYA + KYT |
| 4 | Отчётность о подозрительных транзакциях | FinCEN SAR / STR | Phalcon Compliance: экспорт STR для нескольких ключевых юрисдикций |
| 5 | Ведение записей | Хранение в течение 5 лет согласно BSA | Журнал проверок Phalcon Compliance наполняет его |
Пять обязательств — это взгляд VASP. Они описывают, что обязана делать биржа. Они отличаются от внутренних столпов программы AML, которые охватывают политики, назначенного сотрудника по вопросам соответствия, обучение, независимый аудит и саму программу CDD. Этот взгляд с точки зрения программы — отдельный вопрос для отдельного изучения. Здесь же внимание сосредоточено на обязательствах, которые биржа должна исполнять.
Реализация блока мониторинга транзакций
Из пяти обязательств мониторинг транзакций и отчётность о подозрительных транзакциях — это два, которые зависят от данных блокчейна, недоступных банковским инструментам. Phalcon Compliance закрывает эти два блока с помощью KYA и KYT. Он не обеспечивает верификацию личности в рамках CDD, консультации по регистрации и лицензированию или инфраструктуру ведения записей. Область охвата — это уровень мониторинга и проверки.
KYA (Know Your Address — знай свой адрес) проверяет адрес кошелька на предмет рисков AML и CFT, используя базу данных размеченных адресов и граф взаимодействий вокруг него. KYT (Know Your Transaction — знай свою транзакцию) проверяет каждый перевод токенов внутри транзакции, отслеживает путь движения средств в направлении депозита или вывода и присваивает уровень риска. Вместе они отвечают на два разных вопроса. KYA отвечает на вопрос, что представляет собой адрес. KYT отвечает на вопрос, что делает транзакция.
Лежащий в основе обоих инструментов механизм оценки рисков использует 17 индикаторов риска — от санкционированных организаций и финансирования терроризма до миксинга, программ-вымогателей и юрисдикций из Серого списка FATF. Каждый проверенный адрес или перевод попадает в один из шести уровней риска — от критического через высокий, средний, низкий и информационный до отсутствия риска. Уровни можно настраивать, поэтому команда соотносит каждый уровень со своей внутренней политикой и аппетитом к риску. Стандартные механизмы на основе руководства FATF поставляются в готовом виде и могут быть изменены в соответствии с риск-ориентированным подходом биржи.
Когда проверка помечает перевод, оповещение поступает по выбранным командой каналам. Аналитик подтверждает уязвимость и экспортирует отчёт о подозрительной транзакции для данного перевода, при этом направление депозита или вывода указывается в момент проверки. Этот отчёт соответствует требованиям ключевых регуляторных юрисдикций и может быть экспортирован с использованием регионального шаблона для непосредственной подачи. Экспортированный STR является доказательством в рамках блока отчётности. Журнал проверок наполняет блок ведения записей. Один инструмент закрывает два обязательства.
Три блока, которые BlockSec не охватывает, представляют собой традиционную инфраструктуру соответствия. Биржа получает услуги по регистрации от юрисконсульта, верификацию личности от поставщика CDD, а хранение записей обеспечивается системой документооборота. Блоки мониторинга и отчётности — это область, где инструменты, созданные для работы с блокчейном, занимают своё место, поскольку данные, с которыми должны работать эти блоки, находятся в цепочке. Для ознакомления с операционным руководством о том, как KYT применяется в жизненном цикле транзакций биржи, см. руководство KYT Compliance.
От концепции к действию
Определение — это отправная точка, а не цель. Как только команда по вопросам соответствия может назвать пять обязательств VASP, следующий шаг — их выполнение. В этом помогут два пути. Чтобы ознакомиться с полной системой соответствия требованиям AML и платформой, лежащей в основе блока мониторинга, посетите Phalcon Compliance. Чтобы перейти от определения к внедрению на бирже, следуйте руководству по внедрению KYT compliance for crypto exchanges.
Северноамериканским биржам следует в первую очередь уделить внимание уровню регистрации MSB в FinCEN и государственной лицензии на передачу денег, поскольку работа без неё является самостоятельным нарушением. Следующими идут блоки мониторинга и отчётности, которые масштабируются вместе с объёмом транзакций в блокчейне.
→ Закажите демонстрацию Phalcon Compliance и запустите блок мониторинга в рамках вашего процесса работы биржи: Заказать демонстрацию
Часто задаваемые вопросы
Что такое соответствие требованиям AML для криптовалютной биржи? Это совокупность пяти обязательств VASP, которые биржа должна выполнять непрерывно: регистрация и лицензирование, надлежащая проверка клиентов, мониторинг транзакций, отчётность о подозрительных транзакциях и ведение записей.
Совпадают ли пять обязательств VASP с пятью столпами программы AML? Нет. Обязательства VASP — это то, что биржа должна делать. Столпы программы AML — это то, как выстроен её отдел по вопросам соответствия. Эта статья посвящена обязательствам.
Является ли KYC отдельным обязательством? Нет. Верификация личности — это этап внутри блока надлежащей проверки клиентов. Она подтверждает, кем является клиент. Она не проверяет транзакцию.
Какие обязательства охватывает мониторинг в блокчейне? Мониторинг транзакций и отчётность о подозрительных транзакциях. Проверка адресов и транзакций считывает цепочку, а экспортированный STR является отчётом.
Как долго американская биржа обязана хранить записи AML? Пять лет согласно Закону о банковской тайне. Срок хранения распространяется на файлы CDD, журналы мониторинга и поданные отчёты.
