Ончейн-AML: проверка, мониторинг и расследования

Основа каждого обоснованного решения в ончейн-AML

Ончейн-AML — это использование данных блокчейна для выявления незаконной активности, оценки риска кошельков и транзакций и отслеживания подозрительных средств до формирования доказательств, готовых для регулятора. Направление опирается на четыре возможности, работающие как единый процесс: проверку кошельков, мониторинг транзакций в реальном времени, объяснимую риск-аналитику и межсетевые расследования.

Phalcon Compliance объединяет KYA, KYT, обработку уведомлений и отчётность в одном процессе. Когда делу нужен более глубокий анализ, MetaSleuth продолжает расследование через блокчейны, мосты, миксеры и субъектов, не разрывая доказательную цепочку.

Попробуйте Phalcon Compliance бесплатно · Изучите MetaSleuth

Создайте процесс ончейн-AML, по результатам которого команда сможет действовать

Разделы центра знаний о крипто-AML

• Изучите основы: что такое ончейн-AML и как совместно работают KYA, KYT и проверка личности.
• Оцените платформу: проверка, мониторинг, объяснимая оценка, API, цены и доверие к поставщику.
• Создайте программу: оценка рисков, внедрение, разбор уведомлений и надзорная отчётность.
• Расследуйте незаконные потоки: отслеживайте средства через мосты, миксеры, DEX и сети назначения с помощью межсетевых расследований и трассировки через миксеры.
• Готовьтесь к будущему: программируемый комплаенс и контроль DeFi и межсетевой риск.

Что такое ончейн-AML

Ончейн-AML использует данные блокчейна для выявления незаконной активности, оценки риска кошельков и транзакций и отслеживания подозрительных средств. Традиционная проверка клиента отвечает на один вопрос: кто этот клиент. Ончейн-проверка отвечает на остальные. Она показывает, откуда пришли средства клиента, с какими субъектами взаимодействовал кошелёк и изменился ли его риск после подключения.

Клиент может пройти проверку личности в понедельник и получить подсанкционные средства во вторник. KYA проверяет риск кошелька до движения средств. KYT затем наблюдает за транзакциями и текущей активностью. Системы Travel Rule передают сведения между организациями. Риск-ориентированный подход FATF объясняет применение этих мер контроля к виртуальным активам.

На практике механизм проверки сопоставляет адрес с метками и ончейн-данными. Он возвращает оценку риска вместе с определившими её сигналами. Мониторинг продолжает эту проверку после подключения и создаёт уведомление, когда у адреса появляется новая рискованная связь. Руководства по ссылкам в этом центре знаний подробно разбирают процессы KYA и KYT.

Основные возможности платформы ончейн-AML

Платформа ончейн-AML опирается на четыре возможности: проверку адресов, мониторинг транзакций, объяснимую оценку риска и интеграцию API реального времени. Каждая отвечает на конкретный вопрос, с которым столкнётся команда комплаенса. Вместе они определяют, что платформа должна делать, чтобы считаться полноценным инструментом ончейн-AML.

Проверка адресов, часто называемая KYA — Know Your Address, служит точкой входа. Платформа принимает адрес кошелька и проверяет его по базе размеченных адресов. Глубина и актуальность базы определяют полезность результата. Скудный или устаревший набор меток не находит совпадений именно по важным адресам. Охват сотен миллионов адресов с круглосуточным, а не ежемесячным пакетным обновлением даёт аналитику основание действовать в три часа ночи.

Мониторинг транзакций, часто называемый KYT — Know Your Transaction, распространяет проверку на текущую активность. Адрес с низким риском при подключении может через неделю получить связь с незаконными средствами. Мониторинг наблюдает за новыми транзакциями, контрагентами и рискованными связями и уведомляет об изменении профиля риска.

Объяснимая оценка риска показывает, почему адрес или транзакция отмечены. Прежде чем закрыть уведомление или передать его на следующий уровень, аналитики изучают индикаторы риска, объём связанных средств и активность, стоящую за результатом. Это сокращает время разбора, обеспечивает последовательность решений и оставляет запись, выдерживающую аудит.

Интеграция API реального времени позволяет встроить эти возможности в собственный процесс подключения клиентов или проведения транзакций организации, а не держать их в отдельной вкладке браузера. Базовые элементы интеграции — ответ за миллисекунды, пакетные конечные точки и обратные вызовы webhook для новых рискованных связей. Без доступа к API проверка становится ручным шагом, который пропускают под давлением нагрузки. С API она каждый раз выполняется как контрольная точка в момент принятия решения.

Как Phalcon Compliance реализует эти четыре возможности

Phalcon Compliance следует той же операционной модели, что и другие страницы BlockSec о комплаенсе: рано выявлять риск, читать полный ончейн-контекст и реагировать через структурированный процесс. Команды проверяют контрагентов, приоритизируют уведомления с реальными доказательствами и поддерживают записи в готовности к внутренней проверке или регуляторной отчётности.

Phalcon Compliance объединяет эти возможности в одной платформе. Она использует непрерывно обновляемую базу более 600 миллионов размеченных адресов и свыше 200 типов сигналов в 17 категориях индикаторов риска. Behavioral Risk Engine добавляет сигналы на основе активности, а Risk Exposure показывает объём средств, связанный с выявленным риском. API поддерживает процессы реального времени, пакетной обработки и мониторинга. Практические примеры приведены в руководствах о прямых и косвенных связях, сокращении ложных срабатываний и интеграции KYT API.

Создание программы ончейн-AML

Инструменты — лишь часть программы AML. Командам также нужны понятные правила оценки рисков, проверки и мониторинга, разбора уведомлений и отчётности; аудит замыкает цикл. Практическая программа имеет четыре операционных этапа.

Эти четыре этапа — практическая форма жизненного цикла от оценки рисков до аудита, разворачивающаяся в шесть шагов. Риск-ориентированная оценка определяет подверженность организации риску. KYA проверяет каждый адрес при подключении. KYT мониторит каждую транзакцию после подключения. Разбор уведомлений обеспечивает документированное решение по каждому срабатыванию. На этапе надзорной отчётности подаётся сообщение о подозрительной активности (31 CFR 1022.320), когда риск требует эскалации. Независимый аудит проверяет, сохраняет ли программа эффективность. Каждый шаг питает следующий. Оценка определяет, где проверять. Проверка и мониторинг создают уведомления. Разбор определяет значение каждого уведомления. Отчётность передаёт результат регулятору. Аудит замыкает цикл и возвращает полученные выводы в оценку. Программа, непрерывно выполняющая этот цикл, а не возвращающаяся к нему раз в год при продлении, — то, что регуляторы имеют в виду под риск-ориентированной программой.

Первый этап — риск-ориентированная оценка. Организация составляет карту рисков по типам клиентов, активов, юрисдикциям и паттернам транзакций. На её основе она определяет, где проверка должна быть наиболее интенсивной. Программа, одинаково тщательно проверяющая всех клиентов, тратит ресурсы на низкорисковые сегменты и недостаточно инвестирует туда, где риск действительно сосредоточен. Риск-ориентированная оценка заставляет явно обозначить эти компромиссы. Регуляторы ожидают документирования этого этапа: именно эти документы они проверяют, когда что-то идёт не так.

Второй этап — внедрение проверки и мониторинга. Организация встраивает KYA в подключение клиентов, чтобы каждый новый кошелёк проверялся до завершения первой транзакции. Она встраивает KYT в текущую активность, чтобы выявлять рискованные связи, возникшие после подключения. Она интегрирует API в собственные системы, чтобы проверка выполнялась как контрольная точка, а не ручной шаг. На этапе внедрения возможности предыдущего раздела становятся практикой.

Третий этап — разбор уведомлений. Каждое срабатывание проверки или мониторинга становится уведомлением, а каждому уведомлению требуется итоговое решение. Программа без стандартной процедуры разбора тонет в уведомлениях. Программа с такой процедурой направляет каждое уведомление к определённому действию, документирует решение и формирует ожидаемый регулятором журнал аудита. Обработка ложных срабатываний — ключевая часть разбора. Их доля в крипто-AML-мониторинге варьируется широко именно потому, что различается качество разбора. Платформа, раскрывающая причины каждой оценки, позволяет аналитику быстро отклонить ложное срабатывание. Непрозрачная оценка заставляет начинать расследование с нуля — именно здесь накапливаются издержки.

Четвёртый этап — надзорная отчётность. Когда уведомление перерастает в подтверждённый риск, программа должна подготовить понятный регулятору отчёт. Нужны сообщение, на основе которого подразделение финансовой разведки сможет действовать, и пакет доказательств для передачи правоохранительным органам. На этапе отчётности программа либо выдерживает проверку, либо рассыпается. Программа, которая тщательно проверяет, но плохо отчитывается, ненамного лучше той, что вообще не проверяет.

Команды DeFi используют те же четыре этапа, но внедрение выглядит иначе. Проверка может выполняться в точке взаимодействия со смарт-контрактом или на шлюзе фронтенда. Мониторинг должен успевать за активностью, меняющейся за минуты. Руководство по созданию программы ончейн-AML охватывает внедрение для бирж и команд DeFi.

Расследования и форензика

Проверка и мониторинг выявляют риск. Расследование следует за средствами. Когда эксплуатация уязвимости уже произошла или адрес попал под санкции, расследователям нужно увидеть, куда переместились активы и кто их получил.

Межсетевая трассировка важна, потому что незаконные средства редко остаются в одной сети. Активы могут пройти через мост, миксер и децентрализованную биржу, прежде чем попасть на новый адрес в другом блокчейне. Представление одной сети теряет след на мосте. Межсетевое расследование подхватывает транзакцию в сети назначения и сохраняет связность потока средств.

Ответ расследования — следовать за средствами через каждый переход, не теряя нить. Полноценный инструмент один раз принимает начальный адрес и следует за ним через мост. Он подхватывает активность в сети назначения в том же рабочем пространстве и продолжает через миксер или обмен на DEX. Полный маршрут отображается одним связным графом. Расследователь тратит время на анализ этого графа, а не на его сборку. Альтернатива — экспортировать адрес у каждого моста, открывать второй инструмент для сети назначения и вручную сшивать фрагменты. Это медленно, создаёт потери на каждом стыке и трудно обосновывается.

Расследователям также приходится работать с миксерами, инструментами приватности, обменами на DEX и повторными переходами между сетями. Эти методы часто сочетают, чтобы скрыть источник и назначение средств. Полный процесс рассмотрен в руководствах по выбору инструмента межсетевых расследований и отслеживанию похищенной криптовалюты через миксер.

Стандартная процедура отслеживания средств, лежащая в основе межсетевой работы, имеет устойчивую форму, хотя адреса и блокчейны меняются в каждом деле. Расследователь начинает с известной точки компрометации, задаёт её как источник и отслеживает средства вперёд, а не назад, поскольку прямое отслеживание следует фактическому движению похищенных денег. Каждый переход фиксируется как узел с адресом, сетью, активом, суммой, временем и контекстом размеченного субъекта. Когда путь пересекает мост или входит в миксер, трассировка продолжается в сети назначения или на выходах после смешивания. Она не останавливается на событии обфускации. Маршрут восстанавливается как единый связный граф, а не набор разрозненных снимков экрана. Каждое утверждение расследователя о направлении средств должно воспроизводиться из этого графа. Маршрут, который расследователь не может воспроизвести, защита оспорит.

MetaSleuth — платформа BlockSec для отслеживания криптовалюты и расследований. Она прослеживает потоки средств через протоколы DeFi, миксеры, мосты и несколько блокчейнов в одном рабочем пространстве. Она также использует те же данные об адресах, что и Phalcon Compliance, поэтому расследователи видят контекст субъектов и риска по ходу дела.

Расследованию также нужен понятный пакет доказательств. Фиксируйте путь средств, временные метки, хеши транзакций, контекст субъектов и источники каждого вывода. Это даёт бирже, регулятору или правоохранительной команде достаточно сведений для проверки дела и действий по нему. Руководство по отслеживанию похищенной криптовалюты через миксер охватывает весь процесс.

Стандарт достоверных доказательств развивался вместе с классом активов. Суду, рассматривающему обвинение в мошенничестве, нужно больше, чем граф. Ему нужен пакет, который могут прочитать и проверить подразделение финансовой разведки, комплаенс-команда биржи и, в конечном счёте, орган, устанавливающий факты. В серьёзных расследованиях такой пакет имеет узнаваемую структуру. Он содержит исходный адрес и событие, с которого началась трассировка. Он фиксирует каждый существенный переход с сетью, активом и временем. Он прикладывает контекст размеченного субъекта для каждого адреса на пути средств. Он отмечает момент выхода — в фиат на бирже, в миксер или в новый некастодиальный кошелёк. Завершает пакет воспроизводимая визуализация, позволяющая проверяющему пройти маршрут от начала до конца, не принимая ни одну связь на веру со слов расследователя. Происхождение данных — несущая основа. Каждая точка данных должна восходить к проверяемой ончейн-записи, а каждый вывод — следовать из неё, а не просто утверждаться. Пакет доказательств, выдерживающий независимую проверку, превращает ончейн-трассировку в дело, по которому можно действовать. Без него трассировка — в лучшем случае зацепка.

Для реальных процессов криптокомплаенса

Процесс должен соответствовать операционной модели. Он не должен навязывать всем командам одинаковую схему контроля. Специальные руководства в этом центре знаний показывают, как адаптировать общую модель проверки, анализа и реагирования к каждой среде.

Выбор поставщика ончейн-AML и проверка доверия

Организация, создающая программу ончейн-AML, в итоге выбирает поставщика. Решение непросто: категория непрозрачна, заявления похожи, а цена ошибки проявляется спустя месяцы, когда регулятор спрашивает, почему проверка не сработала. Выбор строится по трём осям: гибкость оплаты, независимо проверяемая эффективность и надёжность поставщика. Ни одна не факультативна.

Цена — первый фактор. Команды должны иметь возможность испытать проверку до заключения крупного годового договора и перейти на тариф, соответствующий объёму. Phalcon Compliance предлагает Free, пакеты Screening Packages с оплатой по мере использования, Essential, Scale и Enterprise. Screening Packages используют кредиты PAYG: от $95 за пакет из 50 проверок, с ценой единицы от $1,10 до $1,90 в зависимости от размера пакета. Руководство по ценам для небольших VASP объясняет опубликованные тарифы и ситуации, когда лучше PAYG или подписка.

Независимо проверяемая эффективность — вторая ось, на которой рушится большинство заявлений поставщиков. Каждый обещает точную проверку, мало ложных срабатываний и актуальное покрытие. Немногие раскрывают доказательства, необходимые для проверки этих обещаний. Критерий — объяснимость оценки. Поставщик, раскрывающий идентификаторы индикаторов риска за каждой оценкой, количественно определяющий связи и позволяющий аналитику воспроизвести решение, даёт возможность проверить эффективность. Поставщик, возвращающий лишь оценку без разбивки, просит верить на слово. Подробный контрольный список независимой проверки эффективности инструмента ончейн-AML приведён в отдельном руководстве. Суть в том, что эффективность — проверяемое аналитиком свойство, а не обещание поставщика.

Надёжность поставщика — третья ось. Передавая поставщику комплаенс-проверку, организация доверяет ему доказательства, которые регулятор впоследствии будет проверять. Поставщику нужны проверяемые подтверждения компетенции, опубликованные работы, опыт реальных дел и бизнес, который будет существовать через два года. Подробный разбор оценки надёжности поставщика представлен в отдельном руководстве. Суть в том, что надёжность можно проверить. Организация, пропускающая проверку, покупает риск вместо покрытия.

Куда движется ончейн-AML

Ончейн-AML продолжает меняться в трёх областях.

Первая — новые границы регулирования DeFi. Регуляторы ещё определяют, как применять обязанности, созданные для централизованных посредников, к протоколам без посредника. Самый ясный пример — Travel Rule. Оно было написано для идентифицированных посредников. Применение к транзакции между двумя некастодиальными кошельками — вопрос соответствия категории, а не деталь реализации. По мере того как юрисдикции переносят всё больше положений Рекомендации 15 в национальное законодательство, описанная ранее основа программы должна будет подойти протоколам без бюджета на комплаенс и без готовности терпеть дополнительную задержку.

Вторая — межсетевое отмывание как системная угроза. Переходы между блокчейнами уже стали стандартным способом отмывания; по мере роста объёма мостов область, которую покрывает инструмент одной сети, сокращается. FATF отметила межсетевые и межсервисные потоки как структурный канал отмывания денег, который не охватывает ни одна юрисдикция и ни одно представление одной сети. Поэтому расследования сходятся к непрерывной межсетевой трассировке.

Третья — программируемый комплаенс. Текущая модель возвращает оценку, а человек действует по ней. Следующая модель программно раскрывает доказательства и позволяет собственным системам организации маршрутизировать операции, передавать их на следующий уровень рассмотрения или блокировать на этой основе, сохраняя участие человека в решениях с высокими последствиями. Доступ к API, объяснимая оценка риска и мониторинг в реальном времени — три предпосылки. Платформа, имеющая все три, уже прошла большую часть пути.

Регулирование, межсетевое отмывание и автоматизация процессов будут и дальше формировать способы управления крипториском. Команды, которые уже сейчас внедрят проверку, мониторинг, расследования и отчётность, лучше подготовятся к изменению требований.

Следующий шаг для команды, оценивающей ончейн-AML, конкретен. Оцените платформу по четырём возможностям, четырём этапам программы и трём осям выбора, изложенным выше. Оцените Phalcon Compliance для ончейн-AML по этим критериям, а не по презентации продаж. Или изучите межсетевую трассировку MetaSleuth на реальном адресе и проверьте, соответствует ли маршрут средствам, которые вы отслеживаете.