Прямая связь означает, что кошелёк сам проводил операции с подсанкционным или незаконным субъектом. Косвенная — контакт находится на один или несколько переходов выше по потоку через контрагента. Обоснованная оценка сочетает расстояние, загрязнённую долю, атрибуцию субъекта и время, никогда не рассматривая флаг бинарно. Эта страница — часть центра знаний об AML-комплаенсе.
Аналитик, видящий косвенную связь адреса, сталкивается именно с таким суждением. Сам кошелёк не касался подсанкционного субъекта, контакт был у контрагента двумя переходами выше, проверка личности владельца чистая. Вопрос: это реальный риск или шум? Проверка только по чёрному списку либо полностью пропустит его, либо эскалирует без различий. Именно на этот повторяющийся в очередях вопрос отвечает анализ связей.
Связь — не бинарное состояние, а послойное чтение распространения риска по потокам: прямой и косвенный контакт, расстояние, загрязнённая доля и субъект каждого перехода. Статья излагает дисциплину ончейн-AML-комплаенса и расследований для таких суждений. Она разделяет прямое и косвенное, объясняет недостаточность расстояния и сочетание сигналов в разрешение, проверку или блокировку.
Прямые и косвенные связи: когда предшествующий контакт означает риск
Различие — основа дальнейшего суждения. Прямая связь означает операцию самого кошелька с подсанкционным или иным незаконным адресом. Это максимально сильный сигнал, обычно достаточный для эскалации. Косвенная означает касание средствами источника риска выше по потоку на один или несколько переходов: кошелёк изолированно чист, проходящие средства — нет.
Реальный вопрос аналитика находится внутри косвенной связи. Кошелёк с чистой проверкой личности, иногда называемой чистым KYC-профилем, получает средства, прошедшие миксер или подсанкционного субъекта одним-двумя переходами ранее. Владелец не является незаконным участником, но средства всё ещё могут нести риск. Существенность зависит от доли загрязнения, расстояния до источника, его личности и давности контакта. Ни одно измерение не сводится к «да/нет».
Различие важно из-за симметрии сбоев. Инструмент только прямых связей пропускает отмытые средства через чистые кошельки — большинство таких средств. Инструмент, отмечающий любое косвенное касание без доли и расстояния, топит очередь в шуме. Схема ниже предотвращает оба.
Расстояние: почему один, два и много переходов неравнозначны
Расстояние — число транзакционных шагов от кошелька до источника риска; сигнал слабеет с ростом расстояния. Связь в один переход, то есть прямая операция с подсанкционным или незаконным адресом, — самый сильный сигнал, обычно сам по себе означающий High. Два перехода, когда с источником взаимодействует контрагент, — умеренный сигнал, требующий поддержки доли и атрибуции для эскалации. Три и более охватывают шире, но сигнал каждой связи слаб; при единственной переменной числа переходов система склонна чрезмерно уведомлять.
Одного расстояния мало: распространение не равно ослаблению. Два перехода до адреса вывода вымогателей не автоматически менее серьёзны, чем один до азартного сайта. Серьёзность зависит от субъекта на другом конце, доли пришедшего оттуда и последующего расслоения. Три перехода до миксера могут быть несущественны в одном кошельке и значимы в другом по объёму и времени.
Здесь проходит граница скоринга. Расстояние — входной параметр. Сочетание его, доли и атрибуции в единую объяснимую оценку — отдельный вопрос в превращении сигналов в объяснимый скоринг. Здесь рассматриваются входы и логика суждения, не сама оценка.
Доля связей и происхождение: почему чёрного списка недостаточно
Самые полезные сигналы — доля рискованных средств и происхождение; оба раскрывают пределы проверки только списками.
Exposure Percentage — загрязнённая доля общего входящего или исходящего объёма — ведёт себя совсем не как совпадение чёрного списка. Пять процентов связи с миксером и девяносто пять с тем же миксером требуют совершенно разных суждений, но список уравнивает их. Малое загрязнённое пополнение среди большого законного потока не равно кошельку, весь баланс которого — отмытые доходы; анализ должен отражать это.
Происхождение спрашивает, откуда деньги, прослеживая путь, а не сопоставляя фиксированный список. Список бинарен: адрес есть или нет. Происхождение непрерывно: следует назад по переходам, атрибутирует каждый субъекту и определяет загрязнённую долю на каждом шаге. Так косвенная связь становится понятной. Проверка только списком либо пропустит её, поскольку кошелёк не включён, либо чрезмерно отреагирует на любое микрозагрязнение, считая каждое касание совпадением.
В работающем механизме суждение конкретно. Пример многомерного анализа — Risk Exposure Engine Phalcon Compliance: база меток сочетается с трассировкой ончейн-взаимодействий, рассчитывает Exposure Value и Percentage и проходит потоки для выявления пропущенных списком косвенных связей. Две величины формально определены: Exposure Value — общая стоимость в USD криптоактивов, происходящих из заданного источника риска или взаимодействовавших с ним; Exposure Percentage — доля загрязнённых активов в общем притоке или оттоке адреса. Третий механизм переносит анализ через переходы. Мониторинг взаимодействий прослеживает несколько шагов и срабатывает при метке риска любого адреса потока по настраиваемым направлению и порогу суммы. Это входы суждения, не само суждение.
Почему косвенные связи создают ложные срабатывания
Косвенные связи — крупнейший источник ложных срабатываний, и механизм структурен. Типичные источники — миксеры, подсанкционные субъекты и незаконные сервисы: дрейнеры, рынки даркнета, адреса вывода вымогателей. Каждый касается большого рассеянного множества последующих кошельков. Через два–три перехода после миксера множество с ненулевой связью огромно, а доля реального риска мала.
Сбой прост: правило только по переходам или списку отмечает каждый кошелёк множества. Очередь заполняется уведомлениями об активности, не вызывающей подозрений. Платёжный процессор рассчитался за клиента биржи, когда-то пользовавшегося миксером. Кошелёк продавца получил пополнение с крошечной загрязнённой долей. Пользователь взаимодействовал с DeFi-пулом, также получавшим рискованные средства. Ни один случай не требует блокировки, все совпадают с правилом. Аналитик разбирает вручную, настоящие расследования погребены.
Решение — не лучший порог, а многомерное суждение, отказывающееся эскалировать по одному сигналу. Два перехода до миксера рассматриваются по-разному при двух и шестидесяти процентах, и ещё иначе при давности три дня или восемнадцать месяцев. Подробная практика сокращения ложных срабатываний вынесена отдельно, поскольку заслуживает собственного разбора. Здесь структурный вывод: косвенная связь без взвешивания всегда даёт избыток; взвешивание — единственный путь к пригодной очереди.
Многомерное суждение: от сигналов к разрешению, проверке или блокировке
Реальное решение аналитика — разрешить, проверить или заблокировать кошелёк. Оно обоснованно лишь на нескольких сигналах.
| Измерение | Что измеряет | Слабость отдельно | Сила совместно |
|---|---|---|---|
| Расстояние | Шаги от кошелька до риска | Три перехода могут быть шумом или сигналом | Задаёт близость источника |
| Доля связей | Загрязнённую долю потока | Пять и девяносто пять процентов сливаются | Отличает след от существенного контакта |
| Атрибуция | Что представляют источник и посредники | Миксерное совпадение равно санкционному | Различает серьёзность по типу субъекта |
| Поведение транзакций | Паттерн вокруг контакта | Игнорирует последующее движение | Выявляет расслоение или быстрый транзит |
| Временное затухание | Давность контакта | Контакт 2021 года равен контакту этой недели | Усиливает недавний контакт |
| Направление потока | Источник пополнения или получатель вывода | Анализ без направления вводит в заблуждение | Разделяет входящее загрязнение и исходящий риск |
Ни одного сигнала недостаточно. Обоснованная оценка сочетает расстояние, долю, атрибуцию, поведение, давность и направление до преобразования в Low, Medium или High и решение Allow, Review или Block. У каждого сигнала есть режим отказа. Единственная защита — требовать подтверждения другими.
Рассмотрим обезличенный случай. Кошелёк получает средства с миксерным контактом в двух переходах. Доля умеренная, около середины диапазона от десяти до двадцати процентов. Атрибуция подтверждает миксер, не подсанкционный адрес. Контакт недавний, в пределах недель. Поведение вокруг пополнения обычное: нет быстрого транзита и дробления. Направление — входящее пополнение. Отдельно расстояние и давность подталкивают к эскалации. Вместе умеренная доля, миксерный источник и не вызывающее подозрений поведение после пополнения ведут к Review, а не Block. Аналитик документирует основание, задаёт решение и идёт дальше. Это результат многомерности: решение выдерживает аудит благодаря записи измерений, а не интуиции.
Практически это реализует Risk Exposure Engine. База меток и ончейн-взаимодействия выявляют риск и связь проверяемого адреса или транзакции с известным рискованным субъектом. Address Exposure Engine имеет три шаблона: риск субъекта, взаимодействия и взаимодействия с чёрным списком. Transaction Exposure Engine — риск участника, взаимодействия и взаимодействия с чёрным списком. Пять уровней: Critical, High, Medium, Low, No Risk. 17 категорий, включая Sanctioned, Mixing, Ransomware, Dark Market и FATF Grey List Jurisdiction, дают устойчивый словарь находок каждого перехода. Превращение входов в единую проверяемую оценку — тема страницы объяснимого скоринга, не этой.
Регуляторная опора такова: Рекомендация 15 FATF ожидает риск-ориентированного выявления и оценки связей, а не только статических списков. Та же логика лежит за требованиями FinCEN Customer Due Diligence, обязывающими охваченные организации понимать клиентские отношения и наблюдать подозрительную активность вместо одних списков. Эскалация только прямых совпадений не обосновывает пропуски. Эскалация каждого косвенного не обосновывает нагрузку. Риск-ориентированный подход FATF к виртуальным активам делает многомерность стандартом, а не усовершенствованием.
