Краткий ответ: да, риск адреса меняется со временем
Эта страница — часть центра знаний о KYT.
Вопрос, который постоянно возникает в комплаенс-работе, — может ли кошелёк быть чистым сегодня и рискованным завтра — заслуживает прямого ответа. Да. Криптокошелёк, получивший чистый результат оценки при подключении, может стать рискованным через часы, дни или недели. Сам кошелёк не изменился. Изменились проходящие через него средства.
Причина в том, что отдельная проверка — это снимок. Она фиксирует адрес в один момент по данным о рисках, доступным в этот момент. Время проходит, адрес продолжает проводить транзакции, а картина риска — меняться. Чистый результат в 10:00 ничего не говорит о пополнении, пришедшем в 10:05.
Это основная проблема статьи. Риск кошелька — не фиксированное свойство. Это движущаяся цель, и комплаенс-программа, считающая его постоянным, имеет системную слепую зону. Полезная аналогия проста: разовая проверка — снимок, постоянный мониторинг — видео. Далее объясняется, почему картина меняется, почему снимка недостаточно в рамках риск-ориентированных обязанностей поставщиков услуг виртуальных активов и чем на практике отличается постоянный мониторинг.
Почему чистый кошелёк становится рискованным
Кошелёк становится рискованным из-за последующих взаимодействий. Блокчейн не замораживает список контрагентов адреса на момент проверки. Каждая входящая транзакция может создать новую связь с рискованным контрагентом, и именно эта связь меняет оценку риска.
Механизм — загрязнение средств. Когда адрес получает средства от адреса, связанного с санкционным риском, миксером, мошеннической схемой или незаконным сервисом, либо отправляет ему средства, рискованная связь распространяется по маршруту. Изначально чистый адрес теперь имеет измеримую связь с этим риском. В Phalcon Compliance это выражается в Exposure Value — сумме загрязнённых активов, связанных с адресом, в USD — и Exposure Percentage — доле таких активов в общем балансе или объёме адреса. Оба показателя меняются по мере подтверждения новых транзакций.
Phalcon Compliance анализирует риск по 17 категориям индикаторов риска, а не по одной метке. Адрес, чистый по всем 17 категориям при подключении, может в ходе операций получить рискованную связь по одному или нескольким индикаторам. Контакта с подсанкционным субъектом, взаимодействия с миксером или связи с известным мошенническим кластером достаточно, чтобы адрес перестал быть чистым, даже если сам никогда непосредственно не участвовал в незаконной активности. Адрес — узел графа, а граф постоянно обновляется.
Поэтому кошелёк может быть чистым сегодня и рискованным завтра. Проверка была верна в первый день. Во второй день мир изменился.
Почему разовой проверки недостаточно
Если риск меняется, разовая проверка при подключении системно неполна. Она один раз отвечает на вопрос «чист ли этот адрес прямо сейчас», а затем перестаёт отвечать. Все последующие транзакции находятся за пределами результата.
Этот пробел — не просто операционное ограничение. Это пробел комплаенса в рамках требований к VASP. Подход FATF к виртуальным активам сочетает риск-ориентированный подход Рекомендации 1 с обязанностью постоянного мониторинга по Рекомендации 10 и ожидает от финансовых организаций и VASP непрерывного наблюдения за деловыми отношениями и транзакциями, а не единственной проверки при подключении. Та же обязанность постоянного мониторинга заложена в правилах США через правило FinCEN о программе AML (31 CFR 1022.210) и правило о сообщениях о подозрительной активности (31 CFR 1022.320), которые вместе делают мониторинг постоянной необходимостью, а не разовым шагом подключения. Обязанность непрерывна, потому что непрерывен риск. У программы, проверяющей один раз и никогда не повторяющей проверку, есть разрыв между обязанностью мониторить и реально работающим контролем; проверяющие считают это пробелом программы, а не предпочтением при внедрении.
Операционная цена пробела столь же конкретна. Кошелёк, ставший рискованным после подключения, остаётся в пользовательской базе биржи и проводит транзакции, пока что-либо не вызовет повторную проверку. Если она происходит только при следующем пополнении или ручном разборе из-за несвязанного уведомления, весь промежуток биржа обращается с рискованным адресом как с чистым. Рискованные связи накапливаются, история аудита обрастает риском, который не фиксировался, а команда комплаенса работает с картиной, уже не соответствующей реальности.
Главная проблема — ложное спокойствие от чистого результата. Чистый снимок не доказывает безопасность адреса. Он доказывает безопасность адреса в один момент. Восприятие снимка как окончательного вердикта, а не последнего измерения превращает инструмент проверки в ложное чувство защищённости.
Постоянный мониторинг: видео, а не снимок
Решение — заменить снимок видео. Постоянный мониторинг означает непрерывную переоценку адреса и уведомление команды комплаенса в момент изменения риска.
Именно это делает Phalcon Compliance Monitor. Monitor постоянно наблюдает за уже проверенными адресами по динамическому расписанию, автоматически повторно анализирует каждый адрес по мере поступления новых данных о риске и создаёт уведомление при изменении риска. Кошельку, ставшему рискованным из-за новой связи с контрагентом, не приходится ждать следующей ручной проверки. Monitor выявляет изменение.
Для команд, ограниченных квотой, важны два принципа. Во-первых, Monitor не расходует квоту Screening. Команда, оставляющая Monitor работающим на списке наблюдаемых адресов, не тратит бюджет отдельных проверок, от которого зависит проверка пополнений и выводов в реальном времени. Monitor работает отдельно и оплачивается по тарифу Monitor, определяемому числом одновременно наблюдаемых адресов в диапазоне от 1 до 200. Во-вторых, на тарифах Essential и Scale первый наблюдаемый адрес бесплатен: команда может проверить процесс на одном адресе, прежде чем расширять его.
Практическая разница такова. При разовой проверке команда может сказать только: «Этот адрес был чистым, когда мы его проверили». С Monitor она может сказать: «Этот адрес был чистым, когда мы его проверили; с тех пор мы за ним наблюдали и получили уведомление в момент изменения». Второе утверждение и отражает смысл постоянного мониторинга в риск-ориентированном подходе; именно его ожидает проверяющий, аудитор или внутренний рецензент.
Что делать дальше
Если ваша комплаенс-программа всё ещё считает проверку при подключении окончательным вердиктом, следующий шаг — добавить уровень видео. Определите наиболее важные адреса: связанные с активными аккаунтами, кошельками с крупными суммами или контрагентами с повышенным риском. Поставьте их под постоянное наблюдение, чтобы, как только один из них станет рискованным, команда получила уведомление, а не неожиданность.
Мониторьте риск кошельков с Phalcon Compliance и превратите разовый чистый результат в постоянное подтверждение того, что адрес остаётся чистым сегодня.