一筆存款在凌晨 03:14 落入 CEX 熱錢包。金額較小，低於平台的申報門檻，且來源地址在本地制裁名單中未顯示任何標記。系統將款項記入用戶帳戶。二十分鐘後，外部情報資料庫將同一來源地址更新為受制裁實體。交易所現在持有非法資金，入帳發生在任何人能夠介入之前，而稽核日誌顯示的是一次乾淨的審批記錄。這正是監管機構在針對虛擬資產服務提供商的執法行動中屢屢引用的存款篩查失敗模式。
原因在於結構性缺陷。存款是外部資金首次接觸平台控管錢包的時刻，這使其成為任何交易所反洗錢防線中風險暴露最高的節點。金融行動特別工作組要求 VASP 對每筆進入的轉帳採取基於風險的方法，而 FinCEN 的銀行保密法義務將這一要求延伸至在美國登記的平台。本文將分四個步驟介紹如何實施存款端 AML 篩查，從梳理存款流程到建立可供審核的稽核追蹤記錄。
為何存款端 AML 篩查是您的第一道防線
考量一個常見的執法模式：一名審查員在審查一家數位資產公司時發現，針對進入存款的審批決策完全沒有來源地址篩查的文件記錄。問題不在於身份驗證——公司已單獨處理了這部分。問題在於完全缺乏任何在資金入帳並被歸入交易所統一熱錢包之前，對發送資金的錢包進行評估的控制措施。
存款篩查是填補這一缺口的控制手段，它在地址和交易層面運作，而非身份層面。KYC 在入帳時驗證客戶身份。KYA（了解您的地址）評估實際向平台轉入價值的區塊鏈地址。KYT（了解您的交易）在確認時監控資金流動。存款的 AML 篩查建立在 KYA 和 KYT 之上，而非建立在平台可能已完成的身份核查之上。
存款成為第一道防線的原因在於時間性。一旦資金入帳並被歸入共用熱錢包，追溯其特定來源就會變得相當困難。與乾淨存款混合的受制裁資金可能污染下游提款，而存款階段的一次篩查遺漏，可能在數週後以監管調查結果的形式浮現。
第一步：梳理存款流程並確定篩查觸發點
首先從頭到尾繪製存款流程圖，從用戶生成存款地址的那一刻起，到資金入帳並可用於交易的那一刻為止。大多數 CEX 流程會經過四個不同的控制點，每個控制點可部署篩查措施，且各自具有不同的風險特徵。
四個觸發點清晰明確。第一，在地址生成時篩查，即在平台將存款地址交給與非法活動相關聯的錢包之前。第二，在首次鏈上確認時篩查，對實際轉帳進行評估。第三，在資金歸入熱錢包之前的預歸集檢查，這是混合之前的最後一個技術檢查點。第四，對通過自動化檢查但呈現出值得人工審查模式的大額或異常存款進行基於門檻的審核。
不同的商業模式對這些控制措施的分配方式各異。一家面向零售客戶的現貨交易所可能在確認時部署自動化篩查，並將人工審查保留給大額存款。一家 OTC 交易台可能要求在報價前先通過交易前篩查。一家同時處理存款和提款的支付機構可能將存款篩查層視為更廣泛合規流程中的一個模組。梳理工作迫使團隊在編寫任何整合代碼之前，決定每個控制措施實際位於現有代碼庫的哪個位置，以及由誰負責。
第二步：將地址篩查 API 整合到存款流程中
一旦確定了觸發點，下一步就是將篩查 API 接入每個觸發點。無論調用位置在哪裡，整合順序都是一致的。第一，規範化地址格式。第二，將其提交至 KYA 引擎。第三，接收帶有類別背景資訊的風險等級。第四，根據該等級對存款工作流程進行分支處理。
規範化的重要性超乎想像。以太坊地址可能以校驗和格式、小寫格式或 EVM 別名格式出現，而 Tron 地址使用的是 base58 而非十六進位格式。篩查調用必須以引擎針對該鏈所期望的格式傳遞地址，否則驗證結果將靜默失敗。規範化之後，引擎將地址解析到預建的標籤圖譜，並返回風險等級及驅動該等級的標籤類別。BlockSec 的 KYA 引擎可解析超過 6 億個預建標籤和 200 多個風險信號，響應時間達毫秒級（Phalcon Compliance 文檔）。該響應直接輸入存款流程的允許、審查或阻止分支。
流程本身是大多數實現出現漏洞的地方。如果篩查調用位於交易確認與帳戶入帳之間的同步路徑上，延遲會直接影響用戶體驗。如果它位於批量處理的異步隊列上，在兩次批量之間發出的制裁指定將使平台面臨風險。生產環境部署通常對初始驗證使用同步的預入帳檢查，並對之後到達的標籤更新使用異步重新篩查通道。
第三步：定義風險門檻與應對措施
整合篩查後，平台需要制定一項將每個風險等級映射到具體行動的政策。沒有門檻，篩查輸出就無法付諸行動；有了門檻，它就成為可執行的控制措施。
Phalcon Compliance 針對每筆篩查的存款返回五個風險等級之一：嚴重、高、中、低或無風險。每個組織根據自身的合規政策和風險承受能力，配置每個等級的含義。存款的常見映射方式為：嚴重等級路由至自動阻止並立即調查；高和中等級路由至人工審查或暫緩；低等級繼續進行持續監控；無風險自動入帳。
| 風險等級 | 典型系統操作 | 分析師操作 | 保留的證據 | 監管觸發條件 |
|---|---|---|---|---|
| 嚴重 | 自動阻止，上報 | 立即調查，如有必要提交可疑交易報告 | 完整篩查追蹤、決策鏈 | 可疑活動報告 |
| 高 | 暫緩入帳，路由至隊列 | 審查標籤背景，在 SLA 內決策 | 分析師 ID、決策依據 | 加強盡職調查檔案 |
| 中 | 暫緩入帳，路由至隊列 | 審查標籤背景，作出決策 | 分析師 ID、決策依據 | 加強盡職調查檔案 |
| 低 | 自動入帳，持續監控 | 無需操作 | 等級、類別、時間戳 | 標準記錄保存 |
| 無風險 | 自動入帳 | 無需操作 | 等級、時間戳 | 標準記錄保存 |
執法調查結果中存在兩種主要的門檻陷阱。第一種是靜態配置，從不隨威脅模式的變化而調整；制裁浪潮可能需要臨時收緊嚴重或高風險區間。第二種是中等風險區間將每筆模糊存款都導入團隊無法負荷的隊列，迫使分析師走走過場式地橡皮圖章式批准，從而使人工審查失去意義。Phalcon Compliance 支援可配置的風險政策，以便每個等級的映射可根據平台的風險特徵進行調整，並隨著風險敞口的變化靈活修改。
第四步：為存款篩查建立合規稽核追蹤記錄
最後一步是監管機構首先審查的內容：稽核追蹤記錄。一個數月後無法重現的篩查決策，從審查角度而言，等同於一個從未發生的篩查決策。
每個篩查事件必須記錄以下內容：篩查的地址、時間戳、返回的風險等級、驅動評估的標籤類別，以及由此作出的決策。日誌必須防篡改且可按需導出。當審查員詢問某筆特定存款為何在特定日期被允許通過時，回應的不是敘述性解釋，而是該時間戳的篩查記錄，原原本本地重現。Phalcon Compliance 平台將每個驗證結果寫入合規日誌，可供審查導出，並支援與主要監管司法管轄區對齊的一鍵式可疑交易報告生成（Phalcon Compliance 文檔，風險等級）。
稽核追蹤記錄還能實現縱向審查。一筆只篩查一次的存款是一個時間點決策。一個在其生命週期內持續受到篩查的存款地址則形成風險歷史記錄。當標籤更新將一個曾與平台有過互動的地址列為制裁對象時，稽核追蹤記錄會揭示此前的關聯關係。合規團隊隨後可以重建來自該來源的每一筆存款，並決定是否需要採取追溯性行動。
有關存款篩查如何融入交易所和 VASP 完整 AML 合規計畫的更廣泛探討，請參閱加密貨幣 AML 合規。Phalcon Compliance 平台在生產環境中執行上述步驟。
常見問題
存款端 AML 篩查與 KYC 有何不同？ KYC 在入帳時驗證客戶身份，存在於文件層面。存款端 AML 篩查在地址和交易層面運作，評估每筆進入轉帳的區塊鏈來源，而非發起轉帳的人。兩者是完整 AML 計畫中相互補充的控制措施。
篩查應在存款流程的哪個環節執行？ 篩查至少應在交易確認時執行一次，即在資金記入用戶帳戶之前。許多平台在歸集至熱錢包之前增加預歸集檢查，並對大額或結構性異常存款進行基於門檻的審核。
如果存款已入帳後風險等級發生更新，應如何處理？ 稽核追蹤記錄讓合規團隊能夠識別來自同一地址的先前存款，並評估是否需要採取追溯性行動。與存款時篩查並行運行的持續監控層，能夠捕捉初始驗證後到達的標籤更新，並將其提交重新評估。
存款篩查會影響用戶體驗嗎？ 返回毫秒級響應的篩查引擎不會在存款路徑上引入可感知的延遲。瓶頸通常是區塊鏈確認時間，而非篩查調用——後者與確認輪詢並行運行。
每筆存款的稽核追蹤記錄應包含哪些內容？ 至少應包含：篩查的地址、時間戳、風險等級、驅動評估的風險類別、所採取的決策，以及所適用的政策版本。對於中等和高風險區間，還應保留分析師身份和決策依據。
