Глоссарий AML

Chain hopping — последовательные переходы средств между блокчейнами и активами: из одной сети в другую через мост или обменник, со сменой монеты на каждом шаге. Часть таких переходов совершенно обычна — люди меняют сеть ради комиссии или потому что этого требует площадка. Для проверки кошелька значение имеет не сам переход, а их серия без видимой хозяйственной причины: она читается как поведенческий признак и указывает, где искать начало истории.

CoinJoin — способ провести биткоин-платежи нескольких участников одной совместной транзакцией, из-за чего однозначное соответствие между входами и выходами теряется. Технология создавалась ради приватности и сама по себе законом не запрещена, но для площадки она означает разрыв в подтверждаемой истории средств. Поэтому при проверке кошелька участие в такой транзакции обычно попадает в причины решения, а часть бирж ограничивает приём таких монет по собственной политике.

EDD (Enhanced Due Diligence) — углублённая проверка клиента там, где обычной недостаточно: запрашивается происхождение средств и капитала, выясняется структура владения, операции ставятся под постоянное наблюдение. Включается по итогам оценки риска — из-за деятельности клиента, юрисдикции, суммы или того, что показала проверка его адресов. Это режим работы, а не наказание.

ERC-20 — стандарт токенов в сети Ethereum; в нём выпущены USDT, USDC, DAI и большинство других токенов этой сети. Адрес записывается как «0x» и сорок шестнадцатеричных символов, а регистр букв в нём служит контрольной суммой. Для проверки кошелька у стандарта есть своя особенность: помимо переводов здесь существуют разрешения на распоряжение токенами, и именно через них уходят средства при большинстве инцидентов с подписью.

FATF (Financial Action Task Force) — межправительственная организация, которая устанавливает международные стандарты противодействия отмыванию денег и финансированию терроризма. Напрямую она никого не регулирует: её рекомендации переносят в национальное законодательство, и до биржи, обменника или платёжного сервиса требование доходит уже в виде местного закона. Для криптосектора ключевые пункты — Рекомендация 15, распространяющая стандарты на виртуальные активы и их провайдеров, и Рекомендация 16, известная как Travel Rule.

KYC отвечает на вопрос «кто клиент»: личность, документы, происхождение статуса. KYT отвечает на вопрос «что происходит с его деньгами»: адреса и переводы проверяются на связь с санкциями, даркнетом, скамом и другими рисковыми категориями. Первое делается один раз при открытии счёта, второе — постоянно, и именно второе чаще всего останавливает депозит.

KYT (Know Your Transaction) — контроль самих переводов, а не только личности клиента: адреса и транзакции проверяют на связь с санкциями, даркнетом, скамом, миксерами и другими рисковыми категориями при вводе, выводе и по ходу работы счёта. Именно из-за KYT депозит уходит «на проверку», хотя верификацию клиент прошёл давно.

OFAC (Office of Foreign Assets Control) — управление Министерства финансов США, которое администрирует санкционные программы и ведёт список SDN. Рядом с именем человека или названием компании в этом списке может стоять и криптоадрес: он выступает таким же идентификатором, как номер паспорта или счёта. Поэтому санкционная связь адреса — это вопрос законности перевода, а не оттенка репутации контрагента.

Peel chain — паттерн движения средств, при котором крупная сумма идёт по длинной цепочке переводов, и на каждом шаге от неё отделяется небольшая часть, а остаток отправляется дальше на новый адрес. Для аналитика это узнаваемая форма: обычные платежи так себя не ведут. При проверке кошелька такой паттерн попадает в причины решения как поведенческий признак, а не как обвинение.

PEP (Politically Exposed Person) — публичное должностное лицо: человек, занимающий или занимавший значимую государственную должность, а также его близкие родственники и деловые партнёры. Статус не означает нарушения: он лишь указывает на повышенный риск коррупционного происхождения средств, из-за чего к таким клиентам применяется углублённая проверка.

Pig butchering — схема длительной подготовки жертвы: знакомство в мессенджере или на сайте знакомств, недели дружелюбного общения, затем предложение «выгодной» торговой площадки, где на экране растёт прибыль. Деньги переводятся реальными USDT на реальные адреса, а рисованный баланс существует только в интерфейсе площадки. При попытке вывода жертве объявляют о «налоге» или «комиссии разблокировки» — и это последний этап схемы, а не препятствие на пути к деньгам.

SAR (Suspicious Activity Report) — сообщение о подозрительной операции, которое поднадзорная организация подаёт в национальную финансовую разведку. Подаётся не по факту доказанного нарушения, а по обоснованному подозрению, и решение об этом принимает комплаенс сервиса. Клиента о поданном сообщении, как правило, не уведомляют.

Travel Rule — требование Рекомендации 16 FATF о том, чтобы при переводе между провайдерами услуг данные отправителя и получателя передавались вместе с самим переводом. В криптовалюте это означает обмен сведениями о клиентах между сервисами при переводе с одной площадки на другую. Пороги, с которых требование включается, устанавливаются национальным регулированием и различаются от страны к стране.

TRC-20 — стандарт токенов в блокчейне TRON; именно в нём выпущена часть USDT, которая ходит по P2P-сделкам и обменникам. Адрес в этой сети записывается в Base58, начинается с буквы T и состоит из 34 символов. При проверке кошелька важно помнить: стандарт описывает, как токен устроен, но не отменяет полномочий эмитента — USDT остаётся токеном, который Tether может заморозить по своим условиям.

VASP (Virtual Asset Service Provider) — провайдер услуг виртуальных активов: биржа, обменник, кастодиальный кошелёк, брокер, платёжный сервис в криптовалюте. Термин введён FATF и используется регуляторами как рамка для лицензирования и надзора. Статус VASP означает набор обязанностей: проверять клиентов, контролировать переводы и хранить основания принятых решений.

Атрибуция — привязка криптоадреса к сервису, который за ним стоит: депозиту биржи, обменнику, платёжному провайдеру, площадке без верификации. Она отвечает не на вопрос «кто человек», а на вопрос «через что идут деньги», и часто меняет решение сильнее, чем сам вердикт. Личность частного владельца по адресу не устанавливается.

Биржа без KYC — сервис обмена, который не проверяет личность клиента: обмен идёт по адресу и сумме, без документов и учётной записи. Для комплаенса такой сервис создаёт разрыв в истории средств: спросить, кто стоял по ту сторону обмена, оказывается не у кого. Поэтому перевод, прошедший через площадку без верификации, следующая биржа рассматривает как средства с неподтверждённым происхождением.

Взлом — получение контроля над чужими средствами через уязвимость: скомпрометированные ключи биржи, дыра в смарт-контракте, подмена в интерфейсе сервиса. Адреса, на которые ушли похищенные средства, публикуются самими пострадавшими площадками и исследователями и попадают в интеллектуальные базы почти сразу. При проверке кошелька такая метка означает, что монеты происходят из чужой потери — независимо от того, сколько рук они с тех пор сменили.

Вымогательское ПО (ransomware) — программы, которые шифруют данные жертвы и требуют выкуп, чаще всего в биткоине или USDT. Адреса, на которые платили выкуп, публикуются в отчётах правоохранителей и исследовательских организаций и попадают в интеллектуальные базы. При проверке кошелька связь с такой кампанией — категория, по которой биржи и банки не торгуются: средства блокируют до выяснения.

Высокорисковая биржа — площадка, работа которой систематически повышает риск для контрагентов: отсутствие или формальность проверки клиентов, обслуживание запрещённых потоков, публичные претензии регуляторов, санкционная связь. Метка ставится не за размер и не за страну регистрации, а за практику. При проверке кошелька она означает, что деньги прошли через сервис, который сам не может ответить, откуда они.

«Грязная крипта» — бытовое название монет, чья история переводов ведёт к санкционным адресам, даркнет-площадкам, вымогателям, скаму или взломам. Технически такие монеты ничем не отличаются от любых других: испорчена не монета, а её след, и след этот публичен. Поэтому вопрос «грязная или нет» решается проверкой адреса, а не видом транзакции.

Грязный биткоин — монеты на адресе, чья цепочка переводов ведёт к краже, вымогателям, даркнет-площадке или санкционному адресу. В биткоине история каждой монеты публична и не стирается: это свойство самой сети, а не чья-то оценка. Поэтому проверка BTC-адреса показывает не только, чьи средства сейчас, но и через что они прошли раньше.

Даркнет-маркет — торговая площадка в скрытых сетях, где расчёты идут криптовалютой, а предмет торговли обычно запрещён к обороту. Кошельки таких площадок, их операторов и продавцов попадают в интеллектуальные базы и остаются там: адрес маркета не «остывает» со временем. При проверке кошелька связь с даркнет-маркетом — одна из тех категорий, по которым биржи закрывают счёт без обсуждения.

Дрейнер — вредоносный скрипт на поддельном сайте, который в момент подключения кошелька подсовывает пользователю подпись, отдающую доступ к его активам. Внешне это выглядит как обычное подтверждение операции, а по факту разрешает списание токенов или перевод всего баланса. Адреса, на которые уходят средства из таких кампаний, попадают в интеллектуальные базы, и при проверке кошелька категория называется отдельно.

Дроп (money mule) — человек, который принимает чужие средства на свой счёт или кошелёк и переводит их дальше за вознаграждение. Часто он не знает, чьи это деньги, и считает, что оказывает безобидную услугу — но именно через такие адреса выводят похищенное и мошеннически собранное. При проверке кошелька адрес с типичным для дропа поведением попадает в причины решения, а его владелец — в поле зрения площадки и правоохранителей.

Замороженный адрес — адрес, по которому эмитент токена ограничил операции: перевод не проходит, хотя баланс отображается. Ограничение живёт в контракте токена, поэтому оно не зависит от кошелька, биржи или сети доступа. Это принципиально отличается от приостановки на площадке, где ограничен лишь доступ к сервису, а сами токены не тронуты — и путь решения в этих двух случаях разный.

Заморозка USDT — блокировка токенов на уровне эмитента, после которой с адреса невозможно провести перевод: запрет действует в самом контракте, а не в интерфейсе биржи или кошелька. Такое право прямо закреплено в условиях обслуживания Tether: при подозрении на запрещённое использование эмитент может заморозить или изъять токены, внести адрес в чёрный список и сообщить об этом властям. Для держателя это означает, что риск в крипте бывает не только рыночным, но и адресным.