AML-глосарій

Chain hopping описує рух вартості через кілька блокчейнів поспіль, зазвичай через мости чи сервіси обміну. Це названо шаблоном, бо швидкий кроскчейн-рух — одна з форм, що з'являється, коли хтось намагається віддалити кошти від їхнього походження, а також, регулярно, коли звичайний користувач шукає дешевшу комісію чи підтримувану мережу депозиту. Чого це не робить — не прибирає історію: кожна ланка публічна, і скринінг повідомляє зв'язок замість того, щоб губити його на межі.

CoinJoin — спільна bitcoin-транзакція, у якій кілька учасників вносять входи й отримують виходи однакової вартості, тому зв'язок між конкретним входом і конкретним виходом неоднозначний, а не очевидний. Це техніка приватності для людей без злочинної мети, і водночас категорія, яку деякі регульовані майданчики запитують при депозиті. Обидва твердження правдиві одночасно, тому корисне питання — не «чи легітимний CoinJoin», а «що робить майданчик, куди ви вносите депозит, з такими транзакціями».

Поглиблена перевірка (EDD) — це глибший набір перевірок, які регульована фірма застосовує, коли клієнт, транзакція чи юрисдикція несуть вищий ризик, ніж стандартний випадок. Вона йде далі верифікації особи — до походження грошей, мети відносин і тіснішого постійного моніторингу. Чи застосовувати її — рішення про ризик, яке ухвалює фірма, і воно має бути таким, яке фірма зможе захистити пізніше.

ERC-20 — стандарт токенів в Ethereum, і саме як ERC-20 випущено USDT, USDC і DAI на цій мережі. Адреса Ethereum — це 0x і 40 шістнадцяткових символів, з чек-сумою EIP-55, вираженою через поєднання великих і малих літер, і та сама адреса тримає ETH разом із кожним ERC-20-токеном, надісланим на неї. Два найбільші ERC-20-стейблкоїни мають емітентів, які залишають за собою повноваження на рівні контракту щодо балансів, — і саме ця різниця має найбільше значення, коли ви приймаєте платіж.

FATF (Financial Action Task Force) — міжурядовий орган, який задає стандарти протидії відмиванню коштів і фінансуванню тероризму, а національні регулятори вже переносять їх у власне законодавство. Рекомендація 15 вводить у периметр AML віртуальні активи й постачальників послуг з ними (VASP), а Рекомендація 16 — це Travel Rule, вимога передавати дані про відправника й отримувача разом із переказом. FATF не наглядає за вами напряму — це робить ваш національний регулятор, використовуючи стандарт FATF як шаблон.

KYC — знай свого клієнта — встановлює, хто такий клієнт, через документи, верифікацію та дані про власність, зазвичай один раз при онбордингу. KYT — знай свою транзакцію — перевіряє, з чим пов'язані гроші клієнта, щоразу, коли вони рухаються. Вони відповідають на різні питання, і проходження одного нічого не каже про інше: повністю верифікований клієнт усе одно може внести кошти, що прийшли з гаманця вимагацького ПЗ.

KYT — знай свою транзакцію — це постійний скринінг крипто-переказів і адрес за ними, що запускається в момент руху коштів, а не одноразово при відкритті акаунта. Він відповідає на питання, з чим пов'язаний платіж: підсанкційна особа, даркнет-майданчик, міксер, кластер викрадених коштів, нелегальна платформа. Там, де KYC ідентифікує клієнта, KYT стежить за тим, до чого торкаються кошти клієнта.

OFAC (Office of Foreign Assets Control) — підрозділ Міністерства фінансів США, який веде американські санкційні програми та публікує список SDN. Адреса цифрової валюти може стояти в цьому списку як ідентифікатор конкретної особи чи структури, тому санкційний збіг на адресі контрагента — перше, що перевіряють перед угодою. Це не оцінка ризику, яку зважують проти вигоди угоди, а юридичний факт про те, з ким саме укладається переказ.

Peel chain — шаблон, у якому великий баланс проходить через довгу послідовність транзакцій, кожна з яких відокремлює невелику суму в бік кешауту, поки решта рухається далі на нову адресу. Аналітики впізнають його за формою, а не за жодною окремою транзакцією, і це одна зі старіших типологій в аналізі даних мережі. Виявлення такого шаблону в історії контрагента саме собою не доводить намір, але каже деску, що вартість перед ним має структуроване минуле, яке доведеться пояснити.

Політично значуща особа — це особа, якій довірено важливу публічну функцію: голова держави, вищий політик, вищий судовий, військовий чи держпідприємницький посадовець, — разом з найближчою родиною і близькими партнерами. Цей статус не є звинуваченням; це маркер того, що відносини несуть вищий ризик хабарництва й корупції та потребують уважнішої перевірки. Бути PEP — не привід відмовити клієнту, і суцільна відмова — не те, чого вимагають стандарти.

Pig butchering — тривале інвестиційне шахрайство, у якому незнайомець тижнями будує стосунки в месенджері чи додатку знайомств, перш ніж підвести жертву до фейкової торгової платформи. Депозити реальні й виходять з гаманця жертви; баланс на платформі — цифра на вебсторінці, а виведення відмовляють або обумовлюють новими платежами. Назва походить від власного жаргону операторів про відгодовування цілі перед забоєм, і сьогодні цей шаблон — одна з найбільших категорій крипто-шахрайства за втратами постраждалих.

Ransomware — це шкідливе ПО для вимагання: зловмисник шифрує чи викрадає дані організації і вимагає оплату, зазвичай у криптовалюті, на адреси, які контролює. Ці адреси й шляхи, якими кошти йдуть далі, атрибутовані, тож гаманець, що отримав вартість від викупу, несе цей зв'язок. Деякі оператори ransomware також під санкціями, і тоді категорія ризику перетворюється на юридичне зобов'язання.

SAR — звіт про підозрілу активність — це подання, яке регульована фірма робить своєму національному підрозділу фінансової розвідки, коли має підстави підозрювати, що кошти пов'язані зі злочином. У деяких юрисдикціях те саме подання називають STR — звіт про підозрілу транзакцію. Обов'язок запускає підозра, що пережила розгляд, а не сам по собі алерт, і в більшості режимів клієнту не можна казати, що звіт подано.

Travel Rule — це вимога, щоб ідентифікаційні дані про відправника й отримувача супроводжували переказ між регульованими провайдерами, застосована до віртуальних активів через Рекомендацію 16 FATF. На практиці провайдер-відправник передає названі дані клієнта провайдеру-отримувачу, і отримувач очікує мати їх до того, як зробить кошти доступними. Поріг, момент передачі й точний набір даних встановлює кожна юрисдикція окремо, а не одне глобальне число.

TRC-20 — стандарт токенів мережі TRON, і USDT на TRON випущено саме як TRC-20-токен. Адреса TRON — рядок Base58, що починається з T і має 34 символи, і та сама адреса тримає і нативний TRX, і будь-які TRC-20-токени, надіслані на неї. Оскільки USDT має емітента, баланс TRC-20 можна заморозити на рівні контракту токена — це головна практична різниця між володінням ним і володінням нативною монетою.

VASP — постачальник послуг з віртуальними активами — це бізнес, який для іншої особи чи від її імені обмінює, переказує, зберігає чи адмініструє віртуальні активи, або надає фінансові послуги, пов'язані з їх випуском. Термін походить зі стандартів FATF і є гачком, на якому тримаються AML-обов'язки крипто-бізнесу: реєстрація чи ліцензування, належна перевірка клієнта, моніторинг транзакцій, санкційний скринінг і Travel Rule. У праві ЄС ліцензований еквівалент — CASP.

Атрибуція — це зв'язок між блокчейн-адресою і реальним сервісом чи актором: названою біржею, платіжним процесором, торговельним майданчиком, підсанкційною сутністю. Про атрибутовану адресу можна міркувати; неатрибутовану можна лише описати через те, до чого вона торкалась. Більшість відстані між впевненим рішенням і зупиненим розглядом — це просто наявність імені.

Біржа без KYC — майданчик, що дозволяє обмінювати чи торгувати без верифікації особи, тобто жодна установа не тримає запису, що пов'язує угоду з людиною. Скринінг називає цю категорію саме тому, що відсутній запис — це те, що просить банк чи біржа-отримувач під час перевірки депозиту. Практичний наслідок не в тому, що кошти стають невідстежуваними — транзакції лишаються в мережі, — а в тому, що ніхто не може підтвердити, хто був на іншій стороні, і тягар цього розриву лягає на того, хто отримує вартість далі.

Брудна крипта — це монети, чия ончейн-історія пов'язує їх із підсанкційними особами, викраденими коштами, виплатами вимагацькому ПЗ, даркнет-майданчиками чи доходами від шахрайства. Це визначення стосується самих коштів і їхнього сліду, а не типу токена чи гаманця, і воно переживає кожен переказ на нову адресу. Хто б їх не отримав, той успадковує і пояснення.

У термінології скринінгу злом — це крадіжка коштів з біржі, мосту, протоколу чи кастодіана через технічну компрометацію, на відміну від шахрайства, що переконує жертву самостійно надіслати гроші. Адреси зловмисника і подальший шлях украденої вартості атрибутовані, зазвичай упродовж годин, бо інциденти такого масштабу розслідують публічно й у реальному часі. Гаманець, що показує зв'язок зі зломом, тримає — чи тримав — вартість з однієї з таких подій.

Викрадені кошти — категорія скринінгу для вартості, забраної в когось без згоди: злам протоколу, спустошений дренером гаманець, втрата через фішинг, крадіжка під примусом, — простежена вперед від адреси жертви. Вона описує гроші, а не метод, тому може з'явитися поруч із мітками злому, дренера чи фішингу в тому самому результаті. Для будь-кого, хто отримує платіж, це категорія, яка найчастіше приходить непомітно, бо викрадену вартість обналичують через ті самі роздрібні канали, що й усе інше.

Мітка високоризикової біржі позначає торговий майданчик, чиї опубліковані механізми контролю, ліцензійний статус чи профіль користувачів роблять його депозитні й вивідні адреси категорією, яку деск розглядає як підвищену. Це твердження про якість контрагента, а не звинувачення у злочинності, і одна з найпоширеніших знахідок на звичайних гаманцях. Змінюється лише обсяг документації, яку захоче установа-отримувач, перш ніж прийняти вартість, що прийшла через цей майданчик.

Даркнет-маркет — нелегальний майданчик в анонімній мережі, розрахунки на якому йдуть у крипті, а його депозитні, вивідні й продавецькі адреси атрибутовані як кластер. Коли перевірка називає даркнет-експозицію, це означає, що вартість на адресі пов'язана з цим кластером — напряму або через шлях, яким вона пройшла. Регульовані майданчики розглядають цей зв'язок як доходи від предикатного злочину, тому він зазвичай зупиняє депозит, а не просто позначає його.

Джерело коштів — це задокументоване походження конкретних грошей у транзакції: звідки вони прийшли, від кого і на якій підставі. У крипто це означає угоду, зарплату, продаж чи розрахунок, що дав ці монети, підтверджений записами, які третя сторона може прочитати, не покладаючись на ваше слово. Це різниця між розглядом депозиту, що закривається за дні, і тим, що не закривається взагалі.

Дренер — програма, зазвичай продана як набір афіліатам, що спустошує гаманець, щойно власник підписує шкідливий дозвіл чи переказ на сайті, який контролює афіліат. Оскільки набір спільний, адреси-збирачі за ним повторюються серед багатьох непов'язаних жертв і кампаній — саме це робить їх атрибутованими на перевірці. Для власника гаманця мітка — попередження про призначення; для деска-отримувача — пояснення, звідки прийшов вхідний платіж.

Дроп (money mule) — людина, чий банківський рахунок чи криптогаманець використовують, щоб прийняти й передати далі чужі кримінальні доходи, за комісію, частку чи взагалі безкоштовно. Дехто усвідомлює, що робить; багатьох вербують через оголошення про роботу, стосунки чи пропозиції, що звучать як звичайна робота, — і дізнаються про це, коли рахунок закривають чи телефонує слідчий. У термінах скринінгу адреса-дроп — це прошарок між збирачем шахрайства й точкою кешауту, тому вона з'являється на звичайних на вигляд гаманцях з короткою історією.

Експозиція — це зв'язок між адресою і названою категорією ризику: як її кошти пов'язані із санкціями, даркнет-майданчиком, міксером, викраденими коштами, скамом чи нелегальною платформою. Пряма експозиція означає, що кошти рухались між адресою і самою позначеною стороною; непряма — що вони пройшли через одну чи кілька сторін між ними. Експозицію показує результат перевірки; що з нею робити — це вже політика деска.