November 8, 2024
Как обеспечить безопасность криптоплатежей: AML, KYC, проверка кошельков и риск-контроль
Читать статью
Вы зарегистрировались на бирже или в криптоприложении, собрались купить первые монеты или вывести деньги — и вместо кнопки «Купить» увидели форму: загрузите паспорт, сделайте селфи. Это и есть KYC, по-русски — верификация. Коротко: биржа проверяет, что вы настоящий человек и именно тот, кто в документе. Требует этого не сама биржа, а закон страны, где она зарегистрирована, и отменить проверку по вашей просьбе она не может.
Дальше разберём, откуда взялось требование, что у вас спросят, в чём настоящий риск при передаче документов и что будет, если верификацию не пройти или отказаться.
KYC — это проверка личности клиента. Проще говоря, это та же процедура, что в банке при открытии счёта, когда вы показываете паспорт сотруднику. Разница одна: у биржи нет отделения, и вместо сотрудника документ смотрит камера и программа.
Обычно проверка идёт ступенями, и каждая ступень открывает свои возможности:
Селфи нужно не для красоты. Программа сравнивает лицо с фотографией в документе и проверяет, что перед камерой живой человек, а не распечатка. Так биржа отсеивает тех, кто пытается пройти проверку по чужому паспорту.
Правила KYC придумали не криптобиржи. Их задаёт FATF — международная группа, которая пишет стандарты против отмывания денег для всего мира. В 2019 году FATF распространила эти стандарты на криптосервисы: биржи, обменники и кошельки, где средства хранит компания. Страны переписывают под них законы, а биржа, чтобы получить лицензию и не потерять её, обязана их выполнять.
Почему к крипте это относится особенно строго? Криптоперевод нельзя отменить, а адрес кошелька сам по себе не назван ничьим именем. Биржа — то место, где монеты встречаются с человеком: здесь они меняются на рубли, доллары или евро. Поэтому именно здесь закон требует знать, кто перед сервисом.
Пример из Евросоюза. С 30 декабря 2024 года там действует регламент 2023/1113: криптосервис обязан собирать данные отправителя и получателя и передавать их вместе с переводом другому сервису. Из-за этого биржа в ЕС может спросить, кому именно вы выводите монеты.
Пример из России. 4 августа 2026 года подписан закон 282-ФЗ «О цифровых валютах и цифровых правах», основные нормы действуют с 1 сентября 2026 года. Закон вводит реестр посредников при Банке России, а с 1 июля 2027 года сделки резидентов с криптовалютой идут только через них. Обязанность проверять личность клиента у российских финансовых посредников задаёт закон 115-ФЗ, и он же требует хранить данные не меньше пяти лет после закрытия счёта.
Требования KYC задаёт право страны, где зарегистрирован сервис, и у разных бирж они разные. Написанное верно на 11 сентября 2026 года. Это объяснение, а не юридическая консультация.
Две аббревиатуры почти всегда идут рядом, и их путают. KYC отвечает на вопрос «кто вы». AML — правила против отмывания денег — отвечает на вопрос «что происходит с вашими деньгами». Первое вы проходите один раз, второе работает всё время, пока у вас есть счёт.
Например, человек прошёл верификацию год назад и спокойно торговал. Потом ему пришло 50 000 USDT с адреса, который биржа считает связанным со взломом. Верификация ни при чём, сработала вторая система: биржа заморозила перевод и попросила объяснить, откуда деньги. Как сервисы оценивают происхождение монет и адрес отправителя, мы разобрали отдельно. Похожие проверки выстраивает и бизнес, который принимает оплату в крипте, только смотрит он на плательщиков.
Поэтому запрос документов после успешной верификации — не сбой. При крупных или необычных операциях биржа обязана понимать, откуда пришли деньги.
Набор документов у сервисов похож, отличаются детали:
Автоматическая проверка занимает от пары минут до часа. Если программа сомневается, документ смотрит человек, и ответ приходит в течение одного-трёх дней.
Честный ответ: риск есть, но не там, где его ищут. Биржа не сможет «увести деньги по паспорту»: скан документа не даёт доступа ни к банковскому счёту, ни к кошельку. Настоящий риск — утечка данных и то, как ими потом пользуются мошенники.
Свежий пример: в мае 2025 года Coinbase, одна из крупнейших бирж США, сообщила регулятору, что преступники подкупили сотрудников поддержки за рубежом и получили данные части клиентов: имена, адреса, телефоны, снимки документов и историю операций. Пароли и ключи не утекли, деньги напрямую никто не украл. Расходы на последствия и выплаты клиентам биржа оценила в сумму от 180 до 400 миллионов долларов.
Чем опасна такая утечка, если деньги на месте? Мошенник, который знает ваше имя, баланс и последние операции, звонит «из службы безопасности биржи», и его рассказ звучит убедительно. Так люди сами переводят монеты на «безопасный адрес» или диктуют код из СМС. Почему деньги с кошельков почти всегда уводят через самого владельца, мы рассказывали в отдельной статье.
Снизить риск помогают несколько привычек:
Ничего страшного, но и почти ничего полезного. Аккаунт без верификации остаётся в ограниченном режиме: можно смотреть курсы, иногда пополнять, но покупать за обычные деньги и выводить не получится. Если монеты уже лежат на счёте, их не отбирают — чтобы их вывести, биржа всё же попросит пройти проверку.
Есть и другая конструкция, и это не способ обойти проверку. На децентрализованной бирже и в собственном кошельке нет компании, которая держит ваши деньги, поэтому и спрашивать паспорт некому. Чем такая биржа отличается от обычной, мы объясняли отдельно. Цена у этой свободы своя: за доступ к деньгам отвечаете только вы, и потерянную фразу восстановления никакая поддержка не вернёт. А на входе и выходе в рубли или доллары вы всё равно встретитесь с сервисом, который проверку проводит.
Отказ почти всегда технический, и его можно исправить. Чаще всего причины такие:
Порядок действий простой: прочитать причину отказа в приложении, исправить именно её и отправить документы снова. Если отказ повторился без объяснений, стоит написать в поддержку через само приложение, а не по ссылке из письма.
KYC — это проверка личности, которую биржа проводит по закону своей страны, и отменить её по просьбе клиента она не может. Паспорт и селфи открывают покупку, пополнение и вывод; без них аккаунт остаётся смотровым. Настоящий риск — не кража денег по скану, а утечка данных и звонки «из службы безопасности» после неё, поэтому документы стоит загружать только в официальном приложении и только там, где вы будете работать. Отказ чаще всего технический, и его снимают хороший снимок и имя буква в букву.
Причины обычные: истёк срок документа, вы запросили более высокий лимит, изменился закон страны, где работает биржа, или сработала система контроля операций. Это не значит, что вас в чём-то подозревают. Повторная проверка проходит так же, как первая, и обычно быстрее.
Так работает правило о передаче сведений вместе с переводом: сервис обязан знать отправителя и получателя, когда монеты идут к другому сервису. В Евросоюзе оно действует с 30 декабря 2024 года, биржи в других странах вводят похожие формы. Обычно хватает имени получателя и названия биржи, куда уходит перевод.
Удалить сразу биржа не сможет, даже если захочет: закон обязывает хранить данные клиента несколько лет после закрытия счёта. В России по закону 115-ФЗ это не меньше пяти лет, в других странах сроки похожие. Поэтому лучший способ сократить число копий паспорта — не создавать их без нужды.
Почти все биржи и обменники работают только с совершеннолетними, это пункт их пользовательского соглашения. Документ человека младше 18 лет система отклонит по дате рождения, а чужой паспорт не пройдёт сверку с селфи. Отдельных «детских» режимов у криптобирж нет.
Создайте аккаунт и подключите оплату самостоятельно, или свяжитесь с нами и мы поможем всё настроить
