KYC

Anna chce po raz pierwszy kupić bitcoina. Wybiera giełdę, zakłada konto i zamiast przycisku zakupu widzi prośbę o potwierdzenie tożsamości. Może chodzić o dokument, sprawdzenie twarzy lub pytania o planowane korzystanie z konta. Właśnie zetknęła się z KYC. Usługodawca chce ustalić, z kim nawiązuje relację gospodarczą, i wypełnić swoje obowiązki. KYC należy do AML/CFT, czyli przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. Sprawdzenie dokumentu to tylko część tych działań: obejmują też ocenę ryzyka, przechowywanie dokumentacji i zgłaszanie podejrzanych operacji. Nie jest to wymóg sieci Bitcoin ani dowód, że Anna zrobiła coś złego. [1]

Gdyby Anna otrzymała bitcoina bezpośrednio do własnego portfela, węzły sieci nie sprawdzałyby jej dowodu. Full Node to komputer z programem, który samodzielnie sprawdza transakcje i bloki Bitcoina zgodnie z regułami sieci. Giełda lub firma przechowująca środki klientów działa jednak jako odrębny usługodawca z własnymi obowiązkami prawnymi. W dokumentach międzynarodowych skrót VASP oznacza określonych dostawców usług związanych z aktywami wirtualnymi. Samo posiadanie własnych kluczy nie czyni Anny takim dostawcą. Klucz prywatny to tajne dane, których portfel używa do utworzenia podpisu cyfrowego zatwierdzającego płatność. Self-custody, czyli samodzielne zarządzanie kluczami, nie znosi jednak obowiązków giełdy przy wypłacie do tego portfela. Dlatego może ona pytać, do kogo należy adres docelowy, nawet gdy Anna sama kontroluje portfel. [2] [10]

Usługodawca porównuje informacje o kliencie z wiarygodnymi, niezależnymi źródłami. Przy firmie sama nazwa nie wystarczy: znaczenie mają także osoby fizyczne, które ostatecznie ją posiadają lub kontrolują, czyli beneficjenci rzeczywiści. Dostawca ustala również cel relacji gospodarczej. Pomyślne sprawdzenie dokumentu nie dowodzi jednak pochodzenia każdej złotówki ani tego, kto obecnie ma klucz prywatny do adresu Bitcoin. Anna mogła podać adres innej osoby. Tożsamość klienta, kontrola adresu i pochodzenie pieniędzy są ze sobą związane, ale to różne pytania. [1] [5]

U jednego usługodawcy Anna może przejść krótką weryfikację, a u drugiego dostać dodatkowe pytania. Różnica może wynikać z prawa, produktu, kraju, kwoty lub ocenionego ryzyka. Większe ryzyko może wymagać dokładniejszej kontroli; mniejsze może pozwolić na uproszczoną procedurę, jeżeli spełniono warunki. Nie ma jednej listy dokumentów obowiązującej na całym świecie. FATF, międzynarodowy organ tworzący standardy przeciwdziałania praniu pieniędzy, wyznacza ramy wdrażane przez państwa we własnych przepisach. Jego rekomendacja sama nie jest prawem narzucającym identyczny formularz każdemu użytkownikowi Bitcoina. Usługodawca powinien umieć jasno wyjaśnić, o jakie dane prosi i dlaczego. [1]

Po pewnym czasie Anna sprzedaje samochód i chce przeznaczyć część pieniędzy na bitcoina. Giełda może poprosić o wyjaśnienie nietypowo dużej wpłaty. Source of funds dotyczy pochodzenia pieniędzy na konkretną operację, w tym przypadku na wpływy ze sprzedaży samochodu. Source of wealth odnosi się natomiast do tego, jak dana osoba ogólnie zgromadziła majątek. To nie jest to samo. Dostawca może też aktualizować wcześniejsze dane i porównywać transakcje z oczekiwanym sposobem korzystania z konta. Żądanie powinno odpowiadać sytuacji i ramom prawnym; nie oznacza to, że każdy klient musi przy każdym zakupie dokumentować całe swoje życie. [1]

Gdy Anna przesyła bitcoin między dostawcami, obok samej transakcji mogą być przekazywane wymagane informacje o nadawcy i odbiorcy. Tego dotyczy Travel Rule. Nie wymaga to wpisywania nazwisk ani kopii dokumentów do publicznego blockchaina: usługodawcy wymieniają lub przechowują dane oddzielnie. W UE tę dziedzinę reguluje między innymi rozporządzenie 2023/1113. Rozróżnia przelewy z udziałem dostawcy od bezpośrednich transferów między osobami bez takiego usługodawcy. Wyłączenie tych ostatnich z tego rozporządzenia nie zwalnia ich ze wszystkich przepisów. Transfer między własnym portfelem a giełdą nadal obejmuje usługę, która może mieć obowiązki kontrolne. [3] [4] [9]

Poza danymi klienta dostawca może korzystać z analizy blockchaina. Taka analiza śledzi adresy i powiązania między transakcjami. Każde wyjście transakcji określa kwotę oraz warunki jej wydania. Dopóki nie zostało wydane, nazywa się UTXO; kolejna transakcja może odwołać się do niego swoim wejściem. Analityk może powiązać część tych śladów ze znanymi usługami. Część wniosków opiera się na przypuszczeniach. CoinJoin pozwala na przykład na udział kilku osób w jednej transakcji, więc wspólnie wydane wejścia nie muszą mieć jednego właściciela. Sama ocena ryzyka nie dowodzi zatem tożsamości ani przestępczego pochodzenia środków. Ważne, by nie mylić śladu technicznego z pewną historią o człowieku, a w razie błędu móc przedstawić kontekst i poprosić o ponowne sprawdzenie. [8] [10]

Anna przekazuje poufne dane, które można połączyć z jej kontem i adresami wypłat. W razie wycieku zagrożona jest nie tylko lista e-maili: ktoś może uzyskać wskazówki dotyczące aktywności finansowej konkretnej osoby. Warto więc sprawdzić, kto przetwarza dane, komu je przekazuje, jak je zabezpiecza i jak długo przechowuje. W UE obowiązują również zasady ogólnego rozporządzenia o ochronie danych (RODO), między innymi ograniczenie celu i zbieranie tylko niezbędnych danych. Prawny obowiązek przechowywania części dokumentacji może trwać po zamknięciu konta. Jego zamknięcie nie oznacza więc automatycznego, natychmiastowego usunięcia wszystkich dokumentów; konkretne prawa i terminy określają właściwe przepisy. [6] [1]

Jeśli usługodawca nie może przeprowadzić wymaganych kontroli, może odroczyć lub odmówić otwarcia konta bądź transferu albo zakończyć relację gospodarczą. Zależnie od okoliczności może też mieć obowiązek złożenia poufnego zgłoszenia lub ograniczenia dysponowania środkami. Samo to nie jest orzeczeniem o winie. Nie można jednak obiecać, że każda wypłata zostanie zrealizowana natychmiast ani że obsługa zawsze będzie mogła wyjaśnić wszystkie szczegóły kontroli. Anna powinna znać warunki usługi, procedurę reklamacyjną i właściwy organ nadzoru. Zasady, terminy i możliwości odwołania różnią się między krajami i usługami. [1]

Przed wysłaniem dokumentów Anna otwiera znaną aplikację lub oficjalną stronę i sprawdza, kto prosi o jej dane. Pilna wiadomość z logo giełdy nie wystarcza, by uznać ją za wiarygodną. KYC nigdy nie jest powodem do ujawnienia Seed Phrase, czyli słów służących do odtworzenia portfela, ani klucza prywatnego. Kontrolę adresu można sprawdzać innymi metodami; przed podpisaniem trzeba rozumieć, co zatwierdza urządzenie. Przy dokumentach warto odróżnić dane obowiązkowe od opcjonalnych i wiedzieć, jakie skutki ma odmowa. Ani ukończone KYC, ani licencja same nie gwarantują wypłacalności, ubezpieczenia depozytów, bezpiecznego przechowywania czy dobrej ceny. KYC mówi o sprawdzeniu klienta, nie o braku ryzyka usługi. [7]