KYC

Анна хочет впервые купить биткоин. Она выбирает биржу, открывает счёт и вместо кнопки покупки видит просьбу подтвердить личность. Для этого могут понадобиться документ, проверка лица или ответы на вопросы о предполагаемом использовании счёта. Так она знакомится с KYC. Сервис пытается установить, с кем начинает деловые отношения, и выполнить свои обязанности. KYC входит в AML/CFT — меры против отмывания денег и финансирования терроризма. Проверка документа — лишь их часть: сюда также относятся оценка рисков, хранение записей и сообщения о подозрительных операциях. Это не требование сети Bitcoin и не доказательство того, что Анна сделала что-то плохое. [1]

Если бы Анна получила биткоин прямо в свой кошелёк, узлы сети не проверяли бы её документ. Full Node — это компьютер с программой, которая самостоятельно проверяет транзакции и блоки Bitcoin по правилам сети. Но биржа или компания, которая хранит деньги клиентов, действует как отдельный поставщик услуг со своими правовыми обязанностями. Международные документы используют сокращение VASP для определённых поставщиков услуг с виртуальными активами. Само владение собственными ключами не делает Анну таким поставщиком. Приватный ключ — это секретные данные, с помощью которых кошелёк создаёт цифровую подпись, одобряющую платёж. Однако Self-custody, то есть самостоятельное управление ключами, не отменяет обязанностей биржи при выводе на этот кошелёк. Поэтому биржа может спросить, кому принадлежит адрес назначения, хотя кошелёк контролирует сама Анна. [2] [10]

Сервис сопоставляет сведения о клиенте с надёжными независимыми источниками. Для компании недостаточно одного названия: важны и физические лица, которые в конечном счёте владеют ею или контролируют её, — бенефициарные владельцы. Поставщик также выясняет цель деловых отношений. Но успешная проверка документа не доказывает происхождение каждого рубля или то, у кого сейчас находится приватный ключ от биткоин-адреса. Анна могла указать чужой адрес. Личность клиента, контроль адреса и происхождение денег связаны, но это разные вопросы. [1] [5]

В одном сервисе Анна может пройти короткую проверку, а в другом получить дополнительные вопросы. Разница может зависеть от права, продукта, страны, суммы или оценённого риска. Более высокий риск может потребовать тщательной проверки; при низком риске и соблюдении условий возможна упрощённая процедура. Единого списка документов для всего мира нет. FATF, международная группа по разработке стандартов против отмывания денег, задаёт рамки, которые страны внедряют в собственные правила. Её рекомендация сама по себе не является законом, обязывающим каждого пользователя Bitcoin заполнять одинаковую анкету. Сервис должен уметь понятно объяснить, какие сведения запрашивает и зачем. [1]

Позже Анна продаёт автомобиль и хочет потратить часть выручки на биткоин. Биржа может попросить объяснить необычно крупное пополнение. Source of funds касается происхождения денег для конкретной операции, в данном случае — выручки от продажи автомобиля. Source of wealth, напротив, означает, как человек в целом накопил своё состояние. Это не одно и то же. Поставщик может также обновлять ранее полученные сведения и сравнивать операции с ожидаемым использованием счёта. Конкретный запрос должен соответствовать ситуации и правовому режиму; это не значит, что каждый клиент при каждой покупке обязан документировать всю свою жизнь. [1]

Когда Анна переводит биткоин между поставщиками услуг, отдельно от самой транзакции могут передаваться предусмотренные правилами сведения об отправителе и получателе. Этой области касается Travel Rule. Для этого не требуется записывать имена или копии документов в публичный блокчейн: сервисы передают или хранят данные отдельно. В ЕС эту область регулирует, в частности, Регламент 2023/1113. Он различает переводы с участием поставщика услуг и прямые переводы между людьми без такого поставщика. Исключение последних из этого регламента не освобождает их от всех законов. Перевод между собственным кошельком и биржей по-прежнему включает сервис, у которого могут быть обязанности по проверке. [3] [4] [9]

Помимо данных клиента поставщик может использовать анализ блокчейна. Такой анализ отслеживает адреса и связи между транзакциями. Каждый выход транзакции задаёт сумму и условия её расходования. Пока выход не потрачен, его называют UTXO; следующая транзакция может сослаться на него своим входом. Аналитик может связать часть этих следов с известными сервисами. Часть выводов основана на предположениях. Например, CoinJoin позволяет нескольким людям участвовать в одной транзакции, поэтому совместно потраченные входы не обязательно принадлежат одному владельцу. Одна оценка риска не доказывает ни личность, ни преступное происхождение средств. Важно не превращать технический след в якобы достоверную историю о человеке, а при ошибке иметь возможность предоставить контекст и запросить пересмотр. [8] [10]

Анна передаёт сервису чувствительные сведения, которые можно связать со счётом и адресами вывода. При утечке это будет не просто список электронной почты: кто-то может получить подсказки о финансовой активности конкретного человека. Поэтому стоит выяснить, кто обрабатывает данные, кому передаёт, как защищает и сколько хранит. В ЕС действуют также принципы Общего регламента по защите данных (GDPR), в том числе ограничение цели обработки и сбор только необходимых сведений. Законная обязанность хранить некоторые записи может продолжаться после закрытия счёта. Поэтому закрытие не означает автоматического немедленного удаления всех документов; конкретные права и сроки определяет применимое право. [6] [1]

Если сервис не может выполнить необходимые проверки, он может отложить или отклонить открытие счёта либо перевод или прекратить деловые отношения. В зависимости от обстоятельств он также может быть обязан направить конфиденциальное сообщение или ограничить распоряжение средствами. Само по себе это не является выводом о виновности клиента. Но нельзя и обещать, что любой вывод должен быть исполнен немедленно или что поддержке всегда разрешено раскрывать все подробности проверки. Анне важно знать условия сервиса, порядок подачи жалобы и соответствующий надзорный орган. Правила, сроки и способы обжалования различаются между странами и сервисами. [1]

Перед отправкой документов Анна открывает знакомое приложение или официальный сайт и проверяет, кто просит её данные. Срочное сообщение с логотипом биржи ещё не заслуживает доверия. KYC никогда не является поводом раскрывать Seed Phrase, то есть слова для восстановления кошелька, или приватный ключ. Контроль адреса можно проверить другими способами; перед подписанием нужно понимать, что именно подтверждает устройство. В отношении документов полезно отличать обязательные сведения от необязательных и знать последствия отказа. Ни пройденное KYC, ни лицензия сами по себе не гарантируют платёжеспособность, страхование вкладов, безопасное хранение или выгодную цену. KYC говорит о проверке клиента, а не об отсутствии рисков у сервиса. [7]