KYC

Анна хоче вперше купити біткоїн. Вона обирає біржу, відкриває рахунок і замість кнопки купівлі бачить прохання підтвердити особу. Це може бути документ, перевірка обличчя або запитання про майбутнє користування рахунком. Так вона знайомиться з KYC. Сервіс намагається з'ясувати, з ким починає ділові відносини, і виконати свої обов'язки. KYC належить до AML/CFT — заходів проти відмивання грошей і фінансування тероризму. Перевірка документа є лише їхньою частиною: сюди також входять оцінювання ризиків, зберігання записів і повідомлення про підозрілі операції. Це не вимога мережі Bitcoin і не доказ того, що Анна зробила щось неправомірне. [1]

Якби Анна отримувала біткоїн безпосередньо у власний гаманець, вузли мережі не перевіряли б її документ. Full Node — це комп’ютер із програмою, яка самостійно перевіряє транзакції та блоки Bitcoin за правилами мережі. Але біржа чи компанія, яка зберігає кошти клієнтів, є окремим надавачем послуг із власними правовими обов'язками. У міжнародних документах скорочення VASP позначає певних надавачів послуг із віртуальними активами. Саме володіння власними ключами не робить Анну таким надавачем. Приватний ключ — це секретні дані, за допомогою яких гаманець створює цифровий підпис для схвалення платежу. Однак Self-custody, тобто самостійне керування ключами, не скасовує обов'язків біржі під час виведення на цей гаманець. Тому вона може запитати, кому належить адреса призначення, навіть якщо Анна сама контролює гаманець. [2] [10]

Сервіс звіряє відомості про клієнта з надійними незалежними джерелами. Для компанії недостатньо самої назви: важливі також фізичні особи, які зрештою володіють нею або контролюють її, — кінцеві бенефіціарні власники. Надавач також з'ясовує мету ділових відносин. Водночас успішна перевірка документа не доводить походження кожної гривні або того, хто зараз має приватний ключ до біткоїн-адреси. Анна могла вказати чужу адресу. Особа клієнта, контроль адреси та походження грошей пов'язані, але це різні питання. [1] [5]

В одному сервісі Анна може пройти коротку перевірку, а в іншому отримати додаткові запитання. Різниця може залежати від права, продукту, країни, суми або оціненого ризику. Вищий ризик може потребувати ретельнішої перевірки; нижчий за певних умов дозволяє спрощений порядок. Єдиного переліку документів для всього світу немає. FATF, міжнародний орган зі створення стандартів проти відмивання грошей, визначає рамки, які держави впроваджують у власні правила. Його рекомендація сама по собі не є законом, що вимагає однакової анкети від кожного користувача Bitcoin. Сервіс має вміти зрозуміло пояснити, які дані запитує і навіщо. [1]

Згодом Анна продає автомобіль і хоче витратити частину виручки на біткоїн. Біржа може попросити пояснити незвично велике поповнення. Source of funds стосується походження грошей для конкретної операції, наприклад цього продажу. Source of wealth натомість означає, як людина загалом набула свій статок. Це не те саме. Надавач також може оновлювати раніше отримані дані й порівнювати операції з очікуваним використанням рахунку. Конкретний запит має відповідати ситуації та правовому режиму; це не означає, що кожен клієнт за кожної купівлі мусить документувати все своє життя. [1]

Коли Анна переказує біткоїн між надавачами послуг, окремо від самої транзакції можуть передаватися передбачені правилами дані про відправника й одержувача. Цієї сфери стосується Travel Rule. Імена чи копії документів через це не потрібно записувати в публічний блокчейн: сервіси передають або зберігають дані окремо. У ЄС цю сферу регулює, зокрема, Регламент 2023/1113. Він розрізняє перекази за участю надавача послуг і прямі перекази між людьми без такого надавача. Виключення останніх із цього регламенту не звільняє їх від усіх законів. Переказ між власним гаманцем і біржею все одно включає сервіс, який може мати обов'язки щодо перевірки. [3] [4] [9]

Окрім даних клієнта, надавач може використовувати аналіз блокчейну. Такий аналіз простежує адреси та зв’язки між транзакціями. Кожен вихід транзакції визначає суму й умови її витрачання. Поки його не витрачено, він називається UTXO; наступна транзакція може послатися на нього своїм входом. Аналітик може пов’язати частину цих слідів із відомими сервісами. Частина висновків спирається на припущення. Наприклад, CoinJoin дозволяє кільком людям брати участь в одній транзакції, тож спільно витрачені входи не обов'язково мають одного власника. Тому сама оцінка ризику не доводить ні особу, ні злочинне походження коштів. Важливо не перетворювати технічний слід на нібито достовірну історію про людину, а за помилки мати змогу додати контекст і попросити перегляд. [8] [10]

Анна передає сервісу чутливі дані, які можна пов'язати з рахунком та адресами виведення. Якщо станеться витік, це буде не просто список електронних адрес: хтось може отримати підказки про фінансову активність конкретної людини. Тому варто з'ясувати, хто обробляє дані, кому їх передає, як захищає і скільки зберігає. У ЄС діють також принципи Загального регламенту про захист даних (GDPR), зокрема обмеження мети обробки та збирання лише необхідних даних. Правовий обов'язок зберігати деякі записи може тривати після закриття рахунку. Отже, його закриття не означає негайного автоматичного видалення всіх документів; конкретні права й строки визначає застосовне право. [6] [1]

Якщо сервіс не може виконати потрібні перевірки, він може відкласти чи відхилити відкриття рахунку або переказ чи припинити ділові відносини. Залежно від обставин він також може бути зобов'язаний подати конфіденційне повідомлення або обмежити розпорядження коштами. Саме по собі це не є висновком про винуватість клієнта. Водночас не можна обіцяти, що кожне виведення мають виконати негайно або що підтримка завжди вправі розкрити всі подробиці перевірки. Анні важливо знати умови сервісу, порядок скарги та відповідний наглядовий орган. Правила, строки й способи оскарження відрізняються між країнами та сервісами. [1]

Перш ніж надіслати документи, Анна відкриває знайомий застосунок або офіційний сайт і перевіряє, хто просить її дані. Термінове повідомлення з логотипом біржі ще не заслуговує на довіру. KYC ніколи не є підставою розкривати Seed Phrase, тобто слова для відновлення гаманця, або приватний ключ. Контроль адреси можна перевіряти іншими способами; перед підписанням потрібно розуміти, що саме підтверджує пристрій. Щодо документів корисно відрізняти обов'язкові дані від необов'язкових і знати наслідки відмови. Ані пройдене KYC, ані ліцензія самі не гарантують платоспроможності, страхування вкладів, безпечного зберігання чи вигідної ціни. KYC стосується перевірки клієнта, а не відсутності ризиків у сервісу. [7]