KYC для криптоплатежей: что должны проверять разработчики и бизнес

KYC для криптоплатежей означает идентификацию и верификацию вашего клиента до или во время перемещения ценностей от его имени. От того, обязаны ли вы это делать, зависит не столько от технологии, сколько от того, чем занимается ваш бизнес: хранение средств клиентов, обмен крипты на фиат или только предоставление программного обеспечения. Это руководство объясняет, где начинается обязательство, какие проверки являются стандартными, как правила отличаются по юрисдикциям и что нужно решить, прежде чем интегрировать платежный поток в ваше приложение.

TL;DR

• KYC — это один из уровней соответствия криптоплатежей, наряду с оценкой рисков, проверкой по санкционным спискам, мониторингом транзакций, ведением записей и, где применимо, данными Travel Rule.
• Кастодиальные сервисы, обменники и фиатные он-рампы — это обычные точки, где происходят проверки личности. Нейтральные провайдеры ПО могут находиться вне периметра, в зависимости от их деятельности и юрисдикции.
• Стандартные проверки охватывают имя, дату рождения, адрес и государственный документ, а также селфи и дополнительную информацию для клиентов с более высоким риском.
• Правильная интенсивность проверок основана на рисках, а не на одной идентичной проверке для каждого платежа.
• Сначала определите свой регуляторный статус с помощью юристов, затем встройте верификацию и мониторинг в сам платежный поток.

Оглавление

• What KYC means in a crypto payment flow
• Who actually has to verify customers
• The checks that are commonly required
• Risk-based, not one-size-fits-all
• The Travel Rule and self-hosted wallets
• Rules change by jurisdiction
• What to check before you integrate a payment flow
• Our perspective
• Build the technical side with Chaingateway
• FAQ
• Sources

What KYC means in a crypto payment flow

KYC расшифровывается как «know your customer» (знай своего клиента). На практике это охватывает идентификацию и верификацию клиента, понимание цели и предполагаемой природы отношений или транзакции, а также принятие разумных мер для верификации бенефициарных владельцев. Именно так это формулируется в руководстве JMLSG для провайдеров обменов криптоактивами и кастодиальных кошельков в Великобритании.

KYC — это не вся комплаенс-система. Вокруг него находятся оценка рисков AML и CFT (противодействия финансированию терроризма), проверка по санкционным и другим спискам, мониторинг транзакций, сообщения о подозрительной активности, ведение записей и, где применимо, информация по travel rule. Когда люди ищут «crypto payments compliance» (комплаенс криптоплатежей), они обычно имеют в виду этот полный стек, а KYC — это его входная дверь.

Глобальная база исходит от Financial Action Task Force (FATF). Их обновленное руководство по виртуальным активам и провайдерам услуг виртуальных активов гласит, что VASP должны применять превентивные меры AML/CFT, включая должную осмотрительность в отношении клиентов, ведение записей, сообщения о подозрительных транзакциях и travel rule. Национальные законы затем реализуют эту базу, каждый по-своему.

Who actually has to verify customers

Первый вопрос не в том: «Какого провайдера KYC выбрать?». Он в том: «Являемся ли мы бизнесом, который обязан проверять кого-либо?»

Кастодиальные сервисы и биржи

Если вы храните средства клиентов, обмениваете криптовалюту на другие активы или фиат, или обеспечиваете сохранность и администрирование криптоактивов, вы, скорее всего, попадаете в сферу действия регулирования. Руководство JMLSG указывает, что провайдеры обменных услуг и кастодиальных кошельков, как правило, подпадают под требования по должной проверке клиентов (CDD). Хранение и передача ключей клиентов также могут привлечь бизнес к данной сфере.

Нейтральные провайдеры ПО

То же руководство отмечает, что разработчики программного обеспечения и другие провайдеры, связанные с децентрализованными системами, могут находиться за периметром регулирования. Это зависит от их деятельности и от того, получают ли они выгоду от транзакций. Ключевое слово здесь — «могут». Ваши собственные архитектурные решения, например, контролируете ли вы когда-либо ключи или берете комиссию с потоков средств, могут перевести вас через эту линию.

Фиатные он-рампы и офф-рампы

В бесшовных блокчейнах нет единого ответственного посредника. Банк международных расчетов объясняет в своем бюллетене по соблюдению AML для криптоактивов, что проверка клиентов обычно выполняется там, где крипта встречается с традиционной финансовой системой, например, на биржах и офф-рампах. Там также добавляется, что история транзакций в блокчейне может дополнять контроль KYC и AML.

Именно поэтому продавец, который только принимает криптовалюту, часто никогда не проводит проверку идентичности напрямую, в то время как биржа, где плательщик купил монеты, это сделала. Именно поэтому ответ меняется в тот момент, когда вы добавляете конвертацию в фиат или кастодиальный баланс.

Поток	Кто обычно проверяет клиента	Что подтвердить
Кастодиальный кошелек или баланс, хранимый для пользователей	Вы, как провайдер услуг	Лицензирование или регистрация, полная CDD, мониторинг
Фиатная он-рамп или офф-рамп	Регулируемая биржа или процессинг	Кто является регулируемой стороной и какие данные они требуют от вас
Платежи в самохранении, только ПО	Часто никто на вашем уровне	Являются ли ваша деятельность и выгода от транзакций основанием для попадания в сферу действия
Переводы к или от самохостинговых кошельков	Регулируемый провайдер на другой стороне	Локальные правила подтверждения владения кошельком и travel rule

Проверки, которые обычно требуются

Для физического лица стандартный набор прост. Провайдеры собирают и проверяют полное имя, дату рождения и адрес проживания, а также проверяют действительный государственный документ, удостоверяющий личность, например, паспорт или водительские права. Руководство Veriff по KYC в крипте добавляет, что усиленные проверки могут запрашивать селфи и дополнительную информацию, а требования варьируются в зависимости от биржи. Обзор Plaid по KYC для крипты описывает тот же набор данных и указывает, что подозрительным клиентам могут запросить больше информации.

То же руководство Veriff отмечает, что биржи обычно ограничивают покупки, выводы или пополнения до завершения верификации, а KYC на основе рисков может включать скрининг по санкционным спискам, проверку на принадлежность к лицам, занимающим prominентные публичные должности (PEP), и негативным медиа-упоминаниям, а также текущий мониторинг.

Некоторые рынки проверяют иначе. В справочном центре провайдера описывается, как в Индонезии, Южной Африке и Нигерии проверка без документов обычно автоматически сверяет официальный номер: NIK, номер национального удостоверения личности или NIN. Если вы обслуживаете пользователей в нескольких странах, ожидайте, что метод проверки будет меняться в зависимости от региона, а не только правила.

Что замедляет проверку

Источники, которые мы изучали, не дают надежных данных о сроках, поэтому мы не будем их придумывать. Практические причины предсказуемы исходя из самих проверок: документ не соответствует введенному имени или адресу, система не может прочитать изображение, клиент попадает в списки скрининга или запрашивается дополнительная информация для профиля с более высоким риском. Проектируйте онбординг так, чтобы клиент мог повторно отправить данные, не начиная с начала, а ваша команда поддержки могла видеть, почему дело находится в ожидании.

Основанный на рисках подход, а не универсальный

Подход FATF основан на рисках. Интенсивность должной осмотрительности клиента и мониторинга должна отражать клиента, продукт, транзакцию и географию. Небольшой повторный платеж от проверенного клиента не несет такого же риска, как крупный первый перевод из неясного источника.

Углубленная должная осмотрительность — вот где это проявляется. Мальтийский финансовый разведывательный блок в своих процедурах внедрения для сектора криптоактивов указывает на сценарии более высокого риска, требующие этого, такие как транзакции, затрагивающие высокорисковые юрисдикции, необычные паттерны или источник блага или средств, который невозможно согласовать с известными объемами транзакций.

Типичные триггеры EDD, которые можно закодировать как правила:

1. Клиент или контрагент, связанный с высокорисковой юрисдикцией.
2. Суммы или частота платежей, отклоняющиеся от установленного паттерна клиента.
3. Средства, не соответствующие заявленному источнику блага.
4. Отсутствующая или неполная информация об отправителе или получателе во входящем переводе.

Команды в других высокорисковых платежных категориях уже используют подобный основанный на рисках мониторинг клиентов, с андеррайтингом, антифрод-скринингом и постоянным обзором. Крипто-команды могут заимствовать ту же дисциплину: определите триггер, направьте дело, зафиксируйте решение.

Travel Rule и самохостинговые кошельки

Travel Rule требует, чтобы идентифицирующая информация об отправителе и получателе сопровождала перевод. Правила ЕС по переводам криптоактивов, вступающие в силу 30 декабря 2024 года, требуют от провайдеров включать данные об отправителе и получателе. Для переводов свыше 1000 евро, затрагивающих самохостинговый адрес, провайдер должен проверить, владеет ли соответствующее лицо этим адресом или контролирует его.

Финальные рекомендации Европейского банковского органа требуют по умолчанию один метод проверки для самохостинговых кошельков, согласно анализу рекомендаций Notabene. Тот же анализ гласит, что провайдеры с техническими ограничениями могут использовать дополнительные технические шаги до 31 июля 2025 года, хотя полное соблюдение остается обязательным.

The Travel Rule не применяется единообразно во всем мире. Согласно данным FATF за 2024 год, приведенным в руководстве Бермудского денежного органа по Travel Rule, около 30% юрисдикций не внедрили законодательство по Travel Rule. То же руководство указывает, что платежные сервис-провайдеры должны хранить сообщения Travel Rule, а также получать, проверять, передавать или записывать информацию о плательщике и получателе по мере необходимости. Отсутствующая или неполная информация может служить основанием для усиленных мер и оценки подозрительности.

Правила меняются в зависимости от юрисдикции

Применимое к вам правило — это правило мест, где вы ведете деятельность и где проживают ваши пользователи. Несколько примеров с официальных страниц и страниц регуляторов показывают, насколько могут отличаться детали:

• Европейский Союз: правила перевода, указанные выше, с порогом в 1000 € для верификации самохостинговых кошельков.
• Бермуды: Регуляция 22(1) охватывает все переводы средств, в любой валюте, отправляемые или получаемые платежным сервис-провайдером, включая переводы цифровых активов. Регулятор ожидает наличия актуального реестра контрагентов и хранения сообщений Travel Rule, согласно приведенному выше руководству BMA.
• Швейцария и Лихтенштейн: для самохостинговых кошельков Швейцария требует верификацию личности и доказательства владения, в то время как Лихтенштейн требует усиленную должную осмотрительность, как сообщается в обзоре Notabene по правилам для нехостинговых кошельков.
• Великобритания: руководство JMLSG о том, кто находится внутри периметра, обсуждаемое выше.

Если вы обслуживаете клиентов из США, американский фреймворк — это отдельный вопрос. Общий вывод исследования остается неизменным: KYC — это юридическое требование, которое обеспечивают финансовые надзорные органы, и то, какой из них применяется к вам, зависит от вашей деятельности и местоположения. Получите письменное заключение от юриста, специализирующегося на денежных переводах и AML в ваших целевых рынках, перед запуском.

Что проверить перед интеграцией платежного потока

Используйте этот список на этапе планирования, а не после запуска.

1. Сопоставьте свою деятельность. Храните ли вы когда-либо ключи или балансы пользователей? Конвертируете ли вы в фиат? Берете ли вы долю от транзакций? Каждый ответ «да» сближает вас с регулируемым статусом.
2. Определите регулируемую сторону. В каждом потоке зафиксируйте, кто выполняет должную осмотрительность клиента (CDD). Если это партнер, получите их требования к данным в письменном виде.
3. Составьте список юрисдикций. Где вы зарегистрированы, а где находятся ваши пользователи и контрагенты? Проверьте статус Travel Rule в каждой из них.
4. Определите свои пороги. Установите суммы и триггеры риска, которые переводят платеж на усиленные проверки.
5. Спланируйте защиту данных. Документы, удостоверяющие личность, являются конфиденциальными. Ограничьте круг лиц, имеющих к ним доступ, определите сроки хранения с юристами и по возможности храните данные верификации отдельно от платежных данных.
6. Назначьте ответственного. Кто-то должен отвечать за программу соответствия, алерты по санкциям и решения о подозрительной активности. «Инженерная команда» — не владелец ответственности.
7. Ведите записи. Храните решение, использованные данные и временную метку для каждой проверки, чтобы вы могли продемонстрировать свою работу.

Внедрите правила в код

Один из практиков в исследовании считает, что соблюдение требований работает лучше всего, когда оно встроено в потоки средств в виде детерминированных правил, а не реализовано как отдельный ручной процесс. Мы согласны с этой инженерной идеей. Платеж, который не может перейти в состояние «released» (выпущен), пока не пройдут необходимые проверки, легче аудировать, чем таблица исключений.

Наш взгляд

Мы строим инфраструктуру, а не даем юридические заключения. Chaingateway — это унифицированный API для создания кошельков, отправки токенов, получения вебхук-уведомлений и чтения декодированных данных транзакций в таких сетях, как Ethereum, Bitcoin, Tron, Solana, Polyggon, BNB Chain и Arbitrum. Соблюдение требований — это слой, который вы добавляете поверх этого, и лучшее место для его добавления — там, где платежи меняют состояние.

Именно поэтому мы рассматриваем вебхуки как инструмент для соблюдения требований не меньше, чем как удобство. Когда событие входящего платежа приходит уже декодированным, с отправителем, получателем, токеном и суммой в одном полезном грузе, вы можете проверить его по своим правилам до того, как зачислите что-либо. Ваш собственный движок правил решает, выпустить, удержать или эскалировать. Ваш провайдер KYC решает, кто клиент. Блокчейн-API сообщает вам, что фактически произошло в цепочке.

Мы также предупреждаем против двух привычек. Одна — относиться к KYC как к разовой форме при регистрации, тогда как мониторинг на основе рисков является непрерывным. Другая — предполагать, что «мы просто программное обеспечение» определяет ваш статус. Регулятор смотрит на то, что вы делаете, а не на то, как вы себя называете.

— Bitblade

Создайте техническую сторону с Chaingateway

Как только ваша модель соблюдения требований станет ясной, инженерная работа заключается в создании кошельков, переводах и обработке событий. Наш Blockchain API дает вам один REST-интерфейс для семи цепочек, с автоматической оценкой газа и HMAC-подписанными запросами, и без необходимости запускать узлы. Вебхуки и уведомления о событиях передают события платежей в реальном времени на ваш бэкенд, что является естественной точкой входа для логики проверки и мониторинга. Если вы начинаете с нуля, наше руководство по созданию криптокошелька с помощью API проведет вас через первые шаги.

Планы начинаются от 49 евро в месяц для Plus, 99 евро для Pro, 249 евро для Premium и 499 евро для Enterprise, или 490, 990, 2490 и 4990 евро в год. Подробности и лимиты планов на странице цен, и вы можете попробовать API перед подпиской.

Источники

• JMLSG Guidance Part II, Sector 22: cryptoasset exchange providers and custodian wallet providers
• FATF: Updated Guidance for a Risk-Based Approach for Virtual Assets and VASPs
• BIS Bulletin: An approach to anti-money laundering compliance for cryptoassets
• Veriff: What is KYC in crypto?
• Plaid: KYC for crypto
• Doto Help Center: KYC compliance
• FIAU Malta: Implementing Procedures Part II, Crypto-Assets Sector
• EUR-Lex: Information accompanying transfers of funds and certain crypto-assets
• Notabene: The EBA’s final Travel Rule guidelines
• Bermuda Monetary Authority: Travel Rule compliance and implications
• Notabene: Travel Rule compliance with unhosted wallets
• DavinciPay: payment processing for high-risk businesses

Рекомендуем

• RPC API Beta Release — Level Up Your Crypto Journey
• Blockchain APIs for E-Commerce: A Revolution
• Developer: Ship Recurring Crypto Payments in 90 Days, EIP & 2026
• How to Create a Crypto Wallet with an API: 2026 Guide