Прозрачность вне бирж. Как проверяют транзакции в личных криптокошельках

Владение криптовалютой на некастодиальном кошельке не гарантирует свободу от контроля: биржи и регуляторы ужесточают требования к происхождению средств. Эксперт объяснил, как это устроено

Рост числа атак на владельцев некастодиальных кошельков и ужесточение требований к криптосервисам меняют подходы к проверке цифровых активов. Сегодня уже недостаточно просто владеть криптовалютой: все большее значение приобретают история происхождения средств, подтверждение контроля над адресом и возможность объяснить источник активов.

В авторской колонке главный аналитик AML/KYT-платформы «Шард» Максим Боков разбирает, как эти изменения влияют на пользователей личных кошельков и какие риски важно учитывать.

Как изменилось отношение к личным кошелькам

rbc.group

Криптовалюты создавались как self-hosted-система, в которой пользователю не нужны банк или другой посредник для хранения и перевода средств. Именно этот принцип был заложен в «белой книге» (white paper) биткоина и стал одним из ключевых отличий криптовалют от традиционных денег.

Позже появились централизованные криптобиржи. Изначально они создавались для удобства пользователей и не подпадали под регулирование. Появление в 2010 году японской площадки Mt.Gox стало одним из ключевых этапов развития рынка: именно она вывела биткоин в массовый сегмент. С момента запуска торгов и к 2013 году стоимость первой криптовалюты выросла примерно с $0,2 до $220, а около 50% всех биткоин-транзакций проходило через адреса этой биржи.

В тот период централизованные площадки не проводили идентификацию клиентов и не применяли процедуры AML/KYC (противодействие отмыванию доходов и идентификация клиентов), поэтому многие участники рынка воспринимали их как часть децентрализованной инфраструктуры.

Ситуация изменилась в 2014 году после взлома Mt.Gox, в результате которого было похищено около 850 тыс. биткоинов. Этот инцидент показал, что централизованные биржи остаются уязвимой точкой хранения активов, а размещение криптовалюты на их кошельках связано с риском ее утраты.

Позднее к этим рискам добавилось и регулирование. Сегодня криптобиржи, как легальные финансовые организации, обязаны соблюдать требования ПОД/ФТ, при необходимости блокировать средства пользователей в соответствии с требованиями регуляторов и внутренними правилами комплаенса. На практике многие пользователи сталкиваются с этим уже после блокировки аккаунта, когда теряют возможность войти в личный кабинет, совершать операции или вывести активы.

В России с 1 сентября вступил в силу закон «О цифровых валютах и цифровых правах» о регулировании оборота криптовалюты, который устанавливает правила совершения транзакций для резидентов и РФ и как раз содержит ограничения переводов на некастодиальные кошельки из контура российской инфраструктуры.

Запрет вступит в силу не сразу же, до 1 июля 2027 года у существующих участников рынка еще есть право работать не по правилам закона, но новые компании, которые будут получать лицензию ЦБ уже должны будут ему соответствовать в полном объеме и не смогут, в большинстве случаев, переводить средства пользователей на их некастодиальные кошельки.

Это прямо запрещено законом — вывод за пределы России для обычных пользователей возможен только на кошельки, открытые иностранными лицензированными компаниями, то есть на иностранные криптобиржи и кастодиальные сервисы. Это сделано, в первую очередь, для целей минимизации рисков отмывания денег, финансирования терроризма и для защиты самих пользователей от мошенников. Российский законодатель, как мы видим, также считает некастодиальные кошельки источником риска.

Чем личный криптокошелек отличается от биржевого аккаунта

Существует поговорка: «Not your keys — not your crypto» («Не твои ключи — не твоя криптовалюта»). Личным обычно называют кошелек, в котором пользователь самостоятельно контролирует приватные ключи. Он может быть программным, например, мобильным приложением или браузерным расширением, либо аппаратным устройством. При этом понятия «личный», «аппаратный» и «холодный» кошелек не являются синонимами: определяющим критерием остается именно самостоятельный контроль над приватными ключами.

В случае с биржевым аккаунтом приватными ключами управляет сама площадка. Пользователь видит баланс в интерфейсе и отправляет распоряжения на перевод средств, однако технически транзакцию подписывает биржа. Такой подход позволяет использовать восстановление доступа, двухфакторную аутентификацию, внутренние лимиты, службу поддержки, а также дополнительные сервисы площадки — торговлю, инвестиционные продукты, криптокарты и другие инструменты. Вместе с этим пользователь принимает риски блокировки счета, банкротства или взлома биржи, ограничений на вывод средств и изменения внутренних правил.

Некоторые современные сервисы предлагают пользователю самостоятельно хранить приватные ключи и seed-фразу. Однако даже в этом случае площадка продолжает соблюдать регуляторные требования. Если доступ к активам организован через архитектуру Multisig или MPC, часть ключей остается у пользователя, что повышает защиту от взлома, однако не исключает возможность блокировки операций со стороны сервиса.

Некастодиальное хранение, напротив, дает владельцу большую самостоятельность. Пользователь не зависит от финансовой устойчивости биржи, может напрямую взаимодействовать со смарт-контрактами и DeFi-протоколами, выбирать комиссии и свободно распоряжаться своими активами без одобрения посредника. Кроме того, для создания такого кошелька не требуется проходить процедуру «знай своего клиента» (KYC) или сообщать персональные данные.

Однако вместе с независимостью вся ответственность за безопасность также ложится на владельца кошелька. Если пользователь подтвердит мошенническую транзакцию, никакие антифрод-системы уже не смогут предотвратить хищение средств.

Потерянную seed-фразу невозможно восстановить, а ее компрометация позволяет злоумышленнику получить полный контроль над активами без дополнительных механизмов защиты, включая двухфакторную аутентификацию. По данным платформы «Шард», именно владельцы холодных кошельков чаще всего становились жертвами краж криптоактивов в 2025 году. Эта тенденция сохраняется и в 2026 году.

Какие атаки сегодня угрожают владельцам личных кошельков

Компрометация пароля от биржевого аккаунта далеко не всегда приводит к потере средств, поскольку биржа может обнаружить подозрительный вход и запросить дополнительную идентификацию. В некастодиальной модели владение приватным ключом или получение подписи пользователя зачастую уже достаточно для немедленного вывода криптовалюты.

Наиболее распространенные сегодня схемы атак:

• Криптодрейнеры. Мошеннический сайт или злоумышленник предлагает подключить кошелек якобы для получения эирдропа, выпуска NFT, прохождения AML-проверки или участия в инвестиционном проекте. Пользователь не раскрывает приватный ключ, однако самостоятельно подписывает транзакцию или выдает разрешение, позволяющее злоумышленнику распоряжаться токенами. Дрейнеры маскируются под легитимные Web3-проекты и побуждают жертву подтвердить вредоносное действие.

• Фишинговые AML-проверки. В последнее время это одна из наиболее распространенных схем. Важно понимать, что настоящая AML-проверка проводится самим AML-сервисом на основе данных блокчейна и не требует подключения кошелька или подписания каких-либо транзакций.

• «Слепая подпись» (blind signing). Интерфейс кошелька не всегда отображает в понятной форме, какие именно права получает смарт-контракт. В 2026 году разработчики криптокошельков и участники экосистемы Ethereum продолжили внедрение механизма Clear Signing, который позволяет отображать фактический смысл подписываемой операции. Само появление такого стандарта показывает, что момент подтверждения транзакции остается одной из ключевых точек атаки.

Злоумышленники используют и другие способы хищения средств: фишинг с кражей seed-фразы, подмену адресов в буфере обмена, вредоносные QR-коды и «пылевые» атаки. В последнем случае злоумышленник создает адрес, визуально похожий на адрес постоянного контрагента, а затем с помощью небольшой транзакции добавляет его в историю операций жертвы. Расчет строится на том, что при следующем переводе пользователь скопирует адрес из истории, проверив лишь первые и последние символы.

В чем заключается сложность мониторинга операций с личными кошельками

Сами по себе личные кошельки не усложняют мониторинг транзакций. Напротив, операции в блокчейне значительно прозрачнее, чем внутри централизованных бирж. Если информация обо всех операциях пользователя на бирже, включая P2P-сделки, доступна только самой площадке, то транзакции в публичном блокчейне может просмотреть любой участник сети.

Основная сложность возникает при оценке личности отправителя. Если криптовалюта поступает с «холодного» кошелька, то, помимо результатов AML-проверки и собственных сведений о владельце адреса, дополнительной информации, как правило, нет. Если отправитель неизвестен, остается ориентироваться прежде всего на результаты такого анализа. Он позволяет оценить, связаны ли активы с противоправной деятельностью, если соответствующая информация уже известна провайдеру.

Однако даже положительный результат проверки не дает абсолютных гарантий. Например, криптовалюта может поступить напрямую с майнинг-пула и не иметь известных связей с противоправной деятельностью, но это само по себе не исключает, что она была похищена, если на момент проверки о преступлении еще не стало известно.

При поступлении средств с горячего кошелька криптобиржи ситуация несколько иная. Можно предположить, что биржа уже провела идентификацию клиента, осуществляет мониторинг его операций и располагает информацией об источнике происхождения активов. Иными словами, часть ответственности за проверку клиента и его транзакций берет на себя регулируемая площадка.

Как регуляторы контролируют операции с личными кошельками

Регуляторы, включая FATF, рассматривают некастодиальные кошельки как один из потенциальных источников рисков, поскольку операции с ними не проходят через регулируемого посредника. В своем последнем докладе, посвященном использованию стейблкоинов в противоправной деятельности, FATF вновь указала на уязвимости, связанные с такими кошельками.

При этом основным объектом регулирования остаются VASP (Virtual Asset Service Providers) — криптобиржи, кастодиальные сервисы, брокеры и другие организации, профессионально оказывающие услуги с виртуальными активами. Именно на них возлагаются обязанности по регистрации или лицензированию, идентификации клиентов, хранению данных, санкционному скринингу, мониторингу транзакций и передаче сведений о подозрительных операциях.

Одним из ключевых механизмов такого регулирования стало правило Travel Rule, согласно которому регулируемые провайдеры должны собирать и передавать сведения об отправителе и получателе криптоактивов.

Наиболее наглядно эта модель реализована в Европейском союзе. Регламент ЕС 2023/1113 распространяет требования Travel Rule на переводы криптоактивов с участием европейских CASP, включая операции с некастодиальными (self-hosted) кошельками. Информация об отправителе и получателе должна собираться независимо от суммы перевода, а при операциях свыше 1000 евро сервис обязан принять меры, чтобы убедиться, что указанный адрес действительно контролируется его клиентом. Эти требования применяются с 30 декабря 2024 года.

Схожий подход предлагается и в России. Принятый закон предусматривает существенные ограничения на использование некастодиальных кошельков в регулируемом контуре. В большинстве случаев вывести криптоактивы напрямую на такой адрес не получится — сначала они должны быть переведены на кошелек лицензированной зарубежной криптобиржи.

Это требование отражает подозрительное отношение к таким кошелькам со стороны российских регуляторов, а также должно обеспечить полное выполнение Россией требований Рекомендации 16 FATF, как это предусмотрено и в ЕС. При этом в ЕС нет ограничений на работу с некастодиальными кошельками — там действует только усиленный мониторинг, хотя в процессе принятия регулирования MiCA также обсуждались возможные ограничения.

Когда перевод с личного кошелька считается высокорисковым

Как упоминалось ранее, один из наиболее показательных примеров — Европейский союз, где требования Travel Rule обязывают регулируемые площадки проверять поступления с личных кошельков. При этом сам по себе перевод с личного кошелька не означает автоматически высокий уровень риска. В первую очередь биржа оценивает происхождение криптоактивов, историю их движения и наличие признаков, которые могут указывать на противоправную деятельность.

Основанием для дополнительной проверки могут стать прямая или косвенная связь средств с санкционными адресами, последствиями хакерских атак, программами-вымогателями, мошенническими проектами, darknet-маркетами или ранее похищенными активами. Повышенное внимание также вызывают использование криптомиксеров и других сервисов сокрытия происхождения средств, многочисленные переводы через разные блокчейн-сети за короткий период, необъяснимое дробление крупных сумм, поступления от большого числа несвязанных адресов, а также взаимодействие с нерегулируемыми площадками в юрисдикциях со слабым AML-контролем.

Однако риск может быть повышен и при отсутствии признаков противоправной деятельности. Например, вопросы могут возникнуть, если крупный депозит не соответствует заявленному финансовому профилю клиента, биржа не может установить принадлежность адреса пользователю, происхождение средств не подтверждено документально либо история владения активами начинается с неизвестного внебиржевого (OTC) контрагента.

Как подтвердить происхождение криптоактивов

Документальным подтверждением могут служить договоры, банковские выписки, скриншоты переписки, электронные письма и другие материалы, позволяющие восстановить историю приобретения криптовалюты. Биржа оценивает такие сведения в совокупности, сопоставляя их с информацией о клиенте, историей его операций и данными блокчейна.

Прозрачность блокчейна позволяет проследить движение средств и установить или приблизительно определить источник происхождения криптоактивов, что существенно облегчает проверку.

Источник