AML-триггеры: как биржи и фонды выявляют подозрительные транзакции

AML-триггер: правило или паттерн в системе транзакционного мониторинга, который автоматически помечает операцию для проверки комплаенс-офицером. Триггер срабатывает по конкретному сигналу: совпадение адреса с санкционным реестром, аномальная серия платежей ниже отчётного порога, связь кошелька с миксером. После срабатывания система пересчитывает риск-скор транзакции, комплаенс-офицер получает алерт и, если подозрение подтверждается, формирует SAR (отчёт о подозрительной деятельности) для уполномоченного органа: этот путь от сигнала до отчёта разобран по шагам далее в материале. Международный стандарт для таких систем задаёт FATF (Financial Action Task Force), рекомендации которой исторически формируют основу национального регулирования, включая 115-ФЗ в России; членство России в FATF приостановлено с 24 февраля 2023 года, но обязательства по внедрению стандартов формально сохраняются. Материал разбирает категории триггеров, механику риск-скора, инструменты детекции и то, что происходит с транзакцией после срабатывания сигнала, для комплаенс-офицеров бирж и фондов, юристов и специалистов по расследованиям.

Из каких компонентов состоит система AML-мониторинга на бирже

Система AML-мониторинга биржи объединяет четыре модуля: правило-ориентированный движок (rule-based), скоринговую модель, риск-профиль клиента и интеграцию с блокчейн-аналитикой. Каждый модуль обрабатывает свой тип данных и передаёт результат в общий риск-скор транзакции, а не работает изолированно. Такая архитектура проверяет поведенческие паттерны, санкционные списки и историю блокчейн-адреса параллельно, без ручного вмешательства комплаенс-офицера на каждом шаге.

Данные проходят через систему в четыре шага:

1. KYC-модуль

   Собирает и верифицирует данные клиента при регистрации, устанавливая личность и бенефициара.

2. KYT-модуль

   Анализирует маршрут и происхождение средств каждой транзакции в реальном времени, а не только при онбординге.

3. Санкционный скрининг

   Сопоставляет клиента и адрес кошелька с реестрами вроде OFAC SDN.

4. Риск-скоринговая модель

   Агрегирует результаты первых трёх шагов в единое значение, на основе которого биржа решает: пропустить операцию, запросить дополнительные документы или заморозить счёт.

KYC vs KYT vs AML vs CFT: в чём разница

KYC и AML в большинстве обзорных материалов разграничивают, а KYT остаётся упомянутым вскользь или вовсе не называется, хотя это отдельный самостоятельный процесс. Таблица ниже сводит все четыре термина вместе.

KYC входит в состав AML как первый этап, но не заменяет его: AML продолжает работать после верификации клиента через непрерывный KYT-мониторинг. CFT формально выделяется из AML в отдельную категорию FATF-стандартов, хотя на практике реализуется тем же инструментарием.

Категории AML-триггеров

AML-триггеры делятся на четыре типа по источнику сигнала: поведенческие, количественные, списочные и технологические. Каждая категория требует своего механизма детекции и по-разному влияет на итоговый риск-скор транзакции. Отдельно от этих четырёх категорий стоит момент вывода средств с DEX (децентрализованной биржи) на регулируемую платформу: сама DEX не проводит AML-мониторинг, поэтому триггер срабатывает постфактум, в момент депозита на централизованную биржу, а не в момент самой сделки на DEX.

Пороговые и поведенческие триггеры

Threshold-транзакция превышает установленную сумму и автоматически запускает расширенную проверку (EDD, Enhanced Due Diligence). Различают два вида порогов: законодательный, зафиксированный регулятором (например, порог отчётности по Travel Rule), и внутренний, который биржа устанавливает сама на основе собственного риск-аппетита. По 115-ФЗ под обязательный контроль попадают, в частности, операции с наличными на сумму от 1 млн рублей и частые переводы от разных физических лиц на счёт одного получателя.

Структурирование (smurfing) представляет собой поведенческий триггер, при котором клиент дробит крупную сумму на серию платежей ниже отчётного порога, чтобы избежать проверки. Система распознаёт паттерн по частоте и синхронности мелких транзакций между связанными адресами, а не по единичной операции: перевод 950 USD раз в день с одного адреса на один и тот же получатель выглядит подозрительнее одной транзакции на 5000 USD, хотя формально каждый отдельный платёж ниже порога Travel Rule. Большинство обзорных материалов ограничивается общим описанием «дробления платежей» без этого термина, хотя именно частота и синхронность платежей, а не только их размер, отличают структурирование от обычной серии мелких переводов.

Санкционные, PEP и технологические триггеры

Санкционный скрининг сопоставляет клиента и адрес кошелька с реестрами OFAC SDN, санкционными списками ЕС и Великобритании. Скрининг повторяется при каждом обновлении реестра, а не только на этапе онбординга, поскольку статус контрагента может измениться после регистрации на бирже: адрес, который был чистым при регистрации клиента, может попасть в реестр месяцы или годы позже. PEP-статус (Politically Exposed Person, публичное должностное лицо) добавляет отдельную категорию повышенного контроля независимо от суммы операции, поскольку риск для этой категории клиентов оценивается по должности и связям, а не по объёму транзакций.

Как считается риск-скор и работает кластеризация адресов

Риск-скор представляет собой derived-атрибут: значение не хранится в базе как готовое число, а вычисляется алгоритмически на основе истории адреса и его связей при каждом запросе. Диапазон обычно выражается в процентах риска, и граница «чистого» кошелька различается между сервисами: у AMLBot чистым считается адрес с риском 0-25%, у GetBlock 0-30%. Разница в пороге означает, что один и тот же кошелёк может получить разную оценку в зависимости от выбранного инструмента, поэтому крупные биржи, как правило, сверяют результат нескольких сервисов, а не полагаются на один риск-скор.

Кластеризация адресов группирует связанные кошельки в единый узел на основе паттернов их совместного использования в транзакциях, а не на основе заявленной клиентом информации. Алгоритм проходит через три шага:

1. Фиксация co-spend heuristic

   Система фиксирует адреса, которые расходуют средства из одного и того же входа транзакции: если два адреса хотя бы раз потратили средства совместно в одной транзакции, они считаются частью одного кластера.

2. Присвоение совокупного риск-скора

   Кластер получает общий риск-скор, если хотя бы один из адресов внутри связан с санкционным субъектом, миксером или даркнет-площадкой.

3. Перенос риска на транзакции

   Риск переносится на все транзакции, проходящие через помеченный кластер, даже если конкретный адрес клиента ранее не вызывал подозрений и никогда напрямую не взаимодействовал с рискованным адресом.

Практический эффект третьего шага: клиент может получить повышенный риск-скор из-за связи через несколько транзакций с адресом, о существовании которого он не знал, а не из-за собственных действий.

Опорный материал · Методология Что такое блокчейн-форензика: методология трейсинга и стандарт Daubert

Инструменты блокчейн-аналитики для детекции триггеров

Chainalysis предоставляет скоринг кошельков и инструменты расследований на базе обширной базы размеченных адресов, используемых биржами, финансовыми институтами и регуляторами по всему миру. Elliptic специализируется на выявлении связей транзакций с санкционными адресами, даркнетом и мошенническими схемами при поддержке мониторинга по множеству блокчейнов. Crystal Blockchain предлагает визуализацию цепочек транзакций и подготовку отчётности для комплаенс-служб и правоохранительных органов.

Помимо трёх корпоративных платформ, на рынке работает более узкий сегмент доступных сервисов проверки: AMLBot анализирует счета и транзакции по 20+ источникам риска и поддерживает несколько блокчейнов через веб-интерфейс и Telegram-бот. GetBlock, будучи блокчейн-обозревателем, интегрирует инструменты AML-проверки и оценки риска напрямую в интерфейс просмотра транзакций. CoinKYT и Shard (ШАРД) закрывают нишу доступных по цене разовых проверок для трейдеров и OTC-участников, а MistTrack предлагает бесплатную разовую проверку адреса с риск-оценкой на 19+ сетях.

Смежный материал · Инструменты Как оценить инструмент блокчейн-аналитики: 5 критериев для compliance-команды

Что происходит после срабатывания триггера

Срабатывание AML-триггера запускает цепочку из пяти шагов, которую большинство обзорных материалов описывает лишь частично:

1. Алерт.

   Система формирует алерт и присваивает транзакции обновлённый риск-скор.

2. Расследование.

   Комплаенс-офицер получает алерт и проводит ручное расследование, запрашивая у клиента документы о происхождении средств.

3. Ограничение доступа.

   При высоком риске биржа временно замораживает счёт или ограничивает вывод средств до завершения проверки.

4. Формирование отчёта.

   Если подозрение подтверждается, компания формирует SAR (Suspicious Activity Report, отчёт о подозрительной деятельности).

5. Передача в орган.

   SAR передаётся в уполномоченный орган финансового мониторинга: в России это Росфинмониторинг, в США FinCEN.

Каждый шаг может завершить цепочку досрочно: если на шаге 2 комплаенс-офицер снимает подозрение, шаги с 3 по 5 не запускаются, и клиент не замечает срабатывания триггера вообще.

Клиента, как правило, не уведомляют о факте подачи SAR: разглашение сведений о начатой проверке подозрительной операции может расцениваться как противодействие расследованию (tipping-off) в большинстве юрисдикций, применяющих стандарты FATF. Если проверка не выявляет связи с незаконной деятельностью, счёт разблокируется без дальнейших последствий для клиента.

Смежный материал · Юридическая практика Заморозка криптоактивов: как это работает технически и юридически

Регуляторная база триггерных систем

FATF задаёт международный стандарт для триггерных AML-систем через свои рекомендации, включая Recommendation 16, известную как Travel Rule. Согласно этому стандарту, при переводе виртуальных активов на сумму от 1000 USD/EUR VASP обязаны собирать и передавать полные данные об отправителе и получателе; в июне 2025 года FATF пересмотрела Recommendation 16, расширив её цели на предотвращение мошенничества и финансирование распространения оружия. Порог применения различается по юрисдикциям: в Евросоюзе действует нулевой порог для всех крипто-переводов, а в США Bank Secrecy Act устанавливает порог 3000 USD для традиционных банковских переводов.

115-ФЗ в действующей редакции распространяет требования банковского контроля на операции с криптовалютой, включая переводы между физическими лицами и операции индивидуальных предпринимателей. Закон обязывает финансовые организации приостанавливать подозрительные транзакции и направлять сведения в Росфинмониторинг, а не принимать решение о блокировке самостоятельно и окончательно. Регуляторная база для крипто-провайдеров в разных юрисдикциях движется в одном направлении: от общих рекомендаций к прямым обязательствам с конкретными порогами и отдельным надзорным органом, что видно по эволюции европейского пакета от AMLD5 к AMLR/AMLD6/AMLA.

Почему AML-системы дают ложные срабатывания

Ложное срабатывание (false positive) возникает, когда статичное правило помечает транзакцию без учёта контекста конкретного клиента. Правило вида «сумма выше X» одинаково реагирует на клиента с многолетней историей легальных операций и на новый аккаунт без истории, хотя риск в этих случаях принципиально разный. Высокая доля ложных срабатываний перегружает комплаенс-команду и увеличивает время проверки для добросовестных клиентов.

Риск-скоринг с учётом истории клиента снижает долю ложных алертов за счёт того, что оценивает не отдельную транзакцию, а её отклонение от типичного поведения конкретного аккаунта. Донастройка порогов по сегментам клиентов, например по объёму торгов или сроку регистрации, дополнительно повышает точность триггеров без потери чувствительности к реальным аномалиям.

Заключение

AML-триггер запускает цепочку от алерта до SAR через риск-скор, который система пересчитывает на основе категории сигнала: поведенческой, количественной, списочной или технологической. Точность этой цепочки определяет и защиту биржи от регуляторных рисков, и число ложных блокировок для клиентов. Материал о форензике блокчейн-транзакций разбирает техническую сторону трассировки, на которой строится большинство инструментов из этого материала.

FAQ