Процент риска AML-проверки: как читать риск-балл
Процент риска в AML-проверке показывает, насколько вероятно, что средства на кошельке связаны с незаконной деятельностью: санкциями, миксерами, даркнетом, мошенничеством. Сама цифра мало что говорит без расшифровки. Чтобы понять результат AML-проверки кошелька, нужно смотреть, из каких категорий сложился балл, насколько близко к кошельку находится рискованный источник и какая доля денег с ним связана.
Пример. Вы проверяете адрес продавца на P2P и видите 62%. Это может значить, что кошелёк два месяца назад получил крупный перевод прямо из миксера. А может значить, что четыре перехода назад через него прошла малая часть денег с биржи без KYC. Цифра похожая, ситуации совершенно разные. Ниже разберём, как отличить одно от другого.
Из каких категорий складывается риск
Сервисы AML-проверки размечают адреса по типу владельца. Категорий много, но основные выглядят так:
- Санкции. Адреса из санкционных списков, например OFAC. Самая тяжёлая категория: работа с ними может нарушать закон независимо от суммы.
- Миксеры. Сервисы, которые смешивают монеты разных пользователей и скрывают происхождение средств.
- Даркнет. Торговые площадки с запрещёнными товарами и связанные с ними кошельки.
- Скам и мошенничество. Адреса фальшивых инвестпроектов, фишинга, пирамид.
- Кражи и взломы. Кошельки, куда выводили украденные средства после взломов бирж и протоколов.
- Вымогатели. Адреса, на которые жертвы платили выкуп.
- Азартные игры. Онлайн-казино и букмекеры, часто без лицензии в вашей юрисдикции.
- Биржи без KYC. Площадки, где можно торговать без проверки личности, поэтому через них часто проходят сомнительные деньги.
Категории весят по-разному. Касание казино и прямой перевод от санкционного адреса не могут давать одинаковый вклад в балл. Поэтому первым делом в отчёте смотрите не на итоговую цифру, а на то, какие категории в ней присутствуют.
Прямая и косвенная связь
Прямая связь означает, что кошелёк сам отправлял или получал средства с рискованного адреса. Например, проверяемый адрес получил 3 000 USDT напрямую с кошелька даркнет-рынка.
Косвенная связь означает, что между проверяемым кошельком и рискованным источником есть промежуточные адреса. Деньги из миксера сначала ушли на кошелёк A, потом на B, потом на ваш.
Чем больше переходов отделяет кошелёк от источника, тем слабее связь. Через два-три шага деньги смешиваются с другими потоками, и вклад риска в балл должен снижаться. Прямая связь с санкциями, даркнетом или вымогателями, наоборот, весит очень много даже на небольшой сумме.
Доля потока против единичного касания
У крупного кошелька могут быть тысячи транзакций. Если одна из них пришла с адреса биржи без KYC, это касание, а не характер кошелька. Если же половина всех поступлений идёт через такие сервисы, это уже профиль.
Хорошая модель риска смотрит на долю рискованного потока, особенно когда речь о биржах и платёжных сервисах. Через их адреса проходит огромный объём денег, и среди миллионов переводов неизбежно найдутся проблемные. Отметить биржу высоким риском из-за одного такого перевода было бы неверно.
Почему пыль не должна пугать
Пыль (dust) называют крошечные переводы на несколько центов или долларов. Их рассылают массово: для рекламы, для деанонимизации адресов или в рамках «отравления адреса», когда мошенник надеется, что вы скопируете похожий адрес из истории.
Отправить пыль на чужой кошелёк может кто угодно, и владелец никак не может этому помешать. Поэтому если высокий процент риска объясняется переводом на 0,5 USDT с помеченного адреса, это не повод отказываться от сделки. В Cryptic AI пыль до $10 не завышает балл именно по этой причине.
Почему голая цифра мало что даёт
Многие сервисы выдают только процент и цветную плашку. Когда биржа блокирует вывод или контрагент отказывается от сделки, такой процент ничем не помогает: его нельзя проверить, оспорить или объяснить.
Полезный результат AML-проверки кошелька отвечает на три вопроса:
- Какая именно транзакция связывает кошелёк с рискованным адресом (хэш, сумма, время)?
- Кто стоит за этим адресом и откуда это известно?
- Сколько переходов и какая доля средств приходится на эту связь?
В отчётах Cryptic AI у каждого фактора риска есть доказательство: транзакция, источник и время. Факторы без доказательств отбрасываются. Итоговый балл от 0 до 100 считает детерминированный движок, а не языковая модель, поэтому одни и те же данные дают один и тот же балл, а сам балл раскладывается на составляющие. Например, если адрес сам находится под санкциями, балл не опускается ниже 90. То же правило действует при прямом контакте с санкционным адресом на сумму от $1 000 за последние 30 дней.
Что делать при разных значениях балла
Ниже ориентиры для шкалы 0–100. Они совпадают с тем, как Cryptic AI формирует рекомендацию по отчёту о подозрительной операции. Ваши внутренние правила могут быть строже.
| Балл | Что обычно означает | Что делать |
|---|---|---|
| 0–39 | Низкий риск. Рискованные связи отсутствуют или далёкие, малые по доле, на уровне пыли. Санкций и прямого даркнета нет | Проводить операцию в обычном порядке, сохранить отчёт. Сообщать о подозрительной операции не требуется |
| 40–69 | Средний риск. Есть заметные косвенные связи или прямые с менее тяжёлыми категориями | Ручной разбор: изучить доказательства, запросить у контрагента объяснение и документы, при необходимости отложить операцию |
| 70–100 | Высокий риск. Прямые связи с тяжёлыми категориями или большая доля рискованного потока | Не проводить операцию без глубокой проверки, передать дело комплаенс-офицеру, подготовить сообщение о подозрительной операции |
Есть исключения, которые важнее диапазона. Санкции, прямая связь с даркнетом или вымогателями требуют сообщения о подозрительной операции, даже если по сумме балл вышел невысоким.
Высокий риск AML: что значит для обычного пользователя
Если высокий балл у кошелька, с которого вам собираются заплатить, лучше отказаться от сделки или попросить другой адрес. Если высокий балл у вашего собственного кошелька, разберитесь, какие переводы его вызвали, и сохраните документы о происхождении средств. Они понадобятся, если биржа заморозит средства и запросит источник денег.
Поведение кошелька тоже имеет значение
Помимо связей с рискованными адресами, на риск влияет то, как кошелёк себя ведёт. Признаки, которые стоит учитывать:
- подозрительно ровные интервалы между переводами, похожие на автоматизацию;
- суммы чуть ниже порогов $10 000, $5 000, $3 000 или $1 000, что похоже на дробление;
- высокая доля круглых сумм;
- активность в необычные часы, не совпадающая с заявленной деятельностью.
Сами по себе эти признаки ничего не доказывают, но вместе с рискованными связями они усиливают картину.
Частые вопросы
Какой процент риска AML считается нормальным?
Ориентир для большинства задач: ниже 40 из 100 при отсутствии санкций и прямых связей с даркнетом. Но каждая организация устанавливает свои пороги, а биржи их не раскрывают.
Почему разные сервисы показывают разный risk score кошелька?
У них разные базы атрибуции адресов и разные модели подсчёта. Один сервис знает адрес как миксер, другой о нём не знает. Поэтому важнее видеть доказательства, чем сравнивать цифры.
Можно ли снизить риск-балл своего кошелька?
Изменить историю транзакций нельзя. Можно перестать принимать средства от непроверенных контрагентов и хранить документы о происхождении денег, чтобы объяснить старые связи.
Если балл 0, можно ничего не проверять?
Ноль означает, что известных рискованных связей не нашли. Новые адреса мошенников размечают не сразу, поэтому для регулярных операций нужен мониторинг, а не разовая проверка.
Проверить кошелёк и получить балл с расшифровкой можно бесплатно на странице AML-проверки Cryptic AI: отчёт с доказательствами по каждому фактору придёт на почту в течение рабочего дня. Если вы принимаете криптовалюту от клиентов регулярно, посмотрите KYT-мониторинг с алертами по кошелькам и PDF-отчётами для комплаенса.