Криптобиржелердегі KYC: сіз не тапсырасыз және Revolut оны қалай ағызып жіберді

Қыркүйекте британдық финтех Revolut қылмыскерлерге 680 клиенттің паспорттары мен жүргізуші куәліктерінің сканерлерін, тексеру селфилерін және биткоин операцияларының толық тарихын жіберді. Әдеттегі мағынадағы бұзу болған жоқ. Деректерді талап еткен хаттар итальяндық мемлекеттік доменнің нағыз пошта жәшігінен келді, шынайылықтың барлық техникалық тексерулерінен өтті, ал қызметкерлер оларды билік органдарының заңды сұрауы деп қабылдады.

Бұл оқиға әрбір жаңа клиент өтетін рәсімнің екінші жағын жақсы көрсетеді. Төменде криптобиржедегі KYC қалай құрылғанын, сізден қандай құжаттар мен деректер сұралатынын, бұл не үшін жасалатынын және деректеріңіздің алаяқтарға тиюі ықтималдығын қалай азайтуға болатынын талдаймыз.

KYC деген не

KYC — Know Your Customer сөзінің қысқартылуы, яғни «клиентіңді біл». Қарапайым тілмен айтқанда, бұл қаржы компаниясы шот ашып жатқан адамның кім екенін анықтауға және оның шынымен өзі айтқан адам екеніне көз жеткізуге міндетті деген ереже.

Пайдаланушы үшін KYC тексеруге саяды. Сіз құжаттарды жүктейсіз, бет суретін түсіресіз, тұрғылықты мекенжайды көрсетесіз, ал сервис осының бәрін бір-бірімен және сыртқы дерекқорлармен салыстырады. Сәйкестендіру мұнда бірінші қадам: алдымен өзіңізді таныстырасыз, сосын айтқаныңызды құжатпен растайсыз.

KYC-пен қатар әрдайым дерлік AML — Anti-Money Laundering, яғни ақшаны заңдастыруға қарсы іс-қимыл аталады. Бұл сол бір жүйенің екінші жартысы. Алдымен биржа сіздің кім екеніңізді анықтайды, сосын қаражатыңыздың қайдан келіп, қайда кететінін қадағалайды.

Биржа неге паспортты сұрайды

Талап алаңның өзінен емес, реттеушілерден шығады. Барлық ірі юрисдикцияларда дерлік криптобиржелер қаржы ұйымдарына теңестірілген және ақшаны заңдастыруға әрі терроризмді қаржыландыруға қарсы заңдарға бағынады. Клиенттерін тексермейтін компания лицензиясын, серіктес банктерін және айыппұлдарды тәуекелге тігеді.

Жалпы ережелерді FATF — осы саладағы стандарттарды әзірлейтін халықаралық топ белгілейді. Оның ұсыныстары криптосервистерден клиенттерді сәйкестендіруді және алаңдар арасындағы аударымдарда жіберуші мен алушы туралы мәліметтерді қоса беруді талап етеді. Бұл ереже travel rule деп аталады: адамдар туралы ақпарат транзакциямен бірге саяхаттайды.

Тексерудің үш практикалық мақсаты бар:

• шот артында бот немесе жалған тұлға емес, тірі адам тұрғанына көз жеткізу;
• клиентті санкциялық тізімдермен және ақшаны заңдастыруға қатысы бар адамдар тізбесімен салыстыру;
• қаржылық операциялар күдікті көрінсе, бас тартуға негіз алу.

Пайдаланушының өзіне де пайдасы бар. Расталған шотты қолжетімділікті жоғалтқанда қалпына келтіру оңай, ал алаңмен дауда сіздің қолыңызда шот пен ондағы криптоның дәл сізге тиесілі екенін дәлелдейтін айғақ болады.

Биржа қандай құжаттарды сұрайды

Жиынтық алаңнан алаңға өзгеше, бірақ негізгі тізім бәрінде дерлік бірдей.

1. Жеке басты куәландыратын құжат. Ішкі паспорт, шетелдік паспорт немесе жүргізуші куәлігі. Бет толықтай, жарқылсыз және шеттері кесілмей түсіріледі.
2. Бет суреті. Сервистердің көпшілігі нақты уақыттағы селфиді сұрайды: камера алдында тірі адам тұрғанын, басылған сурет емес екенін анықтайды. Кейбір алаңдарда сурет қолға құжат ұстап түсіріледі.
3. Тұрғылықты мекенжай. Оны үш айдан аспаған банк үзіндісімен немесе коммуналдық төлем түбіртегімен растайды.
4. Қаражат көзі. Жоғары деңгейлерде биржа ақшаның қайдан келгенін сұрайды: табыс туралы анықтама, мүлік сату шарты, шот бойынша үзінді.

Компаниялардан көбірек талап етіледі: құрылтай құжаттары, бенефициарлар туралы мәліметтер, директор деректері. Бөлек бизнес сипаты мен күтілетін айналым туралы сұрайды.

Тексеру деңгейлері мен лимиттер

Алаңдардың көбі рәсімді сатыларға бөледі. Тексеру өрлеу ретімен жүреді: пошта растаудан бастап қаражат көзін талдауға дейін. Саты неғұрлым жоғары болса, соғұрлым көп мәлімет бересіз және мүмкіндіктер де кеңейеді. Ірі сомаларда немесе даулы құжаттарда кейбір алаңдар қосымша қызметкермен бейнеқоңырау тағайындайды.

Нақты лимиттерді әр биржа өзі белгілейді. Оларды тіркелуден бұрын қарау керек, бірінші ірі депозиттен кейін, шығару кенет шекке тірелгенде емес.

Биржада тексеруден қалай өтуге болады

Бүкіл процесс бірнеше минуттан бірнеше күнге дейін созылады. Әрекеттер тәртібі бәрінде ұқсас:

1. Тіркеліп, поштаңыз бен телефоныңызды растаңыз.
2. Профиль баптауларынан тексеру бөлімін ашыңыз.
3. Елді және құжат түрін таңдаңыз.
4. Оны жақсы жарықта екі жағынан түсіріңіз.
5. Экрандағы нұсқаулық бойынша бет суретін түсіріңіз.
6. Шешімді күтіңіз. Автоматты тексеру әдетте минуттарға сыяды, қолмен тексеру бір-екі тәулік алады.

Бірінші реттен өту үшін көшірмені емес, түпнұсқаны пайдаланыңыз. Әрі сауалнамадағы деректер паспортпен әріпме-әріп сәйкес келуін қадағалаңыз, латын әріптерімен жазылуын қоса. Файлдарды тек ресми қосымшада немесе алаңның сайтында жүктеңіз: бұл ыңғайлылық емес, қауіпсіздік мәселесі.

Тексеруден неге бас тартады

Бас тарту көбіне күдікпен емес, ұсақ-түйекпен байланысты:

• бұлыңғыр сурет немесе суреттегі жарқыл;
• паспорт мерзімінің өтуі;
• аты-жөні жазылуындағы алшақтық;
• биржа жұмыс істемейтін тұрғылықты ел;
• бөтен құжаттарды өзінікі етіп көрсету әрекеті.

Соңғы тармақты бөлек талдаған жөн. Жеке басты растау сервистері селфидегі бетті құжаттағы суретпен салыстырып, ауыстыруды ұстап алады. Бөтен атқа ашылған шотты кез келген сәтте барлық қаражатымен бірге бұғаттауы мүмкін, ал мұны даулау енді мүмкін болмайды.

Тексеруден кейін не болады

Тексеру бір мәрте оқиға емес. Одан кейін де биржа операцияларды бақылауды жалғастырады, ал бұл кезеңді көпшілік бағаламайды.

AML жүйесі әрбір кіріс транзакцияны бағалайды. Егер крипто алаяқтыққа, миксерге немесе санкциялық сервиске қатысты мекенжайдан келсе, аударым жоғары тәуекел бағасын алады. Одан әрі алаң түсіндірме сұрауы, соманы анықталғанша мұздатуы немесе шотты жабуы мүмкін. Жіберуші мекенжайын алдын ала тексеру көмектеседі, бірақ мұндай тексерудің де су асты тастары бар, ол туралы әмиянның AML-тексеруі туралы талдауда жаздық.

Қайта тексеруді мінез-құлықтың күрт өзгеруі де іске қосады: айлар бойғы тыныштықтан кейінгі ірі сомалар, басқа елден кіру, жаңа мекенжайларға жиі аударымдар. Бұл — ақшаны заңдастыруды іздеудің классикалық белгілері. Клиент үшін бұдан бір қорытынды шығады: қаражаттың шығу тегін растайтын құжаттарды алдын ала сақтаған жөн, сома мұздатылғаннан кейін жинамау керек.

Биржа деректеріңізді қанша уақыт сақтайды

Шотты жою сіздің құжатыңызды алаң мұрағатынан өшірмейді. Ақшаны заңдастыруға қарсы заңдар қаржы компанияларын клиентпен қарым-қатынас аяқталғаннан кейін көшірмелер мен операциялар туралы мәліметтерді кемінде бес жыл сақтауға міндеттейді. Мұндай мерзім ресейлік 115-ФЗ заңында да, еуропалық директиваларда да белгіленген.

Сонымен, бір рет жүктелген дербес деректер компанияда жылдар бойы жатады, кейде бірнеше компанияда бірден. Көптеген криптобиржелер тексеруді өздері жүргізбей, оны сыртқы KYC-провайдерге береді, сонда көшірмелер сол жерде де сақталады. Мұндай тізбектегі әрбір қосымша буын ағып кету тәуекелін арттырады.

Тіркелуден бұрын құпиялылық саясатын ашып, үш нәрсені табу пайдалы: деректерді кім өңдейді, олар қайда сақталады және кімге берілуі мүмкін. Егер алаң бұл сұрақтарға жауап бермесе, бұл бірінші файлды жүктемес бұрын сақ болуға себеп.

Revolut-та не болды

Revolut жағдайы көрнекі болды, өйткені мәліметтер кодтағы осалдық арқылы емес, реттеушілер қорғаныш деп санайтын рәсім арқылы ағып кетті.

Financial Times пен салалық басылымдардың мәліметінше, операция бірнеше айға созылған. Шабуылдаушылар Италияның сертификатталған электрондық поштасы PEC жүйесіндегі ішкі істер министрлігіне байланысты жәшікке қолжетімділік алған. Сол мекенжайдан келген хаттар жіберушінің шынайылығын тексерудің бәрінен — SPF, DKIM және DMARC-тен өткен, сондықтан комплаенс бөлімі үшін олар биліктің нағыз талаптары болып көрінген. Жауап ретінде қызметкерлер клиенттердің досьесін шығарған.

Шабуылдаушыларға не кетті:

• паспорттар мен жүргізуші куәліктерінің сканерлері;
• тексеру кезінде жасалған селфилер;
• шот бойынша үзінділер, IBAN және шығару тарихы;
• биткоинмен жасалған операциялардың толық тарихы.

Алдымен топ 10 000 BTC, яғни шамамен 780 млн доллар талап етті. Кейін соманы Monero-мен шамамен 3 млн долларға дейін түсіріп, файлдарды басқа қылмыстық топтарға сатамыз деп қорқытты. Revolut бұл оқиғаны мемлекеттік органның атын жамылған күрделі сыртқы схема деп атады әрі компания жүйелері мен клиент қаражаты зардап шекпегенін мәлімдеді. Британдық дербес деректерді қорғау реттеушісі ағып кету туралы хабарламаны зерделеуде, қаржы реттеушісі FCA компаниямен байланыста, итальян билігі мемлекеттік жәшіктің бұзылуын тергеп жатыр.

Ұрланған құжаттар несімен қауіпті

Сканнің өзі ақша ұрламайды. Қауіп ағып кеткен досьеде бәрі жиынтық болуында: аты-жөні, мекенжайы, телефоны, бет суреті, операциялар тарихы және байлықтың шамамен көлемі. Алаяқ үшін бұл — дайын құрбан профилі.

Мұндай жиынтықпен не істеуге болады:

• тексеруі әлсіз алаңда сіздің атыңызға шот ашып, ол арқылы бөтен ақшаны өткізу;
• қауіпсіздік қызметінің атынан қоңырау шалып, сенім ұялату үшін транзакцияларыңыздың нақты сомасын атау;
• ірі крипто портфелінің иесін үй мекенжайы бойынша табу.

Соңғысы енді теория емес. Тек Францияда осы жылдың алғашқы сегіз айында крипто үшін 70-тен астам ұрлау мен шабуыл тіркелді, бұл туралы Франциядағы кілт-шабуылдар туралы материалда жазғанбыз. Қолында құжат ұстаған бет суреттері қара нарықта кәдімгі сканерлерден қымбат бағаланады: олармен басқа сервистердегі бөтен тексеруден өтуге тырысады.

Тексерусіз криптобиржа: тұрарлық па

Құжат талап етпейтін алаңдар мен айырбастау пункттері бар, анонимді сатып алуға сұраныс та түсінікті. Бірақ мұндай таңдаудың өз тәуекелдері бар:

• шығару лимиттері, одан кейін сервис бәрібір құжат талап етеді, оның үстіне ақшаңыз әлдеқашан оның қолында болған кезде;
• AML жүйесінің сигналы бойынша қаражатты мұздату, шешімді даулау мүмкіндігінсіз;
• талап қоюға болатын заңды тұлғаның болмауы;
• мұндай сервистер арасында алаяқ көшірмелердің үлесі жоғары.

Криптоны алаңдарды айналып өтіп жеке тұлғаларға сатқанда бөлек тәуекел пайда болады. Егер сатып алушы алаяқтықпен алынған ақшамен төлесе, банк алушы ретінде сіздің картаңызды бұғаттауы мүмкін, ал адалдықты дәлелдеу сізге қалады. Сондықтан контрагенттің деректері мен хат алысуды бір реттік мәмілде де сақтаған жөн.

Шынын айтқанда былай: тексеруден бас тарту деректеріңізді қорғамайды, қауіпті басқа жаққа жылжытады. Құжат ағып кетудің орнына ақшаның өзін жоғалту мүмкіндігін аласыз.

Тексеру кезінде деректеріңізді қалай қорғауға болады

Ағып кетуді толық болдырмау мүмкін емес, бірақ зиянды азайтуға болады. Мұндағы негізгі қауіпсіздік ережелері кез келген қаржы сервисіндегідей.

1. Сайт мекенжайын тексеріңіз. Биржалардың фишингтік көшірмелері құжаттарды түпнұсқалар сияқты жинайды. Мұндай схемалар туралы толығырақ — криптодағы фишинг туралы талдауда жаздық.
2. Құжаттарды мессенджерлерде жібермеңіз. Бірде-бір алаң жеке басты куәландыратын құжаттың суретін Telegram арқылы немесе жауап хатпен жіберуді сұрамайды.
3. Поштамен кететін көшірмелерді белгілеңіз. «Тек X алаңындағы тексеру үшін» деген жазу мен күні көшірмені қайта пайдалануға кедергі жасайды. Камера арқылы автоматты тексеру үшін бұл жарамайды: жүйе өзгертілген кескінді қабылдамайды.
4. Екі факторлы қорғанысты қосыңыз. Ұрланған көшірмелер шотқа кіруге көмектеспейді, егер кіру аутентификатор қосымшасымен расталса. Бұл — бірінші күні жасалатын басты қауіпсіздік баптауы.
5. Портфеліңіз туралы жария айтпаңыз. Әлеуметтік желілерде мақтану қылмыскерлердің құрбан таңдайтын басты көзі болып қала береді.

Биржадан тыс қалдыратын дербес деректеріңізді де ұмытпаңыз. Криптоәмиянға байланған телефон нөмірі және жария профильдегі пошта шабуылдаушыға ағып кеткен сканмен бірдей жіп береді. Мұндай іздер неғұрлым аз болса, жалпы қауіпсіздік деңгейі соғұрлым жоғары, ал бұған ешқандай тексеру әсер етпейді.

Ресейдегі тексеру

Ресейлік пайдаланушылардың өз ерекшеліктері бар. 2026 жылғы 1 қыркүйектен бастап елдегі криптовалюта операциялары лицензияланған делдалдар арқылы жүреді, ал Росфинмониторинг цифрлық депозитарийдегі шот үшін ЖСН (ИНН) міндетті болатынын мәлімдеді. 60 000 рубльден қымбат операциялар туралы мәліметті депозитарийлер реттеушіге береді. Бұл ережелер Ресейде криптовалюталық шотты қалай ашуға болады туралы талдауда жаздық.

Шетелдік алаңдармен жағдай басқаша. Олардың бір бөлігі ресейлік құжаттарды қабылдамайды немесе резиденттер үшін мүмкіндіктерді шектейді, сондықтан тіркелуден бұрын өз еліңізге қатысты шарттарды тексеру керек.

Тағы бір жайт. Биржа клиент туралы мәліметтерді заңды сұрау бойынша бере алады, ал бұл іс жүзінде қалай көрінетінін биржалар деректерді сұрау бойынша не береді деген материалымыз көрсетеді. Revolut жағдайы бұған жағымсыз бір деталь қосады: заңдыдан ажыратылмайтын сұрау жалған болып шығуы мүмкін.