Верификация на бирже: что такое KYC и как утекли паспорта клиентов Revolut

В сентябре британский финтех Revolut отправил злоумышленникам сканы паспортов, водительских удостоверений, фотографии лиц и полную историю биткоин-операций 680 клиентов. Взлома в привычном смысле не было. Письма с требованием выдать сведения пришли с настоящего почтового ящика итальянского государственного домена, выдержали все технические проверки подлинности, и сотрудники приняли их за законный запрос властей.

История хорошо показывает обратную сторону процедуры, через которую идёт каждый новый клиент. Ниже разберём, как устроена верификация на криптобирже, какие документы и данные у вас запрашивают, зачем это делается и как уменьшить шанс, что ваши сведения окажутся у мошенников.

Что такое KYC

KYC расшифровывается как Know Your Customer - «знай своего клиента». Если объяснять простыми словами, это правило, по которому финансовая компания обязана установить личность того, кто открывает у неё счёт, и убедиться, что человек действительно тот, за кого себя выдаёт.

Для пользователя KYC сводится к верификации. Вы загружаете документы, делаете фотографию лица, указываете адрес проживания, а сервис сверяет всё это между собой и с внешними базами данных. Идентификация здесь - первый шаг: сначала вы называете себя, затем подтверждаете сказанное бумагами.

Рядом с KYC почти всегда упоминают AML - Anti-Money Laundering, то есть противодействие отмыванию денег. Это вторая половина той же системы. Сначала биржа выясняет, кто вы, а потом следит, откуда приходят и куда уходят ваши средства.

Зачем биржа просит паспорт

Требование исходит не от самой площадки, а от регуляторов. Почти во всех крупных юрисдикциях криптобиржи приравнены к финансовым организациям и подчиняются законам о борьбе с отмыванием денег и финансированием терроризма. Компания, которая не проводит верификации клиентов, рискует лицензией, банками-партнёрами и штрафами.

Общие правила задаёт FATF - международная группа, которая разрабатывает стандарты в этой сфере. Её рекомендации требуют от криптосервисов идентифицировать клиентов и передавать сведения об отправителе и получателе при переводах между площадками. Это правило называют travel rule: информация о людях путешествует вместе с транзакцией.

У проверки три практические цели:

• убедиться, что за аккаунтом стоит живой человек, а не бот или подставное лицо;
• сверить клиента с санкционными списками и перечнями лиц, замешанных в отмывании денег;
• получить основания для отказа, если финансовые операции выглядят подозрительно.

Есть польза и для самого пользователя. Подтверждённый аккаунт легче восстановить при потере доступа, а в споре с площадкой у вас на руках доказательство, что счёт и криптовалюта на нём принадлежат именно вам.

Какие документы запрашивает биржа

Набор отличается от площадки к площадке, но базовый список почти везде одинаков.

1. Удостоверение личности. Внутренний паспорт, загранпаспорт или водительские права. Разворот фотографируют целиком, без бликов и обрезанных краёв.
2. Фотография лица. Большинство сервисов просит селфи в реальном времени: камера определяет, что перед ней живой человек, а не распечатка. На части площадок снимок делают с документом в руках.
3. Адрес проживания. Его подтверждают банковской выпиской или квитанцией за коммунальные услуги не старше трёх месяцев.
4. Источник средств. На продвинутых уровнях биржа спрашивает, откуда деньги: справка о доходах, договор продажи имущества, выписка по счёту.

С компаний спрашивают больше: учредительные документы, сведения о бенефициарах, данные директора. Отдельно спрашивают о характере бизнеса и ожидаемых оборотах.

Уровни верификации и лимиты

Большинство площадок делит процедуру на ступени. Проверка идёт по нарастающей: от простого подтверждения почты до анализа источника средств. Чем выше ступень, тем больше сведений вы отдаёте и тем шире возможности. При крупных суммах или спорных бумагах некоторые площадки дополнительно назначают видеозвонок с сотрудником.

Конкретные лимиты у каждой биржи свои. Смотреть их нужно до регистрации, а не после первого крупного депозита, когда вывод внезапно упирается в потолок.

Как пройти верификацию на бирже

Весь процесс занимает от нескольких минут до пары дней. Порядок действий везде похож:

1. Зарегистрируйтесь и подтвердите почту и телефон.
2. Откройте раздел верификации в настройках профиля.
3. Выберите страну и тип документа.
4. Сфотографируйте его с обеих сторон при хорошем освещении.
5. Сделайте фотографию лица по инструкции на экране.
6. Дождитесь решения. Автоматическая проверка обычно укладывается в минуты, ручная занимает сутки-двое.

Чтобы пройти процедуру с первого раза, используйте оригинал, а не ксерокопию. И проследите, чтобы данные в анкете совпадали с паспортом буква в букву, включая написание латиницей. Загружайте файлы только в официальном приложении или на сайте площадки: это вопрос безопасности, а не удобства.

Почему в верификации отказывают

Отказ чаще всего связан не с подозрениями, а с мелочами:

• размытое фото или блики на снимке;
• истёкший срок действия паспорта;
• расхождение в написании имени;
• страна проживания, с которой биржа не работает;
• попытка выдать чужие документы за свои.

Последний пункт стоит разобрать отдельно. Сервисы подтверждения личности сравнивают лицо на снимке с фото в удостоверении и ловят подмену. Аккаунт, заведённый на чужое имя, могут заблокировать в любой момент вместе со всеми средствами, и оспорить это уже не получится.

Что происходит после проверки

Верификация - не разовое событие. После неё биржа продолжает наблюдать за операциями, и этот этап многие недооценивают.

AML-система оценивает каждую входящую транзакцию. Если криптовалюта пришла с адреса, связанного с мошенничеством, миксером или санкционным сервисом, перевод получает высокую оценку риска. Дальше площадка может запросить объяснения, заморозить сумму до выяснения или закрыть счёт. Проверить адрес отправителя заранее помогает AML-проверка, но и у неё есть подводные камни, о которых мы писали в разборе AML-проверки кошелька.

Повторную проверку запускают и резкие перемены в поведении: крупные суммы после месяцев тишины, вход из другой страны, частые отправки криптовалюты на новые адреса. Это классические признаки, по которым ищут отмывание денег. Для клиента отсюда следует одно: подтверждения происхождения средств лучше хранить заранее, а не собирать, когда сумма уже заморожена.

Сколько биржа хранит ваши данные

Удаление аккаунта не стирает ваше удостоверение из архива площадки. Законы о противодействии отмыванию денег обязывают финансовые компании хранить копии и сведения об операциях не менее пяти лет после окончания отношений с клиентом. Такой срок установлен и в российском законе 115-ФЗ, и в европейских директивах.

Получается, что персональные данные, загруженные однажды, лежат у компании годами, иногда у нескольких сразу. Многие криптобиржи не проводят проверку сами, а передают её внешнему KYC-провайдеру, и тогда копии хранятся ещё и у него. Каждое такое звено добавляет риски утечки.

Перед регистрацией полезно открыть политику конфиденциальности и найти три вещи: кто обрабатывает данные, где они хранятся и кому их могут передать. Если площадка на эти вопросы не отвечает, это повод насторожиться ещё до загрузки первого файла.

Что произошло у Revolut

Случай Revolut стал показательным, потому что сведения утекли не через уязвимость в коде, а через процедуру, которую регуляторы считают защитной.

По сведениям Financial Times и профильных изданий, операция шла несколько месяцев. Злоумышленники получили доступ к ящику итальянской системы сертифицированной электронной почты PEC, связанному с министерством внутренних дел. Письма с этого адреса прошли все проверки подлинности отправителя - SPF, DKIM и DMARC, поэтому для комплаенс-отдела выглядели как настоящие требования властей. В ответ сотрудники выгрузили досье клиентов.

Что ушло злоумышленникам:

• сканы паспортов и водительских удостоверений;
• селфи, сделанные при верификации;
• выписки по счетам, IBAN и история выводов;
• полная история транзакций с биткоином.

Сначала группа потребовала 10 000 BTC, это около 780 млн долларов. Затем сумму снизили примерно до 3 млн долларов в Monero и пригрозили продать файлы другим преступным группам. Revolut назвал инцидент сложной внешней схемой с выдачей себя за госорган и заявил, что системы компании и средства клиентов не пострадали. Британский регулятор по защите персональной информации изучает сообщение об утечке данных, финансовый регулятор FCA взаимодействует с компанией, итальянские власти расследуют компрометацию государственного ящика.

Чем опасны украденные документы

Скан сам по себе денег не крадёт. Опасность в том, что в утёкших досье всё идёт комплектом: имя, адрес, телефон, фотография лица, история операций и примерный размер состояния. Для мошенника это готовый профиль жертвы.

Что можно сделать с таким набором:

• открыть счёт на ваше имя на площадке со слабой проверкой и прогнать через него чужие деньги;
• позвонить от имени службы безопасности и назвать точные суммы ваших транзакций, чтобы вызвать доверие;
• найти владельца крупного портфеля криптовалюты по домашнему адресу.

Последнее уже не теория. По данным французских властей, только за первые восемь месяцев этого года во Франции зафиксировали больше 70 нападений и похищений ради криптовалюты. Снимки лица с документом в руках ценятся на чёрном рынке выше обычных сканов: с ними пытаются обойти чужую проверку на других сервисах.

Криптобиржа без верификации: стоит ли

Площадки и обменники, которые не требуют документов, существуют, и спрос на анонимную покупку понятен. Но у такого выбора свои риски:

• лимиты на вывод, после которых сервис всё равно потребует документы, причём в момент, когда ваши деньги уже у него;
• заморозка средств по сигналу AML-системы без возможности оспорить решение;
• отсутствие юридического лица, к которому можно предъявить претензию;
• высокая доля мошеннических клонов среди таких сервисов.

Отдельный риск возникает при продаже криптовалюты за рубли частным лицам в обход площадок. Если покупатель расплатился деньгами, полученными мошенническим путём, банк может заблокировать вашу карту как получателя, и доказывать добросовестность придётся уже вам. Поэтому данные контрагента и переписку стоит сохранять даже в разовой сделке.

Честнее сказать так: отказ от верификации не защищает ваши сведения, а переносит угрозу в другое место. Вместо утечки документов вы получаете шанс потерять сами деньги.

Как защитить свои данные при верификации

Полностью исключить утечку нельзя, но уменьшить ущерб можно. Базовые правила безопасности здесь те же, что и для любых финансовых сервисов.

1. Проверяйте адрес сайта. Фишинговые копии бирж собирают документы так же, как оригиналы. Подробнее о таких схемах - в разборе фишинга в криптовалюте.
2. Не отправляйте документы в мессенджерах. Ни одна площадка не просит прислать фото удостоверения в Telegram или ответным письмом.
3. Помечайте копии, которые уходят по почте. Надпись «только для верификации на площадке X» с датой мешает использовать копию повторно. Для автоматической проверки через камеру это не подходит: система отклонит изменённое изображение.
4. Включите двухфакторную защиту. Украденные копии не помогут войти в аккаунт, если вход подтверждается приложением-аутентификатором. Это главная настройка безопасности, которую стоит сделать в первый же день.
5. Не рассказывайте о портфеле публично. Хвастовство в соцсетях остаётся главным источником, по которому преступники выбирают жертв.

Отдельно стоит помнить о личных данных, которые вы оставляете вне биржи. Номер телефона, привязанный к криптокошельку, и почта из публичного профиля дают злоумышленнику ту же ниточку, что и утёкший скан. Чем меньше таких следов, тем выше общий уровень безопасности, и никакая верификация на это не влияет.

Верификация в России

У российских пользователей свои особенности. С 1 сентября 2026 года операции с криптовалютой в стране идут через лицензированных посредников, а Росфинмониторинг объявил, что для счёта в цифровом депозитарии ИНН станет обязательным. Сведения об операциях дороже 60 000 рублей депозитарии передают регулятору. Подробно эти правила разобраны в статье о том, как открыть криптовалютный счёт.

С зарубежными площадками ситуация другая. Часть из них не принимает российские документы или урезает функции для резидентов, поэтому перед регистрацией нужно проверить условия для своей страны и отдельно уточнить, какие криптобиржи работают с вашим гражданством без ограничений.

И ещё один момент. Биржа может передать сведения о клиенте по законному запросу, как это выглядит на практике, показывает дело с Binance. Случай Revolut добавляет к этому неприятную деталь: запрос, неотличимый от законного, может оказаться поддельным.