KYC/AML на крипторынке 2026–2027: риски, новые обязанности и подготовка платформы

KYC/AML на крипторынке — это обязанность платформы установить личность клиента, оценить риск и контролировать операции с цифровой валютой. В России требования закреплены Законом № 115-ФЗ, Законом № 282-ФЗ и Законом № 283-ФЗ. Применяются организатором торговли, брокером, доверительным управляющим, цифровым депозитарием и организацией обмена цифровых валют.

Кратко:

• Обязанности по ПОД/ФТ распространены на организации обмена и цифровые депозитарии с 1 сентября 2026 года (ч. 1 ст. 56 Закона № 282-ФЗ).
• С 1 июля 2027 года резиденты совершают сделки с цифровой валютой только с участием лиц, организующих обращение, кроме прямо названных в законе случаев.
• С 1 сентября 2027 года действуют антифрод-обязанности статьи 45: проверка принадлежности счёта, сверка получателя с базой данных Банка России, задержка крупных переводов.
• Организацией обмена закон считает общество с двумя и более сделками в месяц с резидентами при совокупном объёме свыше 3,5 млн руб.
• Переводы цифровой валюты сопровождаются сведениями о сторонах с порогом 60 тыс. руб.; для неквалифицированных инвесторов проект указания Банка России от 11 августа 2026 года предлагает лимит 300 тыс. руб. в год у каждого посредника.

Что уже действует: три даты и один запрет

Цифровая валюта признана имуществом частью 1 статьи 1 Закона № 282-ФЗ, использование её как средства платежа запрещено частью 6, а часть 7 перечисляет исключения: расчёты по внешнеторговым договорам, получение валюты в результате майнинга, комиссии по правилам информационной системы. Закон подписан 4 августа 2026 года, сроки введения норм закреплены статьёй 56. Порядок проведения KYC и контроля операций платформа закрепляет в правилах внутреннего контроля по ПОД/ФТ.

Обращение цифровой валюты организуют организатор торговли, брокер, доверительный управляющий, цифровой депозитарий и организация обмена цифровых валют; клиринговая организация и оператор информационной системы выпуска ЦФА в перечень не входят. К организации обмена закон относит общество, которое совершает с резидентами две и более сделки в месяц с совокупным объёмом свыше 3,5 млн руб. Порядок получения статуса разобран в материале о лицензировании криптобирж, календарь сроков приведён в разборе 282-ФЗ и 283-ФЗ по датам.

Закон № 283-ФЗ отнёс организации обмена и цифровые депозитарии к субъектам Закона № 115-ФЗ: они идентифицируют клиентов, обновляют сведения, замораживают активы по решениям и отчитываются в Росфинмониторинг. С той же даты расширен перечень операций обязательного контроля и введено сопровождение переводов цифровой валюты сведениями о сторонах с порогом 60 тыс. руб. Признаки операций обязательного контроля и состав антифрод-обязанностей криптоплатформа закрепляет в правилах внутреннего контроля и обновляет их при изменении перечня.

Специальные санкции пока проектируются. Законопроект № 1209607-8 вводит статью 171.7 УК РФ за посредничество с цифровой валютой без лицензии: до 4 лет лишения свободы при доходе свыше 3,5 млн руб. и до 7 лет при особо крупном размере. Законопроект № 1194944-8 дополняет КоАП РФ статьёй 15.29-1: сделки организации обмена с неквалифицированными инвесторами сверх ограничений влекут штраф на юридических лиц от 700 тыс. руб. до 1 млн руб. Вступление обоих проектов предполагается с 1 июля 2027 года. Обязанности, которые действуют с 1 сентября 2026 года, перечислены в материале об ответственности участников рынка цифровых валют.

Что платформа делает после включения в реестр

Организатор торговли, брокер и доверительный управляющий работают по лицензии Банка России, цифровой депозитарий и организация обмена цифровых валют получают статус после включения в реестр. Банк России проверяет поданные компанией документы однажды, когда регулятор изучает комплект заявителя. Дальше соответствие поддерживается работающими процедурами платформы.

• Обновление сведений о клиенте. Подпункт 3 пункта 1 статьи 7 Закона № 115-ФЗ обязывает обновлять информацию о клиенте не реже одного раза в год, по клиентам низкой степени риска не реже одного раза в три года, а при сомнениях в достоверности данных в течение семи рабочих дней.
• Пересмотр риск-профиля. Клиент с минимальной оценкой риска спустя полгода может выйти на объёмы и схемы платежей, требующие углублённой проверки.
• Воспроизводимость решений. По каждому отказу и одобрению восстанавливается, какие данные проверялись, какие источники ответили и кто принял решение.
• Работа в режиме сбоя. Заранее определяется, какие сценарии уходят на ручную обработку при недоступности источника, а какие ставятся в очередь.

Платформа, которая проверила клиента в сентябре 2026 года и больше не возвращалась к его данным, формально процедуру выполнила. Если клиент сменил паспорт, вышел на объёмы повышенного риска и начал получать переводы от новых контрагентов, платформа обновляет сведения о нём и пересматривает степень риска, не дожидаясь годового срока.

Сколько стоит комплаенс криптоплатформе

Комплаенс и продукт делят один бюджет. Результат проверок платформа измеряет деньгами, сроками и потерянными клиентами:

Усиление проверок снижает долю пропущенного фрода и одновременно повышает долю ошибочных отказов. Комплаенс и антифрод-команда настраивают порог по совокупным потерям: каждой ошибке назначается цена по среднему ущербу от мошеннического аккаунта и средней выручке потерянного клиента. Какие проверки не защищают от фрода, описывает обзор метрик фрода при регистрации.

Как мошенники обходят верификацию: дипфейки и подмена личности

Социальная инженерия обманывает клиента, атака на верификацию обманывает саму проверку. Отчёт Chainalysis за 2026 год фиксирует рост схем с подменой личности на 1400 % за 2025 год: жертва переводит активы сама, обманутая на своей стороне. Атака на верификацию устроена иначе: отчёт Entrust за 2026 год фиксирует рост числа поддельных селфи на 58 % в 2025 году, а в криптовалютном секторе относит к этапу регистрации 67 % попыток мошенничества. Отраслевые проценты дают ориентир, свой показатель платформа получает из журнала отказов и подтверждённых случаев фрода.

Мошеннику подделка обходится всё дешевле, платформе распознавание всё дороже. Платформа отвечает цепочкой проверок, где каждый этап отсекает свой класс подделок.

• Проверка на живость. Подтверждает присутствие реального человека перед камерой, отсекает записи с экрана, маски и сгенерированный видеопоток.
• Анализ цифрового следа и поведенческих факторов. Собирает параметры устройства и поведения в сессии и передаёт скоринговый балл риска, по которому платформа выявляет эмуляторы, ботов и фермы регистраций.
• Проверка связки контактных данных. Проверяет, пользуется ли заявитель указанным номером телефона, по источникам, в которых человек проходил идентификацию, в том числе когда номер оформлен на другое лицо.
• Сверка документа с эталонными источниками. Проверяет достоверность паспортных данных по эталонным источникам. Распознавание документа этот шаг не заменяет.

Что должен уметь сервис проверки на живость, объясняет разбор liveness detection и защиты от дипфейков. Отдельный класс атак формирует использование синтетической идентичности: мошенник соединяет реальный ИНН, чужой адрес и сгенерированное лицо. Поэлементная сверка такую атаку пропускает: каждое поле по отдельности подлинное. Платформа ищет совпадения устройств и адресов между заявками.

Чем KYT отличается от KYC и как проверить происхождение активов

Идентификация отвечает на вопрос, кто открывает счёт; контроль транзакций (KYT) отвечает, откуда пришли активы и куда уходят. Адрес-идентификатор платформа проверяет дважды: перед зачислением и перед выводом. Результат такой проверки вероятностный, и правило маршрутизации распределяет операции по уровню риска: низкий проходит автоматически, средний уходит на ручной разбор, высокий останавливает операцию до решения ответственного сотрудника. Если адреса клиента связаны с высокорисковыми источниками, платформа пересматривает степень риска клиента по правилам внутреннего контроля. KYC устанавливает личность клиента и проверяет его данные, KYT анализирует операции и происхождение активов.

Нужно ли идентифицировать ИИ-агента по российскому праву

Автоматические агенты инициируют операции от имени пользователя. Нормативных требований к идентификации таких агентов в России нет, а проверку по 115-ФЗ платформа по-прежнему проводит в отношении клиента, от имени которого действует агент. В журнале платформа фиксирует признак автоматизированного обращения и связывает его с идентифицированным клиентом. Подход разобран в материале о Know Your Agent.

Как работает travel rule за рубежом и какой порог действует в России

Рекомендация 16 FATF предписывает юрисдикциям обязать провайдеров операций с виртуальными активами передавать вместе с переводом сведения об отправителе и получателе. Порог, ниже которого состав данных сокращается, FATF ограничивает суммой 1 000 USD или EUR, при этом ниже порога сведения о сторонах передаются всё равно, а юрисдикция вправе ввести более строгое правило. Travel rule в Австралии действует с 1 июля 2026 года для переводов любой суммы. В Бразилии резолюция № 520 Банка Бразилии действует поэтапно с 2 февраля 2026 года, обязательное применение к внутренним переводам наступает 2 февраля 2027 года, к международным 2 февраля 2028 года. Российская платформа сопровождает переводы цифровой валюты сведениями о сторонах с порогом 60 тыс. руб. Чем ближе набор передаваемых полей к международной практике, тем меньше уточняющих запросов от зарубежного контрагента и задержек по переводу.

Разрешены ли P2P-сделки после 1 июля 2027 года

С 1 июля 2027 года резиденты совершают сделки, включая внебиржевые адресные, только с участием лиц, организующих обращение. Исключения приведены в законе: платёж по внешнеторговой сделке с нерезидентом, операция без российской платёжной инфраструктуры и средств в России, сделка майнера при контрагенте-нерезиденте.

Банк России 11 августа 2026 года опубликовал для обсуждения проект указания, по которому неквалифицированный инвестор сможет приобретать криптовалюту у каждого посредника на 300 тыс. руб. в год, а перечень доступных активов ограничен Bitcoin, Ethereum и Tether USDT. Тестирование и ознакомление с рисками проходят инвесторы любого статуса: платформа встраивает эти шаги в регистрацию и хранит их подтверждение. Пока указание остаётся проектом, лимит и список активов платформа настраивает как изменяемые параметры. После публикации итогового текста указания платформа перепроверяет размер лимита и состав доступных активов.

Резидентство для сделок с цифровой валютой определяется по валютному законодательству, где признаком служат гражданство РФ или вид на жительство. С налоговым статусом оно не совпадает, поэтому платформа устанавливает резидентство и категорию инвестора на входе. Отличия процедур для обменников и P2P-площадок рассмотрены в обзоре KYC для криптообменников и P2P-площадок.

Что успеть до 1 июля 2027 года: план подготовки платформы

К 1 июля 2027 года процедуры должны работать в продуктовом режиме. Чтобы уложиться в срок, платформе предстоит:

1. Определить категорию участника, основание допуска (лицензия Банка России либо включение в реестр) и применимый переходный срок.
2. Разработать правила внутреннего контроля по ПОД/ФТ, назначить ответственного сотрудника и подключить личный кабинет на сайте Росфинмониторинга.
3. Выстроить идентификацию: сбор сведений, распознавание документа, установление действительности и принадлежности, оценка риска, журналирование.
4. Настроить обработку биометрических данных по статье 11 Закона № 152-ФЗ и Закону № 572-ФЗ и локализацию по части 5 статьи 18.
5. Настроить классификацию по резидентству и категории инвестора с тестированием, уведомлением о рисках и контролем годового лимита.
6. Внедрить контроль операций: проверку адресов-идентификаторов, выявление операций обязательного контроля и сопровождение переводов сведениями о сторонах.
7. Подготовить антифрод-контур к 1 сентября 2027 года по требованиям статьи 45 Закона № 282-ФЗ.
8. Собрать цепочку защиты от подмены личности: проверка на живость, анализ цифрового следа устройства и поведения, проверка связки ФИО и телефона, сверка документа с эталонными источниками.
9. Задать регламент повторных проверок и пересмотра риск-профиля, включая поведение процесса при недоступности источников.
10. Ввести отчётность по метрикам и провести испытания процесса с запасом по времени до 1 июля 2027 года.

Как IDX поддерживает процессы идентификации

IDX помогает криптоплатформе выполнять проверки. Платформа встраивает в путь клиента распознавание документов, сверку лиц по фото, проверку на живость, сбор параметров устройства со скоринговым баллом и сверку данных по эталонным источникам. Обязанность идентифицировать клиента, оценить риск и сохранить результат Закон № 115-ФЗ возлагает на саму платформу.