Журнал "Information Security/ Информационная безопасность" #3, 2026

Однако наиболее резкий скачок про- изошел в 2025 г. По данным Chainalysis, через санкционные организации прошло около $104 млрд – почти 67% всего незаконного объема в $154 млрд. По сравнению с предыдущим годом рост составил 694%. Такая динамика отра- жает не только изменение крипторынка, но и смену приоритетов и методик самой Chainalysis. До конца 2022 г. компания в основном занималась расследованием взломов, деятельности хакерских групп и других киберпреступлений. Затем основной акцент сместился на выявле- ние и разметку санкционных адресов, юрисдикций и связанных с ними крипто- валютных потоков. В отличие от Chainalysis, Elliptic не пуб- ликует сводную годовую статистику по санкционным средствам, а делает ставку на отдельные расследования преступных схем, организаций и юрисдикций. В 2023 г. компания исследовала отмывание через кроссчейн-инфраструктуру и дея- тельность миксера Sinbad, связанного с Lazarus Group. В 2024 г. аналитики уста- новили, что около 9,7% исходящих средств P2P-биржи Bitpapa направлялось на санкционные адреса, после чего OFAC включило биржу в санкционный список. В 2025 г. Elliptic продолжила расследова- ния кроссчейн-отмывания, российского стейблкоина A7A5 и деятельности Prince Group, впоследствии также попавшей под санкции OFAC. Интересный пример – экосистема TON. После появления криптокошелька в мессенджере существовал риск, что связанные с ней адреса получат высо- корисковую AML-разметку. Чтобы этого избежать, TON еще в 2023 г. начала сотрудничать с Elliptic, а в 2025 г. коше- лек встроил ее решения для проверки адресов и скоринга транзакций. Уязвимости AML-сферы Несмотря на развитие блокчейн-ана- литики, существующие AML-системы остаются далекими от совершенства. Их работа основана на вероятностной оценке риска, поэтому отдельные механизмы могут использоваться злоумышленниками или приводить к ошибочным выводам. Теоретически злоумышленник может попытаться искусственно повысить риск большого числа криптоадресов. Для этого достаточно купить небольшой объем грязной криптовалюты и разо- слать ее в виде микротранзакций (пыли) на адреса бирж, эмитентов стейблкои- нов, обменников, мостов и других круп- ных участников рынка. На первый взгляд кажется, что через несколько хопов это должно привести к массовой высоко- рисковой разметке и блокировкам. На практике такой сценарий малове- роятен. AML/KYT-системы учитывают не только происхождение средств, но и их объем, долю в балансе, историю опера- ций, характер связей и другие факторы. Несколько центов, поступивших на адрес биржи с миллиардными оборотами, прак- тически не влияют на итоговую оценку риска. Разовая транзакция также не способна перевесить многолетнюю исто- рию легальной активности. Высокорисковая разметка обычно появляется не из-за случайного перево- да, а при устойчивой связи с противо- правной деятельностью. Анализируются регулярность операций, их объемы, структура переводов и принадлежность адресов к известным кластерам. По этой же причине Tether и Circle не бло- кируют адреса из-за случайно получен- ной «пыли» – такие решения прини- маются после требований регуляторов или при наличии убедительных доказа- тельств нарушений. Большинство AML-провайдеров также игнорирует незначительные переводы, постепенно снижает вес старых тран- закций и учитывает, что с каждым новым хопом влияние первоначального источ- ника уменьшается. Используется и кла- стерный анализ, позволяющий опреде- лять фактических владельцев адресов и их устойчивые связи. Поэтому одиноч- ная микротранзакция сама по себе не становится основанием для высокой оценки риска. Тем не менее подобные сценарии пока- зывают главное ограничение AML/KYT- систем. Любой скоринг – это баланс между чувствительностью к новым угро- зам и защитой от ложных срабатываний. Поэтому аналитические компании посто- янно корректируют свои алгоритмы и дополняют автоматическую оценку экс- пертным анализом. Регуляторы также ориентируются прежде всего на прямые связи с санкционными адресами, а не на любые подозрительные переводы. Что в России? Развитие AML-инфраструктуры сопро- вождается изменением регулирования, в том числе в России. Законопроект 1 о регулировании криптовалют вводит тре- бования к иностранным участникам рос- сийского крипторынка и предусматривает их работу в рамках российского регули- рования. Если документ примут, вывод средств на нерегулируемые в России площадки может стать недоступен через российские банки и биржи. Аналогичные проблемы могут возникнуть и у россий- ских участников рынка, если ведущие мировые AML/KYT-провайдеры присвоят им высокорисковую разметку. 19 мая на конференции ЦИПР дирек- тор департамента финансовой политики Минфина Алексей Яковлев сообщил, что ко второму чтению законопроекта планируется ввести отдельное регули- рование сервисов проверки происхож- дения криптовалюты. Оно позволит Банку России установить единые требо- вания к AML-сервисам и сформировать понятные правила их работы, сохранив при этом необходимую гибкость регули- рования. По словам Алексея Яковлева, важно учитывать не только требования российских AML-сервисов, но и то, как эти же адреса оцениваются зарубежны- ми системами. Итоговые проблемы Различия в оценке риска между запад- ными провайдерами (Chainalysis, Elliptic, TRM Labs) и российскими AML-сервиса- ми – не ошибка, а результат разных источников данных, требований регуля- торов, методик и политического кон- текста. Пока эти подходы остаются раз- ными, единого международного стан- дарта оценки криптовалютных рисков ожидать не приходится. Прежде всего различается понимание риска. Западные провайдеры ориенти- руются на санкции, хакерские атаки, мошенничество, наркоторговлю и финан- сирование терроризма. Российские сер- висы – на требования российского зако- нодательства, включая экстремизм, нало- говые преступления, незаконный вывод капитала и другие внутренние риски. Поэтому одна и та же операция может получить противоположные оценки. Различается и покрытие данных. Меж- дународные компании лучше знают зару- бежную инфраструктуру, российские – местные площадки, обменники и мошен- нические схемы. Поэтому адрес с высо- ким уровнем риска в одной системе может отсутствовать в другой. После 2022 г. усилился политический фактор. Западные и российские AML- провайдеры все чаще расходятся в оцен- ке одних и тех же адресов. Особенно заметны такие различия при разметке адресов, связанных с российской инфра- структурой и финансированием терро- ризма, поскольку компании используют разные санкционные списки и нацио- нальные базы данных. Для бизнеса это создает практические проблемы. Использование только запад- ного провайдера повышает риск ложных блокировок российских клиентов, а толь- ко российского – риск последующих санкций за рубежом. Поэтому крупные международные биржи обычно исполь- зуют сразу несколько AML-провайдеров. При расхождении оценок они обычно выбирают наиболее консервативный сценарий и блокируют операцию, если высокий риск обнаружен хотя бы одним из провайдеров. Попытки выработать единые подходы уже ведутся, прежде всего на уровне FATF, однако обязательного международ- ного стандарта пока не существует. l • 69 БЛОКЧЕЙНЫ И КРИПТОВАЛЮТЫ www.itsec.ru 1 https://sozd.duma.gov.ru/bill/1194918-8 – к моменту выхода номера законопроект находился на подписи у Президента РФ Ваше мнение и вопросы присылайте по адресу is@groteck.ru