KYC для криптообменника: с чего начать

KYC — не одна проверка, а сценарий

Легко думать про KYC как про один шаг: «проверили паспорт — можно пускать». На практике это цепочка из нескольких независимых проверок, каждая из которых закрывает свой отдельный риск. Документ может быть настоящим — а человек чужим. Человек — настоящим, а его репутация — нет. Перевод может быть заявлен — а по факту не выполнен.

Из-за этого одна проверка почти никогда не заменяет другую, и выстраивать сценарий разумнее сразу с расчётом на несколько независимых сигналов, а не докручивать их по одному после первого инцидента.

Шаг 1. Подтвердить личность

Первый и самый очевидный шаг — онлайн-идентификация: чтение данных с паспорта, подтверждение его действительности по базам государственных органов, проверка живости человека перед камерой и сравнение его лица с фотографией в документе. Без этого шага все остальные проверки строятся поверх неизвестной личности — что бы ни показал следующий этап, непонятно, к кому он относится.

Здесь же имеет смысл сразу закладывать отдельную проверку записи на признаки синтетической подмены лица: обычные задания на живость дипфейк способен выполнить не хуже настоящего человека, и без этого шага такая подмена остаётся незамеченной.

Шаг 2. Оценить благонадёжность

Дальше вопрос смещается с «кто это» на «можно ли ему доверять». Оценка благонадёжности клиента объединяет сразу несколько сигналов: базы государственных органов, санкционные списки, финансовый рейтинг по кредитной истории, цифровой отпечаток на предмет ботов и массовой регистрации, проверку на использование чужих банковских аккаунтов. По отдельности каждый сигнал слабый, а вместе они складываются в понятный рейтинг.

Важно, что низкий рейтинг — не повод для автоматического отказа: это основание запросить дополнительные документы, снизить лимиты по операциям или присмотреться к клиенту внимательнее — конкретные правила уже зависят от вашей собственной политики риск-менеджмента.

Шаг 3. Проверить сами платежи

Документы и репутация клиента ничего не говорят о том, был ли конкретный перевод выполнен на самом деле. Присланный чек или банковская выписка — частый объект подделки, поэтому такие документы нужно проверять отдельно: следы редактирования, валидность данных, совпадения в общей базе документов.

В сделках между двумя клиентами, как в P2P-обмене, к этому добавляется ещё и оценка самого участника сделки — его поведения во время обмена и цифрового следа, а не только присланного документа.

С чего начать, если сценария пока нет

Приоритет — идентификация и живость: без них любая последующая проверка строится на неизвестной личности, а значит, теряет смысл. Дальше добавляется оценка благонадёжности — она закрывает риски, которые документ и живость не видят в принципе. Проверка платежей подключается там, где в вашем сценарии вообще участвуют переводы, — на неё есть смысл, начиная с определённого оборота.

Внедрять всё сразу не обязательно: подключение можно делать по частям и собирать сценарий под свою воронку, а не брать чужой целиком.

Частые ошибки при построении сценария

Самая частая — полагаться на один сигнал вместо нескольких: например, считать, что раз паспорт прошёл проверку, то и человек надёжен. Вторая — проверять клиента постфактум, когда сделка уже закрыта и деньги ушли: ценность любой оценки принципиально выше до того, как транзакция состоялась, а не после.

Третья ошибка встречается реже, но обходится дороже: не учитывать, что подделка документа и подмена человека перед камерой обычно идут в паре, а не по отдельности — из-за этого сценарий, проверяющий что-то одно, пропускает вторую половину схемы.

Четвёртая — один раз настроить строгость проверки и больше к ней не возвращаться. Регистрация, обычный вход и вывод крупной суммы — разные по риску операции, и сценарий, одинаково строгий или одинаково мягкий для всех них, обычно либо отпугивает нормальных клиентов, либо пропускает то, что должен был поймать.

Итог

Рабочий сценарий KYC для обменника строится из независимых, дополняющих друг друга шагов: подтверждение личности, отдельная защита от синтетической подмены, оценка благонадёжности и проверка платежей. Ни один шаг не заменяет остальные — и именно поэтому пропуск одного из них обычно и становится тем местом, где проходит мошенник.

Подробный разбор того, как эти шаги стыкуются между собой в одном сценарии, — в материале о KYC для криптообменника. А если сценарий уже страдает от чужих банковских карт и повторных регистраций одного и того же человека, начните со статьи «дропы и мультиаккаунты: как их вычисляют». Про то, зачем в сценарий закладывать проверку живости с самого начала, — в статье «что такое liveness detection и зачем он нужен».