Как на самом деле работает AML-проверка криптокошелька
Кластеризация, разметка, скоринг и глубина экспозиции — понятный разбор того, что происходит при проверке адреса.
7 мин чтения
Шаг 1 — кластеризация
Кошелёк редко состоит из одного адреса. Аналитические системы объединяют адреса одного владельца с помощью эвристик: общего владения входами в UTXO-сетях и паттернов депозитных адресов в сетях со счетами вроде Ethereum. Получается кластер — практическая единица анализа.
Шаг 2 — разметка
Дальше кластеры связывают с реальными сущностями. Метки берутся из публичных раскрытий, судебных материалов, санкционных списков, пробных транзакций, жалоб на скам и коммерческой разведки. Зрелая база содержит сотни миллионов адресов в категориях: биржа, майнер, гемблинг, миксер, даркнет-маркет, ransomware, подсанкционное лицо, скам.
Шаг 3 — трассировка экспозиции
Движок обходит граф транзакций назад и вперёд от указанного адреса и считает, сколько стоимости пришло из каждой размеченной категории и ушло в неё.
- Прямая экспозиция — контрагент в одном переходе. Наибольший вес.
- Косвенная экспозиция — средства прошли через два, три и более промежуточных адреса. Вес убывает с расстоянием.
- Учёт по сумме, а не по количеству: один входящий поток в 40% из миксера важнее пятидесяти пылевых транзакций.
Шаг 4 — скоринг
Взвешенная экспозиция сжимается в оценку от 0 до 100. Ориентировочно: 0–25 — чисто, 26–50 — стоит присмотреться, 51–75 — повышенный риск, 76–100 — большинство площадок откажет в депозите. Пороги — вопрос внутренней политики: строгий процессинг и частный P2P-трейдер прочитают один и тот же отчёт по-разному.
Проверка вероятностна: эвристики иногда склеивают лишнее, метки устаревают, ложные срабатывания возможны. Скоринг — повод задать вопросы, а не приговор.
Что можно проверить
Две вещи: адрес — вернётся совокупная история кошелька, и хеш транзакции — вернётся риск конкретного платежа. Перед крупным переводом проверяйте адрес контрагента, после получения — саму транзакцию, и сохраняйте отчёт.
Частые вопросы
Только адрес кошелька или хеш транзакции в поддерживаемой сети. Приватные ключи, сид-фраза и подписи не требуются — анализируются уже публичные данные.
Обычно меньше десяти секунд. Тяжёлая часть — кластеризация адресов и разметка сервисов — выполняется заранее, поэтому запрос почти мгновенный.
Он объединяет прямую экспозицию (средства напрямую от помеченной сущности), косвенную через несколько «хопов», долю затронутого баланса и давность операций.
Да. Скор отражает историю на момент проверки. Новые входящие транзакции способны его изменить, поэтому постоянных контрагентов стоит перепроверять.