Что такое AML-проверка на самом деле
AML-проверка криптоадреса строит граф его связей до узла, который можно назвать по имени. Таким узлом становится биржа с верификацией клиентов, известный кластер риска или точка, где след честно обрывается. Сверка со списком санкционных адресов входит в этот граф, но остаётся одной из шести веток.
Если ответ не содержит ни слова о методе, он выглядит именно как эта ветка. Проверить обратное вам нечем. Разница вылезает в самый неудобный момент. Список молчит, а санкционный кошелёк сидел на третьем хопе от вашего контрагента.
Список против графа: почему это разные инструменты
Список проверяет адрес только на точное совпадение. Если адреса нет в базе, проверка завершается отрицательно, и она обходится дёшево. Поэтому бесплатные чекеры и старые внутренние скрипты держатся именно на ней.
У списка есть одно фатальное слабое место: он не видит адрес, которого в базе ещё нет. Схема отмывания рассчитана ровно на это: крупную сумму дробят на мелкие переводы через промежуточные кошельки, и конечный получатель не совпадает ни с одной записью. Против того, кто умеет дробить, список бесполезен.
Граф работает по другой логике. В Bitcoin и других UTXO-сетях граф опирается на эвристику common-input-ownership. Если несколько адресов вместе подписали входы одной транзакции, почти наверняка их контролирует один владелец. Такие адреса объединяют в кластер, и кластер растёт с каждой новой транзакцией владельца без ручного дописывания после каждого инцидента.
Честный аналитик сам называет известный предел эвристики. CoinJoin специально собирает в одну транзакцию входы разных людей, чтобы сломать именно это правило. Поэтому транзакция с признаками CoinJoin не склеивает участников в один кластер. Она получает собственную пометку: адрес прошёл через смешивание.
В Ethereum и TRON транзакция просто списывает баланс с одного адреса и зачисляет на другой, поэтому общих входов там нет вообще. Граф строится на паттернах взаимодействия с уже размеченными кошельками и смарт-контрактами. Допустим, адрес раз за разом гонит средства через тот же мост и в те же окна, что и помеченные кошельки. Он получает флаг за совпадение поведения, даже если его никто никуда не вносил. Такая разметка копится на реальных расследованиях, и готовой базой её не купишь.
Шесть пластов риска под одним названием AML
Проверка AML опирается на шесть методик, и каждая использует отдельный источник данных. Санкции: OFAC SDN, консолидированный список ЕС и перечень Совета Безопасности ООН ведут раздельно и независимо друг от друга. Адрес бывает в одном реестре и отсутствует в другом. В UTXO-сетях одного прямого совпадения недостаточно: адрес помечают флагом, когда он участвовал в общих входах транзакции с санкционным кошельком, хотя сам он не появился в реестре.
Даркнет-маркеты: отдельный пласт со своей разметкой кошельков площадок, продавцов и обменных точек.
Миксеры: юридический статус сервиса вторичен, на первый план выходит паттерн. В марте 2023 власти Германии и США при поддержке Европола изъяли инфраструктуру ChipMixer. Методика, которая ловит паттерн смешивания, пересборки не потребовала. Санкционный статус миксера тоже меняется, что показала история Tornado Cash, а механика смешивания внутри протокола осталась прежней (полная хронология в статье "Tornado Cash сняли с санкций").
Ворованные средства: каждый крупный хак размечают отдельно. Ronin Bridge в марте 2022 потерял порядка 600 миллионов долларов, Bybit в феврале 2025 потерял около 1,4 миллиарда. ФБР приписало оба взлома северокорейской Lazarus Group. По данным ФБР, часть похищенного у Bybit быстро конвертировали в биткоин и другие активы и раскидали по тысячам адресов в нескольких блокчейнах. Поэтому сразу после публичного подтверждения взлома разметьте кошельки, связанные с инцидентом, не дожидаясь квартального пересмотра базы.
Layering-паттерны: peel chain и address poisoning размечают раздельно, общий флаг "подозрительно" здесь вреден. Peel chain выглядит как цепочка переводов: основной остаток уходит на новый кошелёк, а мелкий хвост отслаивается в сторону и изображает обычный расход. Address poisoning устроен по-другому: на ваш кошелёк приходит пылевой перевод с адреса, похожего на настоящего получателя. Расчёт на то, что вы скопируете его из истории и отправите следующий платёж мошеннику. Адрес из такой атаки опасен как источник обмана, а адрес из peel chain как звено схемы. Реагировать на них надо по-разному, и смешанный флаг эту разницу стирает.
Площадки с отозванной лицензией или под санкциями регулятора: риск здесь репутационный и возникает сам по себе, откуда бы ни пришла конкретная сумма. Банк-партнёр смотрит на сам факт работы с такой площадкой и не вникает в детали транзакции. Регулятор при отзыве лицензии подробное обоснование публикует редко. Тот, кто следит только за официальными перечнями, узнаёт о проблеме с опозданием.
Почему tainting-анализ теряет след после миксера
Tainting-анализ связывает конкретные монеты с инцидентом, помечает их как "грязные" и продолжает отслеживать их движение. Пока не произошло первое смешивание, этот подход работает.
В общем пуле после смешивания оказываются помеченные и чистые монеты. Какой выход принадлежит какому входу, сказать уже нельзя. Проблема не в трудоёмкости: однозначного ответа просто не существует. Рынок отмывания смешивает средства системно. Отчёт, который опирается только на метку монет, обрывается на этом месте. Продавать такой отчёт под видом современной форензики значит продавать первую главу расследования вместо всего расследования.
Граф идёт с другой стороны: он не пытается протащить метку сквозь пул, а собирает картину владения и поведения адресов по обе стороны смешивания. Сам факт захода в миксер становится отдельным флагом. Кластер до смешивания и кластер после размечают каждый по своим признакам. Метка монет остаётся одним из сигналов в этой картине, и вывод по адресу на ней одной не строят.
Ручная проверка, список, граф: сравнение по фактам
| Критерий | Ручная проверка | Список/бесплатный чекер | Методология на графе |
|---|---|---|---|
| Глубина анализа | Прямой перевод, без переходов | Точное совпадение, без переходов | До идентифицированного узла, сколько бы хопов ни потребовалось |
| Обнаружение peel chain | Не видит | Не видит | Распознаёт и размечает отдельной категорией |
| Кросс-чейн мосты | Не отслеживает | Не видит вторую сторону | Прослеживает граф по обеим сторонам моста |
| Актуальность базы | Зависит от памяти аналитика | Устаревает с каждым непополненным инцидентом | Пополняется по факту инцидента, в течение суток |
| Реакция на смену юридического статуса инструмента | Хаотична, зависит от того, кто и когда прочитал новость | Список либо обновляют, либо нет | Флаг строится на паттерне, статус его не отменяет |
| Обоснование для банка или суда | Устное объяснение | Отсутствует | Полная цепочка с таймингом и источниками |
Практика, не витрина
Два иллюстративных сценария ниже показывают логику метода. Конкретных клиентов они не разбирают: детали остаются между AML Trace и тем, кто обращался за проверкой.
Перед выплатой клиенту обменник получает крупный входящий перевод. Граф показывает, что адрес отправителя получил деньги на четвёртом хопе peel chain. Начало цепочки лежит в кошельке, который за три месяца до этого появился в санкционном реестре. Отправитель не числится ни в одной базе, поэтому список его пропускает: граф находит связь через промежуточные адреса.
Банковский партнёр просит офицера по комплаенсу биржи объяснить транзит через адрес, полтора года назад фигурировавший в связке с даркнет маркетом. Внутренний список компании не содержит этот адрес, открытые санкционные базы его не публиковали: он фигурировал только в закрытой аналитике по конкретному инциденту. Граф видит связь по паттерну взаимодействия, поэтому офицеру по комплаенсу есть что показать банку.
Как выглядит рабочий AML-отчёт, а не формальная бумага
Банк или суд принимает отчёт, лишь когда в нём есть несколько обязательных элементов. Если любого из них нет, документ превращается в иллюстрацию.
Шапка содержит адрес и дату проверки. Без даты риск-скор бессмыслен: кластер продолжает расти, и старая проверка уже не отражает текущий граф. Сам риск-скор идёт числом. Инструмент не выносит вердикт "опасно" или "безопасно": что делать с конкретной цифрой, решает компания.
Отчёт перечисляет флаги списком и даёт каждому свою категорию: связь с санкционным списком, взаимодействие с миксером, участие в peel chain, признаки address poisoning. Свести их в одну пометку значит выбросить ровно то, ради чего заказывали проверку на графе. Для каждого флага отчёт указывает тайминг: на каком хопе он нашёл связь, через сколько переводов и когда она попала в базу.
Отчёт явно называет источники, без фразы "по нашим данным". Хороший отчёт называет санкционную базу, дату её последнего обновления и метод, которым он устанавливает связь: common-input-ownership для UTXO или анализ паттернов для account-based сетей. Без этого банк или суд не проверит методологию сам и вынужден верить на слово.
Рекомендация в конце звучит как констатация: "Адрес связан с кластером риска через три хопа", а не "рекомендуем заблокировать операцию". Блокировка остаётся коммерческим и юридическим решением компании. Отчёт описывает факты и не выносит приговор.
Ложные срабатывания: как методология на графе с ними справляется
Поиск связей на несколько переходов вглубь рано или поздно зацепит честную операцию. В цепочке найдётся адрес, однажды соприкоснувшийся с риском без умысла владельца. За долгий срок крупная биржа так или иначе касается почти всех больших кластеров рынка. Флаг "связан хоть как-то" заставил бы систему утонуть в ложных тревогах.
Граф использует глубину и вес связи. Прямой перевод от санкционного кошелька получает несравнимо больший вес, чем пятый хоп трёхмесячной давности.
Риск-скор включает дистанцию до узла риска и не теряет её ради ответа "да/нет". Условный адрес на третьем хопе от санкционного кластера получает повышенный, но не критический скор. Такой адрес требует проверки контекста, а автоматическая блокировка здесь лишняя.
Раздельные категории флагов составляют вторую защиту, о которой уже шла речь выше. Обработка жертвы address poisoning не должна совпадать с обработкой активного звена peel chain. Общая метка "подозрительно" не просто теряет информацию: она плодит ложные блокировки именно там, где ошибка стоит дороже всего, потому что замораживает деньги реальных клиентов.
Вопросы без реверансов
- Чем AML-проверка отличается от простого списка санкционных адресов?
- Список ловит только точное совпадение с уже занесённым адресом. Проверка на графе строит связи и видит адрес, который никогда не публиковался ни в одном списке, но связан с уже помеченным кошельком через общие входы транзакции или через паттерн поведения.
- Что такое common-input-ownership простыми словами?
- Если несколько адресов вместе подписали входы одной транзакции, их почти наверняка контролирует один владелец, и их объединяют в кластер. Это эвристика для UTXO-сетей вроде Bitcoin. Транзакции CoinJoin её ломают, поэтому их размечают отдельно.
- Почему AML-проверка не работает одинаково для Bitcoin и Ethereum?
- Bitcoin построен на UTXO: транзакция перечисляет свои входы, и по ним адреса кластеризуют. В Ethereum и TRON общих входов нет, поэтому там используется анализ паттернов взаимодействия с известными адресами и контрактами.
- Устарел ли tainting-анализ полностью?
- Как самостоятельный метод для вывода о риске адреса да. Он теряет след после первого смешивания, а рынок отмывания смешивает средства системно. Метка монет остаётся одним из сигналов внутри графа.
- Бывает ли адрес опасным, если его нет ни в одном официальном санкционном списке?
- Да, если он связан через общие входы транзакции или через паттерн взаимодействия с известным адресом высокого риска. Официальные списки покрывают только зафиксированные случаи, а граф ловит связи, которые никто отдельно не публиковал.
- Насколько быстро должна пополняться база для проверки?
- База на паттернах и графе пополняется по факту инцидента, в течение суток после него. Статичный список устаревает с каждым инцидентом, который в него не внесли, а схемы отмывания меняются быстрее цикла ручного пересмотра.
Что дальше
Теория объясняет механику. Уже движущиеся деньги она не остановит.
Когда нужно проверить конкретный адрес или транзакцию прямо сейчас, доступна проверка криптокошельков и транзакций с результатом от 6 до 15 минут. Страница о команде AML Trace описывает методологию и стоящий за ней опыт.
Эта статья не является юридической или финансовой консультацией. Методология описывает технический подход к анализу блокчейн-транзакций и не гарантирует правовой статус конкретного адреса или операции.