Как в реальности проверяют криптокошелёк на санкции

Три санкционных списка, которые нужно проверять одновременно

Три разных органа ведут OFAC SDN, консолидированный список Евросоюза и перечень Совета Безопасности ООН. Они отличаются охватом, юридической силой и скоростью обновления, но для проверки криптоадреса важнее другое: в каком виде список хранит сам адрес. В OFAC SDN криптоадреса появляются в отдельном поле "Digital Currency Address" прямо в записи санкционного лица. Минфин США дополняет список по мере новых решений, и в нём есть адреса государственных акторов вроде Lazarus Group. Из трёх списков только этот отдаёт адрес кошелька как структурированные данные.

Совет ЕС утверждает список ЕС по собственной процедуре, со своими сроками и своим охватом. Криптоадреса там единичны: они лежат в текстовом примечании к записи. Например, примечание к записи биржи Garantex перечисляет известные адреса в сетях ETH и BTC. Остальные записи ЕС описывают лиц и организации без адресов, и связь кошелька с ними устанавливают через владельца. Перечень Совбеза ООН пополняется медленнее двух других списков, потому что решения требуют согласия стран-членов. Он покрывает отдельные режимы, включая режимы по Аль-Каиде и по КНДР. Адресов кошельков в нём нет совсем: в выгрузке перечня на октябрь 2026 года не нашлось ни одного.

Слепая зона остаётся, если проверять адрес по одной базе. Компания с клиентами в нескольких юрисдикциях сверяется со всеми тремя. Банк-партнёр потребует соответствия тому списку, который применим к нему. Ему всё равно, какой список было проще подключить. Обратный случай тоже есть: адрес попадает в OFAC уже после сделки, которая на свою дату была чистой по всем трём базам.

Базовый уровень это прямое совпадение со списком, и бесплатные чекеры выполняют его относительно честно. Проблемы начинаются, когда адрес чист по всем трём базам, но через промежуточные транзакции связан с санкционным кошельком. В таком случае список молчит, а граф говорит.

Как common-input-ownership находит то, чего нет в списке

Common-input-ownership использует свойства UTXO-сетей вроде Bitcoin, где каждая транзакция прямо называет предыдущие выходы, которые она расходует. Если несколько адресов становятся входами одной транзакции, её подписывают ключи от всех этих адресов. В стандартном кошельке это значит, что всеми адресами управляет один владелец.

CoinJoin показывает известное исключение из этой эвристики. Он специально собирает входы разных людей в одной транзакции, чтобы разрушить именно этот вывод. Аналитик сначала отбраковывает такие транзакции по узнаваемой структуре и лишь затем склеивает адреса в кластер. Если пропустить этот шаг, чужие кошельки раздувают кластер, а проверка выдаст ложный флаг.

Аналитик помечает адрес санкционным флагом, если он хотя бы один раз попал в общий ввод с уже помеченным кошельком вне CoinJoin. Сам адрес при этом не значится в списке. Кластер увеличивается с каждой новой транзакцией владельца: условно, сегодня в нём десять адресов, а через месяц пятнадцать. Поэтому проверка сегодня и проверка того же адреса через полгода дают разные результаты. Методология остаётся той же, меняется лишь размер кластера.

В Ethereum и TRON общего входа не существует. Транзакция там просто снимает баланс с одного адреса и зачисляет его на другой. Аналитик смотрит на паттерны взаимодействия: он проверяет, с какими смарт-контрактами адрес общался, через какие мосты проходили средства и повторяет ли он известную последовательность обхода санкций. Такой метод опирается на накопленную базу паттернов. Разовый снимок списка адресов его не заменит, как не заменит и бесплатный чекер без истории собственных расследований.

Что происходит с санкционными деньгами после дробления

Любая схема отмывания с минимальным опытом умеет дробить перевод на пять кошельков, но для банка-эквайера это не оправдание. Банк оценивает связь с первоисточником, и число посредников между вашим кошельком и санкционными средствами эту связь не обнуляет. Ссылка на незнание схемы в переписке с банком не срабатывает ни разу.

Peel chain описывает стандартный механизм такого дробления. С исходного адреса основной остаток уходит на новый кошелёк, а небольшая часть отслаивается в сторону и выглядит как обычный расход. Каждый хоп фиксируют с точным таймингом: дата, время, сумма и адрес получателя. Последовательность этих точек доказывает связь с первоисточником. Одна точка сама по себе не доказывает ничего, и чем позже начинается проверка, тем длиннее цепочка, которую придётся распутывать.

Кросс-чейн мост не разрывает граф, а продолжает его. Если средства ушли из Bitcoin в Ethereum через мост, вторую сторону прослеживают так же внимательно, как первую. Тот, кто уводит деньги, меняет сеть именно затем, чтобы спрятать связь от поверхностной проверки. Проверка, которая остановилась на входе в мост, теряет схему ровно там, где начинается самое интересное.

Сравнение методов проверки по фактам

Практика, не витрина

Ниже два сценария показывают логику метода. Это иллюстративные сценарии, а не разбор конкретных клиентов. Обменник получает от банка-партнёра запрос объяснить транзит через адрес, которого нет ни в одном из трёх санкционных списков. Базовая сверка не находит нарушения. Но common-input-ownership выстраивает граф, и он показывает другое: три хопа назад адрес получил часть средств от кошелька, который четыре месяца назад включили в OFAC SDN, а связь видна только на полном графе.

Фонд проводит due diligence перед сделкой и обнаруживает, что контрагент однажды получал средства через мост из сети, где случился известный крупный взлом биржи. Проверка по одной сети не увидела бы этой связи, потому что след формально обрывался на границе моста, а прослеживание графа по обеим сторонам моста восстанавливает картину целиком. Фонд принимает решение по данным, не веря контрагенту на слово.

Признаки, которые требуют углублённой проверки, а не автоматического одобрения

Базовой сверки недостаточно, когда на графе появляется несколько сигналов. Даже если ни одна из трёх баз не выявила совпадения, такие признаки требуют углублённой проверки. Первый сигнал: сразу после получения происходит резкое дробление входящей суммы на серию мелких переводов. Так выглядит начало peel chain. Легитимному владельцу незачем за час разбить крупную сумму на десяток частей.

Второй сигнал: короткие переходы через разные сети идут подряд, а каждый следующий появляется вскоре после предыдущего. Так мостами пытаются запутать след. Это не похоже на диверсификацию активов.

Третий сигнал: адрес недавно засветился в публичном инциденте, краже или взломе, и с ним есть контакт. Прямого совпадения со списком нет, и это нормально. Адрес вора попадает в публичные разборы раньше, чем в официальный реестр, если попадает туда вообще.

Четвёртый сигнал: средства приходят от протокола смешивания транзакций. Текущий юридический статус конкретного миксера здесь вторичен, а сам факт смешивания требует объяснить происхождение денег. Статья "Tornado Cash сняли с санкций" разбирает, почему смена статуса не меняет паттерн риска.

Пятый сигнал: сумма резко выбивается из истории адреса. Кошелёк годами гонял скромные переводы, затем получил крупную сумму и почти сразу переслал её дальше. Так ведёт себя транзитный узел схемы отмывания. Человек, который распоряжается своими деньгами, так себя не ведёт.

Ни один признак сам по себе не доказывает нарушения. Несколько признаков на одном графе резко повышают шанс, что автоматическая сверка со списком пропустит реальный риск. Поэтому граф оценивают целиком, а каждый сигнал рассматривают в контексте остальных.

Как оформить проверку так, чтобы её принял банк

Банк смотрит на справку о санкционной чистоте адреса с двух сторон: на вывод и на то, можно ли проверить его самостоятельно. Справка без методологии, источников и даты неотличима от слов клиента "я всё проверил сам", и служба безопасности банку не верит. Рабочая справка называет базы и дату сверки по каждой из трёх. Ещё в ней указан метод, которым проверка устанавливала связь через промежуточные адреса, если она шла глубже прямого совпадения.

Если банк регулярно работает с криптобизнесом, он вправе задать дополнительные вопросы. Банку нужно доказательство, что компания проверяет каждую операцию, а не только ту, по которой возник вопрос. Разовая справка закрывает одну транзакцию, а решение о сохранении счёта зависит от ответа на второй вопрос.

Для сложных случаев к тексту прикладывают визуальный граф, который показывает на одной схеме, по каким адресам, в каких суммах и в какие даты происходил каждый переход. Служба безопасности сверяет наглядную схему быстрее, чем абзацы с пересказом той же цепочки. Если временную блокировку уже наложили, от этого зависит, как быстро её снимут.

Вопросы без реверансов

Достаточно ли проверить адрес по одному санкционному списку?

Нет. OFAC SDN, список Евросоюза и перечень Совбеза ООН обновляются независимо и с разной скоростью. Адрес бывает в одной базе и отсутствует в другой.

Бывает ли адрес связан с санкциями, если его нет ни в одном списке?

Да. Достаточно один раз оказаться в общем UTXO-вводе с санкционным кошельком в транзакции, которая не является CoinJoin. Common-input-ownership находит эту связь без упоминания адреса в списке.

Как санкционные деньги проходят через несколько сетей?

Через кросс-чейн мосты, которые переводят средства из одного протокола в другой. Полная проверка прослеживает граф по обеим сторонам моста и не останавливается на его входе.

Работает ли одна и та же методология для Bitcoin и для Ethereum?

Нет. Bitcoin проверяют кластеризацией UTXO-адресов по common-input-ownership. В Ethereum и TRON общего входа нет, там проверяют паттерны взаимодействия с известными адресами и контрактами.

Меняется ли результат проверки одного и того же адреса со временем?

Да. Кластер владения растёт с новыми транзакциями владельца. Адрес, чистый сегодня, через несколько месяцев рискует оказаться связанным с санкционным кошельком через цепочку, которой на момент первой проверки не было.

Почему прямая сверка со списком так популярна, если она не видит непрямых связей?

Она дешевле во внедрении и даёт видимость соответствия требованиям. Компания, которая выбирает её ради формального аудита, защищает отчёт, а счёт от блокировки остаётся без защиты.

Нужно ли перепроверять адрес, который уже был чист при первой проверке?

Да, если прошло заметное время или вырос объём операций с этим адресом. За полгода кластер владения успевает накопить связи с уже помеченными кошельками через операции, которых при первой проверке просто не было.

Кто должен нести ответственность за санкционную проверку внутри компании: юрист или технический специалист?

Ни один не закрывает задачу в одиночку. Юрист задаёт пороги риска и юрисдикционные требования. Технический специалист отвечает за то, чтобы скоринг шёл на каждой транзакции по методологии, подходящей для конкретной сети. Дыры, которые банк находит раньше внутреннего аудита, появляются как раз на нечёткой границе между этими ролями.

Что дальше

Результат по одному адресу приходит за 6-15 минут через отдельную услугу проверка криптокошельков и транзакций.

Если одной проверки мало, а для суда или следствия нужна полная схема движения средств, тогда заказывают расследование блокчейн-транзакций.

Эта статья не является юридической или финансовой консультацией. Санкционные списки меняются, поэтому статус конкретного адреса на дату обращения проверяют по первоисточникам: ofac.treasury.gov, sanctionsmap.eu.