Sanctuary: як AML-перевірка допомагає не прийняти проблемну крипту

Sanctuary – це AML-сервіс для перевірки криптогаманців, походження коштів і ризикових зв’язків у блокчейні. Він допомагає P2P-трейдерам, OTC-дескам, обмінникам і бізнесам побачити проблему до того, як кошти потраплять на гаманець або в робочий обіг.

Ти можеш прийняти переказ, провести угоду, змішати кошти з іншими активами, а через тиждень або місяць отримати блокування від біржі чи запит від банку. У такій ситуації важить не тільки сам скоринг, а нормальне пояснення: звідки взявся ризик, які джерела його підтверджують і чи можна це показати compliance-відділу, партнеру або контрагенту.

Kursoff поговорив із командою Sanctuary про те, чому ринку вже недостатньо простої цифри Risk: 85%, як працюють криптографічно підписані звіти, чому P2P-трейдери залишаються однією з найуразливіших категорій і як перевірка коштів поступово стає базовою гігієною для всіх, хто регулярно працює з crypto-платежами.

Хто стоїть за створенням Sanctuary? Розкажіть про вашу команду та бекграунд у сфері криптобезпеки й блокчейн-аналітики.

За продуктом стоїть Sanctuary Compliance Digital Ltd, зареєстрована в Англії та Уельсі. Для нас це важлива деталь, бо в такій сфері клієнт має мати змогу перевірити не тільки гаманець, а й сам сервіс, якому довіряє рішення щодо своїх грошей. Реєстраційний номер компанії відкривається за хвилину, а будь-який наш звіт можна перевірити за публічним посиланням без реєстрації.

Команда в нас невелика й непублічна. Це не питання скромності, а питання безпеки. Люди, які розмічають гаманці шахраїв, санкційних сервісів і даркнет-майданчиків, неминуче потрапляють у поле зору тих, кого вони розмічають. У такій роботі публічність не завжди допомагає, зате точно створює додаткові ризики.

Ми не будуємо довіру на біографіях і гучних регаліях. Рядок про десять років у блокчейн-аналітиці сам по собі не робить перевірку точнішою. Набагато важливіше інше: ми прийшли до цієї задачі з боку оператора, а не класичного вендора. З боку людини, яка має ухвалити рішення щодо чужого переказу за кілька хвилин, а через пів року пояснити це рішення банку або партнеру.

Саме тому в продукті з’явилися ключові речі: докази замість голої цифри, чесне покриття замість красивого зеленого екрана, підписаний звіт замість скриншота. У нас також немає довгого ланцюжка між тими, хто пише логіку скорингу, і тими, хто розбирає хибні спрацювання. Якщо користувач показує проблему, вона швидко доходить до команди, яка реально може її виправити.

Якщо коротко в цифрах: за менш ніж два роки ми зібрали власний шар розвідки зі 158 джерел даних, майже 62 млн міток і флагів, 179,8 млн адрес, 19,9 млн поведінкових кластерів, 42 типів сутностей і 16 поведінкових детекторів. Вердикт система віддає приблизно за дві секунди в трьох інтерфейсах: Telegram-боті, кабінеті та API.

Якби вам потрібно було пояснити, що таке Sanctuary, людині, далекій від криптосвіту, як би ви описали ваш сервіс у кількох реченнях?

Уявіть, що ви купуєте вживаний автомобіль. Перед покупкою ви перевіряєте, чи не був він в угоні, чи не перебуває в заставі, чи не мав серйозних аварій і хто був попереднім власником. Sanctuary робить схожу перевірку, тільки не з автомобілем, а з криптокоштами.

У блокчейні видно шлях монет: через які гаманці, сервіси й адреси вони проходили. Ми аналізуємо цей шлях до того, як людина приймає переказ, і показуємо, чи є в цих коштів проблемна історія.

Звичайному користувачу це потрібно для дуже практичної речі. Якщо на гаманець прийдуть кошти, які раніше були пов’язані зі зламом, шахрайством або санкційною адресою, біржа може заморозити акаунт під час виведення. Не тому, що людина злочинець, а тому, що в неї на балансі опинився актив із ризиковим походженням. Перевірка заздалегідь займає кілька секунд, а розбір після блокування може тривати тижнями.

Яка саме ситуація стала тією іскрою, після якої ви зрозуміли: усе, потрібно створювати власний AML-інструмент?

Іскрою була не одна конкретна втрата грошей. Ми постійно бачили одну й ту саму ситуацію: людина приймає переказ, проводить угоду, а через деякий час отримує заморозку. Потім вона йде в AML-сервіс, платить за перевірку й бачить лише число. Наприклад, Risk: 78. Але що означає 78, звідки взявся ризик, яке джерело це підтвердило, наскільки близький зв’язок із проблемною адресою, коли це сталося, ніхто нормально не пояснює.

У якийсь момент стало зрозуміло: це не просто технічна проблема. Це продуктове рішення. Коли вердикт не пояснений, його складно оскаржити. Людина залишається з цифрою, але без документа, з яким можна піти в compliance-відділ біржі, до банку або до контрагента.

Тому ми почали не з технічної частини, а з фінального документа. Ми спочатку визначили, як має виглядати звіт, який можна покласти на стіл у спорі. Він має бути підписаний, мати знімок стану на момент перевірки, публічне посилання для верифікації та показувати, скільки джерел реально відповіли. Уже під цей документ ми будували логіку продукту.

Якщо коротко: нас зачепили не самі блокування. Вони були й будуть, бо це частина роботи compliance. Нас зачепило інше: людям часто так і не пояснюють, чому їх заблокували.

Хто є вашим основним користувачем сьогодні: P2P-трейдери, приватні криптоінвестори, OTC-дески чи повноцінний Web3-бізнес?

За кількістю користувачів це P2P-трейдери й невеликий OTC. За обсягами це обмінники, OTC-дески та платформи, які приймають вхідні crypto-платежі.

Це різні сценарії, тому ми їх не змішуємо. P2P-трейдеру потрібна швидка перевірка перед угодою. Він працює з телефона, у Telegram, між повідомленнями з контрагентом. Йому не потрібен великий кабінет, йому потрібна зрозуміла відповідь до того, як він відпустить актив або фіат.

Обміннику або OTC-деску потрібна інша логіка: API на вхідні платежі, поріг ризику, після якого транзакція йде на ручний розбір, список спостереження за постійними контрагентами й журнал перевірок, який можна показати банку або партнеру через кілька місяців. Тут цінність не в кількості перевірок, а в інцидентах, яких вдалося уникнути.

Приватні інвестори теж користуються сервісом, але це не основний фокус. Ми будуємо продукт для тих, у кого є регулярний потік угод, десятки контрагентів і ризик, що одна помилка може заблокувати значну частину обороту.

На ринку вже є кілька відомих AML-сервісів. У чому ваша головна особливість і суперсила, завдяки якій обирають саме Sanctuary?

Перша наша головна відмінність у тому, що ми не продаємо відчуття безпеки там, де даних недостатньо. У кожній перевірці видно, скільки джерел відповіли, а скільки ні. Якщо по певній мережі або адресі покриття обмежене, звіт прямо про це говорить. Ми не перетворюємо фразу ми нічого не знайшли на тут точно чисто. Це різні речі, і для користувача різниця критична.

Друга сильна сторона це докази: кожна перевірка показує не тільки оцінку ризику, а й логіку: тип сутності, джерела, рівень упевненості, дистанцію до ризикового місця, частку коштів і стан покриття. Звіт підписаний криптографічно, тому його можна передати контрагенту або compliance-відділу й перевірити за публічним посиланням.

Третє: один движок працює одразу в Telegram-боті, кабінеті та API. Це означає, що P2P-трейдер із телефона й бізнес із технічною інтеграцією отримують одну й ту саму розвідку, просто в різних інтерфейсах.

Окрема частина цінності це спільний шар розвідки. Якщо один мерчант підтвердив шахрайський гаманець, ця інформація може допомогти іншому користувачу, який зустріне той самий кластер через кілька днів. База постійно поповнюється: у ній 158 джерел, майже 62 млн міток і флагів, 42 типи сутностей, 179,8 млн адрес і 19,9 млн поведінкових кластерів.

Таку базу неможливо швидко купити або скопіювати. Її можна тільки накопичувати день за днем. Саме тому новий порожній гаманець не виглядає для нас автоматично чистим: якщо за ним стоїть ризиковий кластер, система це врахує.

Більшість людей дізнаються про брудну крипту вже після того, як їхній акаунт на біржі блокують. Як Sanctuary змінює підхід із ліквідації наслідків на перевірку до руху коштів?

Проблема в тому, що більшість людей починає перевіряти кошти вже після інциденту. Але після заморозки користувач уже не ухвалює рішення, а намагається пояснити те, що сталося. Це довше, дорожче і часто набагато нервовіше.

Ми намагаємося перенести перевірку в момент до угоди. Поки кошти ще не прийняті, у користувача є вибір: провести операцію, попросити іншу адресу, відмовитися від угоди або відправити її на ручний розбір. Після переказу такого простору для маневру вже немає.

Для P2P це швидка перевірка в боті перед угодою. Для обмінника або платформи це автоматичний скринінг вхідних платежів. Підозріла транзакція не зараховується одразу, а потрапляє на додаткову перевірку. Для постійних контрагентів працює список спостереження: якщо ризик змінюється після нових даних, система повідомляє про це.

Повністю прибрати заморозки неможливо, рішення завжди приймає біржа, банк або інший майданчик за власними правилами. Але можна зробити так, щоб людина приймала кошти не наосліп і мала докази того, що перевіряла ризик до угоди.

P2P-трейдери й OTC-дески одна з найуразливіших категорій. Із найабсурднішими або найскладнішими випадками блокування акаунтів до вас зверталися клієнти?

Ми не публікуємо конкретні адреси або історії клієнтів навіть анонімізовано. Але типові сценарії повторюються дуже часто.

Перший сценарій: людину фактично карають за чужу історію. Вона продає USDT, отримує оплату, а кошти приходять не напряму від шахрая, а через кілька посередників. Формально адреса має експозицію до ризику, хоча сама людина могла не знати про це і не мати жодного стосунку до первинного інциденту.

Другий сценарій: обмінник або сервіс працює зі спільним гарячим гаманцем. Один клієнт купує крипту чесно, але отримує кошти з гаманця, де раніше вже змішувалися різні потоки, зокрема проблемні. У результаті ризик переходить до кінцевого користувача.

Третій сценарій: користувач сам консолідує кошти. Наприклад, тримав різні надходження на різних адресах, а потім звів усе в один гаманець перед виведенням. Якщо серед цих надходжень був проблемний потік, одна адреса тепер виглядає як гаманець із загальною ризиковою історією.

Є ще окрема ситуація з випадковими вхідними переказами. Людина нічого не робила, але на її адресу просто надіслали токсичні токени або дрібний переказ. Для хорошого аналізу важливо відрізняти пасивне надходження від свідомої взаємодії, але автоматичні системи не завжди читають контекст достатньо тонко.

Що найчастіше робить гаманець брудним у 2026 році? Це завжди зв’язок із даркнетом або санкційними сервісами, чи може бути проста низка випадкових транзакцій?

Даркнет і санкційні адреси це не єдина і навіть не найбільша причина ризику. У 2026 році більшість проблем виглядає набагато буденніше: шахрайство, злами, скам, вкрадені кошти, які проходять через кілька проміжних гаманців, обмінників або мостів.

Найбільше ризику створюють кошти, які вже були пов’язані з крадіжками, фішингом, зламами акаунтів або іншими схемами. Вони рідко залишаються на одному місці. Їх дроблять, перекидають, міняють мережі, заводять у стейблкоїни й поступово виводять у звичайний оборот. Саме так ризик може дійти до людини, яка не мала жодного стосунку до первинного злочину.

Окремо важливі стейблкоїни, насамперед USDT. Їх використовують через швидкість, ліквідність і зрозумілу вартість. Для P2P та обмінників це щоденний інструмент, але саме тому через нього часто проходять і проблемні потоки.

Ще один фактор це кросчейн-мости. Коли кошти переходять з однієї мережі в іншу, слід стає складнішим. У старій мережі видно вхід у міст, у новій з’являється актив, який уже виглядає інакше. Той, хто аналізує тільки одну мережу, може втратити частину історії.

Важливо розуміти: брудний гаманець це не завжди чорний або білий статус. Має значення частка ризикових коштів, дистанція до проблемного джерела й давність зв’язку. Пряме надходження з ризикової адреси вчора і невелика експозиція через кілька проміжних кроків три роки тому це різні рівні ризику.

Ви обіцяєте аналіз у 12 мережах і вердикт менш ніж за 3 секунди. Як технічно організована агрегація даних ончейн-поведінки, щоб досягати такої швидкості без втрати точності?

Спочатку важливо уточнити формулювання. Повний розбір у нас іде по десяти базових мережах: Bitcoin, Ethereum, TRON, BNB Chain, Solana, TON, Polygon, Arbitrum, Optimism і Base. Ще близько двадцяти EVM-мереж закриті скринінгом із меншою кількістю джерел, і ми прямо позначаємо це у звіті. Загалом у системі понад тридцять мереж.

Швидкість з’являється не тому, що система поверхнево дивиться на адресу в момент запиту. Важка робота відбувається заздалегідь: розмітка сутностей, кластеризація адрес, аналіз зв’язків і оновлення бази йдуть постійно у фоні. Коли користувач запускає перевірку, система не починає дослідження з нуля, а звертається до вже підготовленого шару даних.

Паралельно опитуються зовнішні джерела. У кожного джерела є обмеження за часом, тому повільна відповідь не блокує весь результат. Типова перевірка збирається приблизно за 1,5 до 2 секунд.

Водночас ми не приховуємо неповне покриття. Якщо частина джерел не відповіла або по конкретній мережі даних менше, звіт це показує. Швидкість не має створювати ілюзію точності там, де даних недостатньо. Глибоке трасування по графу може тривати довше, і ми не подаємо його як перевірку за ті самі дві секунди.

Багато AML-сервісів дають просто скоринг, наприклад Risk: 85%, але не пояснюють чому. Чому ви зробили ставку на криптографічно підписані звіти з доказами?

Бо число без пояснення майже не допомагає, коли починається реальний спір.

Скоринг потрібен для швидкого рішення, але його недостатньо для розмови з біржею, банком або compliance-відділом. Якщо людина каже, що сервіс показав Risk: 85%, це не дає відповіді на головне питання: ризик через санкції, через злам, через міксер, через давню непряму експозицію чи через слабке покриття джерел?

Тому наш звіт показує не тільки оцінку, а й логіку. У ньому видно, який тип сутності визначено, які джерела спрацювали, наскільки вони впевнені, яка частка коштів пов’язана з ризиком, яка дистанція до проблемного джерела й наскільки повною була сама перевірка.

Криптографічний підпис потрібен, щоб звіт можна було перевірити. Документ має хеш, підпис Ed25519 і знімок стану адреси на момент перевірки. Якщо через місяць дані зміняться, звіт усе одно покаже, що саме користувач бачив у день угоди. Це важливо не для красивої технічної деталі, а для захисту позиції: людина може довести, що перевіряла кошти до прийняття рішення.

Як на ваші підписані PDF-звіти реагують compliance-відділи великих CEX-бірж, коли користувач оскаржує блокування? Чи є успішні кейси розблокування?

Жоден AML-звіт сам по собі не змушує біржу розблокувати кошти. Так не працює ні з нами, ні з будь-яким іншим сервісом. Рішення завжди залишається за біржею, банком або майданчиком, який проводить власний compliance-розбір.

Але якісний звіт може сильно змінити саму розмову. Коли користувач пише я нічого не порушував, це емоція. Коли він надає документ із датою, джерелами, поясненням походження коштів і підписом, який можна перевірити, це вже матеріал для розгляду. Особливо якщо перевірку зробили до угоди, а не після блокування.

У нас є кілька типових кейсів.

1. P2P-група з 12 трейдерів. До роботи з нами в них було чотири заморозки акаунтів за три місяці, кожна блокувала від $15 000 до $50 000. Після передторгових перевірок, списку спостереження і внутрішнього правила для високоризикових адрес за шість місяців не було жодної нової заморозки.
2. Європейський OTC-деск з оборотом понад $2 млн на місяць. До інтеграції команда перевіряла контрагентів вручну й без нормальної документації. Після підключення API кожна адреса проходить перевірку до угоди, підозрілі платежі йдуть на ручний розбір, а звіти можна показати банку.
3. Невелика біржа з 5000 активних користувачів і ліцензійним процесом у Сінгапурі. Команді були потрібні скринінг, моніторинг і доказові записи. API інтегрували за два дні, після чого депозити й виведення почали перевірятися автоматично.

Окремо був кейс із правоохоронцями у Східній Європі. У четвертому кварталі 2025 року наші дані допомогли відстежити й заморозити кошти від P2P-трикутної схеми. Загалом вдалося повернути $420 000. Деталі кейсу не розкриваються публічно, але для нас це показник того, що доказова частина звітів може працювати не тільки в межах біржового compliance.

Чим ваша оцінка контексту сутностей Entity Context відрізняється від оцінки ризиків у класичних системах на кшталт Chainalysis або Elliptic?

Класичний підхід часто відповідає на питання: яка частка коштів пов’язана з певною категорією ризику. Це правильне питання, але його недостатньо. Найчастіше користувач бачить не страшний червоний сигнал, а щось менш визначене: ризик не знайдено, але незрозуміло, що це за адреса.

Ми робимо великий акцент саме на контексті сутності. Нам важливо якомога рідше відповідати невідомий гаманець. Для цього адреси зводяться в поведінкові кластери, а поверх них накладаються типи сутностей: депозитна адреса біржі, гарячий гаманець обмінника, сервісна адреса, ризиковий кластер тощо.

Для оператора це критично. Адреса без знайденого ризику, але з невідомою природою, це один сценарій. Депозитна адреса великої біржі без ризику, це зовсім інший сценарій. У першому випадку потрібна обережність, у другому можна працювати значно спокійніше.

Ще одна відмінність у тому, що поведінка сама по собі не виносить вирок. Підозрілий патерн транзакцій може підвищити увагу, але без підтвердження зовнішніми даними він не має автоматично робити адресу критичною. Це допомагає зменшити кількість хибних спрацювань.

Чи бувають випадки хибнопозитивного вердикту False Positive, коли чистий гаманець отримує високий ризик, і як ви з цим боретеся?

Так, такі випадки бувають у будь-якій AML-системі. Якщо хтось каже, що в нього взагалі немає false positive, він або не вимірює їх, або не говорить усієї правди.

Найчастіше проблема виникає з гаманцями великих сервісів. Наприклад, депозитна адреса біржі або обмінника може бачити тисячі різних надходжень, серед яких обов’язково будуть ризикові. Якщо оцінювати таку адресу як особистий гаманець, система може помилково дати високий ризик.

Щоб цього уникати, ми спочатку визначаємо тип сутності. Якщо адреса належить сервісу, вона не оцінюється за тією самою логікою, що й приватний гаманець. Поведінкові сигнали теж не працюють як остаточний вирок. Підозрілий патерн без підтвердження з інших джерел не може самостійно перевести адресу в критичну зону.

У продукті є можливість повідомити про хибне спрацювання. Це не просто форма в підтримку, а окремий процес розбору. Звернення потрапляє до аналітика, має статус, а користувач бачить, що з ним відбувається. Для нас такі звернення це не репутаційна проблема, а спосіб покращувати движок.

Наш принцип простий: краще не поставити мітку, ніж поставити її невинному. Надмірна суворість може виглядати безпечною для сервісу, але для користувача вона іноді означає заблоковані кошти.

Як Sanctuary захищає власну систему від спроб зловмисників протестувати свої брудні гаманці й підігнати схеми під ваші алгоритми?

У публічному форматі ми не можемо розкривати технічні деталі, які допоможуть обійти систему. Але загальна логіка така: ми аналізуємо не одну адресу, а зв’язки, кластери й походження коштів.

Якщо кошти прийшли з адреси, пов’язаної зі зламом або шахрайством, створення нового порожнього гаманця не робить їх чистими. Зв’язок може стати довшим, але сама історія коштів не зникає. Тому система дивиться ширше, ніж просто на поточну адресу.

Ми також не будуємо вердикт на одному сигналі. Обхід одного джерела не має ламати всю оцінку. Частина логіки не розкривається назовні, щоб її не можна було механічно підкрутити. Дані оновлюються щодня, тому результат перевірки теж може змінюватися після появи нової інформації.

Доступ до перевірок контролюється, тарифікується й має обмеження за частотою. Масове промацування бази залишає сліди й не виглядає як звичайна поведінка користувача.

Абсолютного захисту від спроб адаптуватися не існує ні в кого. Реалістична мета інша: зробити обхід дорожчим, повільнішим і менш передбачуваним, ніж потенційна вигода від нього.

У вас є і класичний API для бізнесу, і Telegram-бот. Хто ваш основний користувач у Telegram і чи зручно перевіряти гаманці на ходу перед P2P-угодою?

У Telegram-боті основні користувачі це P2P-трейдери, арбітражники, невеликі обмінники й OTC-оператори, які працюють із телефона. Це не спрощена версія продукту, а та сама логіка продукту, просто в зручному для угоди інтерфейсі.

Сценарій простий: контрагент надсилає адресу, трейдер копіює її в бот і отримує вердикт до того, як відпускає актив або фіат. Не потрібно заходити в кабінет, відкривати складні меню чи пам’ятати команди, усе працює через кнопки.

Ми зробили бот саме тому, що багато рішень у P2P приймаються в месенджері й дуже швидко. Якщо інструмент не вкладається в ці кілька хвилин, ним просто не будуть користуватися. Перша перевірка доступна без реєстрації, а одна безкоштовна перевірка на добу є в кожного користувача. Скринінг санкційних списків входить навіть у безкоштовну перевірку.

Чи може звичайний фрилансер або онлайн-бізнес інтегрувати ваш API для автоматичної перевірки вхідних платежів від клієнтів?

Так, інтеграція досить проста. Бізнес надсилає адресу відправника, а у відповідь отримує оцінку, рівень ризику й розбір. Є швидкий метод для попередньої перевірки та повний формат, коли потрібні докази й звіт. Мережа визначається автоматично, окремо вказувати її не потрібно.

Малому бізнесу ми зазвичай радимо три базові правила: перевіряти платіж до зарахування послуги або відвантаження товару, встановити поріг ризику для ручного розбору й зберігати звіти за всіма значущими платежами. Питання про походження коштів часто приходить не в момент отримання, а через місяці, коли банк або партнер просить пояснення.

Для тих, у кого немає розробника, є варіант без API: ручна перевірка в кабінеті або Telegram-боті, плюс список спостереження за постійними клієнтами. Якщо ризик по адресі зміниться, система повідомить про це.

API-тариф стартує від $199 на місяць за тисячу перевірок. Для фрилансера з кількома платежами на тиждень цього може бути забагато, йому вистачить бота. Для магазину, сервісу або обмінника з потоком платежів це дешевше, ніж один серйозний інцидент із замороженим виведенням.

Межа між прозорістю блокчейну й правом на фінансову приватність стає дедалі тоншою. Як Sanctuary балансує між деанонімізацією ризикових сутностей і захистом персональних даних?

Для нас межа проста: ми не деанонімізуємо людей, ми аналізуємо адреси, сервіси й поведінку коштів.

Твердження ця адреса схожа на депозитну адресу біржі або ця адреса отримувала кошти з санкційного джерела не містить імені, паспорта, IP або інших персональних даних. Ми не займаємося прив’язкою гаманців до конкретних людей і не купуємо такі дані.

У базі розвідки адреси зберігаються в псевдонімізованому вигляді. Це закладено в архітектуру продукту з першого дня. Щоб перевірити гаманець, користувачу не потрібно проходити KYC. У Telegram-боті перша перевірка доступна навіть без реєстрації.

Компанія зареєстрована в Англії та Уельсі й працює як контролер даних за UK GDPR. Для бізнес-клієнтів є стандартна угода про обробку даних. Там, де за законом або через платіжний сценарій адресу потрібно зберігати у відкритому вигляді, ми прямо пишемо про це в документації.

Наша позиція така: приватність звичайного користувача і прозорість злочинної інфраструктури не суперечать одна одній. Проблема починається тоді, коли компанія збирає про користувача більше, ніж їй реально потрібно для роботи.

Перекази через кросчейн-мости, L2-мережі й міксери стають дедалі заплутанішими. Які з 12 підтримуваних вами мереж зараз найскладніші для трекінгу і чому?

Найскладніше сьогодні не окрема мережа, а перехід між мережами. Кошти заходять у міст в одному блокчейні, а виходять в іншому вже іншим активом. Формально слід обривається: в одній мережі видно переказ на контракт, в іншій з’являються нові кошти. Ми можемо пов’язувати такі події за сумою, часом і поведінкою, але це ймовірнісна робота, і ми не видаємо її за абсолютний факт.

Bitcoin складний через UTXO-модель. У одного користувача може бути багато адрес, а решта від власного платежу може виглядати як окремий переказ іншій особі. Без якісної кластеризації аналіз Bitcoin легко стає поверхневим.

TON складний через молодшу інфраструктуру даних. Там менше зрілих публічних інструментів, ніж навколо Ethereum, тому частину рішень доводиться будувати самостійно.

Solana складна через обсяг активності й особливості токен-акаунтів. Наївне читання переказів може давати викривлену картину, якщо не враховувати структуру мережі.

Окрема категорія це міксери, приватні мости, атомарні свопи, zero-knowledge-сервіси та канали поверх Lightning. Якщо система бачить взаємодію з такими інструментами, вона не має права просто сказати безпечно. Там, де трасування технічно обмежене, ми прямо обмежуємо впевненість у чистоті.

Чи плануєте ви виходити за межі 12 мереж і які нові блокчейни або L2 зараз у найбільшому пріоритеті для інтеграції?

Зараз наш пріоритет не кількість мереж, а глибина аналізу в тих мережах, де реально ходять гроші користувачів.

Додати нову мережу в маркетинговий список нескладно. Проблема в тому, що в багатьох сервісів підтримка десятків мереж на практиці означає лише базову звірку із санкційними списками. Користувач бачить зелений екран і думає, що отримав повну перевірку, хоча даних може бути дуже мало. Це небезпечніше, ніж чесно сказати: тут покриття обмежене.

Найближчі пріоритети для нас: глибший аналіз Bitcoin, сильніша атрибуція по TRON і повніший набір джерел для L2-мереж навколо Ethereum. Bitcoin потребує складної кластеризації, TRON важливий через великий потік USDT, а L2 поступово забирають дедалі більше реальних платежів.

Нові мережі ми будемо додавати не тому, що вони модні, а тоді, коли бачимо там реальний потік коштів наших користувачів. Для нас важливіше чесно показувати якість покриття, ніж мати довгий список у порівняльній таблиці.

У ширшому сенсі ми йдемо до того, що перевірка походження коштів стане невидимим базовим шаром для будь-якого crypto-платежу. Як антивірус, який перевіряє файл без окремого прохання. Через кілька років приймати кошти без AML-перевірки може виглядати так само дивно, як сьогодні виглядає сайт без шифрування.

Що робити звичайному користувачу, якщо йому на гаманець залетіли аірдропом або випадковим переказом токсичні токени від невідомого відправника?

Перше і головне: нічого не робити. Не пересилати, не продавати, не підключати гаманець до сайту, який додається до токена. Часто такі розсилки існують саме для того, щоб людина зробила наступну дію: підписала дозвіл, зайшла на фішинговий сайт або спробувала продати незрозумілий актив.

Сам факт вхідного переказу не означає, що людина бере участь у схемі. Хороший аналіз має відрізняти пасивне надходження від свідомої взаємодії. Але автоматичні системи можуть бути грубішими, тому краще одразу зафіксувати ситуацію.

Не змішуйте такі кошти з основним гаманцем. Якщо на адресу прийшов токсичний актив, не варто потім консолідувати з неї все у свій головний гаманець. Інакше чужа історія може переїхати разом із коштами. Краще зробити перевірку, зберегти звіт із датою і не чіпати підозрілий актив.

Окремо про dust-атаки: дрібні незрозумілі надходження часто використовують не для прямої крадіжки, а щоб зв’язати адреси користувача між собою через його реакцію. Найкраща реакція в такій ситуації: не реагувати.

Яке найпоширеніше хибне уявлення про перевірку криптогаманців, у яке ринок досі вірить?

Перше хибне уявлення: перевірив один раз, значить адреса чиста назавжди. Насправді перевірка це знімок стану на конкретний момент. Контрагент може виглядати чистим у понеділок, а в четвер отримати мітку, бо джерело опублікувало нові дані про старий злам або шахрайську схему.

Друге: якщо сервіс показав нуль, значить усе точно добре. Нуль може означати не ми підтвердили чистоту, а ми нічого не знайшли. Це різні речі. Якщо по мережі мало джерел або частина джерел не відповіла, низький ризик не варто сприймати як абсолютну гарантію.

Третє: оцінка ризику це вирок. Оцінка 60 або 70 сама по собі не означає, що адреса злочинна. Вона означає, що потрібно дивитися на контекст: джерела, дистанцію, частку коштів, тип сутності й давність зв’язку. Саме тому ми робимо акцент не на одній цифрі, а на поясненні, яке можна перевірити й захистити.

Яку одну головну пораду ви дали б людині, яка тільки починає активно оперувати великими сумами в крипті?

Головна порада: розділяти потоки й перевіряти кошти до угоди, а не після.

Не варто тримати все на одній адресі. Краще мати окремий гаманець для нових контрагентів, окремий для торгівлі й окремий для зберігання. Якщо на одну адресу прийде проблемний актив, він не зіпсує всю історію коштів.

Перевіряти потрібно до того, як ти віддав свої кошти або відпустив товар. Це єдиний момент, коли ще можна спокійно відмовитися від угоди, попросити іншу адресу або відправити транзакцію на ручний розбір. Після переказу це вже не перевірка, а спроба розібратися з наслідками.

І обов’язково варто зберігати докази. За кожною значущою угодою має залишатися звіт із датою. Питання про походження коштів можуть поставити через місяці, коли деталей уже ніхто не пам’ятає. Людина з архівом перевірок і людина з фразою я точно нічого не порушував перебувають у зовсім різному становищі.

У крипті немає банку, який просто скасує помилковий платіж, і немає служби, яка поверне гроші за заявою. Найдешевший захист це перевірка до угоди. П’ятнадцять секунд перед переказом коштують менше, ніж будь-яке розслідування після блокування.