Так ли «заразна» российская крипта — мнение AML-эксперта

В Telegram-каналах и СМИ разошлась не совсем достоверная информация о том, что ждет российский криптоконтур из-за западной AML-разметки. Суть ее в том, что аналитики «красят» все адреса, связанные с Россией, и рано или поздно окрашенной окажется вся криптовалюта. 

Идею начали всерьез обсуждать и в профессиональном сообществе, поэтому команда ЦИФКОМ решила разобрать главные ошибки. Ниже — ложные тезисы, с которыми можно столкнуться, и то, как все выглядит на самом деле.

Формулировки в разных каналах сводятся к пяти пунктам:

• разметка — это враждебное действие против России;

• метка прилипает к монете, как краска, и едет с ней дальше;

• чем больше размечают, тем больше покрашено;

• оборот пользователей из России так велик, что перекрасит весь рынок;

• если «перепачкать все», разметка станет бесполезной.

Каждый из этих пунктов опирается на неверное понимание того, как работает AML-разметка. Разберем тезисы по порядку.

Первый тезис о том, что разметка — это враждебное действие именно против России, не обоснован. Атрибуцией адресов занимаются во всем мире. ЦИФКОМ и другие провайдеры группируют адреса в кластеры по общему владельцу и определяют, какой кластер принадлежит бирже, какой — миксеру, даркнет-площадке, вымогателям или подсанкционной структуре. 

У крупных игроков, таких, как Coinbase, Binance и Garantex, в базах есть свои ярлыки. Но вся разница — в категории:

• Первые две (Coinbase, Binance) — регулируемые биржи, которые стараются дружить с властями. Угроза взаимодействия с ними по умолчанию будет низкой.

• Третья (Garantex) — подсанкционная площадка. Поэтому и безопасность взаимодействия с ней будет ниже.

Сама по себе атрибуция нейтральна. Риск-оценка складывается из нескольких факторов:

• категория контрагента — биржа, миксер, даркнет-площадка;

• санкционный статус;

• юрисдикция;

• политика самой площадки и требования ее регулятора.

Юрисдикцию комплаенс действительно учитывает. Членство России в FATF приостановлено с 2023 года, и это видно в любой риск-модели. Но вес этого фактора задает не провайдер данных, а площадка и ее регулятор. Проще говоря:

• «Подсанкционная биржа» — абсолютный риск взаимодействия. 

• «Биржа из России» — это просто пометка о стране. Сама по себе она ничего не блокирует. Каждая западная площадка сама решает, считать ли такую пометку риском и что с ней делать — отклонить перевод, запросить документы или пропустить.

Российские игроки, включая ЦИФКОМ, делают ровно то же самое. Поэтому слова о том, что «нас размечают», описывают обычную работу любой блокчейн-аналитики в любой стране.

Второй тезис — метка прилипает к монете, как краска, и едет с ней дальше по цепочке. На деле аналитические системы работают иначе. Они не красят монеты. Они смотрят на историю конкретного перевода и считают, какая его часть связана с помеченным кластером — группой адресов под общим управлением. Эта доля и называется экспозицией.

Разберем на примере. С кошелька подсанкционной биржи ушел 1 BTC на личный адрес А. Владелец А собрал на адресе Б 10 BTC — этот 1 BTC и еще 9 BTC из чистых источников. Потом с адреса Б все 10 BTC отправили на депозит глобальной биржи. Что увидит ее комплаенс, зависит от методики расчета:

• при пропорциональной методике, которую, в том числе, использует ЦИФКОМ, перевод с адреса Б получит 10% связи с подсанкционной биржей, потому что помеченной была одна десятая суммы;

• при консервативной методике подозрительными посчитают все 10 BTC, потому что среди них есть хоть сколько-то помеченных средств.

Во втором случае метка действительно строже. Но даже она не бесконечна. Проверка идет на ограниченную глубину — обычно на несколько переводов назад. Что было с монетами десять шагов назад, система уже не учитывает.

Есть и второй предел. Когда 10 BTC попали на депозитный адрес биржи, они ушли в ее общий кошелек и смешались со средствами всех остальных клиентов. Если биржа потом выплатит кому-то 10 BTC, для аналитики источник этих монет — «биржа», а не владелец адреса Б. Проследить дальше можно только по внутренним записям самой биржи, а не по блокчейну.

Так метка остается на переводах, которые реально прошли рядом с помеченным кластером, и обрывается на первой же регулируемой площадке.

Третий тезис — чем больше нас размечают, тем больше будет окрашенной крипты. На деле все наоборот. Чем точнее аналитики знают, кому принадлежит адрес, тем меньше людей попадает под подозрение.

Разберем на примере. На западную биржу приходят два перевода с адресов, связанных с Россией. Если провайдер данных не знает, что это за адреса, комплаенс видит лишь «неизвестный сервис с российскими контрагентами». Такой сервис может оказаться чем угодно, в том числе подсанкционной площадкой. Поэтому оба перевода получают флаг «высокий риск», и обоим пользователям придется объяснять происхождение средств.

Теперь представим, что провайдер разметил эти адреса точно. Первый перевод пришел с горячего кошелька подсанкционной биржи Grinex. Второй — с кошелька обычного обменника, который ни в какие списки не входит. Комплаенс заблокирует первый перевод и пропустит второй. Метка стала уже, а не шире. Под нее попали только средства, которые реально прошли через подсанкционную площадку.

Расширяет метки не разметка, а ее отсутствие. Если российский контур закрыт и его внутренние потоки снаружи не видны, западный комплаенс не может отличить обменник от подсанкционной биржи. Тогда он делает единственное, что ему остается, — ставит «Россия, высокий риск» на все, что выходит из этого контура. Это как ящики с разных заводов, сваленные на складе в одну кучу без подписей. Если один из заводов под запретом, проверяющий забракует всю кучу, потому что не сможет отделить его ящики от остальных.

Четвертый тезис — оборот пользователей из России настолько велик, что он сам перекрасит рынок. Это не работает. Основная часть оборота проходит через глобальные биржи и внутри их горячих кошельков на блокчейне как российская не видна. Красить может только то, что прошло через российскую инфраструктуру — например, Garantex, ее преемницу Grinex, российские OTC-площадки. 

Рублевый стейблкоин A7A5 с оборотом более $100 млрд — это отдельный токен. Его собственные переводы не создают экспозиции у биткоина или USDT, потому что это другой актив. Связь возникает только в момент обмена. Когда A7A5 меняют на USDT, если операция происходит на подсанкционной площадке, стейблкоин действительно получает метку. Но помечается именно эта сумма, а не весь оборот. Большая часть этих $100 млрд — переводы A7A5 внутри собственного контура, которые к другим активам отношения не имеют. 

Есть и прецеденты:

• Иран живет под всеобъемлющими санкциями. Еще в 2021 году на него приходилось около 4,5% мирового майнинга биткоина, но BTC от этого полностью грязным не стал;

• даркнет-площадка Hydra с оборотом в миллиарды долларов была полностью размечена, и остальной рынок от этого не погиб под тоннами «грязи».

Разбавление работает против краски, а не на нее.

Пятый тезис — если «перепачкать все», разметка станет бесполезной. План не сработает по трем причинам:

• порог срабатывания комплаенс настраивает сам;

• главные ворота стоят не на блокчейне;

• метку получает тот, кто смешивает.

Представим пользователя из России, который решил «заразить» рынок. Он вывел USDT с подсанкционной биржи, раздробил их на сотни мелких переводов и разослал на чужие адреса, в том числе на депозитные адреса западных бирж.

Порог срабатывания такую атаку не замечает. Каждый получит крошечную долю связи с подсанкционным кластером. Если таких следов станет много, биржи просто поднимут порог, при котором поднимается тревога. Инструмент не сломается — его перенастроят.

Крупные суммы так разослать не получится. Чтобы завести серьезный объем на западную биржу, нужен аккаунт. А западные площадки отсекают пользователей из России еще на входе — по документам, адресу проживания и геолокации. В ЕС с 2022 года запрещены криптоуслуги резидентам России. Проверка адресов на блокчейне идет уже после этих ворот. 

Единственное, что в этой схеме реально бьет по деньгам прямо на блокчейне, — заморозка стейблкоинов. У Tether и Circle есть право заблокировать любой адрес, и USDT или USDC на нем перестают двигаться. Но блокировка всегда точечная. Заморозят кошелек «главного героя» и адреса подсанкционной биржи, а не кошельки сотен получателей. Так уже было в марте 2025 года, когда Tether заморозила USDT на кошельках Garantex более чем на 2,5 млрд рублей. Деньги потеряли клиенты биржи.

Вдобавок такие попытки ускоряют санкции против инфраструктуры целиком. Британские санкции в мае 2026 года затронули в том числе HTX и EXMO — международные площадки с большой долей пользователей из России. Чем активнее контур пытается «заразить» рынок, тем быстрее его огораживают.

Метки не расползутся по всему миру. Реальная угроза — санкции против самих российских бирж, которые получат лицензии по новому закону 282-ФЗ о цифровых валютах и цифровых правах. Если это случится, любой вывод с такой биржи на западную площадку будет выглядеть как прямой перевод от подсанкционной сущности. Такие переводы проверяют или блокируют при любой сумме. Для пользователя это значит, что деньги из России выйти смогут, а зайти на регулируемый рынок — нет. 

Именно для таких проверок на входе AML-провайдеры и нужны. Они помогают биржам и банкам объяснить регулятору, почему перевод приняли или отклонили, участвуют в расследованиях и исправляют ошибочные метки, если владелец адреса докажет, что его разметили неверно. Инструмент, который помечает все подряд, не нужен никому. Поэтому сами провайдеры первыми заинтересованы в том, чтобы метки оставались точными.