AML-комплаенс для криптобизнеса: требования закона США

Криптобиржа в США ведёт две книги учёта. В одной записаны сделки. В другой — кто клиенты, откуда у них деньги и какие переводы выглядели подозрительно.

Вторая книга и есть AML-комплаенс для криптобизнеса, а что в неё записывать, решает американский закон о банковской тайне, Bank Secrecy Act.

Кого касаются правила

FinCEN, подразделение Минфина, которое следит за исполнением этого закона, считает большинство компаний, принимающих и переводящих криптовалюту клиентов, денежными переводчиками — одним из видов бизнеса денежных услуг (MSB). Обычно сюда попадают биржи, брокеры и провайдеры кастодиальных кошельков.

Кошелёк, который никогда не касается денег клиента, обычно не попадает: разъяснения FinCEN 2019 года смотрят на бизнес-модель, а не на название.

Новый MSB обязан зарегистрироваться в FinCEN в течение 180 дней после начала работы и продлевать регистрацию раз в два года. Штраф за отсутствие регистрации — $5000 за нарушение, и каждый день считается новым нарушением.

Большинство штатов требуют ещё и собственную лицензию денежного переводчика, а в Нью-Йорке есть отдельная BitLicense.

Регистрация в FinCEN — ещё не разрешение на работу: она лишь сообщает регулятору, что компания существует и подчиняется закону. Лицензии штатов выдаются отдельно, со своими требованиями к капиталу, руководству и проверкам.

Четыре части AML-программы

Федеральное правило для MSB, 31 CFR 1022.210, требует письменной программы из четырёх частей:

• политики, процедуры и внутренний контроль: как компания идентифицирует клиентов, подаёт отчёты, хранит записи и отвечает правоохранителям;
• комплаенс-офицер: один назначенный человек отвечает за ежедневное соблюдение правил, следит, чтобы отчёты уходили вовремя, а программа успевала за новыми нормами;
• обучение: сотрудники знают свою часть программы, в том числе как распознать подозрительную операцию;
• независимая проверка: работоспособность программы проверяет не комплаенс-офицер, а кто-то другой, так часто, как требует уровень риска.

Программа должна соответствовать рискам: оператору двух криптоматов и национальной бирже нужны те же четыре части, но разной глубины. Без проверенной личности клиента ни одна из них не работает: нельзя ни заполнить отчёт о подозрительной операции, ни передать данные отправителя по Travel Rule.

Знать клиента

Сначала проверка личности. Прежде чем клиент начнёт торговать, биржа собирает имя, дату рождения, адрес и документ и сверяет человека с санкционными списками. Для клиентов повышенного риска нужна расширенная проверка: источник средств, ожидаемая активность, иногда звонок. Как это выглядит со стороны клиента, мы рассказывали в материале про проверку KYC.

Правило Travel Rule

Когда клиент отправляет $3000 или больше, отправляющая организация обязана передать имя, адрес и счёт отправителя и всё, что знает о получателе. Это американское правило Travel Rule.

FATF, которая задаёт мировые стандарты, рекомендует то же для переводов от $1000 или €1000. Для криптобиржи трудность в контрагенте: биржа на другой стороне должна принять данные, а за некастодиальным кошельком вообще не стоит никакая организация.

Отчёты о подозрительных операциях

Отчёт о подозрительной операции, SAR, — главный результат всей системы. MSB обязан подать его, если операция от $2000 похожа на отмывание денег, обход санкций или другое преступление.

Срок — 30 календарных дней с момента, когда компания обнаружила факты, по правилу 31 CFR 1022.320. Копию отчёта и доказательства хранят пять лет, а клиенту о существовании отчёта сообщать нельзя.

Запрет на разглашение объясняется просто: узнав о проверке, клиент успеет вывести деньги. Поэтому поддержка биржи, которая задерживает перевод, обычно не называет причину. Это не каприз сотрудника, а требование правила.

Санкции

Параллельно с AML идёт санкционная проверка. Управление по контролю за иностранными активами, OFAC, публикует списки заблокированных лиц и адресов кошельков, и американская компания не вправе иметь с ними дело. В урегулировании с Binance в ноябре 2023 года одна только доля OFAC составила $968,6 млн.

Во что обходится провал

Последние три года показали цену слабого AML:

• Binance в 2023 году согласилась на $4,3 млрд штрафов в США, из них $3,4 млрд FinCEN; по словам прокуроров, она не подала ни одного SAR;
• KuCoin в январе 2025 года признала вину: не регистрировалась в FinCEN и не подавала SAR, штрафы около $300 млн;
• OKX признала вину месяцем позже и согласилась заплатить больше $504 млн.

“Больше семи лет OKX сознательно нарушала законы о противодействии отмыванию денег и уклонялась от обязательных мер, которые не дают преступникам злоупотреблять нашей финансовой системой”

— Мэттью Подольски, исполняющий обязанности прокурора Южного округа Нью-Йорка, февраль 2025 года, в цитате Минюста США · justice.gov

Эмитенты стейблкоинов попали в этот круг в 2025 году: закон GENIUS приравнивает их к финансовым организациям по Bank Secrecy Act. Подробнее — в нашем разборе закона GENIUS.

Наш подсчёт

• год работы без регистрации в FinCEN по $5000 в день — это $1,825 млн гражданских штрафов ещё до уголовного дела;
• американский порог Travel Rule в три раза выше рекомендации FATF: $3000 против $1000;
• штраф OKX в $504 млн при подозрительных операциях больше чем на $5 млрд — примерно десять центов с доллара;
• Binance и KuCoin вместе заплатили около $4,6 млрд за программы, которые, по версии прокуроров, не дали ни одного SAR.

Если вы строите криптобизнес в США, порядок важен: регистрация, письменная программа, назначенный комплаенс-офицер, и только потом открытие счетов. Если вы клиент, проверка личности и редкий вопрос об источнике средств — видимая часть той же программы из четырёх частей.

Как такие проверки устроены на разных рынках, мы описывали в обзоре комплаенса.

Статья объясняет общие правила и не является юридической консультацией. Для своего бизнеса сверяйте действующий текст 31 CFR Chapter X и требования штата к лицензиям с юристом.