KYC и AML для Web3-проекта: Travel Rule и MiCA в 2026 году

Если ваш проект хранит, обменивает или переводит криптоактивы клиентов, на него распространяются требования KYC и AML. В ЕС с 30 декабря 2024 года действует регламент о передаче сведений о переводах (Travel Rule) для криптоактивов, а переходный период MiCA для поставщиков криптоуслуг закончился 1 июля 2026 года: работать с клиентами в ЕС можно только с авторизацией. Чистый разработчик ПО, который не касается средств клиентов, обычно в эту категорию не входит, но граница тонкая.

Кого касается

MiCA: что изменилось 1 июля 2026 года

Регламент ЕС о рынках криптоактивов (MiCA, Regulation (EU) 2023/1114) ввёл единую лицензию для поставщиков криптоуслуг. Страны могли дать уже работающим компаниям переходный период, но, как напоминало ESMA в заявлении в апреле 2026 года, он истёк по всему ЕС 1 июля 2026 года. Поставщики без авторизации к этой дате должны были выполнить план сворачивания деятельности.

• Проверяйте партнёров по реестру ESMA: работать с поставщиком без авторизации для клиентов ЕС — риск.
• Лицензия, полученная в одной стране ЕС, позволяет работать во всём союзе после уведомления.
• Отдельные главы MiCA регулируют стейблкоины и токены, привязанные к активам; если ваш токен похож на них, нужна юридическая оценка.

Travel Rule: суть

Travel Rule — правило, по которому вместе с переводом передаются сведения об отправителе и получателе. Для криптоактивов его ввела FATF в Рекомендации 16, а в ЕС — Регламент (EU) 2023/1113, который применяется с 30 декабря 2024 года вместе с руководством EBA (EBA/GL/2024/11).

Что встроить в продукт

1. Проверку клиента при регистрации: личность или компания, бенефициары для юрлиц, санкционные списки.
2. Оценку риска клиента и периодическое обновление данных.
3. Анализ адресов: входящие и исходящие переводы проверяются на связь со взломами, миксерами, санкционными адресами.
4. Модуль Travel Rule: обмен сведениями с другими поставщиками через совместимый протокол.
5. Проверку владения некастодиальным кошельком: подпись сообщения или тестовый перевод.
6. Очередь ручной проверки и журнал решений.
7. Отчётность регулятору и хранение данных по срокам вашей юрисдикции.

Архитектура и персональные данные

KYC — это персональные данные, часто документы и фотографии. Храните их отдельно от основной базы, шифруйте, ограничивайте доступ ролями и ведите журнал обращений. Если вы работаете с гражданами России, учитывайте 152-ФЗ, в том числе требование о локализации; проверить сайт поможет проверка на 152-ФЗ, а защиту данных — услуга защиты персональных данных.

• Не храните сканы документов в том же хранилище, что и публичные файлы.
• Разделите сервис KYC и основной продукт: продукту нужен статус проверки, а не документы.
• Удаляйте данные по истечении срока хранения.
• Проверяйте подрядчиков, которые получают доступ к данным.

А в России

В России с 1 сентября 2026 года действует 282-ФЗ «О цифровых валютах и цифровых правах»: по обзорам, он вводит надзор Банка России за обменниками и другими посредниками, а приём цифровой валюты в оплату товаров и услуг по общему правилу запрещён. Подробнее — в нашей статье о законе для сайтов и в разборе расчётов по ВЭД.

Выбор KYC-провайдера

Свою систему проверки личности почти никто не строит: используют специализированных провайдеров. Сравнивайте их по покрытию стран и документов, по доле автоматических решений, по месту хранения данных и по тому, как они передают результат в ваш продукт.

Порядок внедрения

1. Юрист определяет статус проекта в каждой стране, где есть клиенты.
2. Пишется политика AML: оценка риска, проверки, пороги, действия при подозрениях.
3. Выбираются провайдеры KYC, анализа адресов и обмена данными Travel Rule.
4. Разработка встраивает их в регистрацию, вводы и выводы, с журналом решений.
5. Сотрудники проходят обучение работе с очередью ручной проверки.
6. Перед запуском — проверка безопасности хранилища данных и доступа к нему.

Порядок важен: если начать с интеграции провайдера без политики, система будет проверять не то и не тогда, когда нужно.

Частые ошибки внедрения

• Проверка только при регистрации, без повторной при крупных выводах и смене поведения.
• Анализ адресов только для входящих переводов, а исходящие не проверяются.
• Документы клиентов лежат в общем хранилище приложения с доступом у всех разработчиков.
• Нет журнала решений: почему клиент одобрен или заблокирован, кто это решил.
• Политика AML написана, но не соответствует тому, что реально делает система.

Регуляторы смотрят именно на соответствие политики и практики. Лучше скромная политика, которую система выполняет полностью, чем подробная, которую никто не соблюдает.

Как мы помогаем

Мы не выдаём лицензии и не заменяем юриста. Мы делаем техническую часть: интеграцию KYC-провайдера, анализ адресов, модуль Travel Rule, раздельное хранение данных и журналы. Подробно — на странице блокчейн-разработки. Мы не строим продукты «без KYC» и не помогаем обходить санкции.