Weryfikacja tożsamości i compliance

Konwersja aktywa cyfrowego na prawny środek płatniczy nie jest operacją neutralną regulacyjnie. To właśnie punkt wyjścia z systemu kryptowalut do systemu bankowego i tam właśnie regulacje dotyczące przeciwdziałania praniu pieniędzy koncentrują swoje wymogi.

Ten przewodnik wyjaśnia, o co się prosi, dlaczego i co poważny serwis robi — a czego nie robi — z Twoimi dokumentami.

Dlaczego istnieje weryfikacja

Dostawca usług w zakresie aktywów cyfrowych podlega obowiązkom przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu, w taki sam sposób jak bank. Obowiązki te mają trzy filary:

1. Poznaj swojego klienta. Zidentyfikuj osobę, zweryfikuj, czy dostarczone dokumenty są autentyczne, i zrozum charakter relacji biznesowej.
2. Monitoruj operacje. Wykrywaj wzorce odbiegające od przewidywań wynikających ze zadeklarowanego profilu.
3. Zgłaszaj podejrzenia. Powiadamiaj właściwą jednostkę analityki finansowej o operacjach, co do których istnieje podejrzenie.

Trzeci punkt implikuje coś, co niewiele serwisów mówi wprost: zgłoszenie o podejrzanej transakcji nie jest Ci przekazywane. To obowiązek prawny, a zakaz informowania zainteresowanej osoby jest jego częścią.

Poziomy i dlaczego istnieją

Weryfikacja jest stopniowana. Pierwszy poziom, dla małych kwot, wymaga niewiele; wyższe poziomy wymagają więcej. Dokładne progi są opublikowane na stronie weryfikacja tożsamości.

Ogólna zasada: wymagany poziom zależy od Twojej łącznej kwoty w okresie kroczącym, a nie od pojedynczej operacji. Pięć operacji po 900 EUR to nie pięć małych operacji, to jedna operacja na 4 500 EUR podzielona na części.

Ten punkt zasługuje na wyraźne podkreślenie: celowe dzielenie operacji w celu pozostania poniżej progu kontrolnego ma w prawie swoją nazwę, structuring (strukturyzacja), i samo w sobie jest wskaźnikiem podejrzenia. Takie zachowanie wyzwala dokładnie ten przegląd, którego stara się uniknąć.

O co się prosi, poziom po poziomie

Poziom podstawowy. Zadeklarowana tożsamość, zweryfikowany adres e-mail, numer telefonu. Wystarczające dla małych kwot.

Poziom standardowy. Ważny oficjalny dokument tożsamości oraz sprawdzenie, czy obecna osoba jest osobą z dokumentu — tzw. test żywotności (liveness check). Dokument musi być w całości czytelny, bez odblasków na strefie odczytu maszynowego.

Poziom rozszerzony. Aktualne potwierdzenie adresu oraz, w zależności od przypadku, potwierdzenie źródła pochodzenia środków. To drugie nie jest podejrzeniem: powyżej określonych kwot jest obowiązkowe, a jego brak blokuje operację, nawet jeśli reszta dokumentacji jest bez zarzutu.

Osoby pełniące eksponowane funkcje polityczne. Osoba pełniąca lub pełniąca wcześniej ważną funkcję publiczną, wraz z jej bliskimi współpracownikami, podlega wzmożonej należytej staranności. Nie jest to ani odmowa, ani ocena: to obowiązek prawny, stosowany systematycznie.

Przyczyny odrzucenia według częstotliwości

1. Nieużyteczne zdjęcie dokumentu tożsamości. Rozmyte, przycięte, z odblaskiem na dolnym pasku. To najczęstsza przyczyna i najłatwiejsza do uniknięcia: fotografuj płasko, w świetle pośrednim, bez lampy błyskowej.
2. Zbyt stare potwierdzenie adresu. Zwykły limit to trzy miesiące.
3. Nazwa konta wypłaty różna od zweryfikowanej tożsamości. Nawet brak imienia wystarczy, aby zablokować operację. Konto docelowe musi być dokładnie na nazwisko zweryfikowanej osoby.
4. Dokument w nieobsługiwanym języku. Wymagane jest wówczas tłumaczenie.
5. Adres w kraju objętym ograniczeniami. Usługa jest odmawiana, z podaniem przyczyny na stronie ograniczenia geograficzne.

Kontrola źródła środków w łańcuchu bloków (on-chain)

Oprócz weryfikacji tożsamości, druga kontrola obejmuje same środki. Adresy, które otrzymały aktywa bezpośrednio od objętego sankcjami serwisu, miksera lub zidentyfikowanej kradzieży, wyzwalają ręczny przegląd.

Dwa uczciwe zastrzeżenia:

• Ta kontrola generuje wyniki fałszywie pozytywne. Adres mógł otrzymać, kilka przeskoków wcześniej, środki wątpliwego pochodzenia, o czym jego posiadacz nic nie wie. Ręczny przegląd istnieje właśnie po to, aby oddzielić takie przypadki.
• Wynik nie podlega negocjacjom po jego ustaleniu. Jeśli analiza wykaże bezpośredni związek z podmiotem objętym sankcjami, operacja nie może zostać wykonana, niezależnie od przedstawionych wyjaśnień.

Pełna polityka znajduje się na stronie polityka AML.

Reguła podróży (Travel Rule)

Gdy aktywa cyfrowe przemieszczają się między dwoma regulowanymi dostawcami, regulacje wymagają, aby informacje o zleceniodawcy i beneficjencie podróżowały wraz z transferem. Jest to transpozycja na aktywa cyfrowe zasady, która od dawna obowiązuje w przypadku przelewów bankowych.

Praktyczna konsekwencja dla Ciebie: wypłata na portfel z własnym przechowywaniem (self-hosted) może skutkować prośbą o dowód kontroli nad adresem — na przykład podpisanie wiadomości pasującym kluczem. To nie jest podejrzenie, to stosowanie reguły.

Termin ten jest zdefiniowany w glosariuszu.

Co dzieje się z Twoimi dokumentami

Poważny serwis musi być w stanie precyzyjnie odpowiedzieć na cztery pytania.

Kto je przetwarza? Identyfikacja jest przeprowadzana przez wyspecjalizowanego dostawcę, co jest normą branżową. Nazwa i rola dostawcy znajdują się na stronie prywatność.

Jak długo są przechowywane? Regulacje nakładają minimalny okres przechowywania po zakończeniu relacji biznesowej. Ten okres jest obowiązkiem, a nie wyborem: wniosek o usunięcie danych nie może go uchylić, dopóki bieg terminu trwa.

Gdzie są hostowane? Lokalizacja danych i zabezpieczenia mające zastosowanie do wszelkich transferów poza właściwy obszar muszą być udokumentowane.

Kto ma do nich dostęp? Dostęp musi być ograniczony do zespołów mających operacyjną potrzebę i musi być rejestrowany.

Jeśli serwis nie potrafi odpowiedzieć na te cztery pytania, jego wiarygodność jest kwestią, która pojawia się przed jego ceną.

O co serwis nigdy nie powinien Cię prosić

• Frazę odzyskującą (recovery phrase) Twojego portfela. Nie istnieje żaden uzasadniony powód. Nigdy. Taka prośba jest próbą kradzieży, bez wyjątku.
• Hasło do innego serwisu.
• Zdalny dostęp do Twojego komputera.
• Płatność w celu odblokowania wypłaty. Opłaty są pobierane z operacji, nigdy nie są wymagane osobno.

Te cztery elementy to stałe sygnatury oszustw w tym sektorze. Są one powtórzone na stronie bezpieczeństwo.

Ile to trwa

Automatyczna weryfikacja — odczyt dokumentu, test żywotności, porównanie — rozwiązuje się w ciągu minut, gdy dokumenty są użyteczne. To przypadek większościowy.

Trzy sytuacje wykraczają poza to, z różnymi terminami.

Ręczny przegląd plików. Wyzwalany przez rozbieżność nazwisk, dokument w nietypowym formacie lub dokument, którego autentyczność musi zostać potwierdzona. Spodziewaj się kilku godzin roboczych.

Weryfikacja źródła środków. Wymaga dokumentów, które musisz znaleźć: wyciągu bankowego z pierwotnego zakupu, umowy, odcinka wypłaty. Termin zależy głównie od Ciebie. Przygotowanie ich z wyprzedzeniem, gdy kwota, którą planujesz sprzedać, tego uzasadnia, to największa dostępna oszczędność czasu.

Przegląd analizy on-chain. Wyzwalany przez powiązanie z oznaczonym adresem. Jest najmniej przewidywalny: może zakończyć się w kilka godzin lub zająć kilka dni roboczych, jeśli potrzebne są dodatkowe dokumenty.

Podczas przeglądu Twoje zlecenie nie jest anulowane, a Twoje środki nie są tracone. Ale zablokowany kurs wygasa według własnego zegara. Jeśli przegląd przekroczy okno czasowe, zlecenie jest ponownie kwotowane po aktualnym kursie i musisz zaakceptować nową kwotę.

To jest operacyjny powód, a nie administracyjny, dla którego ciągle powtarzamy, aby zweryfikować swoją tożsamość przed kwotowaniem: jedynym realnym kosztem późnej weryfikacji jest kurs, który się zmienił.

Przygotowanie do weryfikacji

Najlepszy czas na weryfikację tożsamości to przed utworzeniem zlecenia. Robienie tego, gdy kurs obowiązuje, to najpewniejszy sposób na przegapienie okna blokady.

Aby się przygotować:

• ważny oficjalny dokument tożsamości;
• potwierdzenie adresu nie starsze niż trzy miesiące;
• w przypadku dużych kwot, potwierdzenie źródła pochodzenia środków: wyciąg bankowy pokazujący pierwotny zakup, umowa sprzedaży, odcinek wypłaty;
• konto wypłaty otwarte dokładnie na to samo nazwisko.

Czym compliance nie jest

Dwa nieporozumienia pojawiają się na tyle często, że warto je jasno przedstawić.

Compliance nie jest gwarancją bezpieczeństwa Twoich środków. Weryfikacja tożsamości i screening depozytu nie mówią nic o tym, jak dostawca przechowuje aktywa, segreguje środki klientów czy radzi sobie z incydentem. To są osobne pytania, na które odpowiada strona bezpieczeństwo, a dostawca, który odpowiada tylko na pierwsze, odpowiada na to łatwiejsze.

Zweryfikowane konto nie jest kontem bez limitów. Weryfikacja odblokowuje poziom, a nie brak limitów. Limity rail, limity płatności narzucone przez Twój własny bank oraz limity operacyjne po naszej stronie nadal obowiązują i są publikowane na stronie limity.

Bycie jasnym co do obu tych kwestii jest częścią tej samej dyscypliny, co reszta tego przewodnika: opisywanie, co kontrola faktycznie robi, zamiast sugerowania szerszego zapewnienia, którego nie zapewnia.

Artykuły powiązane z tym przewodnikiem

• Sprzedaż kryptowalut w Nigerii pokazuje, jak działa weryfikacja nazwiska beneficjenta na lokalnym railu.
• Dlaczego niektóre metody płatności nie mogą otrzymywać środków wyjaśnia, dlaczego niektóre raile są wykluczone ze względów regulaminowych, a nie technicznych.
• Francuski podatek od zbycia kryptowalut omawia obowiązek sprawozdawczy, który jest odrębny od obowiązków compliance dostawcy.