KYC и комплаенс криптобиржи: что на самом деле изменилось в 2026 году

Содержание

• Серых зон больше нет
• MiCA уже не в пути: она действует и применяется
• Travel Rule: где теория встретилась с реальностью
• Структуры уровней KYC, которые действительно работают
• AML-мониторинг: что на самом деле ищут регуляторы
• Сравнение юрисдикций: ситуация в 2026 году
• Технологический стек: что нужно вашей биржевой платформе
• Типичные ошибки комплаенса, из-за которых биржи закрывают
• Экономика вопроса: комплаенс против несоблюдения
• Что будет дальше

KYC — один из четырёх столпов комплаенса; руководство по требованиям комплаенса охватывает все четыре и механизмы контроля, которые их обеспечивают.

Серых зон больше нет

Два года назад операторы бирж ещё могли спорить о том, распространяются ли на них те или иные требования комплаенса. Этот спор окончен. В каждой крупной юрисдикции теперь есть чёткие правила для поставщиков услуг криптоактивов — и бюджеты на их правоприменение.

Мы наблюдали этот переход постепенно, а затем — разом. В 2024 году MiCA ещё только раскачивалась. К середине 2025 года правоприменительные меры начали обрушиваться на биржи, которые не адаптировались. Сейчас, в начале 2026 года, мы живём в полностью регулируемой среде в ЕС, ОАЭ, Сингапуре и большей части США. Лоскутная стратегия «зарегистрироваться здесь, игнорировать там», которая работала пять лет назад, сегодня приведёт к закрытию вашей биржи.

Вот что действительно изменилось: регуляторы научились лучше взаимодействовать. Взаимные проверки FATF вынудили отстающие страны действовать. Европейская рамка MiCA дала другим юрисдикциям шаблон. И, что крайне важно, инструменты выявления несоответствующих бирж стали совершеннее. Компании блокчейн-аналитики вроде Chainalysis и Elliptic теперь предоставляют регуляторам дашборды в реальном времени, показывающие, какие биржи маршрутизируют подозрительные транзакции. За непрозрачностью больше не спрячешься.

Для операторов бирж это важно, потому что стоимость ретроактивного комплаенса в 5–10 раз выше, чем затраты на то, чтобы сделать всё правильно с самого начала. Одна биржа в Юго-Восточной Азии, с которой мы работали, потратила $340 000 на устранение проблем комплаенса, предотвращение которых обошлось бы в $45 000. Это не исключение — это норма.

Итак, давайте пройдёмся по тому, что вам действительно нужно знать — юрисдикция за юрисдикцией, регуляция за регуляцией.

MiCA уже не в пути: она действует и применяется

Регламент о рынках криптоактивов (Markets in Crypto-Assets Regulation) вступил в полную силу во всех 27 странах ЕС в середине 2025 года. Переходный период, который все постоянно откладывали? Он закончился. Если вы обслуживаете клиентов из ЕС без авторизации CASP (Crypto-Asset Service Provider), вы действуете незаконно.

Как выглядит правоприменение MiCA на практике:

Национальные компетентные органы — AMF во Франции, BaFin в Германии, CNMV в Испании — активно проверяют зарегистрированных CASP и преследуют незарегистрированных. Только в IV квартале 2025 года Франция выдала 14 правоприменительных уведомлений в адрес бирж, работавших без авторизации. Германия действует ещё жёстче: BaFin заблокировал доступ к шести доменам офшорных бирж, обслуживавших немецких пользователей.

Настоящие зубы MiCA — со стороны банков. Европейские банки теперь обязаны проверять, что криптокомпании, с которыми они работают, имеют действующую авторизацию CASP. Если ваша биржа потеряет банковские отношения из-за невозможности подтвердить комплаенс — вам конец. Фиатные каналы ввода и вывода — это кровеносная система любой биржи, обслуживающей розничных пользователей.

Конкретные требования KYC по MiCA:

• Идентификация клиента до любой транзакции (больше никакой анонимной торговли в пределах малых порогов)
• Постоянный мониторинг активности клиентов и паттернов транзакций
• Усиленная должная проверка (EDD) для транзакций свыше 1 000 EUR
• Скрининг на принадлежность к публичным должностным лицам (PEP) для всех клиентов
• Проверка источника средств для депозитов свыше 15 000 EUR
• Хранение всех данных KYC не менее 5 лет после прекращения отношений с клиентом

Порог в 1 000 EUR для усиленной проверки застаёт многих операторов врасплох. Это невысокая планка. Большинство активных трейдеров превышают её в первую же неделю. Вам нужны системы, способные плавно обрабатывать многоуровневую верификацию — не создавая при этом столько трения, чтобы пользователи бросали онбординг.

В чём операторы ошибаются насчёт MiCA:

Самое большое заблуждение — что MiCA сводится к получению лицензии. Это не так. MiCA — это постоянное обязательство по комплаенсу. Нужно подавать регулярные отчёты в национальный орган, поддерживать нормативы достаточности капитала, держать политики комплаенса в актуальном состоянии и отвечать на запросы надзорных органов в установленные сроки. Лицензия — это начало, а не конец.

Travel Rule: где теория встретилась с реальностью

Рекомендация 16 FATF, широко известная как Travel Rule (правило о передаче данных), требует, чтобы при переводе криптовалюты между биржами (или любыми поставщиками услуг виртуальных активов, VASP) персональные данные отправителя и получателя сопровождали транзакцию. Имя, номер счёта, адрес, дата рождения — всё это должно передаваться от отправляющего VASP принимающему.

В теории это звучит просто. На практике внедрение стало для отрасли кошмаром. Вот как обстоят дела в 2026 году.

Проблема уровня обмена сообщениями в основном решена. Несколько протоколов обмена сообщениями Travel Rule набрали популярность: доминируют TRISA, OpenVASP и коммерческое решение Notabene. Большинство крупных бирж теперь поддерживают хотя бы один из них. Проблемы совместимости между протоколами, отравлявшие жизнь в 2024–2025 годах, в значительной степени решены с помощью мостовых решений, хотя они и не идеальны.

Порог различается по юрисдикциям. Здесь начинается путаница:

• ЕС (по Регламенту о переводах средств в рамках MiCA): 0 EUR — каждый перевод, независимо от суммы, требует данных об отправителе и получателе
• США (FinCEN): $3 000 для переводов с участием финансового учреждения
• Сингапур (MAS): 1 500 SGD (примерно $1 100)
• Япония (FSA): 0 JPY — все переводы, без порога
• ОАЭ (VARA): 3 500 AED (примерно $950)
• Швейцария (FINMA): 1 000 CHF

Нулевой порог ЕС — самый строгий в мире, и он вынудил каждую биржу, обслуживающую европейских пользователей, внедрить соответствие Travel Rule для всех исходящих переводов. Это значит, что даже перевод на 10 EUR на другую биржу требует полного обмена данными.

Что это значит для вашего технологического стека:

Вашему биржевому ПО нужна интеграция Travel Rule. Точка. Вы должны уметь:

1. Определять, идёт ли исходящий криптоперевод на другой VASP (а не на личный кошелёк)
2. Собирать и передавать данные об отправителе контрагенту-VASP
3. Получать и проверять данные о получателе от контрагентов-VASP для входящих переводов
4. Помечать переводы, где контрагент-VASP не отвечает или не может быть верифицирован
5. Хранить все записи сообщений Travel Rule для аудита

Различие между переводами VASP-VASP и переводами на личные кошельки (unhosted wallets) важно. Регламент ЕС о переводах средств трактует переводы на некоштируемые кошельки иначе: для переводов свыше 1 000 EUR нужно подтвердить, что кошелёк принадлежит вашему клиенту, но полный обмен данными по Travel Rule не требуется.

Если в ваша биржевая платформа не имеет встроенной поддержки Travel Rule, у вас два пути: кастомная интеграция (дорого, 3–6 месяцев разработки) или переход на платформу, где это включено нативно.

Структуры уровней KYC, которые действительно работают

Не каждому пользователю нужен одинаковый уровень верификации. Многоуровневая система KYC позволяет сбалансировать регуляторные требования и пользовательский опыт. Вот что лучше всего работало на сотнях развёрнутых нами бирж.

Уровень 0 — только просмотр (без верификации)

Пользователи могут просматривать платформу, смотреть цены, изучать рынки. Никакой торговли, депозитов и выводов. Этот уровень существует исключительно для привлечения — дайте людям осмотреться, прежде чем просить у них личные документы. Конверсия с Уровня 0 на Уровень 1 на хорошо спроектированных биржах обычно составляет 35–50%.

Уровень 1 — базовая верификация

• Подтверждение email и телефона
• Полное юридическое имя
• Дата рождения
• Страна проживания
• Лимиты: обычно $1 000–$2 000 дневного объёма транзакций, $5 000–$10 000 в месяц

Это ваш рабочий уровень для обычных пользователей, которые хотят купить немного криптовалюты и держать её. Он удовлетворяет базовым требованиям CDD (Customer Due Diligence) в большинстве юрисдикций при минимальном трении. С хорошим KYC-провайдером верификация Уровня 1 занимает меньше двух минут.

Уровень 2 — стандартная верификация

• Удостоверение личности с фото государственного образца (паспорт, национальное удостоверение, водительские права)
• Проверка живости (selfie или видео, подтверждающее, что человек с документом — тот же, что на фото)
• Подтверждение адреса (квитанция за коммунальные услуги, банковская выписка или государственный документ не старше 3 месяцев)
• Лимиты: $10 000–$50 000 в день, $100 000–$500 000 в месяц

Уровень 2 — куда попадает большинство активных трейдеров. Комбинация «документ + проверка живости» — теперь отраслевой стандарт. Провайдеры вроде Sumsub справляются с этим за 30–60 секунд благодаря ИИ-верификации документов, а доля ложных отказов заметно снизилась с 2024 года. Современные платформы вроде Codono поставляются с предустановленной интеграцией Sumsub через свою систему KYC/AML, что сокращает работу по внедрению с недель до часов.

Уровень 3 — расширенная верификация

• Всё из Уровня 2
• Документы об источнике средств (справки о доходах, налоговые декларации, бизнес-документация)
• Декларация об источнике благосостояния
• Расширенный постоянный мониторинг
• Лимиты: $100 000+ в день, $1 000 000+ в месяц или без лимитов

Уровень 3 — для крупных игроков и институциональных клиентов. Это ваши самые ценные клиенты, и они ждут профессионального онбординга. Многие биржи назначают персонального аккаунт-менеджера на этом уровне. Больше всего трения возникает на требовании об источнике средств — нужен понятный процесс проверки документов и разумные сроки (максимум 48 часов, в идеале — в тот же день).

Ключевой принцип: делайте повышение уровня бесшовным. Пользователь Уровня 1, упрёвшийся в лимит, должен получить предложение перейти на Уровень 2 прямо в интерфейсе, в момент, когда он ударился о стену. Не заставляйте его рыться в меню настроек. Чем плавнее поток повышения уровня, тем меньше выручки вы теряете из-за брошенной верификации.

AML-мониторинг: что на самом деле ищут регуляторы

KYC получает всё внимание, но именно AML-мониторинг (противодействие отмыванию денег) находится в фокусе регуляторов во время проверок. Надёжный процесс KYC — это минимальный входной билет. То, что отличает соответствующую требованиям биржу от несоответствующей, — это то, что происходит после онбординга.

Правила мониторинга транзакций, которые вам нужны:

Регуляторы ожидают автоматизированный мониторинг как минимум следующих паттернов:

• Структурирование (смурфинг): множественные депозиты чуть ниже отчётных порогов. Если ваш отчётный порог — $10 000, пользователь, делающий пять депозитов по $9 500 за три дня, должен вызвать алерт.
• Быстрое движение средств: депозиты, которые немедленно выводятся без торговли. Классический паттерн отмывания — использование биржи как миксера без какой-либо реальной торговой активности.
• Спячка с последующей крупной активностью: аккаунт, который простаивал месяцами, а затем внезапно обрабатывает объём $50 000. Может быть легитимно, но должно быть помечено и проверено.
• Риск контрагента: переводы на кошельки или с кошельков, связанных с известной незаконной деятельностью. Требует интеграции блокчейн-аналитики — основные провайдеры: Chainalysis, Elliptic или Crystal.
• Географический риск: транзакции с участием высокорисковых юрисдикций (страны серого или чёрного списка FATF). Нужна скоринговая оценка риска на уровне стран.
• Поведенческие аномалии: торговые паттерны, не соответствующие заявленному профилю пользователя. Пользователь, заявивший «пассивное инвестирование» как цель, но совершающий 200 сделок в день, заслуживает второго взгляда.

Отчёты о подозрительной активности (SAR):

Каждая юрисдикция требует от бирж подавать SAR при обнаружении активности, которая может быть связана с отмыванием денег, финансированием терроризма или другими финансовыми преступлениями. Конкретные требования к подаче различаются:

• США: подача в FinCEN в течение 30 дней с момента обнаружения
• ЕС (MiCA): подача в национальное подразделение финансовой разведки (FIU) «без промедления» — на практике это 24–48 часов
• Сингапур: подача в Suspicious Transaction Reporting Office (STRO) как можно скорее при первой разумной возможности
• ОАЭ: подача в подразделение финансовой разведки в течение 2 рабочих дней

Вам нужен специалист по комплаенсу (или сервис), который может оценивать алерты, определять, оправдан ли SAR, и подавать его корректно. Это не опционально, и ошибки здесь имеют последствия. Несколько бирж получили значительные штрафы в 2025 году за позднюю подачу SAR или её отсутствие.

Ведение записей:

Храните всё. Записи транзакций, документы KYC, логи коммуникаций, поданные SAR, заметки внутренних расследований. Большинство юрисдикций требуют хранения 5–7 лет. Некоторые, как США, в определённых обстоятельствах — дольше. Лучше хранить слишком много, чем слишком мало.

Сравнение юрисдикций: ситуация в 2026 году

Регуляторная карта существенно изменилась. Вот актуальный срез требований каждой крупной юрисдикции:

Европейский союз (MiCA)

• Лицензия: авторизация CASP от любой страны ЕС (действует во всех 27 по принципу паспортизации)
• KYC: полная верификация для всех пользователей, без анонимных порогов
• AML: требования 6-й Директивы о противодействии отмыванию денег плюс специфические обязательства MiCA
• Travel Rule: нулевой порог, все переводы VASP
• Требование к капиталу: 50 000–150 000 EUR в зависимости от услуг
• Стоимость соответствия: 30 000–100 000 EUR первоначально, 5 000–15 000 EUR/месяц на постоянной основе
• Правоприменение: агрессивное и ускоряющееся

Соединённые Штаты

• Лицензия: федеральная регистрация MSB + лицензии money transmitter в каждом штате (50 штатов)
• KYC: требования BSA/AML, Программа идентификации клиента (CIP)
• AML: соответствие BSA, подача SAR в FinCEN, отчёты о валютных операциях (CTR) для транзакций свыше $10 000
• Travel Rule: порог $3 000 для переводов с участием финансовых учреждений
• Требование к капиталу: варьируется по штатам (от $0 до $5 000 000 — Нью-Йорк выделяется)
• Стоимость соответствия: $100 000–$500 000 первоначально для значимого покрытия, $10 000–$30 000/месяц на постоянной основе
• Правоприменение: SEC агрессивна по классификации токенов, FinCEN сфокусирован на AML-комплаенсе

ОАЭ (VARA — Дубай)

• Лицензия: лицензия VARA для поставщиков услуг виртуальных активов
• KYC: многоуровневая верификация, усиленная проверка свыше 40 000 AED
• AML: требования федерального закона ОАЭ о ПОД, согласованные с FATF
• Travel Rule: порог 3 500 AED
• Требование к капиталу: 150 000–600 000 AED в зависимости от категории лицензии
• Стоимость соответствия: $15 000–$50 000 первоначально, $3 000–$8 000/месяц на постоянной основе
• Правоприменение: умеренное, но усиливающееся — VARA активно действует с конца 2025 года

Сингапур (MAS)

• Лицензия: лицензия Major Payment Institution (MPI) по Закону о платёжных услугах
• KYC: полная CDD для всех аккаунтов, усиленная проверка для категорий повышенного риска
• AML: требования уведомления MAS PSN02, согласованные со стандартами FATF
• Travel Rule: порог 1 500 SGD
• Требование к капиталу: 250 000 SGD
• Стоимость соответствия: $50 000–$100 000 первоначально, $8 000–$20 000/месяц на постоянной основе
• Правоприменение: тщательное и строгое — MAS выдаёт немного лицензий, но серьёзно относится к тем, что выдала

Гонконг (SFC/HKMA)

• Лицензия: лицензия VATP от Комиссии по ценным бумагам и фьючерсам
• KYC: полная верификация, розничный доступ требует дополнительных гарантий
• AML: требования AMLO, согласованные с FATF
• Travel Rule: нулевой порог для всех переводов
• Требование к капиталу: 5 000 000 HKD
• Стоимость соответствия: $80 000–$200 000 первоначально, $15 000–$30 000/месяц на постоянной основе
• Правоприменение: избирательное, но серьёзное — Гонконг одобрил лишь несколько бирж до конца 2025 года

Турция

• Лицензия: авторизация Совета по рынкам капитала (CMB) по новому закону о криптоактивах (действует с середины 2025 года)
• KYC: обязательная верификация по национальному удостоверению, многоуровневые лимиты
• AML: требования MASAK (Совет по расследованию финансовых преступлений)
• Travel Rule: внедряется, порог ожидает финального регулирования
• Требование к капиталу: 50 000 000 TRY (примерно $1,5 млн)
• Стоимость соответствия: $20 000–$60 000 первоначально, $5 000–$10 000/месяц на постоянной основе
• Правоприменение: новая рамка, правоприменение быстро наращивается

Тренд очевиден: издержки растут, требования сходятся к стандартам FATF, и каждая юрисдикция становится строже. Дешёвых и свободных юрисдикций времён 2022–2023 годов больше не существует.

Технологический стек: что нужно вашей биржевой платформе

Ваши обязательства по комплаенсу настолько сильны, насколько сильна технология, которая их обеспечивает. Ручные процессы комплаенса ломаются при масштабировании. Если вы проверяете документы KYC вручную или мониторите транзакции в электронной таблице — вы что-то пропустите, и регуляторы об этом узнают.

Вот минимальный технологический стек, необходимый соответствующей требованиям бирже в 2026 году:

Верификация личности (KYC)

• Верификация документов (паспорт, удостоверение личности, водительские права) с OCR и ИИ-валидацией
• Детекция живости (защита от спуфинга)
• Сопоставление лиц (selfie против фото в документе)
• Скрининг по спискам PEP и санкционным спискам
• Скрининг негативных упоминаний в СМИ
• Постоянный мониторинг (периодическая повторная верификация в зависимости от уровня риска)

Это не строят самостоятельно. Интегрируйте профильного провайдера. Лидеры — Sumsub, Jumio, Onfido и Veriff. Усилия по интеграции минимальны, если ваша биржевая платформа поддерживает их нативно — Codono, например, поставляется с интеграцией Sumsub и встроенным дашбордом комплаенса, который из коробки обрабатывает процессы верификации, скоринг рисков и аудиторские следы.

Мониторинг транзакций (AML)

• Движок правил реального времени для выявления подозрительных паттернов
• Интеграция блокчейн-аналитики (Chainalysis KYT, Elliptic Lens или Crystal)
• Очередь алертов с процессом расследования
• Генерация и подача SAR
• Скоринг риска по каждому пользователю на основе поведения и профиля

Соответствие Travel Rule

• Интеграция TRISA, OpenVASP или Notabene
• Идентификация контрагентов-VASP
• Обмен данными об отправителе и получателе
• Идентификация и верификация некоштируемых кошельков

Санкционный скрининг

• Скрининг кошельков в реальном времени по списку OFAC SDN, санкционным спискам ЕС и консолидированному списку ООН
• Автоматическая блокировка адресов под санкциями
• Регулярное обновление списков (минимум ежедневно)

Аудит и отчётность

• Полный аудиторский след всех действий по комплаенсу
• Автоматизированная регуляторная отчётность (CTR, SAR, периодические подачи)
• Система хранения данных, соответствующая требованиям 5–7 лет
• Возможность экспорта для регуляторных проверок

Если вы оцениваете биржевое ПО, инструментарий комплаенса должен быть в верхней части списка критериев. Платформа со встроенной инфраструктурой KYC/AML сэкономит вам месяцы интеграционной работы и снизит риск пробелов в комплаенсе. Построить эти интеграции с нуля реально, но дорого — закладывайте $50 000–$150 000 и 4–8 месяцев разработки.

Типичные ошибки комплаенса, из-за которых биржи закрывают

Мы видели, как одни и те же ошибки топят биржи снова и снова. Большинство из них можно избежать.

1. Отношение к KYC как к разовому событию.

Верификация при онбординге — это шаг первый. Не вся программа. Постоянный мониторинг означает периодическую повторную верификацию (ежегодно для стандартного риска, каждые 6 месяцев для высокорисковых пользователей), непрерывный мониторинг транзакций и повторный скрининг по спискам PEP и санкций при их обновлении. Регуляторы ЕС специально называли «отсутствие постоянной должной проверки» одной из главных находок в аудитах CASP.

2. Игнорирование географических ограничений.

В ваших условиях использования написано, что вы не обслуживаете страны под санкциями. Отлично. Но действительно ли вы это обеспечиваете? Одной блокировки по IP недостаточно — VPN позволяют обойти её без труда. Нужно перекрёстно сверять заявленную пользователем страну с подтверждённым документами гражданством, геолокацией IP и паттернами транзакций. В 2025 году одна биржа была оштрафована на $1,2 млн за обслуживание иранских пользователей, несмотря на общее географическое ограничение в условиях использования.

3. Недостаточная укомплектованность штата комплаенса.

Один специалист по комплаенсу на неполный день для биржи с месячным объёмом $10 млн — этого не хватит. Общее правило: минимум один выделенный специалист по комплаенсу на каждые $25–50 млн месячного объёма. Для небольших бирж может сработать внештатный комплаенс-офицер в сочетании с автоматизированными инструментами, но кто-то должен ежедневно просматривать алерты и принимать решения о подаче SAR.

4. Отсутствие документированных процедур.

Если ваш процесс комплаенса живёт в головах сотрудников, а не в письменных процедурах, — вы уязвимы. Регуляторы хотят видеть письменные процедуры KYC, документацию правил AML-мониторинга, протоколы эскалации, процедуры подачи SAR и записи об обучении сотрудников. Когда регулятор просит «покажите ваши процедуры», вы должны протянуть документ, а не объяснять на словах.

5. Задержка подачи SAR.

Из-за этого биржи попадают в серьёзные неприятности. Как только вы обнаружили подозрительную активность, часы пошли. Большинство юрисдикций дают вам дни, а не недели. Некоторые биржи откладывают подачу, потому что хотят собрать больше информации или потому что пользователь — ценный клиент, которого не хочется терять. Обе причины — ужасные. Подавайте SAR и продолжайте расследование отдельно. Предупреждение клиента о SAR само по себе является уголовным преступлением в большинстве юрисдикций.

6. Неадекватное ведение записей.

Удаление старых записей KYC «для экономии места» или отсутствие логирования решений по комплаенсу уже хоронили биржи. Хранилище дёшево. Регуляторные штрафы — нет. Храните всё, проиндексированное и доступное для поиска, минимум 7 лет.

7. Копирование политик комплаенса у другой биржи.

Регуляторы это видят. Ваша AML-политика должна отражать вашу конкретную бизнес-модель, аппетит к риску, целевые рынки и операционную реальность. Политика, упоминающая услуги, которых вы не предоставляете, или юрисдикции, в которых вы не работаете, — это красный флаг, говорящий регулятору, что вы относитесь к этому несерьёзно.

8. Отсутствие обновлений при изменении регуляций.

Требования MiCA эволюционировали между первоначальной рамкой и финальными имплементирующими регламентами. Пороги Travel Rule менялись в нескольких юрисдикциях в течение 2025 года. Если ваша программа комплаенса всё ещё отражает требования 2024 года — вы не соответствуете требованиям. Назначьте ответственного за отслеживание регуляторных изменений в каждой юрисдикции вашего присутствия. Пересматривайте и обновляйте политики минимум ежеквартально.

Экономика вопроса: комплаенс против несоблюдения

Операторы бирж иногда отпугиваются от расходов на комплаенс. Справедливо — это реальные деньги. Но математика несоблюдения хуже. Намного хуже.

Стоимость правильного подхода:

Для биржи среднего размера (до $50 млн месячного объёма), работающей в 1–2 юрисдикциях:

• KYC-провайдер: $500–$3 000/месяц (в зависимости от объёма верификаций)
• Блокчейн-аналитика: $1 000–$5 000/месяц
• Решение Travel Rule: $500–$2 000/месяц
• Персонал комплаенса: $5 000–$15 000/месяц (внештатный MLRO или штатный сотрудник)
• Абонентское юридическое обслуживание: $2 000–$5 000/месяц
• Регуляторная отчётность и подачи: $1 000–$3 000/месяц
• ПО/платформа комплаенса: включено, если ваша биржевая платформа имеет это встроенным, иначе $2 000–$8 000/месяц

Итого: примерно $10 000–$40 000 в месяц. Скажем, $120 000–$480 000 в год.

Звучит как много. Теперь посмотрите на альтернативу.

Стоимость того, чтобы быть пойманным:

• Регуляторные штрафы: от $100 000 до $10 000 000+ (MiCA допускает штрафы до 12,5% годового оборота или 5 000 000 EUR — смотря что больше)
• Расторжение банковских отношений: фактически останавливает фиатные операции, потенциально навсегда
• Затраты на юридическую защиту: $200 000–$1 000 000+ в зависимости от юрисдикции и тяжести
• Принудительные возвраты пользователям: варьируются, но могут быть катастрофическими
• Репутационный ущерб: не поддаётся оценке, но разрушителен — пользователи не возвращаются после комплаенс-скандала
• Личная ответственность: в ряде юрисдикций директора могут понести уголовную ответственность за провалы комплаенса
• Остановка деятельности: регуляторы могут и действительно приказывают немедленно прекратить операции

Одно правоприменительное действие стоит больше, чем десятилетие расходов на комплаенс. И это до учёта потерянной выручки от вынужденного простоя.

Математика ясна. Комплаенс — это не центр затрат, а страховка. Дорогая страховка, да. Но несравнимо дешевле альтернативы.

Как оптимизировать расходы на комплаенс:

Избежать расходов на комплаенс нельзя, но можно подойти к ним с умом.

Выбирайте биржевое ПО со встроенным инструментарием комплаенса. Платформы вроде Codono включают системы KYC/AML, интеграцию Sumsub и дашборды комплаенса как стандартные функции. Это устраняет $50 000–$150 000, которые вы потратили бы на построение этих интеграций с нуля.

Начните с одной юрисдикции и расширяйтесь. Не пытайтесь соответствовать требованиям везде одновременно. Выберите основной рынок, доведите комплаенс там до совершенства и используйте этот фундамент для выхода в другие юрисдикции.

Автоматизируйте всё, что можно. Ручные процессы комплаенса дороги и подвержены ошибкам. Инвестируйте в автоматизированный мониторинг транзакций, автоматический санкционный скрининг и автоматизированную регуляторную отчётность. Первоначальные затраты окупаются за считаные месяцы за счёт сокращения потребности в персонале.

Используйте внештатные комплаенс-сервисы в первые 12–18 месяцев. Вам не нужен штатный директор по комплаенсу, когда вы обрабатываете $5 млн в месяц. Несколько компаний предлагают MLRO-as-a-service специально для криптокомпаний. Переходите на штатных сотрудников по мере роста объёмов.

Торгуйтесь с KYC-провайдерами. Если вы делаете больше 1 000 верификаций в месяц — у вас есть рычаг. Большинство провайдеров дают скидку 20–40% за обязательства по объёму.

Что будет дальше

Регуляторная траектория однонаправлена: надзора будет больше, а не меньше. Оставшиеся нерегулируемые карманы закроются в ближайшие 12–24 месяца. Страны, находящиеся в сером списке FATF за недостаточное регулирование криптовалют, испытывают сильнейшее давление, требующее принятия законодательства.

Для операторов бирж это, по сути, хорошая новость. Чёткие правила создают равные условия игры. Биржи, которые рано инвестировали в комплаенс, теперь наращивают долю рынка, потому что пользователи им доверяют, а банки с ними работают. Те, кто пытался избежать комплаенса, либо лихорадочно догоняют, либо закрываются.

Если вы строите или управляете биржей в 2026 году, комплаенс — это не чекбокс, который неохотно отмечают. Это ядро вашего продукта. Пользователи этого ожидают. Регуляторы этого требуют. Банковские партнёры на этом настаивают. И сделанный правильно, он становится конкурентным преимуществом, а не просто статьёй расходов.

Сделайте всё правильно с самого начала. Ваше будущее «я» — и ваши будущие пользователи — скажут вам спасибо.

---

Источники и дополнительные материалы

• FATF Guidance on Virtual Assets — Recommendation 15 & Interpretive Note — Financial Action Task Force
• FATF Travel Rule for Virtual Asset Service Providers — FATF
• MiCA CASP Requirements — European Banking Authority — EBA
• Chainalysis Crypto Crime Report 2025 — Chainalysis
• OFAC Sanctions Compliance Guidance for Virtual Currency — Министерство финансов США

---

Нужен KYC, встроенный с первого дня? Модуль KYC и AML-комплаенса Codono поставляется с предустановленной интеграцией Sumsub и Shufti Pro: многоуровневая верификация, детекция живости, санкционный скрининг и поддержка Travel Rule. Посмотрите, как это работает или запросите демо.