Крипто и AML — защо доставчиците на услуги за криптоактиви (ДУКА)/VASP са задължени субекти
Нов потребител се регистрира на вашата платформа за обмен на криптоактиви. Иска да конвертира 18 000 евро в биткойн. Трансакцията е под прага за разширена проверка, плаща с банков превод, документите му изглеждат наред. Стандартна операция. Три дни по-късно идентичен профил прави същото — 17 500 евро, отново биткойн. После трети. Различни имена, различни IBAN-и, но един и същ IP адрес.
Задължени ли сте да направите нещо? Категорично да. Вие сте доставчик на услуги за виртуални активи — задължен субект по ЗМИП. И точно такива модели са причината законът да поставя изрични изисквания към вашия сектор.
В този урок ще разберете защо криптобизнесът е сред задължените субекти, какво конкретно изисква ЗМИП от вас, и защо регулаторният натиск върху сектора ще нараства — не намалява.
Виртуалните активи и законовата рамка
Законът за мерките срещу изпирането на пари (ЗМИП) включва доставчиците на услуги за виртуални активи (ДУВА) в кръга на задължените субекти по чл. 4 ЗМИП. Това обхваща всеки, който по занятие предоставя услуги, свързани с виртуални активи — борси, портфейли с попечителски услуги, обменни платформи, платежни решения с криптоактиви.
Причината не е произволна. Виртуалните активи притежават характеристики, които ги правят особено уязвими за изпиране: скорост на трансфера, глобален обхват, псевдонимност, трудност при проследяване на крайния бенефициер. Именно затова FATF, ЕС и националните регулатори поставят сектора под засилен контрол.
Съгласно чл. 4 ЗМИП, задължени субекти са лицата, предоставящи услуги по обмен между виртуални активи и признати валути, услуги по обмен между различни форми на виртуални активи и услуги по съхранение, прехвърляне или управление на виртуални активи. От 10 юли 2027 г. се прилага директно Регламент (ЕС) 2024/1624 (AMLR), който разширява и прецизира тези задължения в рамките на целия ЕС, включително чрез задължителна проверка при всяка трансакция над 1 000 евро с несвързани страни.
Три характеристики, които правят крипто секторът рисков
Надзорните органи отделят специално внимание на доставчиците на услуги за виртуални активи поради три структурни особености на сектора:
Псевдонимност. Адресите в блокчейна не са обвързани автоматично с идентичност. Без правилно проведена идентификация на клиента (KYC) се губи видимостта кой реално стои зад трансакцията — особено при прехвърляния към „несвързани” портфейли (unhosted wallets).
Скорост и необратимост. Трансакция в биткойн мрежата е финализирана за минути. Веднъж изпратена, тя не може да бъде отменена. Това означава, че прозорецът за спиране на съмнителна операция е изключително тесен — превантивната идентификация е единственият работещ механизъм.
Глобален достъп без граница. Клиентът може да е от всяка юрисдикция, средствата могат да минат през десетки адреси и борси в различни държави. Национален надзор без международна координация е структурно недостатъчен — именно затова EU AMLR въвежда единна рамка за всички 27 държави членки.
- Клиент извършва множество операции непосредствено под праговете за проверка (структуриране)
- Операции от/към адреси, свързани с миксери, darknet или privacy coins (Monero)
- Несъответствие между финансовия профил на клиента и размера на трансакцията
- Използване на VPN, Tor или прокси при достъп до платформата
- Клиент, който изглежда незапознат с технологията, но извършва операции на висока стойност
Какво конкретно изисква законът от вас
Задълженията на доставчика на услуги за виртуални активи по ЗМИП могат да бъдат групирани в шест основни направления:
- Комплексна проверка на клиента (KYC). Идентификация на физическото лице или на действителния собственик зад юридическото лице, преди встъпване в делови взаимоотношения или при еднократни операции над определен праг.
- Установяване на действителен собственик. При корпоративни клиенти — установяване на физическото лице в крайна сметка контролиращо структурата, дори при сложни верижни собственически схеми.
- Оценка на риска. Всеки клиент и всяка операция получава рискова оценка. Тя определя интензивността на последващите мерки.
- Текущо наблюдение на операциите. Мониторинг на поведението на клиента за необичайни схеми, включително с инструменти за blockchain анализ (KYT).
- Уведомяване при съмнение. При съмнение или узнаване за изпиране на пари — незабавно уведомяване на ДАНС чрез системата goAML, преди или след операцията.
- Вътрешни правила, обучение и документиране. Писмени вътрешни правила по чл. 101 ЗМИП, обучение на служители, съхранение на документация 5 години.
Travel Rule — задължение, което много игнорират
Сред специфичните изисквания към ДУВА е т.нар. Travel Rule — задължение за изпращащия доставчик да предаде на получаващия информация за наредителя и получателя при всеки трансфер на виртуални активи над определен праг. Изискването произлиза от препоръките на FATF и е транспонирано в европейското законодателство. Непознаването му не е извинение — и ще стане изрично изискване под AMLR 2027.
Клиент извършва три последователни обмена от по 9 800 евро в рамките на седем дни — непосредствено под прага за разширена проверка. Задължени ли сте да предприемете допълнителни действия?
Вижте отговора
Да. Описаното поведение е класически индикатор за структуриране — разбиване на по-голяма сума на части, за да се избегне прилагане на мерките за комплексна проверка. Структурирането е самостоятелен сигнал за съмнение по ЗМИП, независимо от абсолютния размер на всяка отделна операция. При такъв модел следва да се задълбочи анализа, да се събере информация за произхода на средствата и при наличие на обосновано съмнение — да се уведоми ДАНС по реда на чл. 72 ЗМИП.
Като доставчик на услуги за виртуални активи вие сте задължен субект по чл. 4 ЗМИП. Секторът е обект на засилен регулаторен фокус поради присъщите рискове на виртуалните активи. Шестте основни задължения — KYC, действителен собственик, оценка на риска, текущо наблюдение, уведомяване при съмнение и документиране — не са опция, а минимален законов стандарт. От 10 юли 2027 г. AMLR ги прилага директно и ги задълбочава допълнително.
Знаете защо сте задължен субект. В следващите уроци разглеждаме как: KYC процедурата за крипто клиенти стъпка по стъпка, специфичните рискови схеми в сектора, Travel Rule на практика, и процеса на уведомяване до ДАНС с реалните срокове.
Ако искате бърза ориентация как стои вашата организация спрямо изискванията, преминете през нашата AML самооценка — за няколко минути получавате ориентировъчна картина.
Към AML самооценката →