Sygnały ostrzegawcze AML w kryptowalutach według FATF

Sygnały ostrzegawcze AML w kryptowalutach (red flags) to oznaki, że transakcja lub klient może mieć związek z praniem pieniędzy lub finansowaniem terroryzmu: wpłaty dzielone na małe kwoty, aby nie przekroczyć progów raportowania, kryptowaluty przechodzące przez miksery, nowe konto, które nagle przelewa duże sumy, czy środki powiązane z jurysdykcjami wysokiego ryzyka. Listą referencyjną jest raport FATF o wskaźnikach ostrzegawczych dla aktywów wirtualnych, opublikowany 14 września 2020 r., który dzieli je na sześć kategorii.

Sygnał ostrzegawczy nie jest dowodem przestępstwa, a jedynie powodem, by przyjrzeć się sprawie bliżej. Ten poradnik omawia każdą kategorię FATF, wyjaśnia, co robi giełda, gdy coś zostanie oznaczone, i odpowiada na pytanie, które użytkownicy faktycznie zadają: dlaczego moje konto zostało zamrożone?

Czym są sygnały ostrzegawcze AML?

Przepisy przeciwdziałania praniu pieniędzy (AML) wymagają od regulowanych firm kryptowalutowych, które FATF nazywa dostawcami usług w zakresie aktywów wirtualnych (VASP), monitorowania podejrzanej aktywności i jej zgłaszania. Sygnały ostrzegawcze to wzorce, oparte na rzeczywistych przypadkach zgłoszonych przez członków FATF, które wskazują analitykowi, gdzie szukać.

FATF jasno określa, jak należy z nich korzystać. W podsumowaniu raportu stwierdza, że wskaźniki „nie są ani wyczerpujące, ani mające zastosowanie w każdej sytuacji” i że żadnego pojedynczego wskaźnika nie należy rozpatrywać w oderwaniu od innych. Ulotka FATF dla VASP dodaje, że transakcja z wieloma wskaźnikami i niewielkim lub żadnym logicznym uzasadnieniem biznesowym wymaga dalszego monitorowania, a w stosownych przypadkach zgłoszenia.

Prawdziwe pytanie brzmi: „czy ta aktywność ma sens w przypadku tego klienta?”. Dlatego sygnały ostrzegawcze opierają się na KYC i należytej staranności wobec klienta: firma może ocenić, co jest nietypowe, tylko jeśli wie, co jest normalne w Państwa przypadku.

Sześć kategorii sygnałów ostrzegawczych FATF

Raport FATF dzieli wskaźniki na sześć grup. Poniższe przykłady pochodzą z raportu, w nieco zmienionym brzmieniu.

1. Wielkość i częstotliwość transakcji

• Strukturyzacja (structuring): dzielenie wymian lub przelewów kryptowalut na małe kwoty albo na kwoty poniżej progów rejestrowania lub raportowania, czyli technika od dawna stosowana przy gotówce.
• Wiele transakcji o wysokiej wartości w krótkim odstępie czasu, np. w ciągu 24 godzin, lub w rozłożonym, regularnym schemacie, po którym następuje długi okres bez aktywności. FATF zauważa, że ten drugi wzorzec jest szczególnie częsty w sprawach dotyczących ransomware.
• Natychmiastowe przesyłanie kryptowalut do wielu VASP, zwłaszcza w innych jurysdykcjach, niezwiązanych z miejscem zamieszkania lub pracy klienta, albo o słabej regulacji AML.
• Wpłata kryptowalut i ich natychmiastowa wypłata bez handlu lub zamiana na kilka innych kryptowalut bez wyraźnego powodu. Według FATF „w praktyce zamienia to giełdę/VASP w mikser do prania pieniędzy”.

2. Wzorce transakcji

• Nowy użytkownik dokonuje dużej wpłaty początkowej, niespójnej z jego profilem.
• Nowy użytkownik wpłaca całą kwotę pierwszego dnia i handluje nią lub wypłaca ją w całości tego samego lub następnego dnia.
• Nowy użytkownik próbuje wymienić całe saldo lub wysłać wszystko poza platformę.
• Transakcje obejmujące kilka aktywów wirtualnych lub kont bez logicznego uzasadnienia biznesowego.

Firmy zajmujące się analizą blockchain dodają własne wykrywanie wzorców, np. „peel chains”, w których duże saldo przechodzi przez długi ciąg portfeli, a przy każdym kroku odłączana jest niewielka kwota. Jak działają te narzędzia, wyjaśniamy w artykule analiza blockchain – wyjaśnienie.

3. Anonimowość

• Korzystanie z więcej niż jednego rodzaju kryptoaktywów mimo dodatkowych opłat, zwłaszcza z kryptowalut o zwiększonej anonimowości (privacy coins).
• Przenoszenie kryptowalut z przejrzystego publicznego blockchainu na scentralizowaną giełdę i natychmiastowa ich wymiana na privacy coin.
• Klienci działający jako niezarejestrowany lub nielicencjonowany VASP na platformach peer-to-peer (P2P), obsługujący duże wolumeny dla innych i pobierający wysokie opłaty.
• Środki wysyłane do usług miksujących lub „tumblingowych” albo z nich otrzymywane, lub mające bezpośrednią czy pośrednią ekspozycję na rynki darknetu, ransomware, wątpliwe serwisy hazardowe lub zgłoszone kradzieże.

FATF podkreśla, że cechy te nie zawsze świadczą o nielegalnej działalności i należy je zestawić z profilem klienta oraz każdym uzasadnionym wyjaśnieniem.

4. Nadawcy i odbiorcy

• Przy zakładaniu konta: otwieranie kilku kont na różne nazwiska w celu obejścia limitów, łączenie się z adresów IP w jurysdykcjach objętych sankcjami lub wcześniej oznaczonych albo wielokrotne próby otwarcia kont z tego samego adresu IP.
• Podczas weryfikacji należytej staranności: niekompletne dane KYC, odmowa odpowiedzi na pytania o źródło środków, nieprawdziwe odpowiedzi dotyczące transakcji lub kontrahenta albo podrobione i edytowane dokumenty tożsamości.
• Niezgodności w profilu: identyfikatory lub dane logowania współdzielone z innym kontem, adresy IP niepasujące do profilu lub adres portfela pojawiający się na forach związanych z nielegalną działalnością.
• Potencjalne „muły finansowe” lub ofiary oszustw: nadawca nieobeznany z kryptowalutami, klient znacznie starszy od typowego użytkownika platformy wykonujący wiele transakcji lub duże zakupy, których nie uzasadnia znany majątek klienta.
• Inne nietypowe zachowania: częste zmiany adresu e-mail, IP lub danych finansowych (co może też wskazywać na przejęcie konta) albo pola wiadomości odnoszące się do nielegalnych towarów.

5. Źródło środków lub majątku

• Transakcje z adresami lub kartami bankowymi powiązanymi z oszustwami, wymuszeniami, ransomware, adresami objętymi sankcjami lub rynkami darknetu.
• Wpłaty znacznie większe niż zwykle, z nieznanego źródła, szybko wymieniane na waluty fiat, co może wskazywać na skradzione środki.
• Środki pochodzące bezpośrednio z mikserów lub tumblerów albo majątek pochodzący głównie z kryptowalut, ICO lub platform bez kontroli AML.

W tym miejscu sygnały ostrzegawcze prowadzą do pytań o źródło środków. Nasz poradnik źródło środków a źródło majątku wyjaśnia, jakie dowody na nie odpowiadają.

6. Ryzyka geograficzne

• Środki pochodzące z giełdy lub trafiające na giełdę, która nie jest zarejestrowana w jurysdykcji, w której znajduje się klient lub giełda.
• Korzystanie z giełdy lub usługi przekazów pieniężnych w jurysdykcji wysokiego ryzyka o słabych lub nieistniejących przepisach AML dla kryptowalut.
• Wysyłanie środków do VASP w jurysdykcjach bez regulacji kryptowalut lub przenoszenie działalności firmy do takich jurysdykcji.

Jak giełdy wykrywają sygnały ostrzegawcze

Większość sygnałów ostrzegawczych wychwytuje oprogramowanie. Typowy system ma trzy warstwy:

• Kontrole przy rejestracji: weryfikacja dokumentu i selfie, sprawdzanie list sankcyjnych i PEP oraz sygnały z urządzenia lub IP, które wychwytują zduplikowane konta i lokalizacje objęte sankcjami.
• Monitorowanie transakcji: reguły analizujące kwoty, tempo i wzorce w historii klienta, np. „suma wpłat w ciągu 24 godzin” lub „wypłata w ciągu godziny od wpłaty bez handlu”. Zobacz nasz poradnik o monitorowaniu transakcji AML w kryptowalutach.
• Analiza blockchain (KYT): sprawdzanie adresów, do których klient wysyła środki i od których je otrzymuje, oraz ocena ekspozycji na miksery, rynki darknetu, portfele objęte sankcjami i skradzione środki.

Alerty trafiają do kolejki weryfikacji, w której analityk decyduje, czy aktywność ma niewinne wyjaśnienie. Oprogramowanie iDenfy do monitorowania transakcji łączy na przykład reguły niestandardowe i reguły tempa ze sprawdzaniem list sankcyjnych, PEP i negatywnych informacji w mediach, a alerty kieruje przez wielopoziomowy proces weryfikacji zakończony eksportowalnym raportem o podejrzanej aktywności (SAR). Szersze porównanie znajdą Państwo w zestawieniu najlepsze oprogramowanie do monitorowania transakcji krypto w 2026 r.

Co się dzieje, gdy aktywność zostanie oznaczona

Jeśli weryfikacja nie wyjaśni alertu, firma ma prawny obowiązek go zgłosić. Szczegóły różnią się w zależności od kraju:

• Unia Europejska. Zgodnie z art. 33 dyrektywy AML (UE) 2015/849 podmioty zobowiązane muszą niezwłocznie powiadomić krajową jednostkę analityki finansowej (FIU), gdy wiedzą, podejrzewają lub mają uzasadnione podstawy, by podejrzewać, że środki pochodzą z przestępstwa, „bez względu na kwotę”. Zgłaszać trzeba również transakcje usiłowane. Nowe rozporządzenie AML (UE) 2024/1624 powtarza ten obowiązek w art. 69 i ma zastosowanie od 10 lipca 2027 r. Jego art. 71 nakazuje firmom wstrzymanie podejrzanej transakcji do czasu jej zgłoszenia; mogą ją przeprowadzić, jeśli FIU nie wyda innego polecenia w ciągu trzech dni roboczych.
• Stany Zjednoczone. Wytyczne FinCEN z 2019 r. potwierdzają, że kantory i giełdy kryptowalut co do zasady kwalifikują się jako money transmitters, czyli rodzaj money services business. Zgodnie z 31 CFR 1022.320 money services business musi złożyć raport o podejrzanej aktywności (SAR) w przypadku podejrzanych transakcji na kwotę co najmniej 2000 USD, nie później niż 30 dni kalendarzowych od pierwszego wykrycia faktów. Strukturyzacja w celu uniknięcia federalnych obowiązków raportowych jest sama w sobie przestępstwem na mocy 31 U.S.C. 5324.

Firmom zabrania się też informowania Państwa. Prawo UE zakazuje ujawniania klientowi, że zgłoszenie zostało lub zostanie złożone albo że trwa analiza (art. 39 dyrektywy, art. 73 AMLR). W USA raport SAR i wszelkie informacje, które ujawniałyby jego istnienie, są poufne na mocy 31 CFR 1022.320(d). Ten zakaz ujawniania („tipping-off”) sprawia, że pracownicy wsparcia często udzielają wymijających odpowiedzi na temat zamrożonego konta.

„Dlaczego moje konto zostało zamrożone?”

Dla użytkownika sygnał ostrzegawczy objawia się wstrzymaną wypłatą, ograniczonym kontem lub prośbą o dokumenty. Częste niewinne przyczyny:

• Pierwsza wpłata znacznie przekraczająca dochód lub zawód zadeklarowany przy rejestracji.
• Szybkie wpłaty i wypłaty bez handlu, często przy przenoszeniu kryptowalut między platformami.
• Otrzymanie kryptowalut z adresu, który narzędzia analityczne łączą, bezpośrednio lub kilka kroków wstecz, z mikserem, zhakowaną giełdą lub podmiotem objętym sankcjami.
• Wysyłanie pieniędzy w imieniu kogoś innego, co wygląda dokładnie tak samo jak działalność „muła finansowego”.

Co robić:

• Odpowiadać za pośrednictwem oficjalnej aplikacji lub portalu wsparcia giełdy i dokładnie na to, o co pytano.
• Przedstawić pełną ścieżkę danych środków: skąd pochodzą pieniądze, przez jakie giełdy i portfele przeszły, wraz z hashami transakcji i wyciągami.
• Nie zakładać drugiego konta, aby obejść ograniczenie. Tworzenie osobnych kont w celu obejścia limitów jest jednym z sygnałów ostrzegawczych wymienionych przez FATF.
• Ignorować każdego, kto oferuje „odmrożenie” konta za opłatą. To częste oszustwo; zobacz oszustwa na odzyskiwanie kryptowalut.

Sygnały ostrzegawcze a DeFi

Wskaźniki FATF są przeznaczone dla VASP, czyli regulowanych pośredników. Niepowiernicze protokoły DeFi nie mają kont, które można zamrozić, i zazwyczaj nie przeprowadzają KYC. Aplikacje DeFi JewelSwap są niepowiernicze i same nie przeprowadzają KYC; zobacz KYC w DeFi – wyjaśnienie. Jednak każda regulowana giełda, na którą później prześlą Państwo środki, sprawdzi historię on-chain, więc na tym etapie obowiązują te same sygnały ostrzegawcze.

Najczęściej zadawane pytania

Czym są sygnały ostrzegawcze AML w kryptowalutach?

To oznaki, że transakcja kryptowalutowa lub klient może mieć związek z praniem pieniędzy lub finansowaniem terroryzmu, np. dzielenie wpłat poniżej progów, korzystanie z mikserów, wpłacanie i wypłacanie środków bez handlu lub aktywność niezgodna z profilem klienta.

Jakie są wskaźniki ostrzegawcze FATF dla aktywów wirtualnych?

Raport FATF z września 2020 r. dzieli je na sześć kategorii: wielkość i częstotliwość transakcji, wzorce transakcji, anonimowość, nadawcy lub odbiorcy, źródło środków lub majątku oraz ryzyka geograficzne.

Czy jeden sygnał ostrzegawczy oznacza, że moja transakcja jest nielegalna?

Nie. Według FATF wskaźniki nie są wyczerpujące, nie mają zastosowania w każdej sytuacji i nie należy ich rozpatrywać w oderwaniu od innych. Sygnał ostrzegawczy skłania do dokładniejszej analizy, a wiele alertów zostaje wyjaśnionych po weryfikacji.

Czy giełda poinformuje mnie, że złożyła raport o podejrzanej aktywności?

Nie. Przepisy UE i USA zabraniają firmom informowania klientów, że raport o podejrzanej aktywności został lub zostanie złożony, dlatego zespoły wsparcia często nie mogą wyjaśnić, dlaczego konto jest weryfikowane.

Czym jest strukturyzacja (structuring) w kryptowalutach?

Strukturyzacja polega na dzieleniu transakcji na mniejsze kwoty, aby pozostać poniżej progów rejestrowania lub raportowania. FATF wymienia ją jako sygnał ostrzegawczy dla kryptowalut, a w USA strukturyzacja w celu uniknięcia federalnych obowiązków raportowych jest sama w sobie przestępstwem.

Co zrobić, jeśli moje konto kryptowalutowe zostało zamrożone z powodów AML?

Należy odpowiadać oficjalnymi kanałami giełdy, przedstawić dokumenty pokazujące, skąd pochodzą środki i jak były przemieszczane, nie zakładać kolejnego konta w celu obejścia ograniczenia i ignorować każdego, kto oferuje jego odmrożenie za opłatą.

Czytaj dalej

• Źródło środków a źródło majątku
• Analiza blockchain – wyjaśnienie
• Monitorowanie transakcji AML w kryptowalutach
• Przewodnik po zgodności AML dla giełd kryptowalut i VASP
• Najlepsze oprogramowanie do sprawdzania list sankcyjnych dla giełd kryptowalut

Ten artykuł ma charakter edukacyjny i nie stanowi porady prawnej ani finansowej. Wskaźniki ostrzegawcze streszczono na podstawie raportu FATF Virtual Assets Red Flag Indicators of Money Laundering and Terrorist Financing (wrzesień 2020 r.) oraz ulotki FATF dla VASP. Odniesienia prawne dotyczą dyrektywy (UE) 2015/849, rozporządzenia (UE) 2024/1624, 31 CFR 1022.320, 31 U.S.C. 5324 oraz wytycznych FinCEN FIN-2019-G001, wszystkie sprawdzone 8 października 2026 r. Pozostałe źródła podlinkowano w tekście.