Правовое регулирование криптовалюты: методика оценки рисков

Регистрация эмитента не снимает с пользователя налоговых обязанностей. А отметка аналитического сервиса о низком риске не заменяет юридическую оценку конкретной операции.

Поэтому правовое регулирование криптовалюты приходится читать как систему пересекающихся режимов. В ней есть рекомендации ФАТФ, обязательные нормы отдельных рынков, национальные правила для операторов и свои требования к налоговой отчётности. На практике я начинаю не с вопроса, хороший ли проект, а с более узкого: кто совершает операцию, где, с каким активом и через какого посредника. Ответ меняет картину сильнее, чем любой общий рейтинг риска.

Риск-ориентированный подход как глобальный стандарт

ФАТФ использует риск-ориентированный подход, или RBA, в рекомендациях по противодействию отмыванию денег и финансированию терроризма. Это не единый закон, непосредственно применимый к каждому владельцу криптовалюты. Рекомендации адресованы прежде всего государствам, которые должны внедрять их в национальные правила, и организациям, подпадающим под соответствующее регулирование.

Для виртуальных активов ФАТФ закрепила понятие VASP: поставщик услуг, связанный с обменом, переводом, хранением или иными операциями с виртуальными активами от имени клиентов. Точная граница регулируемой деятельности зависит от того, как национальное законодательство переносит рекомендации в собственную правовую систему. Поэтому одинаковый сервис в разных странах может попасть под разные требования или получить разную квалификацию.

Смысл RBA не в том, что один и тот же токен становится законным в одной схеме и незаконным в другой. Подход требует оценивать вероятность и последствия рисков, а затем выбирать соразмерные меры контроля. Для посредника это может означать проверку клиента, мониторинг операций, фиксацию сведений об отправителе и получателе, а также анализ источника средств. Для пользователя практический вывод проще: статус токена и статус операции нужно оценивать отдельно.

RBA помогает определить, где нужны более строгие меры контроля. Сам по себе он не выдаёт активу разрешение на обращение и не заменяет национальный закон.

Глобального кодекса крипторынка нет. Есть рекомендации ФАТФ, региональные нормы вроде MiCA и национальные режимы, которые регулируют разные части деятельности. В рамках методики оценки комплаенс-рисков полезно не складывать эти документы в одну воображаемую шкалу, а выяснять, к кому именно относится каждое требование: к эмитенту, бирже, кастодиальному сервису, компании, принимающей платежи, или частному лицу.

Это также объясняет, почему ярлык юрисдикции мало что говорит сам по себе. Риск зависит от характера бизнеса, клиентской базы, фактического места оказания услуг, структуры операций и применимого права. Страна с развитыми правилами AML не гарантирует законность любой сделки. И наоборот, слово «offshore» не доказывает, что компания работает без контроля или что к ней не применяются требования по борьбе с отмыванием денег и передаче сведений о переводах.

MiCA и европейская рамка для криптоуслуг

Регламент ЕС о рынках криптоактивов, известный как MiCA, устанавливает общие правила для ряда криптоактивов и поставщиков услуг в Евросоюзе. Он вводит требования к авторизации поставщиков услуг с криптоактивами, раскрытию информации и отдельным категориям токенов. Но MiCA не превращает все криптоактивы в один класс и не распространяет один и тот же набор требований на любого участника рынка.

Например, обязанность подготовить и опубликовать документ с информацией о криптоактиве, white paper, зависит от типа актива, характера предложения и предусмотренных регламентом исключений. Для токенов, привязанных к активам (ART), и токенов электронных денег (EMT) действуют специальные требования. Для других криптоактивов предусмотрен свой порядок, который также зависит от обстоятельств выпуска и предложения. Поэтому отсутствие записи в реестре ESMA само по себе не позволяет заключить, что актив нелицензированный или обращается незаконно: сначала нужно установить, должна ли соответствующая информация подаваться и где она должна быть доступна.

Лицензирование поставщика услуг и статус самого актива тоже не следует смешивать. Авторизация компании по MiCA относится к её деятельности в установленной регламентом сфере. Она не означает, что любая операция с любым токеном автоматически соответствует всем требованиям права, применимого к клиенту и сделке. Так же и наличие white paper не равнозначно одобрению проекта регулятором.

В анализ регуляторной среды криптоактивов я включаю три разных вопроса:

• Подпадает ли услуга посредника под MiCA и требуется ли ему авторизация?
• Какой режим применяется к самому активу: правила для ART или EMT, требования к другим криптоактивам либо исключение из соответствующей части регламента?
• Какие дополнительные нормы затрагивают операцию: требования AML, правила о переводе средств, санкционные ограничения, потребительское и налоговое законодательство?

Переходные положения MiCA не одинаковы для всех компаний: их применение зависит от прежнего национального режима и правил конкретного государства-члена. При этом с 1 июля 2026 года оказание криптоуслуг клиентам из ЕС без лицензии MiCA нарушает законодательство ЕС. При оценке конкретной площадки важно установить её статус, характер оказываемых услуг и то, подпадает ли работа с клиентом под требования регламента.

Отдельно рассматривают стейблкоины. MiCA различает ART и EMT, но бытовое название «стейблкоин» само по себе не определяет категорию токена. Значение имеют механика поддержания стоимости, право держателя и обязательства эмитента. Вопрос о резервах и раскрытии информации нужно проверять по соответствующему режиму и документам конкретного эмитента, а не сводить к универсальному требованию об аудите для любого токена, который стремится сохранять привязку к валюте.

Таблица не заменяет проверку юридического статуса. Она напоминает о главном: сравнивать нужно не только названия юрисдикций, но и конкретные основания, на которых посредник оказывает услугу.

Правовой режим цифровых активов в РФ

В российском праве цифровые финансовые активы и цифровая валюта — разные понятия. Федеральный закон № 259-ФЗ регулирует, в частности, выпуск, учёт и обращение ЦФА, а также устанавливает правила для цифровой валюты в пределах своей сферы. Сводить ЦФА к утилитарным токенам нельзя: закон связывает эту категорию с цифровыми правами, которые могут включать денежные требования, возможность осуществления прав по эмиссионным ценным бумагам и участие в капитале непубличного акционерного общества. Конкретный набор прав определяется условиями выпуска и применимыми нормами.

Выпуск и учёт ЦФА связаны с оператором информационной системы, включённым в предусмотренный законом реестр. Однако это не означает, что каждый цифровой актив в России должен быть создан по одной универсальной схеме, иметь одинаковый набор раскрытий или представлять собой токен с одним и тем же экономическим назначением. Для квалификации нужно читать условия выпуска, проверять оператора и определять, какие права закреплены за владельцем.

Цифровая валюта имеет отдельный режим. Закон определяет её через совокупность признаков и ограничивает использование в качестве встречного предоставления за товары, работы и услуги в установленных им случаях. При этом правила о цифровой валюте, её декларировании, майнинге и использовании в отдельных внешнеторговых или экспериментальных механизмах зависят от статуса участника и характера операции. Формулы «криптовалютой в России можно свободно расплачиваться» и «любое владение ею запрещено» одинаково плохо описывают правовую картину.

Налогообложение цифровых активов нельзя механически сравнивать с налогом на имущество. Налоговые последствия зависят от вида актива, операции, статуса налогоплательщика и применимых положений Налогового кодекса. Получение, продажа, обмен или использование актива могут иметь разные последствия; важны также подтверждение доходов и документирование расходов там, где они учитываются по правилам конкретного режима. Для физического лица и организации расчёт может строиться по-разному, а сама запись в блокчейне не заменяет документы, нужные для налогового учёта.

Практический разбор обычно начинается с последовательности вопросов:

1. Что именно представляет собой актив с точки зрения российского права: ЦФА, цифровая валюта или иной объект?

2. Какие права закреплены за владельцем и кто организует выпуск или обращение?

3. Кто совершает операцию, в каком качестве и на каком основании?

4. Возникает ли налогооблагаемый доход и какими документами подтверждаются его размер и расходы?

5. Есть ли специальные требования к раскрытию сведений, отчётности или использованию актива в конкретной деятельности?

Название токена и его обозначение на бирже не заменяют правовую квалификацию. Важны права владельца, условия выпуска и фактическое содержание операции.

Если актив обращается на международной площадке, к российским вопросам добавляются нормы других стран, связанные с посредником, эмитентом или клиентом. Это не делает иностранную лицензию заменой российской правовой оценки. Она отвечает на вопрос о статусе компании в соответствующем режиме, но не решает автоматически вопросы налогообложения или допустимости конкретной операции в России.

Инструментарий комплаенса: где помогают блокчейн-сервисы

Аналитические блокчейн-сервисы помогают увидеть связи между адресами, известные кластеры и характер движения средств. Инструменты разных поставщиков могут опираться на собственные базы и методики: где-то важнее метки известных сервисов, где-то анализ поведения адресов, а где-то сведения из публичных источников и санкционных списков. Совпадение меток в нескольких системах повышает ценность сигнала, но не превращает его в установленный факт о личности владельца кошелька или происхождении каждого конкретного перевода.

Важен и контекст. Публичная метка может быть устаревшей, кластеризация адресов бывает вероятностной, а транзакционная близость не доказывает общего контроля. Низкий риск-балл также не гарантирует чистоту средств: базы могут быть неполными, а новая информация ещё не попала в систему. Поэтому результат автоматической проверки стоит рассматривать как начало анализа, а не его конец.

Моя методика оценки комплаенс-рисков складывается из трёх слоёв:

1. Юридический. Устанавливаю, какой режим относится к активу, посреднику и операции. Проверяю не только факт регистрации или лицензии, но и её объём, территориальные пределы и актуальность.

2. Аналитический. Сопоставляю данные блокчейн-сервисов, фиксирую дату проверки, источники меток и объяснение риска. Если платформы расходятся, выясняю, какие сведения лежат в основе различия.

3. Событийный. Ищу относящиеся к адресу или проекту сведения в применимых санкционных списках, судебных материалах и публичных расследованиях. Здесь также важно отличать совпадение адреса от подтверждённой связи с лицом или событием.

В отчёте полезно разделять наблюдение и вывод. Например, наблюдением будет перевод средств на адрес, который конкретный сервис связывает с определённой категорией риска. Выводом может стать необходимость дополнительной проверки. А утверждение, что владелец кошелька участвовал в преступлении, требует доказательств совсем другого уровня. Такое разделение защищает и от чрезмерных обвинений, и от бездумного доверия к рейтингу.

Как оценивать транзакционные связи

Один адрес редко даёт полную картину. Риск проявляется в последовательности: откуда пришли средства, через какие адреса и протоколы прошли, куда направились дальше. При этом сам факт промежуточного перевода ещё не доказывает попытку скрыть происхождение активов. Мосты, агрегаторы и контракты DeFi могут усложнять анализ, но сложность маршрута не равна автоматически нарушению.

Я начинаю с входящих потоков: проверяю известные источники, долю прямых и опосредованных поступлений, время между переводами и наличие связей с отмеченными адресами. Затем смотрю исходящие потоки: были ли средства консолидированы, отправлены посреднику, перемещены между сетями или направлены в смарт-контракт. На каждом этапе учитываю, насколько надёжна исходная атрибуция адреса.

Особого внимания требуют промежуточные сервисы. Перевод через централизованную биржу с авторизацией в ЕС не является универсальным доказательством законности актива или операции. Лицензия характеризует статус поставщика в пределах определённого режима; она не подтверждает происхождение каждого поступившего к нему средства. То же относится к DEX, мостам и протоколам, которые описывают собственные меры комплаенса: заявление проекта следует отделять от проверенного юридического статуса и фактической процедуры контроля.

Для анализа транзакционной цепочки я фиксирую не только конечную метку, но и сам маршрут:

• исходный адрес и качество его атрибуции;
• число промежуточных шагов и типы сервисов в цепочке;
• наличие переводов между блокчейнами и ограничения аналитики на этих участках;
• связь с биржей, контрактом или пулом, а также характер этой связи;
• альтернативные объяснения движения средств и сведения, которые могли бы их подтвердить.

Если актив прошёл через миксер или протокол с функциями повышения приватности, это повод внимательнее оценить происхождение и доступные доказательства. Само использование такого инструмента не всегда достаточно для вывода о незаконности операции. Решение зависит от применимого права, обстоятельств перевода и правил конкретного посредника. Например, биржа может запросить дополнительные сведения или применить собственные внутренние процедуры; это не тождественно автоматической блокировке кошелька или уголовной ответственности.

Именно поэтому маршрут до централизованной площадки нельзя считать универсальной точкой выхода в легальное поле. Проверка должна завершаться выводом о конкретной операции, а не красивой отметкой в графе. Если данных недостаточно, корректный результат анализа так и звучит: требуется дополнительная проверка. Неопределённость здесь честнее, чем уверенность, построенная на одном скоринге.

Правовая оценка как обновляемая карта

Правовое регулирование криптовалюты складывается из нескольких уровней: рекомендаций ФАТФ, региональных режимов вроде MiCA, национальных законов и правил для отдельных участников рынка. Аналитические сервисы добавляют сведения о транзакционных связях, но не заменяют ни один из этих уровней. Чтобы методика работала, в ней нужно раздельно оценивать актив, посредника, пользователя и операцию, а затем смотреть, как их статусы пересекаются.

Это не одноразовая проверка перед покупкой токена. Меняются условия выпуска, структура проекта, лицензии посредников и нормы права. Поэтому заключение полезно сопровождать датой, перечнем проверенных источников и границами анализа. Если оценка опирается на метку блокчейн-сервиса, стоит указать, какой именно вывод она поддерживает и чего установить не позволяет. Если речь идёт о лицензии, важно зафиксировать, какие услуги она покрывает и к каким клиентам относится.

Такая фиксация делает оценку пригодной для пересмотра. При изменении маршрута средств, условий обслуживания, состава участников или правового режима прежний вывод может потерять актуальность. В этом и состоит рабочая методика: не присваивать проекту вечный ярлык «безопасный» или «опасный», а объяснять, какие факты известны, какие нормы к ним применяются и где остаётся неопределённость.