База знаний

Сигнал риска это одна причина, по которой адрес получил свою оценку. В результате проверки сигналы перечислены с весами от 0 до 100, в заключении PDF они идут с пояснениями. Как веса сводятся в риск-скор, описано в статье «Уровни риска и оценка 0-100».

Сигналы делятся на доказательные и поведенческие.

Доказательные опираются на запись о самом адресе или о его контрагентах: санкционный список, заморозка Tether, стоп-лист Bybit, подтверждённый инцидент, опознанный сервис. Они могут довести оценку до уровня «Высокий» и «Критический».

Поведенческие описывают форму операций. Они указывают на риск, но не доказывают его: депозитные и выводные кошельки бирж дают те же картины. Если сработали только поведенческие сигналы, оценка не выше 50 («Средний»).

Запись о самом адресе

• Заморозка эмитентом. Адрес заморожен Tether в контракте USDT. Оценка 100, уровень «Критический».
• Санкционный адрес. Адрес включён в санкционный список.
• Миксер. Адрес принадлежит миксеру, сервису запутывания следов.
• Даркнет. Адрес принадлежит даркнет-площадке.
• Мошенничество. Адрес связан с мошеннической схемой.
• Украденные средства. Адрес связан со взломом или кражей.
• Гемблинг. Адрес принадлежит онлайн-казино.

Связи с рисковыми адресами

• Санкционные контрагенты. Прямые переводы с адресами под санкциями. Учитывается доля оборота.
• Связь с миксерами. Прямые переводы с миксерами.
• Связь с высокорисковыми сервисами. Переводы с даркнет-площадками, мошенниками, адресами взломов, онлайн-казино, протоколами анонимизации, криптобанкоматами, биржами и обменниками со слабой проверкой клиентов, биржами без KYC, высокорисковыми платёжными сервисами. Вес зависит от категории: казино весит меньше даркнета.
• Контрагенты из юрисдикций чёрного списка FATF. Прямые переводы с сервисами, зарегистрированными в стране из чёрного списка FATF. Серый список приводится только для сведения и в оценку не входит.
• Контрагенты из стоп-листа Bybit. Переводы с адресами из стоп-листа контрагентов биржи Bybit.
• Контрагенты, замороженные Tether. Переводы с адресами, которые эмитент USDT заморозил.
• Косвенные связи с риском. Рисковый адрес найден у контрагента адреса, то есть через одного посредника.
• Связи через цепочку переводов. Рисковый получатель или источник найден при отслеживании средств по цепочке до 5 переводов.

Мелкие переводы («пыль») в связях не учитываются: прислать небольшую сумму на чужой адрес может кто угодно.

Устройство кошелька

• Кошелёк под чужим управлением. Распоряжаться средствами кошелька могут другие адреса, а не только его собственный ключ. Читается по правам аккаунта в TRON. Кошельки бирж не учитываются: у них это обычная практика.

Поведение

• Высокая частота операций. Много транзакций за короткий срок.
• Дробление сумм. Платежи разбиты на одинаковые суммы или суммы чуть ниже порогов отчётности.
• Круговые переводы. Средства возвращаются к отправителю по цепочке.
• Транзитный кошелёк. Средства быстро пересылаются дальше, почти в полном объёме.
• Веерные переводы. Много разных отправителей или получателей за сутки.
• Новый или спящий кошелёк. Кошелёк создан недавно или долго не использовался. Это контекст, а не находка.
• Концентрация контрагентов. Почти весь объём приходится на одного контрагента.

Как читать список сигналов

• Сигнал с весом 80 весит больше, чем три сигнала по 15. Оценку задаёт самый сильный.
• Если в списке только поведенческие сигналы, проверьте связи адреса: есть ли там биржи и опознанные сервисы. Часто это объясняет картину.
• Пояснение под сигналом в заключении называет адреса и переводы, на которых сигнал сработал.

Красным в кабинете отмечены строки связей, за которыми стоит основание: санкции, инциденты, заморозка Tether, стоп-лист Bybit.