VASP лицензирование: документация и техническая инфраструктура

VASP лицензирование — подготовка, проходящая регуляторную проверку

Почти 70% отказов в получении лицензии на криптодеятельность (VASP) вызваны не технической неготовностью, а отсутствием детальной документации: generic AML политика без привязки к бизнес-процессам, размытое описание key management, отсутствие BCP с конкретными метриками. Регулятор (FIU, VARA, MAS) оценивает operational readiness — способность компании реально выполнять требования. Мы подготовили инфраструктуру для 15+ проектов в Эстонии, Дубае и Сингапуре, и знаем, как закрыть каждый пункт проверки.

Как выбрать юрисдикцию для VASP?

Выбор юрисдикции — первое решение, влияющее на сроки и сложность. Для EU-ориентированного бизнеса быстрее всего Эстония (3-6 месяцев) или Литва (5-9 месяцев). Дубай VARA (9-18 месяцев) даёт доступ к рынку Ближнего Востока, но требует детальной технической подготовки и ежегодного пентеста. Сингапур MAS (18-27 месяцев) — самый строгий, но престижный. Тип деятельности определяет категорию лицензии: обмен крипто-фиат требует отдельного разрешения, crypto-to-crypto — другого, кастодиальные сервисы — третьего. Правильный выбор экономит значительные ресурсы на переделке документации.

Какие технические требования предъявляют регуляторы?

Большинство регуляторов (FIU Эстонии, VARA, MAS) требуют четыре ключевых компонента:

• Key Management — custody keys в Hardware Security Module (HSM) или Multi-Party Computation (MPC). Решения: Fireblocks MPC, AWS CloudHSM, Thales Luna HSM или Ledger Enterprise.
• Segregation of client assets — отдельные HD wallet пути для клиентских и операционных средств, ежедневная reconciliation.
• Business Continuity Plan (BCP) — с конкретными RTO (время восстановления) и RPO (допустимая потеря данных), архитектура failover.
• Penetration Testing (для VARA и ряда других) — ежегодное тестирование от аккредитованного провайдера по OWASP Top 10, включая смарт-контракты и инфраструктуру.

Отсутствие лицензии может привести к значительным штрафам и блокировке операций.

Какой стек технологий мы используем?

Стек: Solidity 0.8.x, Foundry, Hardhat, ethers.js, viem, Tenderly (мониторинг), Slither (статический анализ). Для key management используем Fireblocks или AWS CloudHSM. Документацию готовим на основе шаблонов, адаптированных под каждую юрисдикцию.

Один из наших проектов — настройка reconciliation для эстонской лицензии. Клиент — DeFi-платформа с кастодиальными кошельками. Мы спроектировали архитектуру с отдельными HD путями, автоматический мониторинг расхождений и алерты в Telegram. Результат: заявка прошла с первой попытки, сэкономив клиенту 6 месяцев доработок.

Ещё один кейс — подготовка документации для лицензии VARA. Клиент — криптобиржа с агрегацией ликвидности. Мы разработали AML политику на 60 страниц с описанием процедур KYC, транзакционного мониторинга (Chainalysis) и скрининга санкций. Регулятор запросил уточнения только по одному пункту — времени хранения логов.

Что входит в работу

1. Аналитика и выбор юрисдикции — оценка вашей бизнес-модели, целевых рынков и сроков.
2. Подготовка документации — AML Policy, IT Security Policy, BCP, описание transaction monitoring, key management.
3. Техническая настройка — разворачивание HSM/MPC, настройка segregated wallets, automated reconciliation.
4. Коммуникация с регулятором — ответы на запросы, прохождение проверок.
5. Пост-лицензионная поддержка — ежегодные обновления, пентесты, отчётность.

Мы имеем более 5 лет опыта в VASP лицензировании, успешно сопроводили 15+ проектов. Наши инженеры проходили аудит у регуляторов и знают, как не допустить типовых ошибок. Получите консультацию: свяжитесь с нами для предварительной оценки вашего проекта.

Сроки и стоимость

Стоимость сопровождения рассчитывается индивидуально. Свяжитесь с нами, чтобы обсудить ваш проект и получить предварительную смету. Гарантируем соблюдение сроков при своевременном предоставлении документов.

Сравнение по трудозатратам

Для быстрого старта выбирайте Эстонию — она в 3-5 раз быстрее Сингапура. Если ваша цель — Ближний Восток, Дубай VARA даёт доступ к богатому рынку, но требует детальной технической подготовки. Свяжитесь с нами — поможем выбрать оптимальную юрисдикцию.

Источник: официальные рекомендации FIU Эстонии и VARA по лицензированию VASP.

Услуги блокчейн комплаенса: почему ваш проект рискует без них

Мы видим, как регуляторный ландшафт для криптоиндустрии меняется быстрее, чем протоколы успевают адаптироваться. Если ваш проект работает в ЕС — MiCA уже не рекомендация, а обязательное требование. FATF Travel Rule применяется несколько лет, но реальное enforcement нарастает. Протоколы, которые запускаются без compliance архитектуры, потом переделывают её под давлением — это дороже, болезненнее и грозит даунтаймами. Услуги блокчейн комплаенса включают полный цикл: от gap analysis до запуска и поддержки при лицензировании. Мы реализовали 15+ проектов по AML/KYC для криптобирж и DeFi, работаем с Chainalysis, Elliptic, Sumsub, TRM Labs. Обработано более 1 млн транзакций в on-chain мониторинге — средний процент ложных срабатываний AML-скрининга держится на уровне 2.3%.

Почему Travel Rule — техническая, а не юридическая задача?

FATF Recommendation 16 (в банковской практике известен как FinCEN Travel Rule) требует, чтобы VASP при переводах от $1 000 (или €1 000 в ЕС) передавали KYC-данные отправителя и получателя от одного VASP другому. Это требование, скопированное из традиционных банковских wire transfers, в блокчейне создаёт технические проблемы, которых не существует в SWIFT.

Первая проблема — определение VASP-to-VASP. Если пользователь отправляет с кастодиального адреса биржи на self-custodial кошелёк — по FATF Travel Rule не нужен, так как один из контрагентов не VASP. Но как VASP автоматически определяет, что destination адрес действительно self-custodial, а не другой VASP? Решение: on-chain аналитика (Chainalysis, Elliptic, TRM Labs) для кластеризации адресов + использование Travel Rule протокола только для VASP-to-VASP.

Вторая проблема — interoperability между VASP. Travel Rule протоколов несколько: TRUST (консорциум под эгидой Coinbase/SWIFT), TRISA (gRPC-based, открытый стандарт), OpenVASP (Ethereum-based), Sygna Bridge. Они несовместимы между собой. Большинство крупных бирж поддерживают несколько одновременно. Техническая реализация — API gateway, который определяет протокол контрагента и маршрутизирует запрос.

TRISA реализация (наиболее открытая): gRPC-сервис, mTLS для аутентификации, PII данные шифруются публичным ключом получателя (envelope encryption, AES-256 + RSA-4096). Для регистрации в TRISA Directory Service нужна верификация через члена TRISA. Код — открытый SDK на Go и Python.

Конкретная грабля: timing. Travel Rule данные должны быть переданы до или одновременно с транзакцией. В Ethereum блокчейне транзакция подтверждается в среднем за 12 секунд — за это время TRISA handshake обязан завершиться. Если контрагент не отвечает — транзакция блокируется или задерживается. UI обязан объяснять это пользователю, иначе поток support-тикетов обеспечен.

service TRISANetwork {
  rpc Transfer(TransferRequest) returns (TransferResponse);
}

message TransferRequest {
  string identity_payload = 1;  // зашифрованный PII-пакет
  string envelope_public_key = 2;
  string transaction_hash = 3;
}

Как выбрать KYC/AML провайдера для криптопроекта?

KYC-провайдеры для криптовалют делятся на несколько классов:

Tier 1 (enterprise, regulatory grade): Jumio, Onfido, Sumsub, Veriff. Поддерживают 200+ стран, видео-верификацию, liveliness checks, AML-скрининг через Refinitiv/Dow Jones. Интеграция через REST API + webhooks. Sumsub популярен в европейских криптопроектах — качественная документация SDK для мобильных приложений.

Tier 2 (DeFi-native, privacy-focused): Fractal ID, Synaps, Persona. Меньше regulatory overhead, быстрее интеграция, но меньше глобального покрытия для высокорискованных юрисдикций.

On-chain KYC через credentials: Quadrata Passport, Civic, PolygonID — пользователь проходит верификацию один раз, получает on-chain credential, протоколы проверяют его без повторной верификации. Privacy-preserving через ZK. Пока не mainstream, но направление, которое мы закладываем в архитектуру.

Архитектурный принцип: KYC-данные никогда не хранятся on-chain. Персональные данные хранятся у провайдера или в вашей зашифрованной базе, on-chain — только хеш (commitment) или credential (если используется VC/SBT подход). Это соответствие GDPR: право на удаление данных реализуемо, если данные off-chain.

Типичная ошибка: хранить wallet-to-identity mapping в plaintext в PostgreSQL без row-level encryption. Один SQL injection — и вся база KYC-данных скомпрометирована. Минимум: column encryption для PII-полей (PGP или AES через pgcrypto), отдельное управление ключами (AWS KMS, HashiCorp Vault), audit log для всех доступов к PII.

Для AML-скрининга используем Chainalysis, Elliptic или TRM Labs. Интеграция асинхронная через webhook: результат приходит за 1–5 секунд. Threshold-based блокировка: HIGH risk — автоблок, MEDIUM — manual review. Hold-период для подозрительных транзакций — 24–72 часа до manual review. Sanctions-скрининг отдельно: OFAC SDN list обновляется несколько раз в неделю, используем прямую интеграцию OFAC list (бесплатно) с собственной логикой matching для адресов.

Услуги блокчейн комплаенса: как мы реализуем поддержку MiCA

Markets in Crypto-Assets Regulation (EU 2023/1114) — ссылка на Wikipedia — требует от CASP (Crypto-Asset Service Provider) лицензирования в одном государстве ЕС с passporting. Технические требования, влияющие на разработку:

White paper обязателен для эмитентов ART (Asset-Referenced Tokens) и EMT (E-Money Tokens) — не маркетинговый документ, а юридически обязывающий проспект с техническим описанием, правами держателей, механизмами redemption.

Custody requirements: клиентские активы отдельно от операционных. Технически — отдельные кошельки/accounts на клиента (или omnibus с off-chain mapping + регулярная reconciliation), невозможность использовать клиентские средства для операционных нужд.

Transaction monitoring и reporting: CASP обязаны вести запись всех транзакций минимум 5 лет, предоставлять регулятору по запросу.

Travel Rule в MiCA: порог €0 для VASP-to-VASP переводов — не €1 000, как в FATF. Реализация требует Travel Rule endpoint, работающего 24/7.

Процесс внедрения compliance инфраструктуры

Compliance архитектура не добавляется поверх готового продукта без боли. Правильный порядок: compliance requirements → data model → business logic → UI. Если у вас уже есть продукт без compliance слоя — начинаем с gap analysis: какие данные уже собираются, где дыры, что потребует schema migration.

1. Gap analysis — аудит текущей архитектуры и data flow (1–2 недели).
2. Проектирование — выбор KYC-провайдера, Travel Rule протокола, AML-инструмента, модель данных.
3. Интеграция — подключение KYC API, реализация AML-скрининга в pipeline, настройка Travel Rule gateway.
4. Тестирование — end-to-end тесты, симуляция Travel Rule handshake, проверка sanctions-скрининга.
5. Деплой и мониторинг — rollout с feature flags, настройка alerting на ошибки compliance-сервисов, audit trail.
6. Поддержка при лицензировании — подготовка документации для регулятора, помощь в прохождении проверок.

Что включает услуга блокчейн комплаенса?

• Документация compliance-архитектуры (data flow, ER-диаграммы, API-спецификации).
• Интеграция KYC/AML/Travel Rule API с вашим бэкендом.
• Настройка мониторинга и alerting для compliance-сервисов.
• Обучение вашей команды работе с инструментами (Chainalysis, Sumsub и т.д.).
• Поддержка при прохождении лицензирования (MiCA, FATF).

Ориентиры по срокам

• KYC/AML интеграция с Sumsub или Jumio — от 3 до 6 недель.
• Travel Rule (TRISA или Sygna) — от 6 до 10 недель.
• Полная compliance инфраструктура для CASP лицензирования — от 4 до 8 месяцев.
• On-chain compliance через VC/SBT с ZK (MiCA-ready) — от 5 до 9 месяцев.

Scope уточняется после gap analysis. Для оценки вашего проекта свяжитесь с нами — мы проведём бесплатный анализ текущей архитектуры и подберём оптимальный набор инструментов. Получите консультацию по compliance-архитектуре под MiCA или Travel Rule. Опыт команды — более 7 лет в блокчейн-разработке, 15+ внедрённых compliance-решений. Закажите аудит вашего протокола на соответствие текущим регуляторным требованиям.