VASP ліцензування: документація та технічна інфраструктура

VASP ліцензування — підготовка, що проходить регуляторну перевірку

Майже 70% відмов в отриманні ліцензії на криптодіяльність (VASP) спричинені не технічною неготовністю, а відсутністю детальної документації: generic AML політика без прив'язки до бізнес-процесів, розмитий опис key management, відсутність BCP з конкретними метриками. Регулятор (FIU, VARA, MAS) оцінює operational readiness — здатність компанії реально виконувати вимоги. Ми підготували інфраструктуру для 15+ проектів в Естонії, Дубаї та Сінгапурі, і знаємо, як закрити кожен пункт перевірки.

Як обрати юрисдикцію для VASP?

Вибір юрисдикції — перше рішення, що впливає на терміни та складність. Для EU-орієнтованого бізнесу найшвидше Естонія (3-6 місяців) або Литва (5-9 місяців). Дубай VARA (9-18 місяців) дає доступ до ринку Близького Сходу, але вимагає детальної технічної підготовки та щорічного пентесту. Сінгапур MAS (18-27 місяців) — найсуворіший, але престижний. Тип діяльності визначає категорію ліцензії: обмін крипто-фіат потребує окремого дозволу, crypto-to-crypto — іншого, кастодіальні сервіси — третього. Правильний вибір економить значні ресурси на переробці документації.

Які технічні вимоги висувають регулятори?

Більшість регуляторів (FIU Естонії, VARA, MAS) вимагають чотири ключові компоненти:

• Key Management — custody keys в Hardware Security Module (HSM) або Multi-Party Computation (MPC). Рішення: Fireblocks MPC, AWS CloudHSM, Thales Luna HSM або Ledger Enterprise.
• Segregation of client assets — окремі HD wallet шляхи для клієнтських та операційних коштів, щоденна reconciliation.
• Business Continuity Plan (BCP) — з конкретними RTO (час відновлення) та RPO (допустима втрата даних), архітектура failover.
• Penetration Testing (для VARA та інших) — щорічне тестування від акредитованого провайдера за OWASP Top 10, включаючи смарт-контракти та інфраструктуру.

Відсутність ліцензії може призвести до значних штрафів та блокування операцій.

Який стек технологій ми використовуємо?

Стек: Solidity 0.8.x, Foundry, Hardhat, ethers.js, viem, Tenderly (моніторинг), Slither (статичний аналіз). Для key management використовуємо Fireblocks або AWS CloudHSM. Документацію готуємо на основі шаблонів, адаптованих під кожну юрисдикцію.

Один із наших проектів — налаштування reconciliation для естонської ліцензії. Клієнт — DeFi-платформа з кастодіальними гаманцями. Ми спроектували архітектуру з окремими HD шляхами, автоматичний моніторинг розбіжностей та алерти в Telegram. Результат: заявка пройшла з першої спроби, заощадивши клієнту 6 місяців доопрацювань.

Ще один кейс — підготовка документації для ліцензії VARA. Клієнт — криптобіржа з агрегацією ліквідності. Ми розробили AML політику на 60 сторінок з описом процедур KYC, транзакційного моніторингу (Chainalysis) та скринінгу санкцій. Регулятор запросив уточнення лише по одному пункту — часу зберігання логів.

Що входить в роботу

1. Аналітика та вибір юрисдикції — оцінка вашої бізнес-моделі, цільових ринків та термінів.
2. Підготовка документації — AML Policy, IT Security Policy, BCP, опис transaction monitoring, key management.
3. Технічне налаштування — розгортання HSM/MPC, налаштування segregated wallets, automated reconciliation.
4. Комунікація з регулятором — відповіді на запити, проходження перевірок.
5. Пост-ліцензійна підтримка — щорічні оновлення, пентести, звітність.

Ми маємо більше 5 років досвіду в VASP ліцензуванні, успішно супроводили 15+ проектів. Наші інженери проходили аудит у регуляторів і знають, як не допустити типових помилок. Отримайте консультацію: зв'яжіться з нами для попередньої оцінки вашого проекту.

Терміни та вартість

Вартість супроводу розраховується індивідуально. Зв'яжіться з нами, щоб обговорити ваш проект та отримати попередній кошторис. Гарантуємо дотримання термінів при своєчасному наданні документів.

Порівняння за трудозатратами

Для швидкого старту обирайте Естонію — вона в 3-5 разів швидша за Сінгапур. Якщо ваша мета — Близький Схід, Дубай VARA дає доступ до багатого ринку, але вимагає детальної технічної підготовки. Зв'яжіться з нами — допоможемо обрати оптимальну юрисдикцію.

Джерело: офіційні рекомендації FIU Естонії та VARA з ліцензування VASP.