Веса категорий, направление и свежесть
В прошлом уроке мы получили профиль экспозиции: «22% через no-KYC P2P, 4% через миксер, 6% через даркнет». Но 4% контакта с санкционным адресом и 4% контакта с онлайн-казино — это совершенно разный уровень тревоги. В этом уроке разбираем, как долям экспозиции присваиваются веса, почему направление и давность контакта меняют оценку, что такое hard-флаги и как из всего этого рождается одно число от 0 до 100.
Почему санкции весят больше казино
Не все рисковые категории равны. Скоринг присваивает каждой категории вес — множитель, отражающий тяжесть и юридические последствия контакта. Логика весов вытекает из реального регуляторного риска, а не из абстрактной «плохости».
- Максимальный вес: санкции (OFAC/EU/UK), финансирование терроризма, CSAMКонтакт с санкционным адресом — это нарушение с уголовной и блокирующей ответственностью в большинстве юрисдикций. Здесь работает принцип strict liability: намерение не важно, важен сам факт. Даже малая доля тянет оценку в красную зону.
- Высокий вес: даркнет-маркеты, украденные средства (взломы), программы-вымогатели, скамПрямые доходы от преступлений. Тяжело, но обычно оценивается по доле, а не по факту касания.
- Средний вес: миксеры/тумблеры, мосты с плохой историей, high-risk биржи без KYCИнструменты обфускации. Сами по себе не преступны, но резко снижают прозрачность происхождения средств.
- Низкий вес: онлайн-казино, гэмблинг, P2P с частичным KYC, майнинг-пулыЛегальны во многих юрисдикциях. Повышают внимание, но редко становятся стоп-фактором сами по себе.
Входящая против исходящей экспозиции
Направление денежного потока меняет смысл риска, и хороший движок взвешивает эти два направления по-разному в зависимости от задачи.
Пример: кошелёк, который получает зарплату с биржи, а отправляет её в санкционный сервис, — это исходящая проблема, и её не видно, если смотреть только на источники. И наоборот: кошелёк с чистыми выводами, но грязными поступлениями, опасен для того, кто эти поступления принимает. Поэтому в отчёте всегда два блока экспозиции, и путать их нельзя.
Свежесть: давность контакта
Риск стареет. Контакт с миксером неделю назад и контакт три года назад — это разный уровень актуальной угрозы. Движки вводят фактор свежести (recency / time decay).
- Свежий контакт (дни–недели). Полный вес. Деньги «горячие», связь актуальна.Особенно важно для взломов и санкций: свежие украденные средства активно отслеживаются.
- Средняя давность (месяцы). Вес частично снижается.Кошелёк мог сменить поведение, средства могли многократно перемешаться.
- Старый контакт (годы). Вес заметно ниже, но не ноль для тяжёлых категорий.Санкционный или CSAM-контакт не «прощается» временем так, как P2P-казино.
Hard-флаги: когда число уже не важно
Отдельно стоят hard-флаги — условия, при которых оценка принудительно выставляется в максимум независимо от долей, весов и свежести. Это «красные рубильники».
- Адрес в санкционном списке напрямуюСам проверяемый адрес присутствует в OFAC SDN / EU / UK. Оценка = 100, обсуждение закрыто.
- Прямой контакт (1 хоп) с санкционным адресомПолучено от / отправлено на адрес из списка. Strict liability.
- Средства в статусе frozen эмитентом стейблкоинаUSDT/USDC заблокированы — это подтверждение со стороны эмитента.
- CSAM / терроризм в прямой близостиНулевая толерантность вне зависимости от суммы.
Смысл hard-флагов — не дать «усреднить» катастрофу. Без них кошелёк с 2% прямой санкционной экспозиции и 98% чистых средств получил бы низкую взвешенную оценку и прошёл проверку. Hard-флаг переопределяет всю арифметику: 2% санкций важнее, чем 98% чистоты.
Как из всего этого получается число 0–100
Соберём формулу целиком. Финальная оценка — это конвейер:
из taint-анализа
санкции ≫ казино
source/dest, давность
0–100
- Берём каждую долю экспозиции из taint-анализа (урок 4.1).Например, 6% даркнет на 2-м хопе.
- Умножаем на вес категории. Даркнет — высокий, казино — низкий.Так тяжесть учитывается количественно.
- Корректируем на направление и свежесть. Свежая исходящая экспозиция в санкции — почти максимум.Старое входящее казино — почти ноль.
- Суммируем взвешенные вклады и нормируем в шкалу 0–100.Обычно нелинейно: первые проценты тяжёлой категории поднимают оценку быстрее, чем последующие.
- Проверяем hard-флаги. Если сработал хоть один — оценка принудительно = максимум.Переопределяет весь расчёт.
Готовое число раскладывается в «светофор». Границы полос — вопрос политики порогов (об этом урок 4.3): один сервис назовёт 55 «средним», другой — «высоким».
Как читать полосы риска
- 0–30 (зелёная)Чисто или фоновый шум. Можно работать, стандартные процедуры.
- 30–70 (жёлтая)Требуется внимание: запросить происхождение средств, углубить проверку, задокументировать решение (EDD).
- 70–100 (красная)Высокий риск или hard-флаг. Отказ, заморозка, эскалация в комплаенс.
Материалы носят образовательный характер.