Виявити й зупинити підозрілу криптотранзакцію стає дедалі складніше: зловмисники навчилися переганяти кошти між адресами, блокчейнами та мостами настільки швидко, що часу на реакцію майже не залишається. Рекордне зникнення коштів під час атаки на Bybit у лютому 2025 року стало наочним прикладом цієї проблеми.
Паралельно посилюється й регуляторний тиск на галузь. З 1 липня 2026 року в Європейському Союзі повноцінно запрацює регламент MiCA, а компанії вже мають дотримуватися вимог Travel Rule щодо передавання даних про відправника та отримувача криптоактивів.
Видання Incrypted поговорило з гендиректором і співзасновником AMLBot В'ячеславом Демчуком про трансформацію ринку блокчейн-аналітики за останні роки, роль штучного інтелекту в розслідуваннях та про те, чому самого лише виявлення крадіжки замало.
Шлях AMLBot: від перевірки адрес до повноцінної AML-системи
За словами Демчука, задум AMLBot зародився ще у 2017 році, а сам продукт повноцінно вийшов на ринок у 2019-му. На той момент блокчейн-аналітика вже існувала, проте серйозні комплаєнс-рішення створювалися переважно для великих бірж, банків та державних органів.
Якщо ви представляли невелику або середню криптокомпанію — або просто хотіли зрозуміти, чи пов'язаний актив, що надійшов на ваш гаманець, із незаконною діяльністю, — вибір був обмеженим, дорогим і технічно складним.
В'ячеслав Демчук, AMLBot
Саме цю прогалину команда й вирішила закрити, вважаючи несправедливим, що потужні інструменти доступні лише гравцям із великими бюджетами та штатними комплаєнс-відділами.
Спочатку продукт був простим сервісом перевірки адрес. Проте разом із посиленням регулювання і ускладненням фінансових злочинів зростали й запити клієнтів — з'явилася потреба в моніторингу транзакцій, KYC та KYB, розслідувальних інструментах, міжмережевому трасуванні (cross-chain tracing) та поверненні активів.
Якщо у 2019 році команда AMLBot була невеликою і мала одну мету — зробити AML-перевірку доступною практично для будь-якої криптокомпанії, то сьогодні, за словами Демчука, у штаті понад 60 фахівців: комплаєнс-експерти, аналітики, служба підтримки, менеджери з роботи з клієнтами та сертифіковані розслідувачі. Платформою користуються понад 1000 компаній у 25 юрисдикціях.
Крім перевірки гаманців, компанія розвиває моніторинг транзакцій, KYC/KYB, блокчейн-розслідування, повернення активів та інструменти трасування на базі ШІ.
У 2019 році ми давали користувачеві можливість перевірити адресу. Зараз інфраструктура задіяна на всіх етапах — від запобігання надходженню підозрілих коштів на платформу до розслідування того, куди пішли викрадені активи після інциденту.
В'ячеслав Демчук, AMLBot
Малий бізнес стикається з тими самими ризиками при менших ресурсах
На запитання, чому AMLBot вирішив зосередитись і на малому й середньому криптобізнесі, тоді як більшість комплаєнс-провайдерів орієнтуються на найбільші біржі, Демчук відповів, що чіткого моменту переходу не було — рішення сформувалося поступово, з постійного зворотного зв'язку від клієнтів.
Невеликі компанії добре розуміють потребу в серйозній AML-інфраструктурі, але багато готових рішень від початку розроблялися під бюджети та технічні можливості великих бірж, тож їх складно і дорого впроваджувати.
При цьому самі ризики не зменшуються: невеликому платіжному сервісу, OTC-майданчику чи біржі так само потрібно перевіряти гаманці, стежити за непрямими зв'язками з ризиковими джерелами й моніторити підозрілу активність — тільки замість кількох команд цим часто займаються одна-дві людини.
Тому продукт вибудовували навколо реальних запитів таких клієнтів: швидша інтеграція, зрозумілі дані про ризики, автоматизація рутини, гнучкі тарифи та можливість поступово наростити набір інструментів у міру зростання бізнесу. За словами Демчука, доступність блокчейн-аналітики була закладена в ідею AMLBot із самого початку.
Головна відмінність між невеликими компаніями та великими біржами — не в характері ризиків, а в обсязі ресурсів для реагування на них. На великій біржі можуть існувати окремі команди з санкцій, моніторингу транзакцій, розслідувань та роботи з правоохоронцями, тоді як у малій компанії всі ці функції часто лежать на одному комплаєнс-фахівці.
Через це критично важливими стають автоматизація та розстановка пріоритетів: команда з трьох людей просто не може вручну розслідувати кожне спрацювання системи. Технологія має пояснювати, чому активність вважається ризиковою, відділяти термінові сигнали від менш значущих і давати достатньо контексту для рішення.
У певному сенсі якісна технологія для регуляторного контролю невеликим компаніям навіть важливіша, оскільки в них набагато менше людських ресурсів, якими можна компенсувати неефективні інструменти.
В'ячеслав Демчук, AMLBot
Дотримання регуляторних вимог як безперервний процес
На думку Демчука, немає окремої вимоги, яка є найважчою для малого криптобізнесу — проблема радше в тому, що загалом дотримання регуляторних норм виявляється складнішим, ніж здається засновнику на старті, тож правильну інфраструктуру варто закладати заздалегідь.
У Європейському Союзі криптосервісам доводиться одночасно вести кілька процесів: оцінку AML-ризиків, моніторинг транзакцій, санкційний скринінг, комплексну перевірку клієнтів (customer due diligence) і виконання вимог Travel Rule.
Останні особливо помітні на практиці, оскільки певні перекази мають супроводжуватися даними про відправника й отримувача, а компаніям потрібні чіткі процедури на випадок, коли ці дані відсутні або неповні.
У великій організації під кожен напрям можна виділити окремих людей, технології та процеси. У стартапу ж усі ці завдання лежать на невеликій команді, яка одночасно розвиває сам продукт.
Тому KYC, KYT, санкційний скринінг і Travel Rule не можуть існувати як розрізнені елементи — завдання полягає в тому, щоб побудувати систему, яка відповідає регуляторним очікуванням, але не перетворюється на бар'єр для зростання бізнесу.
Як розслідування впливають на системи оцінки ризиків
У AMLBot є окремий комплаєнс-продукт і окрема команда розслідувачів, і, за словами Демчука, ці два напрями постійно обмінюються даними. Розслідувачі відстежують викрадені кошти крок за кроком до конкретного сервісу, а підтверджені гаманці зловмисників, транзитні адреси для відмивання й точки виведення потрапляють до тієї самої бази, яка використовується для скорингу ризиків.
Це якісно інший рівень сигналу порівняно зі звичайним збором публічних списків, оскільки атрибуцію підтверджує фахівець у межах живого розслідування — часто ще до того, як інцидент стає публічним.
Працює й зворотний зв'язок: якщо скринінг блокує адресу клієнта, команда розслідувачів може пояснити походження позначки — чи є поліцейський звіт, запит на заморожування чи судовий документ. Тоді відмітка «високий ризик» перестає бути абстрактним числом і перетворюється на інформацію, придатну для ухвалення рішень.
Нові схеми — маршрути через мости, дроблення коштів на свіжі адреси та інші прийоми, виявлені розслідувачами на практиці, — потім враховуються під час удосконалення моделі оцінки ризиків.
ШІ прискорює аналіз, але не замінює розслідувача
AMLBot розвиває продукт AI Tracer, головна перевага якого — скорочення обсягу рутинної аналітичної роботи.
Демчук навів приклад: вкрадені активи розходяться з одного гаманця на десять адрес, частина проходить через мости, переміщується в інші мережі й знову дробиться. Ручна реконструкція такого потоку потребує аналізу сотень транзакцій і постійного вибору, яку гілку відстежувати далі.
ШІ здатен автоматизувати перший рівень розслідування — стежити за видимим рухом коштів, знаходити зв'язки між адресами, розпізнавати типові схеми відмивання, зіставляти переходи між блокчейнами та визначати ймовірні точки призначення.
Ще один напрям — напівавтоматична розмітка та атрибуція: алгоритми аналізують схеми транзакцій і зв'язки між адресами, щоб виокремлювати кластери, які можуть належати одній організації чи сервісу. Це не замінює перевірку, але дозволяє розслідувачу не вивчати кожну адресу з нуля.
У AI Tracer користувач може почати роботу просто з ідентифікатора транзакції, а система сама побудує видимий маршрут коштів через підтримувані гаманці, мости, біржі та блокчейни.
Водночас ШІ не замінює розслідувача, особливо коли йдеться про атрибуцію — він лише змінює розподіл робочого часу: менше годин витрачається на механічну реконструкцію маршрутів, більше — на перевірку висновків, формування доказової бази та взаємодію з біржами й правоохоронцями.
Bybit, Lazarus і розрив між швидкістю аналізу та реакцією платформ
AMLBot бере участь у LazarusBounty — ініціативі Bybit із відстеження та заморожування активів, пов'язаних з атакою 2025 року. Компанія працює разом із командою Bybit з контролю ризиків у блокчейні (blockchain risk control team), відстежуючи викрадені кошти на шляху через мости, свопи та міксери.
Далі потрібно визначити момент, коли частина активів досягає сервісу, здатного реально втрутитись, — біржі, OTC-майданчика або емітента стейблкоїна, і максимально швидко передати команді регуляторного контролю готовий пакет даних для заморожування коштів.
Швидкість тут визначає дуже багато. Lazarus здатен переміщати активи за хвилини, а вікно для заморожування іноді вимірюється годинами.
В'ячеслав Демчук, AMLBot
AMLBot також передає підтверджені адреси іншим учасникам екосистеми, щоб невеликі платформи могли заздалегідь блокувати їх. Цей приклад, за словами Демчука, демонструє, що вузьким місцем стає вже не саме трасування, а швидкість реакції всього ланцюжка учасників ринку.
Найшвидші цикли відмивання коштів уже вимірюються хвилинами. На запитання, чи здатен ШІ закрити цей розрив, чи основне обмеження — швидкість реакції бірж і правоохоронців, Демчук зазначив, що ШІ здатен різко скоротити час виявлення, але це лише половина завдання.
Інструменти автоматизації однаково доступні обом сторонам: технології програмування та автономні агенти знижують порогу входу і дозволяють виконувати дедалі складніші дії без постійної участі людини, тож протистояти загрозам, що діють зі швидкістю машин, переважно ручними процесами стає все важче.
ШІ може швидше знаходити підозрілі переміщення, відстежувати складні маршрути й визначати ймовірні точки призначення, але аналітична компанія не має повноважень заморозити чужий гаманець. Коли активи потрапляють на централізований сервіс, вступають у дію його комплаєнс-процедури, вимоги до доказів, юрисдикційні обмеження, а іноді й процеси з боку правоохоронних органів.
Наступний виклик — зробити швидкість реакції співставною зі швидкістю автоматичного виявлення. Якщо система знаходить підозрілий потік за кілька хвилин, а інформація доходить до потрібної біржі лише через добу, у зловмисника все одно залишається величезна перевага.
Майбутнє блокчейн-безпеки — це не лише прискорення аналізу. Це поєднання виявлення загроз за допомогою ШІ та швидшої взаємодії між профільними компаніями, біржами, емітентами стейблкоїнів і правоохоронними органами.
В'ячеслав Демчук, AMLBot
Як не стати «випадковим шлюзом» для брудних коштів
Group Lazarus та інші технічно підготовлені зловмисники постійно вдосконалюють способи змішування й приховування транзакцій. Демчук радить невеликим платформам виходити з того, що подібні кошти рано чи пізно дістануться і до них: групи, пов'язані з державними структурами, можуть навмисно обирати майданчики з малочисельними комплаєнс-командами або без них узагалі. На момент надходження активи вже можуть бути розподілені між сотнями нових адрес, тож окремий депозит не завжди виглядатиме підозріло.
Демчук виділив кілька практичних кроків для платформ:
- Перевіряти не лише конкретну транзакцію, а й адресу контрагента, оскільки після першого ж переміщення ризик уже відображається в історії гаманця, а не тільки у вихідній операції
- Використовувати списки блокування та дані про ризики, що оновлюються майже в реальному часі — якщо цикл відмивання триває години чи хвилини, щомісячного оновлення недостатньо
- Заздалегідь визначити порядок дій у разі виявлення ризику: хто може призупинити виведення коштів, кому передати випадок і хто надасть контекст для обґрунтування утримання
Платформи, які стають «випадковими шлюзами», рідко залишаються зовсім без інструментів. Набагато частіше в них просто немає заздалегідь вибудуваної процедури ухвалення рішень.
В'ячеслав Демчук, AMLBot
