CCAS ACAMS: przewodnik po kryptoaktywach i kontrolach AFC

CCAS: kryptoaktywa, przepływy wartości i kontrola ryzyka przestępczości finansowej

Certified Cryptoasset AFC Specialist (CCAS) jest certyfikacją ACAMS dla osób zarządzających ryzykiem przestępczości finansowej związanym z kryptoaktywami. Przewodnik obejmuje mechanikę przepływu wartości, podstawy AML oraz projektowanie i ocenę kontroli AFC.

Według ACAMS dotychczasowy egzamin CCAS obejmuje 100 pytań i trwa 175 minut. ACAMS podaje język angielski jako język egzaminu. Zapowiedziano zmianę materiałów i egzaminu od 19 listopada 2026 r., dlatego przed rezerwacją należy sprawdzić właściwą wersję i warunki bezpośrednio w ACAMS. Polski język tego przewodnika nie oznacza dostępności polskiej wersji egzaminu.

Materiał jest przeznaczony dla specjalistów AML i AFC, zgodności kryptoaktywów, analityki blockchain, organów ścigania, nadzoru oraz zarządzania ryzykiem aktywów cyfrowych. Proponowane proporcje nauki są priorytetami tego przewodnika, a nie oficjalnymi wagami egzaminu.

Zakres nauki i priorytety

Obszar nauki	Zakres	Priorytet tego przewodnika
Kryptoaktywa i blockchain	Transakcje, adresy, portfele, przechowywanie, tokeny, giełdy, DeFi i przepływy między łańcuchami.	30% czasu ćwiczeń; przydział redakcyjny, nie oficjalna waga egzaminu.
Podstawy AML dla kryptoaktywów i blockchain	Standardy FATF, role dostawców, Travel Rule, sankcje, źródła środków i różnice między jurysdykcjami.	30% czasu ćwiczeń; przydział redakcyjny, nie oficjalna waga egzaminu.
Programy zarządzania ryzykiem kryptoaktywów i blockchain	Ocena ryzyka, onboarding, monitoring, analityka, dochodzenia, zgłoszenia, zarządzanie i testowanie kontroli.	40% czasu ćwiczeń; przydział redakcyjny, nie oficjalna waga egzaminu.

60 pojęć do opanowania 1-10

1. Rejestr rozproszony jako zapis zdarzeń

Kryptoaktywa i blockchain

Blockchain zapisuje uporządkowane zdarzenia, które uczestnicy sieci mogą niezależnie weryfikować według reguł protokołu. Analityk powinien rozdzielać fakt zapisania transferu od twierdzenia, kto go zlecił i jaki był jego cel. Widoczność transakcji ułatwia rekonstrukcję drogi aktywa, lecz nie ujawnia automatycznie klienta, umowy ani źródła pieniędzy. Pierwszym krokiem jest ustalenie właściwego łańcucha, rodzaju aktywa i identyfikatora transakcji.

Przykład: Klient podaje identyfikator wypłaty. Analityk sprawdza łańcuch i token, odnajduje transakcję oraz zapisuje adres odbiorczy i czas. Dopiero później zestawia je z danymi rachunku i dyspozycją klienta.

Pułapka: Publiczny zapis bywa mylony z pełną identyfikacją stron. Rejestr potwierdza zdarzenie techniczne; przypisanie osoby wymaga odrębnego, wiarygodnego źródła danych.

2. Blok, potwierdzenia i ostateczność rozliczenia

Kryptoaktywa i blockchain

Włączenie transakcji do bloku nie zawsze oznacza natychmiastową, nieodwracalną ostateczność. Zależnie od sieci możliwa jest reorganizacja, opóźnienie lub odmienne kryterium finalizacji. Instytucja ustala próg potwierdzeń na podstawie wartości transferu, parametrów sieci i własnego ryzyka operacyjnego. W dochodzeniu należy zachować zarówno czas emisji, jak i czas potwierdzenia, ponieważ różnica może wyjaśnić pozorną rozbieżność między zleceniem a zapisem księgowym.

Przykład: Duża wpłata pojawia się w mempoolu, lecz nie ma jeszcze wymaganego potwierdzenia. Giełda oznacza ją jako oczekującą i uruchamia analizę ryzyka, zamiast od razu udostępniać środki klientowi.

Pułapka: Status „widoczna w sieci” nie jest równoważny rozliczeniu. Przed uznaniem salda trzeba sprawdzić politykę potwierdzeń oraz aktualny stan łańcucha.

3. Model UTXO i śledzenie wyjść

Kryptoaktywa i blockchain

W modelu UTXO transakcja zużywa wcześniejsze wyjścia i tworzy nowe. Suma wejść, wyjść oraz opłaty pomaga ustalić, które środki mogły finansować dalszy transfer. Nie wolno jednak traktować każdego wyjścia jako płatności do nowego odbiorcy, bo jedno może być resztą wracającą pod kontrolę nadawcy. Analiza wymaga sprawdzenia konstrukcji transakcji oraz ostrożnego oznaczenia hipotezy o adresie reszty.

Przykład: Portfel wydaje jedno wyjście o wartości 2 jednostek i tworzy wyjścia 0,4 oraz 1,59 jednostki, przy uwzględnieniu opłaty. Analityk bada wzorzec portfela, zanim nazwie większe wyjście odbiorcą płatności.

Pułapka: Przypisanie największego wyjścia beneficjentowi może odwrócić kierunek śledzenia. Najpierw należy ustalić prawdopodobną resztę i poziom pewności tego ustalenia.

4. Model kont i stan salda

Kryptoaktywa i blockchain

W modelu kont transakcja zmienia stan adresów i może uruchomić kod kontraktu. Sam transfer natywnej monety nie opisuje wszystkich skutków: zdarzenia kontraktu mogą pokazywać przesunięcie tokenu, wymianę lub emisję. Analityk powinien czytać dane wykonania, wywołania i logi zdarzeń razem z bilansem. Taki rozdział jest ważny, gdy klient twierdzi, że „nie wysłał” tokenu, choć autoryzował operację prowadzącą do jego przeniesienia.

Przykład: Na koncie nie widać prostego przelewu stablecoina, ale log kontraktu wykazuje jego transfer do puli. Analityk odtwarza wywołanie, zgodę na wydanie tokenu i adres kontraktu.

Pułapka: Brak zwykłego przelewu w widoku adresu nie dowodzi braku ruchu wartości. Trzeba zbadać skutki wykonania kontraktu i właściwy standard tokenu.

5. Adres a tożsamość

Kryptoaktywa i blockchain

Adres identyfikuje miejsce w mechanice danego łańcucha, a nie z definicji osobę. Jedna osoba może używać wielu adresów, a adres depozytowy może obsługiwać klientów pośrednika. Atrybucja jest wnioskiem z danych, takich jak dokumentacja giełdy, podpis kryptograficzny lub zachowanie transakcyjne. W raporcie należy podać źródło, datę i stopień pewności przypisania, zamiast przedstawiać etykietę narzędzia jako pewną tożsamość.

Przykład: Dwa rachunki wpłacają na ten sam adres obsługiwany przez giełdę. Analityk nie łączy klientów w jedną osobę; żąda mapowania depozytów w systemie giełdy i sprawdza znaczniki transakcji.

Pułapka: Etykieta „giełda” przy adresie nie identyfikuje jej klienta. Taki skrót może fałszywie połączyć osoby i zniekształcić ocenę ryzyka.

6. Klucze prywatne i kontrola nad aktywem

Kryptoaktywa i blockchain

Posiadanie klucza prywatnego lub odpowiedniego zestawu podpisów umożliwia autoryzację ruchu aktywów. Kontrola techniczna różni się od własności prawnej: depozytariusz może podpisywać transakcje w imieniu klienta, a członek zespołu może mieć jedynie część uprawnień. W ocenie ryzyka trzeba ustalić, kto inicjuje dyspozycję, kto ją zatwierdza i gdzie przechowywany jest materiał kluczowy. Te role wyznaczają punkty kontroli i możliwe nadużycia.

Przykład: Spółka korzysta z portfela wymagającego dwóch podpisów z trzech. Kontroler sprawdza osoby posiadające klucze, zasady zastępstw i logi zatwierdzeń przed oceną ryzyka pojedynczego pracownika.

Pułapka: Techniczny podpis nie zawsze dowodzi prawa do środków. Trzeba oddzielić uprawnienie operacyjne od relacji klienta z depozytariuszem i dokumentów własności.

7. Portfel powierniczy i portfel własny

Kryptoaktywa i blockchain

Portfel powierniczy pozostaje pod techniczną kontrolą usługodawcy, choć saldo przypisuje on klientowi w swoim systemie. Przy portfelu własnym użytkownik zwykle zarządza kluczami samodzielnie. Ta różnica wpływa na dostępne dowody: usługodawca może posiadać dane identyfikacyjne i historię księgową, natomiast przy portfelu własnym potrzebne mogą być inne sposoby potwierdzenia kontroli. Nie należy z samego typu portfela wywodzić poziomu ryzyka klienta.

Przykład: Wpłata trafia z adresu giełdy na rachunek klienta. Analityk prosi o dane wypłaty i przypisanie rachunku, ponieważ podpis transakcji złożyła giełda, nie bezpośrednio klient.

Pułapka: Założenie, że każda wypłata z giełdy pochodzi od znanej osoby, ignoruje pośrednictwo i współdzielone adresy. Potrzebne jest mapowanie wewnętrzne.

8. Adres reszty i konsolidacja środków

Kryptoaktywa i blockchain

Portfele często tworzą adresy reszty oraz okresowo konsolidują wiele drobnych wyjść. Te ruchy mogą wyglądać jak rozwarstwianie, choć wynikają z automatycznej obsługi płynności. Analityk porównuje wzorce wejść, wartości, czas i znane zachowanie portfela, a hipotezę o wspólnej kontroli oznacza jako hipotezę. Gdy decyzja ma istotne skutki dla klienta, powinien szukać także dowodów poza łańcuchem, takich jak rejestr księgowy usługodawcy.

Przykład: Giełda łączy kilkadziesiąt depozytów w jeden portfel gorący. Analityk rozpoznaje konsolidację operacyjną po harmonogramie i danych giełdy, zamiast przypisywać całość jednemu klientowi.

Pułapka: Wspólne wejście nie jest nieomylnym dowodem jednego właściciela. Techniki współpracy użytkowników i operacje pośredników mogą naruszyć taką heurystykę.

9. Opłaty sieciowe i płatnik operacji

Kryptoaktywa i blockchain

Opłata wynagradza przetworzenie transakcji, lecz sposób jej pobrania zależy od łańcucha i konstrukcji aplikacji. W systemach z kontraktami opłatę może pokryć inny podmiot niż ekonomiczny właściciel przesuwanego tokenu. Analiza źródła środków na opłatę bywa pomocna w identyfikacji powiązań operacyjnych, ale sama nie dowodzi wspólnej własności aktywów. Trzeba sprawdzić model transakcji, usługę pośredniczącą i ewentualną refundację opłaty.

Przykład: Nowy adres przesyła token, mimo że wcześniej nie otrzymał natywnej monety. Dochodzenie wykazuje transakcję sponsorowaną przez aplikację; analityk nie przypisuje sponsora do właściciela tokenu.

Pułapka: Uznanie płatnika opłaty za beneficjenta transferu myli koszt operacji z tytułem do aktywa. Należy sprawdzić konstrukcję usługi.

10. Rekonstrukcja przepływu wartości

Kryptoaktywa i blockchain

Śledzenie zaczyna się od potwierdzonego punktu wejścia, określonego aktywa i zakresu czasu. Następnie analityk zapisuje kolejne transakcje, przelicza wartości z uwzględnieniem wymian oraz oznacza miejsca, w których dalszy los środków jest niepewny. Wynik powinien pokazywać drogę wartości i granice obserwacji, nie tylko obraz grafu. Wnioski o praniu pieniędzy wymagają kontekstu czynu źródłowego, zachowania klienta i dostępnych danych poza łańcuchem.

Przykład: Środki po oszustwie trafiają na giełdę, są wymieniane na stablecoin i wypłacane. Analityk dokumentuje identyfikatory obu łańcuchów, kurs wymiany oraz moment utraty bezpośredniej obserwowalności.

Pułapka: Kolorowa ścieżka w narzędziu nie zastępuje zapisu metodologii. Bez czasu, aktywa i reguły przypisania nie da się odtworzyć wniosku.

60 pojęć do opanowania 11-20

11. Klastrowanie adresów

Kryptoaktywa i blockchain

Klastrowanie łączy adresy, które według określonych heurystyk mogą pozostawać pod wspólną kontrolą. Siła wniosku zależy od modelu łańcucha, rodzaju transakcji i wyjątków, takich jak wspólne transakcje wielu użytkowników. Analityk powinien znać zastosowaną regułę, jej błędy oraz datę etykiety. Klastr pomaga kierować dochodzeniem, ale przypisanie go do osoby wymaga niezależnego potwierdzenia, zwłaszcza przed blokadą lub zgłoszeniem.

Przykład: Narzędzie łączy pięć adresów po wspólnych wejściach. Zespół sprawdza, czy transakcje nie były wspólnie konstruowane, i zestawia wynik z danymi rachunku przed przypisaniem klientowi.

Pułapka: Klastr nie jest dowodem tożsamości. Traktowanie probabilistycznej heurystyki jak rejestru właścicieli prowadzi do błędnych sankcji i zgłoszeń.

12. Mosty między łańcuchami

Kryptoaktywa i blockchain

Most może zablokować aktywo w jednym łańcuchu i wydać reprezentację w drugim albo pośredniczyć w wymianie przez pule płynności. Dlatego kwoty i adresy po obu stronach nie muszą wyglądać identycznie. Śledzenie wymaga identyfikacji kontraktu, zdarzenia depozytu, identyfikatora wiadomości oraz wypłaty docelowej. Jeśli mapowanie jest niepełne, analityk powinien wskazać zakres możliwych połączeń, a nie ogłaszać pewny ciąg transakcji.

Przykład: Podejrzane środki wpływają do mostu i po kilku minutach pojawia się podobna kwota w innym łańcuchu. Analityk potwierdza powiązanie identyfikatorem wiadomości mostu, nie samym podobieństwem kwot.

Pułapka: Zbieżna kwota i czas mogą być przypadkowe przy dużym ruchu. Bez danych mechanizmu mostu powiązanie pozostaje hipotezą.

13. Stablecoiny i mechanizm wykupu

Kryptoaktywa i blockchain

Stablecoin ma utrzymywać określoną wartość odniesienia, ale sposób emisji, rezerw, wykupu i zarządzania różni się między projektami. Dla oceny AFC istotne są emitent, możliwość zamrożenia tokenów, sieć emisji oraz kanały wymiany na pieniądz bankowy. Stabilna cena nie oznacza niskiego ryzyka pochodzenia środków. Analiza obejmuje zarówno transfery tokenu, jak i momenty wejścia do systemu oraz wykupu.

Przykład: Klient otrzymuje stablecoin z wielu świeżych adresów i natychmiast wykupuje go u pośrednika. Zespół sprawdza źródła wpłat, warunki emisji oraz beneficjenta rachunku bankowego.

Pułapka: Nazwa „stablecoin” opisuje zamierzony mechanizm ceny, nie czystość środków ani gwarancję wykupu. Oba zagadnienia trzeba ocenić osobno.

14. Miksery i usługi zaciemniające

Kryptoaktywa i blockchain

Mikser utrudnia powiązanie wejścia z wyjściem przez łączenie, opóźnianie lub przekształcanie przepływów. Sama ekspozycja na taki mechanizm jest sygnałem do sprawdzenia, a nie automatycznym dowodem przestępstwa. Analityk bada odległość od usługi, czas, udział wartości i wyjaśnienie klienta. Następnie ustala, czy możliwe jest dalsze śledzenie lub pozyskanie danych poza łańcuchem. Reakcję wyznaczają właściwe przepisy i polityka ryzyka.

Przykład: Wpłata klienta ma pośredni kontakt z mikserem sprzed trzech etapów. Zespół wylicza udział podejrzanej wartości, sprawdza daty i pyta o źródło środków przed eskalacją.

Pułapka: Każdy kontakt w grafie nie ma tej samej wagi dowodowej. Bez odległości i proporcji można błędnie zrównać odległą ekspozycję z bezpośrednim użyciem.

15. DeFi i role uczestników

Kryptoaktywa i blockchain

Aplikacja DeFi może obejmować interfejs, kontrakty, operatorów, dostawców płynności i mechanizm zarządzania. Nazwa „zdecentralizowana” nie rozstrzyga, kto faktycznie kontroluje usługę ani czy działalność podlega obowiązkom. Analityk mapuje możliwość zmiany kontraktu, pobierania opłat, obsługi klientów i wpływu na transakcje. Taka mapa pomaga zarówno w kwalifikacji regulacyjnej, jak i w ustaleniu, od kogo można uzyskać dane dochodzeniowe.

Przykład: Protokół deklaruje brak operatora, lecz zespół zachowuje klucz aktualizacji i pobiera opłaty z interfejsu. Instytucja dokumentuje te uprawnienia przed oceną roli prawnej podmiotów.

Pułapka: Etykieta DeFi nie zwalnia automatycznie z analizy regulacyjnej. Obowiązki zależą od rzeczywistych funkcji i prawa właściwej jurysdykcji.

16. Inteligentne kontrakty i uprawnienia administracyjne

Kryptoaktywa i blockchain

Inteligentny kontrakt wykonuje zaprogramowane reguły, ale kod może zawierać uprawnienia do aktualizacji, wstrzymania lub przesunięcia aktywów. Ocena ryzyka wymaga ustalenia tych uprawnień, administratorów i historii zmian. Przy analizie incydentu należy odróżnić zwykłe wykonanie funkcji od wykorzystania błędu lub nadużycia uprawnienia. Sam fakt, że transakcję zatwierdziła sieć, nie mówi, czy działanie było zgodne z zamiarem użytkownika.

Przykład: Po aktualizacji kontraktu środki trafiają na nowy adres skarbcowy. Analityk porównuje kod, zdarzenie administracyjne i dokumentację projektu, zanim uzna transfer za kradzież.

Pułapka: Niezmienność blockchain nie oznacza niezmienności aplikacji. Kontrakt z mechanizmem aktualizacji może zmienić sposób działania bez zmiany historii łańcucha.

17. Zgody na wydanie tokenów

Kryptoaktywa i blockchain

W wielu sieciach użytkownik może przyznać kontraktowi zgodę na przenoszenie tokenów do określonego limitu. Późniejszy transfer może więc nastąpić bez nowego podpisu właściciela przy każdej operacji. W dochodzeniu trzeba ustalić datę i zakres zgody, adres uprawnionego kontraktu oraz zdarzenie, które ją wykorzystało. To rozróżnienie pomaga oddzielić kompromitację klucza od nadużycia wcześniejszego upoważnienia.

Przykład: Klient zgłasza nieautoryzowany transfer tokenów. Historia pokazuje szeroką zgodę udzieloną fałszywej aplikacji tydzień wcześniej; zespół zabezpiecza oba identyfikatory transakcji.

Pułapka: Brak nowego podpisu w chwili odpływu nie wyklucza wcześniejszej autoryzacji technicznej. Należy zbadać historię zgód i możliwość ich cofnięcia.

18. NFT i ekonomiczna treść transakcji

Kryptoaktywa i blockchain

NFT identyfikuje token o określonych właściwościach, lecz sam zapis tokenu nie potwierdza wartości dzieła, praw autorskich ani rzeczywistej ceny rynkowej. Przy analizie AFC liczą się strony transakcji, źródło finansowania, powiązania portfeli i wzorzec odsprzedaży. Powtarzające się obroty między kontrolowanymi adresami mogą sztucznie tworzyć historię ceny. Kwalifikacja regulacyjna zależy od cech aktywa i właściwych przepisów, nie samej etykiety NFT.

Przykład: Ten sam NFT jest sprzedawany trzy razy w godzinę za rosnące kwoty. Analityk sprawdza źródła środków kupujących, wspólne finansowanie opłat i faktyczny odpływ wartości.

Pułapka: Wysoka cena na rynku NFT nie dowodzi niezależnego popytu. Bez analizy finansowania i powiązań można przyjąć obieg własnych środków za sprzedaż rynkową.

19. Giełdy i księga wewnętrzna

Kryptoaktywa i blockchain

Giełda może zbierać depozyty na adresach technicznych, a następnie przypisywać salda klientom w prywatnej księdze. Obrót wewnętrzny nie musi tworzyć oddzielnych transakcji w łańcuchu. Analiza ruchu on-chain wskazuje więc punkt wejścia lub wyjścia, ale nie pełną historię handlu. Aby odtworzyć przepływ wartości, potrzebne mogą być identyfikatory depozytów, zleceń, konwersji i wypłat z systemu pośrednika.

Przykład: Środki wpływają na giełdę jako bitcoin, a wychodzą jako stablecoin. Zespół nie zakłada bezpośredniej wymiany w łańcuchu; uzyskuje historię rachunku i zleceń klienta.

Pułapka: Przerwa w śladzie publicznym nie oznacza końca przepływu. Może wskazywać etap księgowania i handlu poza łańcuchem.

20. Dostęp do płynności i punkt wyjścia do pieniądza

Kryptoaktywa i blockchain

Przestępca może przenosić aktywa między łańcuchami, lecz ostateczny cel często wymaga wymiany na inną wartość użytkową lub pieniądz bankowy. Punkty wymiany, wykupu i wypłaty są ważne, bo zwykle generują dokumenty klienta, rachunku i dyspozycji. Priorytet dochodzenia powinien wynikać z możliwości uzyskania dowodu oraz ryzyka utraty środków. Nie każda konwersja świadczy o rozwarstwianiu; znaczenie ma cała sekwencja.

Przykład: Po serii mostów środki trafiają do usługodawcy obsługującego wypłaty bankowe. Analityk zabezpiecza ścieżkę do depozytu i kieruje wniosek o dane rachunku, zanim logi zostaną nadpisane.

Pułapka: Skupienie wyłącznie na liczbie przeskoków może pominąć najważniejszy dowód poza łańcuchem. Należy szukać punktu identyfikacji beneficjenta.

60 pojęć do opanowania 21-30

21. Status standardów FATF

Podstawy AML dla kryptoaktywów i blockchain

Zalecenia FATF wyznaczają międzynarodowe standardy przeciwdziałania praniu pieniędzy, finansowaniu terroryzmu i proliferacji. Nie działają jednak same jak jednolita ustawa obowiązująca każdego dostawcę. W analizie przypadku trzeba ustalić, jak właściwa jurysdykcja wdrożyła standard oraz które podmioty i produkty objęła. Aktualne Zalecenia FATF stanowią punkt odniesienia, podczas gdy starsze wskazówki sektorowe należy czytać z uwzględnieniem późniejszych zmian.

Przykład: Dwie giełdy wykonują podobną usługę w różnych państwach. Analityk porównuje lokalne obowiązki rejestracyjne i raportowe, zamiast przypisywać obu identyczny obowiązek wyłącznie na podstawie standardu FATF.

Pułapka: Zdanie „FATF wymaga” nie wystarcza do wskazania podstawy prawnej działania. Trzeba zidentyfikować krajowy przepis, jego zakres i datę obowiązywania.

22. Funkcjonalna kwalifikacja VASP

Podstawy AML dla kryptoaktywów i blockchain

O kwalifikacji jako dostawcy usług związanych z aktywami wirtualnymi decydują wykonywane czynności, a nie sama nazwa firmy lub używana technologia. Należy ustalić, czy podmiot prowadzi na rzecz innych wymianę, transfer, przechowywanie albo inne funkcje objęte właściwą definicją. Wskazówki FATF dla aktywów wirtualnych pomagają ułożyć tę analizę, lecz o konkretnym obowiązku przesądza prawo lokalne i faktyczny model działalności.

Przykład: Firma udostępnia interfejs wymiany i pobiera opłatę, a kontrakt rozlicza transakcję automatycznie. Zespół bada kontrolę nad usługą i lokalną definicję dostawcy przed decyzją o obowiązkach.

Pułapka: Twierdzenie, że „sam kod” zawsze wyklucza VASP, pomija możliwego operatora usługi. Równie błędne jest kwalifikowanie każdego użytkownika protokołu jako VASP.

23. CASP i zakres MiCA

Podstawy AML dla kryptoaktywów i blockchain

W Unii Europejskiej MiCA określa ramy dla wybranych kryptoaktywów i usług świadczonych przez CASP. Analiza powinna wskazać rodzaj tokenu, usługę, podmiot oraz ewentualne wyłączenie lub odrębną ścieżkę dla już regulowanej instytucji. Zezwolenie na usługę w MiCA nie zastępuje analizy obowiązków AML. MiCA i przepisy AML mają różne cele, dlatego w notatce trzeba podać osobne podstawy dla prowadzenia działalności i dla kontroli klienta.

Przykład: Bank planuje usługę przechowywania tokenów dla klientów UE. Prawnik ocenia właściwą ścieżkę MiCA, a zespół AFC osobno mapuje obowiązki identyfikacji, monitoringu i raportowania.

Pułapka: Uznanie statusu CASP za pełną odpowiedź AML miesza regulację usługi z kontrolą przestępczości finansowej. Każdy obowiązek wymaga własnej podstawy.

24. Travel Rule jako obowiązek przekazania danych

Podstawy AML dla kryptoaktywów i blockchain

Travel Rule dotyczy informacji towarzyszących określonym transferom, a nie samej widoczności adresów w blockchainie. Podmiot powinien ustalić role dostawców po obu stronach, zakres danych, moment przekazania i zasady obsługi braków. W UE rozporządzenie o informacjach przy transferach określa własne reguły dla CASP; nie wolno przenosić progów z innych jurysdykcji. Dane Travel Rule nie zastępują screeningu sankcyjnego ani oceny podejrzanej aktywności.

Przykład: CASP otrzymuje transfer od innego CASP z brakującymi danymi inicjatora. Zespół stosuje procedurę braków, zachowuje korespondencję i niezależnie bada ryzyko adresu źródłowego.

Pułapka: Adres w łańcuchu nie zawiera automatycznie kompletu wymaganych danych osobowych. Brak danych trzeba obsłużyć według właściwych przepisów i roli podmiotu.

25. Transfer do adresu obsługiwanego samodzielnie

Podstawy AML dla kryptoaktywów i blockchain

Adres obsługiwany samodzielnie nie ma po drugiej stronie dostawcy, który automatycznie przekaże dane klienta. Nie oznacza to ani zakazu transferu, ani braku obowiązków po stronie zaangażowanego CASP. Należy zbadać kierunek transferu, kwotę, zakres regulacji i wymagane środki oceny własności lub kontroli adresu. W UE konkretne obowiązki wynikają z przepisów o transferach, a metoda dowodowa powinna odpowiadać ryzyku i dostępnej technologii.

Przykład: Klient UE wypłaca aktywa na własny portfel. CASP sprawdza, czy w danym przypadku wymagane jest ustalenie kontroli adresu, i zapisuje wynik wybranej metody.

Pułapka: Podpis wiadomości może wskazywać kontrolę klucza w danej chwili, lecz nie zawsze potwierdza własność prawną aktywa ani cel transferu.

26. Jurysdykcja i punkt zaczepienia obowiązku

Podstawy AML dla kryptoaktywów i blockchain

Ten sam transfer może podlegać różnym wymogom zależnie od siedziby dostawcy, miejsca klienta, rodzaju usługi i powiązania z systemem finansowym danego państwa. Analiza zaczyna się od faktów tworzących jurysdykcyjny punkt zaczepienia, następnie wskazuje obowiązujący akt i właściwy organ. Przydatnym uzupełnieniem ogólnych podstaw AML jest przewodnik CAMS, ale w sprawie kryptoaktywów nadal trzeba zbadać szczególne przepisy produktu i transferu.

Przykład: Dostawca z UE obsługuje klienta przebywającego za granicą i wypłaca token do zewnętrznego portfela. Zespół ustala podmiot umowy, miejsce usługi oraz odpowiednie przepisy przed oceną działania.

Pułapka: Język klienta ani język materiału szkoleniowego nie wyznacza jurysdykcji. Decydują prawnie istotne powiązania i zakres konkretnej normy.

27. Przestępstwo źródłowe i droga środków

Podstawy AML dla kryptoaktywów i blockchain

Podejrzenie prania wymaga rozważenia możliwego pochodzenia korzyści oraz działań służących ukryciu, przeniesieniu lub wykorzystaniu wartości. Ransomware, oszustwo inwestycyjne i kradzież kluczy tworzą odmienne ślady dowodowe. Analityk zapisuje, które fakty dotyczą czynu źródłowego, a które późniejszych transferów. Nie musi udowodnić przestępstwa jak sąd, lecz powinien umieć wyjaśnić podstawę uzasadnionego podejrzenia zgodnie z właściwym prawem.

Przykład: Środki klienta pochodzą z adresu wskazanego w sprawie oszustwa. Zespół sprawdza jakość wskazania, datę wpływu oraz późniejsze wymiany, zanim opisze związek ze zgłoszonym czynem.

Pułapka: Sam szybki transfer przez kilka adresów nie wskazuje rodzaju przestępstwa źródłowego. Bez potwierdzonego kontekstu należy opisać zachowanie, nie dopowiadać czyn.

28. Zakres amerykańskich sankcji finansowych

Podstawy AML dla kryptoaktywów i blockchain

Przy analizie sankcji USA trzeba najpierw ustalić amerykański punkt zaczepienia oraz właściwy program i zakaz. Adres przypisany podmiotowi z listy jest ważną wskazówką, lecz dopasowanie wymaga weryfikacji tożsamości i aktualności danych. Ramy zgodności OFAC opisują zarządzanie, ocenę ryzyka, kontrole, testowanie i szkolenia jako elementy programu opartego na ryzyku. Nie są uniwersalną ustawą dla wszystkich jurysdykcji.

Przykład: Amerykański pośrednik otrzymuje depozyt z adresu oznaczonego jako sankcyjny. Zespół sprawdza źródło etykiety, program sankcyjny, własność środków i wymagane działanie przed zwolnieniem transferu.

Pułapka: Automatyczny alert adresowy nie rozstrzyga jeszcze, czy trzeba zablokować środki, odrzucić transakcję czy zamknąć alert. Podstawa prawna i fakty są konieczne.

29. Amerykańska reguła własności 50 procent

Podstawy AML dla kryptoaktywów i blockchain

W systemie OFAC podmiot może być automatycznie objęty blokadą, gdy osoby zablokowane posiadają łącznie co najmniej 50 procent udziałów, bezpośrednio lub pośrednio. Sama kontrola poniżej tego progu nie uruchamia automatycznie tej reguły, choć inne zakazy mogą mieć zastosowanie. Analiza wymaga wiarygodnej struktury własności i poprawnego uwzględnienia podmiotów pośrednich, bez mechanicznego mnożenia udziałów przez już zablokowany podmiot.

Przykład: Dwóch zablokowanych udziałowców ma po 30 procent spółki. Zespół sumuje ich udziały i ocenia blokadę według reguły OFAC, dokumentując źródła struktury właścicielskiej.

Pułapka: Próg OFAC nie jest progiem identyfikacji beneficjenta w CDD. Zastosowanie jednego do drugiego może błędnie zmienić decyzję sankcyjną.

30. Sankcje brytyjskie i unijne

Podstawy AML dla kryptoaktywów i blockchain

Wielka Brytania i UE mają własne instrumenty sankcyjne, definicje własności lub kontroli oraz zasady licencji i raportowania. Przed decyzją trzeba wskazać właściwy akt, powiązanie terytorialne, konkretny środek i tożsamość podmiotu. Brytyjskie wytyczne OFSI pomagają w analizie brytyjskiej, lecz nie można przenosić na nie automatycznie amerykańskiej reguły 50 procent. Także wynik analizy brytyjskiej nie przesądza wyniku w UE.

Przykład: Portfel należy do spółki powiązanej z osobą sankcyjną w Wielkiej Brytanii. Zespół bada rzeczywistą kontrolę i właściwe przepisy brytyjskie, zamiast kończyć ocenę na procentach udziałów.

Pułapka: Jedna globalna reguła własności upraszcza pracę, lecz może dać błędny wynik prawny. Każdy reżim wymaga osobnej kwalifikacji.

60 pojęć do opanowania 31-40

31. Lista ONZ i dopasowanie osoby

Podstawy AML dla kryptoaktywów i blockchain

Skonsolidowana lista Rady Bezpieczeństwa ONZ dostarcza danych o osobach i podmiotach wskazanych w różnych reżimach. Samo podobieństwo nazwy lub etykieta adresu nie wystarcza do potwierdzenia tożsamości. Analityk porównuje identyfikatory, aliasy, daty i źródła powiązania z portfelem. Następnie ustala, jakie środki zostały wdrożone w jurysdykcji instytucji. Różne wpisy mogą wiązać się z różnym zakresem obowiązków.

Przykład: System wskazuje zbieżne nazwisko beneficjenta przelewu i osoby z listy ONZ. Kontroler porównuje datę urodzenia oraz inne identyfikatory, a potem ocenia właściwe krajowe środki.

Pułapka: Zgodność samego nazwiska nie dowodzi trafienia. Z kolei potwierdzony wpis wymaga jeszcze ustalenia konkretnych zakazów i sposobu ich wdrożenia.

32. CDD przy obsłudze kryptoaktywów

Podstawy AML dla kryptoaktywów i blockchain

Poznanie klienta obejmuje tożsamość, cel relacji, profil działalności i monitoring zgodny z obowiązkiem właściwym dla danego podmiotu. Dane z łańcucha mogą sprawdzić spójność deklaracji, ale nie zastępują dokumentów klienta i informacji o beneficjentach. W USA reguła CDD FinCEN dotyczy określonych instytucji objętych przepisem, a nie automatycznie każdego podmiotu kryptowalutowego. Lokalny obowiązek należy zawsze zmapować przed wyborem procedury.

Przykład: Klient deklaruje handel własny, lecz regularnie otrzymuje wpłaty od dziesiątek osób. Zespół porównuje wzorzec z profilem działalności i ustala, czy klient świadczy usługę dla innych.

Pułapka: Zastosowanie amerykańskiego progu CDD każdej giełdzie na świecie jest błędem zakresu. Trzeba sprawdzić status instytucji i lokalne przepisy.

33. Beneficjent rzeczywisty a kontrola portfela

Podstawy AML dla kryptoaktywów i blockchain

Beneficjent rzeczywisty spółki, osoba kontrolująca rachunek i osoba mająca klucz portfela mogą być różnymi osobami. Każda relacja odpowiada na inne pytanie dowodowe. Przy onboardingu trzeba ustalić właścicieli i kontrolujących według właściwych przepisów, a w dochodzeniu osobno odtworzyć uprawnienia techniczne. W USA zgłoszenia BOI spółek do FinCEN stanowią odrębny reżim od obowiązków CDD instytucji finansowych; zwolnienie z jednego nie usuwa drugiego.

Przykład: Spółka ujawnia beneficjenta, lecz wypłaty podpisuje zewnętrzny depozytariusz. Zespół dokumentuje właściciela, osoby zatwierdzające i usługodawcę, zamiast sprowadzać wszystkie role do jednego adresu.

Pułapka: Kontrola klucza nie musi oznaczać własności spółki. Również status zgłoszenia BOI nie rozstrzyga sam, czy instytucja ma wykonać CDD.

34. Proporcjonalność kontroli i dostęp do usług

Podstawy AML dla kryptoaktywów i blockchain

Podejście oparte na ryzyku pozwala dostosować intensywność kontroli do ustalonego zagrożenia, przy zachowaniu obowiązków prawa lokalnego. Wskazówki FATF dotyczące włączenia finansowego wspierają środki proporcjonalne i dopuszczalne uproszczenia w sytuacjach niższego ryzyka. Dla klienta korzystającego z kryptoaktywów oznacza to ocenę produktu, wartości i zachowania, a nie automatyczną odmowę wyłącznie z powodu branży. Alternatywny sposób identyfikacji nadal wymaga wiarygodnego wyniku.

Przykład: Mała organizacja chce przyjmować drobne darowizny w stablecoinie. Instytucja ocenia odbiorców, limity i przejrzystość przepływów, a następnie dobiera kontrolę zgodną z miejscowym prawem.

Pułapka: Proporcjonalność nie znaczy rezygnacji z identyfikacji. Oznacza dobór dopuszczalnych środków do udokumentowanego ryzyka, bez zbiorowego wykluczania klientów.

35. Transfery bez pośrednika

Podstawy AML dla kryptoaktywów i blockchain

Dwie osoby mogą przesłać aktywa bez udziału regulowanego dostawcy. Taki transfer nadal może mieć znaczenie dla ryzyka i dochodzenia, ale obowiązki skierowane do dostawców nie powstają automatycznie po stronie każdej osoby. Gdy aktywa później wpływają do CASP, dostawca ocenia pochodzenie i cel zgodnie z własnymi obowiązkami. Należy odróżnić techniczny brak pośrednika od prawnego zwolnienia wszystkich późniejszych uczestników.

Przykład: Klient otrzymuje token od znajomego bez udziału giełdy, a potem wpłaca go do CASP. Analityk bada źródło i wyjaśnienie wpłaty przy obsłudze klienta.

Pułapka: Brak Travel Rule między dwiema osobami nie oznacza, że późniejszy CASP może pominąć CDD i monitoring własnej relacji.

36. Ocena DeFi na potrzeby AML

Podstawy AML dla kryptoaktywów i blockchain

Przy protokole DeFi trzeba zbadać, kto świadczy usługę, komu, za jaką opłatą i z jaką zdolnością wpływania na jej działanie. Stopień automatyzacji jest faktem technicznym, nie samodzielnym zwolnieniem prawnym. Wskazówki FATF o VASP pomagają rozpoznać funkcje pośrednictwa, jednak konkretny zakres obowiązków zależy od krajowej definicji i sposobu wdrożenia. Dokumentuj także obszary, w których brak danych uniemożliwia stanowczy wniosek.

Przykład: DAO głosuje nad parametrami, lecz firma utrzymuje jedyny interfejs i pobiera opłaty. Zespół opisuje oba ośrodki wpływu przed konsultacją kwalifikacji regulacyjnej.

Pułapka: Samo głosowanie społeczności nie dowodzi braku podmiotu odpowiedzialnego. Trzeba sprawdzić uprawnienia operacyjne i ekonomiczną kontrolę nad usługą.

37. Kwalifikacja NFT według funkcji

Podstawy AML dla kryptoaktywów i blockchain

Token nazwany NFT może reprezentować dzieło, prawo dostępu, udział ekonomiczny albo seryjny instrument spekulacyjny. O obowiązkach nie decyduje sam standard techniczny. Należy zbadać zamienność w praktyce, sposób oferowania, prawa posiadacza, rynek wtórny i rolę operatora. FATF oraz prawo lokalne mogą różnie ujmować konkretne konstrukcje. Dla AFC niezależnie pozostają ważne źródło finansowania, powiązania stron i uzasadnienie ceny.

Przykład: Platforma sprzedaje tysiące identycznych tokenów jako NFT z obietnicą udziału w przychodzie. Zespół ocenia rzeczywiste prawa nabywców i rolę platformy, nie samą nazwę produktu.

Pułapka: Stwierdzenie „NFT nigdy nie podlega AML” jest zbyt szerokie. Funkcja gospodarcza i lokalna definicja mogą prowadzić do innej kwalifikacji.

38. Zmiana przepisów i daty stosowania

Podstawy AML dla kryptoaktywów i blockchain

Przy wdrożeniu kontroli trzeba odróżnić uchwalenie aktu od dnia jego stosowania, okresu przejściowego i krajowych wyjątków. W UE MiCA ma własny harmonogram, a unijne rozporządzenie AML stosuje się etapami. Notatka prawna powinna zawierać datę oceny, kategorię podmiotu i przepis przejściowy. Procedura instytucji może przygotowywać się wcześniej, lecz nie należy opisywać przyszłego obowiązku jako już obowiązującego prawa.

Przykład: CASP aktualizuje formularz klienta przed wejściem nowego wymogu AML. Kierownik oznacza zmianę jako przygotowanie operacyjne i osobno zapisuje datę, od której norma będzie stosowana.

Pułapka: Data publikacji aktu nie musi być datą obowiązku dla danego podmiotu. Pomylenie ich może zniekształcić ocenę wcześniejszych transakcji.