Что именно проверяют
Три вещи, по нарастанию неудобства.
Личность
Паспорт или удостоверение, сверенные с именем на аккаунте. Автоматика сравнивает фотографию с живым снимком.
Адрес
Счёт за коммунальные услуги или банковская выписка, обычно не старше трёх месяцев. Именно этот пункт определяет, правила какой страны применяются к счёту.
Источник средств
Спрашивают при заметных объёмах или когда что-то выглядит необычно. Эту проверку люди воспринимают как самую навязчивую, и она же больше всего интересует регулятора: считается, что именно здесь ловят отмывание.
Кто обязан проводить KYC
Биржи, кастодиальные кошельки, брокеры и все, кто обменивает криптовалюту на обычные деньги. Обязанность идёт из законодательства против отмывания, а международную планку задаёт правило FATF Travel Rule, по которому идентифицирующие данные должны сопровождать переводы выше определённого порога.
Цена игнорирования не теоретическая. В 2025 году канадский регулятор FINTRAC оштрафовал платёжного провайдера Cryptomus почти на 177 миллионов канадских долларов за нарушения в этой области, после чего сервис ввёл обязательную верификацию пользователей. Эта цифра остаётся самой наглядной публичной иллюстрацией в отрасли.
Почему платёжный шлюз не спрашивает KYC у ваших клиентов
Здесь и живёт основная путаница, поэтому скажу прямо.
Криптовалютный платёжный шлюз проверяет мерчанта, а плательщика нет. Мерчант проходит KYB, деловой аналог KYC. Человек, оплачивающий заказ, отправляет перевод со своего кошелька и не предъявляет ничего, ровно как покупатель, расплачивающийся наличными, не показывает магазину паспорт.
Причина структурная. У шлюза есть деловые отношения с мерчантом и нет никаких с его покупателем. Входящую операцию шлюз при этом проверяет на риск, и это другая обязанность, для которой чужой паспорт не нужен.
Из сказанного не следует, что шлюз работает вне правил. Следует, что процедура применяется там, где есть отношения.
Что происходит с данными
Об этом стоит знать, потому что беспокоит это многих, а спрашивают редко.
Компания, проводившая проверку, хранит документы в течение срока, установленного законом, обычно пять лет после окончания отношений, и обязана предъявить их по запросу регулятора. Использовать их для чего-то ещё нельзя, а в большинстве юрисдикций нельзя и удалить раньше срока, даже если клиент просит.
Проверку почти всегда проводит сторонний подрядчик; сама площадка её редко ведёт у себя. Компании вроде Sumsub, Jumio или Onfido прогоняют документы и возвращают результат, поэтому сами документы обычно оседают у специализированного сервиса.