Зачем вообще нужны крипто‑кастодиальные сервисы и почему их так жестко регулируют
Кастодиальный сервис — это по сути крипто‑«банк хранения». Вы передаёте ему свои ключи или доступ к активам, а он отвечает за безопасность и исполнение операций. Простым пользователям удобно: не нужно самому разбираться с приватными ключами, бэкапами и аппаратными кошельками. Но именно поэтому регулирование криптовалютных кастодиальных сервисов становится приоритетом для государств: такие компании хранят деньги тысяч людей и могут превратиться в «чёрную дыру», если что‑то пойдёт не так. Регуляторы смотрят на них как на комбинацию платёжной организации, депозитария и провайдера IT‑инфраструктуры, поэтому требования одновременно касаются финансового контроля, кибербезопасности и защиты прав клиентов.
Базовая логика регулирования: не дать пропасть ни деньгам, ни данным
Схема в большинстве стран примерно одна: государство исходит из того, что кастодиальный сервис управляет чужими ценностями, значит к нему должны применяться законы и требования к крипто кастодиальным сервисам, похожие на банковские. Отсюда: обязательная идентификация клиентов (KYC), отслеживание подозрительных операций (AML/CFT), отдельный учёт клиентских активов, требования к капиталу и отчётности. Даже если страна ещё не ввела специальные правила для крипты, надзорные органы пытаются «подтянуть» такие сервисы под уже существующие режимы: электронные деньги, платёжные институты, инвестиционные посредники. На практике это означает, что запуск «с пока ещё не урегулированным статусом» рискован: завтра регулятор может прийти с ретроспективными претензиями.
Международный контекст: на что смотрят регуляторы
Большинство стран в той или иной форме опираются на рекомендации FATF, которые рассматривают криптобиржи и кастодиальные кошельки как VASP — поставщиков виртуальных активов. Для них прописаны требования по customer due diligence, хранению данных о транзакциях и обмену информацией с государством. Параллельно ЕС продвигает режим MiCA, который прямо охватывает поставщиков кастодиальных услуг по криптоактивам: там чётко прописано, что клиентские активы должны быть отделены от собственных средств компании и не могут использоваться для собственных операций без явного согласия. В США значительная часть регуляции проходит через FinCEN и законы о денежных переводах на уровне штатов: где‑то достаточно регистрации как money service business, где‑то нужна полноценная лицензия, сопоставимая с банковской.
Технический блок: как выглядит кастодиальный сервис «под капотом»
С технической точки зрения кастодиал — это набор модулей: управление ключами (обычно HSM‑модули, мультиподпись, распределённые ключи), оркестратор транзакций, система мониторинга рисков, API для клиентов и операционный интерфейс для сотрудников. На уровне инфраструктуры применяют сегментацию сети, принцип наименьших привилегий, аппаратную изоляцию критичных компонентов. Холодное хранение реализуется как офлайн‑хранилище ключей с контролем доступа по нескольким факторам, иногда с географическим распределением. Любой серьёзный регулятор требует как минимум формализованной схемы управления ключами (key management policy), журналов операций и механизма аварийного восстановления.
Россия: что реально работает в 2025 году
С российской юрисдикцией ситуация неоднозначная. Прямое лицензирование кастодиальных криптосервисов в России пока ограничено: специальной массовой лицензии «для всех» нет, но уже работают пилотные режимы и «узкие» модели через операторы цифровых финансовых активов. Базовый закон 259‑ФЗ про цифровые финансовые активы и цифровую валюту запрещает некоторым категориям лиц использовать анонимные схемы и устанавливает рамки для организаторов инфраструктуры. Фактически правовое регулирование хранения криптовалют для клиентов идёт «точечно» — через допуски под конкретные проекты, эксперименты Центрального банка и специальный правовой режим для отдельных площадок. Поэтому российским стартапам часто приходится выбирать: либо строить модель «полулегального» сервиса с рисками, либо выходить в иные юрисдикции и работать с россиянами опосредованно.
Где сейчас искать легальную опору в России
На практике российские игроки используют несколько подходов. Первый — работать как IT‑провайдер без формального статуса финорганизации и не принимать фиат, ограничиваясь функционалом «технического кошелька» вне публичного маркетинга. Второй — присоединяться к экспериментальным правовым режимам, где регулятор отдельно утверждает условия хранения криптоактивов. Третий — строить модель кастодиального сервиса на базе юрлица в дружественной стране (например, ОАЭ или Казахстан) и оказывать услуги россиянам дистанционно, соблюдая требования той юрисдикции. В любом случае, игнорировать российский комплаенс нельзя: финансовый мониторинг и налоговые органы всё активнее обращают внимание на крупные криптооперации, особенно если суммы перевалили за миллионы рублей.
Классические элементы регулирования, с которыми вы столкнётесь
Если смотреть на мир в целом, любому кастодиальному сервису нужно быть готовым к минимум трём группам требований. Первая — KYC/AML: обязательная идентификация клиентов, проверка по санкционным и PEP‑листам, мониторинг транзакций, отчётность о подозрительных операциях. Вторая — требования к хранению и отчётности: отдельный учёт клиентских активов, регулярные аудиты, сохранность логов операций, прозрачные договоры с пользователями. Третья — IT‑и кибербезопасность: защищённое управление ключами, план реагирования на инциденты, резервное копирование и тестирование на проникновение. Регуляторы всё меньше верят «на слово» и всё чаще требуют независимых проверок, сертификатов и детальной внутренней документации, а не просто презентации на пару слайдов.
Практический список: что обычно требует регулятор
- Наличие службы комплаенса и ответственного лица по AML/CFT
- Формализованная политика KYC, включая риск‑ориентированный подход
- Описание архитектуры хранения ключей и процедур доступа
- Публичные правила обслуживания клиентов и политика конфиденциальности
- План действий при утечке данных или взломе, включая уведомление клиентов и органов
Как открыть и легализовать крипто кастодиальный сервис: пошаговый подход
Если подойти прагматично, этапы запуска выглядят довольно однотипно для разных стран. Сначала нужно определиться с юрисдикцией: где вы будете получать лицензию и платить налоги. Сравниваются требования к капиталу, стоимости поддержки лицензии, скорость рассмотрения заявок, режим работы с нерезидентами. Далее — юридическая модель: вы просто храните крипту, ещё и обмениваете её на фиат, предлагаете стейкинг или кредитование под залог? От набора услуг напрямую зависит, под какие законы вы попадёте и сколько лицензий понадобится. Следующий шаг — комплаенс‑дизайн: под конкретную юрисдикцию вы выстраиваете KYC‑процессы, регламенты по отчётности и внутреннему контролю. Уже после этого имеет смысл тратить силы на разработку продукта в деталях.
Минимальный «скелет» действий основателя
- Выбрать 1–2 приоритетные юрисдикции и сравнить их требования к капитальному минимуму и наличию локального директора
- Определить перечень услуг: только хранение или ещё обмен/стейкинг/маржинальные операции
- Зафиксировать архитектуру хранения: горячие/тёплые/холодные кошельки, пороги, мультиподпись
- Спроектировать процесс онбординга клиента: какие данные собираете, что и как проверяете
- Подготовить драфты договоров с пользователями и политику обработки персональных данных
Технологические требования глазами регулятора
Удивительный момент: далеко не все регуляторы досконально понимают технические детали блокчейна, но почти все уже выдвигают конкретные IT‑требования. Например, в ряде стран минимальный аптайм сервиса должен быть не ниже 99,5 %, а критичные обновления безопасности — развёртываться в течение 30 дней. Дополнительно законом закрепляется обязанность хранить журналы операций от 5 до 10 лет, причем с защитой от модификации. Технически это приводит к внедрению неизменяемых лог‑хранилищ, WORM‑хранилищ или их аналогов. На уровне сети регуляторы ждут разделения контуров: публичный веб, административный доступ и подсистема хранения ключей не могут быть в одном сегменте. Для крипто‑стартапов это иногда выглядит «избыточно», но без этого о лицензии можно забыть.
Технический блок: управление ключами и мультиподпись
Типичный регуляторский вопрос: «Кто именно может инициировать транзакции с клиентских кошельков и как вы гарантируете, что один сотрудник не выведет всё?» Ответом обычно служит мультиподпись и принцип 4‑глаз. Например, внутренняя политика может требовать, чтобы на операцию свыше определённого порога было минимум две подписи: оператора и менеджера, в идеале хранящихся на разных HSM. Ключи разделяются по ролям и географии, а часть ключевого материала может храниться у независимого кастодиана или в сейфе у нотариуса. В случае утраты одного из ключей применяют процедуры восстановления через резервные шейры, распределённые между доверенными лицами. Всё это описывается в политике управления ключами, которую часто запрашивают ещё до выдачи лицензии.
Типичные ошибки основателей и чему учат реальные кейсы
На практике большинство проблем у кастодиальных сервисов возникает не из‑за «злого умысла», а из‑за недооценки регуляторных рисков. Распространённый сценарий: основатели запускают продукт как «технический кошелёк без фиата», уверены, что пока нет обмена на деньги, регулирования бояться не нужно. Потом выясняется, что по местным законам они всё равно считаются финансовой организацией, потому что управляют чужими виртуальными активами. Второй типичный промах — отсутствие чёткого разделения клиентских активов и операционного бюджета компании. В нескольких резонансных кейсах 2022–2023 годов кастодиальные платформы останавливали вывод средств, потому что использовали часть клиентских активов для собственных инвестиций, что прямо противоречит многим регуляторным режимам.
Что полезно внедрить с самого начала
- Вести отдельный учёт клиентских активов и не смешивать их с деньгами компании
- Жёстко ограничить круг сотрудников, имеющих доступ к системам создания и подписи транзакций
- Делать регулярное стресс‑тестирование: имитировать взлом, утрату ключа, массовый вывод средств
- Оформлять все процессы не только «в голове CTO», но и в виде формальных политик и инструкций
- Заложить бюджет на внешний аудит безопасности и комплаенса хотя бы раз в год
Как выстраивать отношения с регулятором и снижать риски
Самые устойчивые крипто‑кастодиальные сервисы — это не те, кто «прячется», а те, кто выстраивает рабочий диалог с надзорными органами. В ряде юрисдикций вполне реально получить предварительную позицию регулятора по вашему бизнес‑кейсу ещё до запуска — через запросы о разъяснении или участие в регуляторных «песочницах». Чем прозрачнее вы описываете архитектуру, процессы KYC и внутренние контроли, тем меньше шансов, что вас внезапно отрежут от банковской инфраструктуры. Стоит помнить, что регулирование криптовалютных кастодиальных сервисов эволюционирует: требования ужесточаются, появляются новые формы отчётности, расширяется перечень данных, которые компании обязаны хранить и передавать. Поэтому нужно закладывать гибкость: процессы и IT‑архитектура должны позволять менять правила игры без полного переписывания системы.
Итог: смотреть на кастодиал как на финтех, а не только на IT‑стартап
Если хотите строить кастодиальный сервис всерьёз и надолго, мыслить только категориями «удобный интерфейс + дешёвые комиссии» недостаточно. Это, по сути, финтех‑бизнес с повышенной ответственностью, где правовое регулирование хранения криптовалют для клиентов играет не меньшую роль, чем скорость подтверждения транзакций. На практике это означает три ключевых шага: заранее выбрать юрисдикцию и изучить местные законы и требования к крипто кастодиальным сервисам, спроектировать архитектуру хранения и процессов KYC под эти правила и выстроить рабочий диалог с регулятором. Тогда лицензирование кастодиальных криптосервисов в России или за её пределами превращается не в борьбу с бюрократией, а в управляемый проект с понятными этапами и сроками. В итоге выигрывают все: пользователи получают реальную защиту, а бизнес — предсказуемые правила игры.
