אינטגרציה מלאה של סינון AML (Chainalysis, Elliptic, Crystal)

סינון AML של מטבעות קריפטוגרפיים: היכן נשבר הציות

כל עוד היקף הפעולות קטן, בדיקת העסקאות נעשית ידנית: אנליסט פותח כתובת בסייר בלוקים, משווה לרשימות סנקציות, כותב הערה בטבלה. כל עוד ביום עוברות כעשר משיכות, עיכוב במשיכת הכספים אינו מורגש — במאות פעולות התור גדל מהר יותר מאשר מצליחים לטפל בו, וזמן התגובה ללקוח נגרר משעות ליממה.

נקודת הכשל השנייה היא התראות שווא. חוקים אוטומטיים מסמנים כחשודות העברות שקשורות בעקיפין למיקסר או לארנק בורסה, ועד 80% מהסימונים הללו נסגרים כלא מבוססים. האנליסט מבזבז יום על ניתוח הרעש, ועסקה מסוכנת באמת חומקת: תשומת הלב כבר מוצתה.

לאחר מכן מצטרף המעגל החיצוני. שותף לסחילות או בנק כתוב רואה היסטוריית פעולות אטומה וחוסם את החשבון עד לבירור — התשלומים נעצרים כולם, ולא עבור לקוח אחד. בביקורת של פעולות קריפטו מתברר שהחלטות על סימונים קודמים לא תועדו בשום מקום: לא ברור מי ומאיזו סיבה העביר עסקה.

דווקא כאן הולכים לאיבוד סיכוני הציות — לא בהיעדר סינון, אלא במצב הידני שלו. נפרק איך זה נסגר: Chainalysis ושירותים דומים נותנים הערכה של כתובת, אבל האפקט מופיע רק כשההערכה מוטמעת בתהליך התשלומים עצמו ומשאירה עקבה לבודק.

מה נותן סינון אוטומטי: אפקט בגדלים מדידים

הסינון מוטמע ברגע הזיכוי או המשיכה, ולכן כל פעולה מקבלת הערכת סיכון לפני תנועת הכספים, ולא בדיעבד. מהירות עיבוד הפעולות נקבעת על ידי תפוקת השירות, ולא על ידי מספר האנליסטים במשמרת: זרימת הכתובות נבדקת אוטומטית, ועבודה ידנית נשארת רק על התראות.

שיעור התראות השווא הוא גודל ניתן לניהול. ההערכה נבנית על נתוני ספקי אנליטיקת בלוקצ'יין, למשל Chainalysis, וספי הסיכון מותאמים לפרופיל הלקוחות שלכם, לגאוגרפיה של התשלומים ולסכומים טיפוסיים.

לאחר ההתאמה האותות מעלים מסלולים לא שגרתיים באמת, ולא כל צד נגדי חדש — זה מפחית את עומס הניתוח ומקטין את מספר המקרים שבהם יש לבקש מסמכים מהלקוח.

זמן ניתוח המקרה מתקצר בזכות כרטיס מוכן: כתובת השולח, הצד הנגדי, מסלול הכספים, שיוך לשירותים ידועים והיסטוריית בדיקות קודמות. האנליסט מאשר החלטה במקום לאסוף נתונים ידנית — מקרה שגרתי נסגר בדקות במקום בשעה ויותר.

האפקט העיקרי הוא סוג הכשלים שהוסר. פעולות שבנק שותף או בורסה דחו בגלל מקור כספים לא שקוף עוברות עם סיכון מאושר והנמקה. עלות ההשבתה מצטמצמת יחד עם זה: פיקדון או משיכה קפואים הם שעות וימים בלי פעולות, והשבתה כזו נסגרת לפני שהחלה.

דרכי אינטגרציה של הבדיקה: השוואת מצבי עבודה

מצב הבדיקה נקבע לפי המקום שבו בזרימת הפעולות נמצא הקריאה לשירות האנליטי ומה קורה לפעולה עד לקבלת ההכרעה. בדיקה בכניסה מעריכה את כתובת השולח לפני זיכוי הכספים, בדיקה ביציאה — לפני יצירת התשלום, כדי שהעסקה לא תצא לכתובת בסנקציות או בסיכון גבוה.

תוכנית היברידית משלבת את שני המעגלים ומוסיפה בחינה תקופתית של ההיסטוריה: כתובת שהייתה נקייה בזמן הכניסה מוערכת מחדש ככל שנתוני הספק מתעדכנים. המצבים נבדלים במחיר העיכוב ובכיסוי הסיכון.

כדי שהמצבים לא יתפזרו בקוד, חיבור שירותים אנליטיים — Chainalysis, Elliptic, Crystal — נעשה דרך מתאם אחיד: הכרעה מנורמלת, מטמון הערכה לפי כתובת, וחזרה על הבקשה בעת אי-זמינות. אז החלפת ספק או הוספת ספק שני היא עריכת קונפיגורציה, ולא כתיבה מחדש של לוגיקת הבדיקות.

שלבי הטמעה: מביקורת פעולות ועד מסירה לעבודה

הטמעת סינון אינה התקנה של מודול מוכן, אלא התאמת תהליך לאופן שבו הכספים באמת נעים במוצר שלכם. להלן השלבים שאנו עוברים יחד עם צוות הלקוח: מביקורת פעולות ועד מסירת המעגל לתפעול.

1. ביקורת פעולות. מפרקים זרימות נכנסות ויוצאות: הפקדות, משיכות, העברות בין חשבונות, המרה. מתעדים היכן נדרשת בדיקת כתובת מלאה והיכן די בהשוואה לרשימות סנקציות.

2. פרופיל סיכון. מגדירים קריטריונים לפעולה חשודה: תחום שיפוט, מקור כספים, גיל הכתובת, חלק התקבולים ממיקסרים ומפלטפורמות ללא בדיקת לקוח.

3. תכנון התוכנית. בוחרים ספק לרשתות ולנכסים שלכם — Chainalysis, Elliptic או Crystal — ומתארים פעולות בעת התראה: חסימה, בדיקה ידנית, בקשת מסמכים.

4. חיבור וספי התראה. הבדיקה מוטמעת ברגע יצירת העסקה וגם ברקע, כדי לא לעכב תשלומים. הספים נקבעים לא לפי ברירת מחדל, אלא מתוך פרופיל הסיכון שלכם ושיעור התראות השווא המותר.

5. בדיקה על נתונים היסטוריים. מריצים עסקאות מצטברות דרך החוקים המוכנים ובודקים כמה התראות נופלות על סיכונים אמיתיים וכמה על רעש. רק כך הספים מכוילים לפני ההפעלה.

6. תקנון ומסירה. מתארים את פעולות האנליסט לכל סוג סיכון ואת שמירת הראיות לדיווח, מוסרים קונפיגורציה והוראות — ונשארים בתמיכה בעת חיבור רשתות חדשות.

מה נשאר בידיכם: קונפיגורציה ותקנונים

אחרי מסירת הפרויקט נשארים לצוות שלכם לא רק שירות עובד, אלא גם סט מלא של ארטיפקטים שלפיהם אפשר לתפעל אותו, לפתח אותו ולהעביר אותו למהנדסים חדשים. הקונפיגורציה נמצאת במאגר שלכם עם היסטוריית שינויים, ההחלטות מתועדות — האינטגרציה אינה תלויה בקבלן.

• תרשים האינטגרציה — המסלול מכתובת או עסקה ועד להכרעת הסינון: היכן נקראת הבדיקה, כיצד מטופל טיימאאוט של הספק ומה עובר לערוץ הגיבוי.
• קונפיגורציות — ספי סיכון, רשימות כתובות מהימנות, ניתוב לפי ספקים לרשתות ולנכסים שונים, סטים נפרדים לסביבת בדיקות ולסביבת עבודה.
• תקנון ניתוח התראות — רמות סיכון, זמני תגובה, למי מועלית ממצא, וכיצד מתועדת ההחלטה שהתקבלה לגביו.
• מדיניות גישה — תפקידים, הפרדת הרשאות לשינוי ספים ולצפייה בנתוני בדיקות, תיעוד פעולות מפעילים ביומן.
• הוראות לתמיכה — מה לעשות כשהספק אינו זמין, כיצד לבדוק סטטוס של בדיקה מסוימת, ניתוח פניות טיפוסיות של לקוחות.
• דיווח על פעולות — ייצוא נתונים על בדיקות, סירובים והעלאות לתקופה בפורמט שמקובל על מערך הציות.
• תוכנית פיתוח — כיצד מחוברות רשתות וספקים חדשים, כיצד משתנים חוקים בלי לעצור את השירות.

כל סעיף נמסר עם הסבר בשיחה ובהקלטה — כדי שמהנדס תורן יוכל לפעול לפי המסמך, ולא לפי הזיכרון.

מקרה בוחן: כיצד צמצמנו ניתוחים ידניים בזרימת פעולות

הלקוח הוא שירות תשלומים עם זרימה של העברות נכנסות ויוצאות בכמה בלוקצ'יינים ומחויבות לבדוק את מקור הכספים בכל כתובת. הסינון היה מחובר, אך עבד כ"קופסה שחורה": החוקים התריעו על כל התעבורה ברצף, וההחלטות התקבלו על ידי אנשים.

מה היה לפני

התראות נפלו לתור משותף אחד בלי עדיפות, והאנליסטים טיפלו בהן ברצף. עד 71% מההתראות היו שגויות: כתובות פיקדון של פלטפורמות גדולות, ארנקים של הלקוחות עצמם, מחזור לגיטימי דרך שירותי המרה. התור גדל מהר יותר משהוציאו ממנו, והתשלום ללקוח המתין להכרעה עד 26 שעות — בעומס שיא אף יותר.

מה שינו

הפרדנו את הזרימה לפי רמות סיכון והוספנו דה-דופליקציה: כתובת מאותו אשכול כבר לא העלתה התראה חדשה בכל פעם. כתובות מהימנות וארנקי שירות ידועים עברו לסגירה אוטומטית, ורק פעולות עם היסטוריה לא מכוסה הגיעו לניתוח.

סף ההתראה הוגדר לפי מתודולוגיית הערכת אשכולות — היא מתוארת בגלוי בחומרים של Chainalysis, ולא הוצבה "בעין".

ניתוחים ידניים ירדו כמעט פי שישה, זמן המשיכה הצטמצם ביותר מסדר גודל. התוצאה המרכזית — לבדיקה הגיעו פעולות שבאמת דורשות אותה, וכל החלטה נשארה ביומן עם הנמקה: בבקשה מבנק או רגולטור הייצוא נאסף בדקות, ולא בשבועות של התכתבות.

במה שונה בדיקה מוטמעת מניתוח ידני?

בדיקה בזרימה היא בקשת הערכת סיכון סינכרונית ברגע הפעולה: הכתובת נבדקת לפני אישור משיכה או זיכוי, ובחריגה מהסף הפעולה עוברת להחזקה, ורק אז מצטרף אליה אנליסט. כדי לעמוד בחלון העיבוד, הערכות נשמרות במטמון, וההשוואה נעשית מול בסיס ייחוס מתויג מראש, בלי לחשב מחדש אשכולות בכל בקשה.

בדיקה נדחית אוספת פעולות לאצווה ומנתחת אותן לפי לוח זמנים או לפי בקשה — עם ניתוח אשכולות מלא על כמה מעברים וניתוח היסטוריה. הדיוק גבוה יותר, אבל התוצאה מגיעה באיחור, וכל ממצא נופל לתור ניתוח ידני.

הבחירה נקבעת לפי נקודת הבקרה, ולא לפי נוחות. בזרימה בודקים את מה שאי אפשר לבטל: זיכויים, משיכות, הוספת כתובת לרשימה הלבנה. באופן נדחה — בדיקה תקופתית מחדש של בסיס הלקוחות, ניתוח היסטוריה ומדגמים לדיווח, שבהם שלמות חשובה יותר ממהירות.

העומס על האנליסט שונה בסדר גודל. בזרימה התור נוצר רק מהתראות מעל הסף, ומקרים טיפוסיים נסגרים אוטומטית לפי חוקים — עם ספים מכוילים, עד שמונה מתוך עשר התראות אינן דורשות אדם. ניתוח נדחה יוצר זרימת עבודה ידנית פרופורציונית למספר הפעולות: כל ממצא מנותח על ידי אדם.

בפועל, סינון AML של מטבעות קריפטוגרפיים אינו מצטמצם לבחירת מצב אחד: הזרימה סוגרת פעולות בכניסה וביציאה, והניתוח הנדחה — עומק ותדירות. הסיכון נתפס ברגע הפעולה, וזמן הצוות מוקדש למקרים לא שגרתיים, ולא להשוואה מכנית.

שאלות טכניות נפוצות על הטמעת בדיקה

לפני תחילת האינטגרציה לקוחות שואלים אותן שאלות שוב ושוב: הן נוגעות לא לבחירת השירות, אלא לחיבור לאינפרה שעובדת. להלן חמש התלבטויות שמעכבות את ההחלטה לעתים קרובות.

האם אפשר להחליף שירות אנליטי בלי לאבד היסטוריה?

החלפת ספק היא העברת הכרעות, ולא התקנה נקייה. משווים את סולמות הסיכון של שתי המערכות, וכתובות שנויות במחלוקת נבדקות ידנית, כדי שאחרי המיגרציה סטטוס הלקוחות לא "יזוז".

כיצד לסנן התראות שווא?

מיקסרים, כתובות דארקנט וחפיפה חלקית באשכול יוצרים רעש. מכווננים ספים ותור ניתוח: חלק מהמקרים נסגרים אוטומטית לפי מאפיינים, ומורכבים עוברים לאנליסט עם הקשר מוכן.

מה מבקשים בנקים וצדדים נגדיים?

אישור מקור הכספים. הדוח נוצר בפורמט שמקבלת מחלקת הציות של הצד הנגדי, יחד עם יומן הבדיקות והיסטוריית ההכרעות לפי כתובת.

לאן עוברים נתוני לקוחות?

החוצה מועבר רק כתובת או האש של הפעולה, ולא נתונים אישיים. הכרעות, היסטוריה ויומן גישה נשארים במעגל שלכם: מודל תפקידים, תקופת שמירה וייצוא לפי מדיניות.

נדון במשימה: אילו נתונים נדרשים להערכה ולתוכנית

ככל שנתוני המוצא בהתחלה מדויקים יותר, כך יש פחות הנחות בהערכה. להלן הסט המינימלי, שאחריו נחזור עם תוכנית הטמעה לפי שלבים ולוחות זמנים, ולא עם "נבהיר תוך כדי".

• רשימת רשתות ונכסים: אילו בלוקצ'יינים בעבודה, כולל L2 וסייד-צ'יינים, אילו טוקנים ותקנים — מזה תלוי הכיסוי של הערכת סיכון הכתובות.
• סוגי פעולות לבדיקה: פיקדונות נכנסים, משיכות, העברות פנימיות בין לקוחות, P2P ותרחישי המרה.
• תשתית נוכחית: היכן נשמרת היסטוריית העסקאות והכתובות של הלקוחות, האם יש צמתים משלכם או שירות אינדוקס, באיזו צורה מתנהל התיעוד.
• מדיניות סיכון וספים: מרמת סיכון איזו פעולה עוברת לבדיקה ידנית, מי מקבל החלטה וכיצד מתועדת ההנמקה.
• דרישות ביקורת ורגולטור: הרכב הדיווח, תקופות שמירת נתונים, האם נדרשים ייצואים בפורמט מוסכם.
• נקודות אינטגרציה וגישות: מפתחות בדיקה של שירות האנליטיקה (למשל Chainalysis), גישה לסביבת בדיקות, תפקידים למהנדסים שלנו.
• מגבלות: רשימות סנקציות, גאוגרפיה של לקוחות, כללי עיבוד נתונים אישיים.

לפי סעיפים אלה אנו מעריכים את ההיקף, מרכיבים תוכנית הטמעה וקובעים לוחות זמנים. תארו את המשימה — ונחזור עם הערכה ותוכנית.