一、Web3 为什么需要 AML？

尽管区块链强调“去中心化”和“匿名性”，但以下现实迫使 Web3 必须实施 AML：

• 全球监管机构（如 FATF、FinCEN、欧盟）明确将 虚拟资产服务提供商（VASP） 纳入 AML 监管范围；
• 黑客攻击、勒索软件、暗网交易大量使用加密货币洗钱（2024 年链上非法交易超 220 亿美元）；
• 主流金融机构（银行、支付公司）只愿与合规 Web3 项目合作；
• 不合规 = 被下架（如 Apple 下架未 KYC 的钱包）、冻结资金（如 OFAC 制裁 Tornado Cash）。

---

二、Web3 AML 的三大核心支柱

Web3 的 AML 体系通常由以下三部分构成，形成闭环：

✅ 1. KYC（了解你的客户）——身份准入

• 验证用户真实身份（姓名、国籍、证件、人脸）
• 进行风险评级（普通用户 vs PEP 政治人物）
• 对高风险用户执行 EDD（强化尽职调查）

🔗 与传统金融不同：Web3 用户可能通过钱包地址首次交互，因此需在“法币入口”或“大额操作”时触发 KYC。

---

✅ 2. KYT（了解你的交易，Know Your Transaction）——链上监控

这是 Web3 AML 的特色环节，传统金融没有直接对应项。

KYT 做什么？

• 实时扫描用户钱包地址的链上行为；
• 检测是否与 高风险实体 交互，例如：
  • 混币器（Tornado Cash、Wasabi Wallet）
  • 暗网市场（Hydra、AlphaBay）
  • 黑名单地址（OFAC、Chainalysis、Elliptic 数据库）
  • 被盗资金池（如跨链桥黑客地址）

技术实现：

• 集成 链上分析工具：Chainalysis Reactor、TRM Labs、Elliptic
• 设置 风险评分规则：如“接收来自混币器的资金 → 风险等级升为高”
• 自动拦截或上报：高风险交易可被暂停，并生成 SAR（可疑活动报告）

📌 示例：Coinbase 若检测到用户地址曾接收 Tornado Cash 资金，会冻结账户并上报 FinCEN。

---

✅ 3. Travel Rule（旅行规则）——跨境信息传递

由 FATF 第 16 条建议 引入，适用于所有 VASP。

核心要求：

• 当虚拟资产转账 ≥ 1000 美元（或等值） 时，
• 发送方 VASP 必须向 接收方 VASP 传递以下信息：
  • 发送人姓名
  • 发送人账号（通常是钱包地址）
  • 发送人物理地址 或 国家/身份证号
  • 接收人姓名
  • 接收人账号（钱包地址）

技术标准：

• 采用 IVMS 101（国际通用数据格式）
• 使用合规协议传输：如 TRISA、VerifyVASP、Sygna Bridge

⚠️ 挑战：DeFi 协议若无“接收方 VASP”，则难以满足 Travel Rule，这也是 DeFi 合规化难点。

---

三、全球主要地区的 Web3 AML 监管要求

地区	监管机构	核心 AML 要求
全球标准	FATF（金融行动特别工作组）	将 VASP 纳入 AML 义务主体；强制 KYC + Travel Rule
美国	FinCEN / OFAC / SEC	VASP 需注册为 MSB；实施 CDD（客户尽职调查）；提交 SAR；遵守 OFAC 制裁名单
欧盟	MiCA（2024 年全面生效）	所有 VASP 必须持牌；AML 合规为发牌前提；Travel Rule 强制执行
新加坡	MAS（金管局）	VASP 需申请牌照；AML/CFT 政策必须到位；定期审计
香港	SFC（证监会）	VASP 牌照制度；要求链上交易监控；客户风险分级
日本	FSA	禁止支持隐私币（如 Monero）；强制 KYC；链上地址筛查

---

四、Web3 项目如何落地 AML？实操步骤

步骤 1：判断是否属于 VASP

根据 FATF 定义，以下行为使你成为 VASP：

• 提供加密货币与法币兑换（如交易所）
• 代用户保管私钥（托管钱包）
• 提供转账服务（如支付网关）
• 运营 DeFi 协议并收取费用（部分司法辖区视为 VASP）

❗ 注意：纯非托管 DApp（如 Uniswap 前端）通常不被视为 VASP，但若集成法币通道，则可能被认定。

---

步骤 2：建立 AML 合规框架

包括：

• 制定 AML 政策手册
• 设立合规官（Compliance Officer）
• 部署 KYC/KYT 技术系统
• 建立 SAR 上报流程

---

步骤 3：技术集成

功能	推荐服务商
KYC 身份验证	Sumsub, Jumio, Onfido
链上风险筛查（KYT）	Chainalysis, TRM Labs, Elliptic
Travel Rule 合规	Sygna, VerifyVASP, Notabene
合规 SaaS 平台	ComplyAdvantage, Scorechain

---

步骤 4：持续监控与审计

• 每日扫描用户地址风险变化
• 每季度更新制裁名单匹配规则
• 每年进行第三方 AML 审计（尤其在欧盟、新加坡）

---

五、挑战与未来方向

🧩 挑战

• DeFi 的去中心化 vs AML 的中心化要求：谁来负责合规？
• 隐私保护 vs 透明监控：GDPR 要求“被遗忘权”，但区块链不可删改
• 跨链复杂性：用户在多链间转移资产，增加追踪难度

🔮 未来趋势

1. 合规 DeFi（Regulated DeFi）：引入“许可型流动性池”，仅对 KYC 用户开放
2. 零知识证明（ZKP）用于 AML：证明“交易合法”而不泄露细节
3. DID + SBT 构建可信身份层：用户自主管理身份，平台按需验证
4. 全球 AML 数据共享联盟：如 IMF 推动的跨境 VASP 信息互通机制

---

总结：Web3 AML 关键要点

模块	作用	Web3 特色
KYC	验证“你是谁”	在法币入口、大额提现等场景触发；支持移动端快速验证
KYT	监控“你做了什么”	Web3 独有！基于链上数据实时分析资金流向风险
Travel Rule	确保“转账可追溯”	解决跨 VASP 匿名转账问题，是全球合规硬性要求
AML 决策引擎	自动化风控中枢	结合规则+AI，实现秒级拦截
技术支撑层	工具链集成	多数 Web3 项目通过 API 接入第三方合规 SaaS
司法辖区要求	合规落地依据	不同国家门槛不同，出海项目需多套策略

维度	内容
核心目标	防止洗钱、恐怖融资、制裁规避
三大支柱	KYC（身份） + KYT（交易） + Travel Rule（信息传递）
监管依据	FATF 指导 + 各国 VASP 法规（如 MiCA、FinCEN 规则）
技术依赖	链上分析 + 身份验证 API + 合规通信协议
适用对象	交易所、托管钱包、支付网关、部分 DeFi/NFT 平台

💡 一句话记住：
“没 KYC，进不了门；没 KYT，守不住门；没 Travel Rule，跨不了境。”

---