ФСБ получит доступ к персональным данным клиентов криптобирж и криптообменников. А может быть, даже доступ к их кошелькам. Можно ли уберечь свои активы от спецслужбы?

Что случилось? Федеральная служба безопасности РФ (ФСБ) получит новый инструмент для контроля над российскими пользователями криптосервисов. Это следует из материалов
Центрального банка РФ, опубликованных в конце октября. В них регулятор уточнил механизм реализации проекта собственного указания.
По сути, этот проект — детальная инструкция для разработчиков серверной части нового СОРМ (система технических средств по обеспечению оперативно-разыскных мероприятий). За этой аббревиатурой скрывается название технологии, с помощью которой российские власти получают доступ к пользовательским данным.
Физически СОРМ выглядит как сервер со специальным программным обеспечением и выделенной линией связи, которая напрямую подключается к оборудованию ФСБ. Такой сервер имеет доступ к базам данных конкретной компании и по запросам передает спецслужбе часть хранящейся там информации.
Где еще установлены СОРМ
Своими собственными системами по передаче данных ФСБ обязаны обзавестись:

• операторы почтовой связи;
• операторы телефонной связи;
• интернет-операторы;
• организаторы распространения информации;
• провайдеры хостинга;
• владельцы автономных систем;
• транспортно-экспедиторские компании;
• операторы виртуальных телефонных станций.

Требования к каждой из таких систем прописаны в отдельных приказах Минцифры и Минтранспорта.

И какие данные получит ФСБ о клиентах криптосервисов? Это в том числе:

• подробная информация об участниках сделки (для физических лиц, кроме полного имени, там будут также указаны гражданство, ИНН, паспортные данные, дата и место рождения, номер телефона и адрес электронной почты);
• данные о счете клиента на конкретной криптобирже или в криптообменнике (вплоть до сведений об аресте счета или приостановлении операций по нему);
• данные об адресах криптокошельков (в том числе информация об установленных или предполагаемых владельцах этих кошельков);
• подробная информация о криптовалюте, участвующей в сделке (в том числе должно быть указано ее происхождение: например, была ли она куплена ранее, получена в результате майнинга или в качестве наследства);
• данные о конкретных сделках (в том числе стоимость криптовалюты в рублях);
• информация об использовании клиентами сайтов и приложений криптобирж и криптообменников (например, сведения о регистрации и о каждом входе в личный кабинет с указанием IP-адресов и портов клиента и точного времени такой регистрации).

Киберадвокат Саркис Дарбинян также отдельно обратил внимание на то, что ЦБ отказался учесть предложение, которое бы явно запретило передачу приватных ключей через СОРМ.

О каких ключах идет речь? О ключах кастодиальных кошельков, которыми организация подписывает транзакции за клиентов (и частях таких ключей при распределенном хранении
). Это кошельки, которыми фактически владеет сама криптобиржа, а клиенты могут лишь распоряжаться хранящейся там криптовалютой. Потому что у клиентов нет приватных ключей
от таких кошельков. Если же приватный ключ от своего кошелька у вас есть, то кошелек называется некастодиальным.
Если у ФСБ окажется доступ к таким ключам, у сотрудников спецслужбы будет техническая возможность самостоятельно совершать любые сделки с криптовалютой, хранящейся в кошельках.
Стоит отметить, что явным образом секретные ключи не упоминаются в указании Центробанка. Регулятор лишь отказался добавлять отдельный пункт, который точно запретил бы доступ ФСБ к такой информации, заявив следующее: «Изложенный в проекте Указания подход согласован с уполномоченным органом».

Но криптообменники и криптобиржи теперь будут в любом случае обязаны передавать ФСБ данные о каждой сделке? Не совсем. Они будут хранить всю эту информацию не менее пяти лет и передавать ее автоматически по запросам ФСБ.
Это могут быть запросы двух видов: получение архивных данных и мониторинг в режиме реального времени. Во втором случае сотрудник ФСБ указывает какой-то критерий (конкретного участника сделки или кошелек). И по мере появления новых данных, соответствующих критериям из запроса, компания должна автоматически передавать их в ФСБ.
В указании Центробанка первый вариант назван поисковым запросом, а второй — запросом постановки объектов на контроль.

При чем тут вообще ЦБ? Центробанк является регулятором всего российского финансового рынка. Поэтому по новому закону «О цифровых валютах и цифровых правах», частично вступившему в силу 1 сентября, именно ЦБ по согласованию с ФСБ должен определить порядок взаимодействия основных участников криптовалютного рынка со спецслужбой.
Новый СОРМ должны будут поставить многие законопослушные участники российского криптовалютного рынка:

• брокеры (посредники, совершающие операции по поручению клиентов);
• криптобиржи («организаторы торговли»);
• криптообменники («организации, осуществляющие обмен цифровых валют»);
• цифровые депозитарии (организации, предоставляющие клиентам кастодиальные кошельки).

А можно как-то совершить сделку в обход этого СОРМ? Конечно. Например, если вы договоритесь о сделке с друзьями или знакомыми и переведете криптовалюту с одного некастодиального кошелька на другой некастодиальный кошелек.
Или воспользуетесь услугами зарубежных криптобирж, игнорирующих требования российского законодательства, или подпольных российских криптообменников.
Имейте в виду: с 1 июля 2027 года все это будет запрещено. Новый закон о криптовалюте разрешает обычным гражданам и организациям покупать и продавать криптовалюту только через законопослушных брокеров, криптобиржи и криптообменники с установленным СОРМ. Центробанк отдельно пояснил, что любые прямые P2P-
сделки будут запрещены.

А какая предусмотрена ответственность за нарушение этого запрета? Пока за нарушение этого запрета не существует ни административной, ни уголовной ответственности. Правда, у властей еще есть время до середины следующего года, чтобы что-нибудь придумать.

Но ведь тогда этот запрет и не будет работать? Будет. Просто другим образом:

• Банки не дадут своим клиентам купить криптовалюту за границей. Или, по крайней мере, постараются это сделать. Такие операции будут вычислять по разным идентификаторам платежа (вроде merchant ID).
• Банки должны будут вычислять подпольные российские криптообменники и криптобиржи. И блокировать их операции. Для этого достаточно будет одного лишь подозрения в незаконной «организации обращения цифровых валют».

Оба этих правила также вступят в силу 1 июля 2027 года.

А как будут вычислять P2P-сделки? Мы этого не знаем. Если речь идет о нерегулярной купле-продаже криптовалюты на небольшую сумму с использованием некастодиальных кошельков, то обнаружить такую сделку банку будет очень сложно.