Изменения: Кастодиан криптоактивов в КР: лицензирование хранения

Что изменилось в регулировании кастодианов?

До поправок 2025–2026 годов к Закону «О виртуальных активах» кастодиальные услуги находились в серой зоне: отдельной лицензионной категории не существовало, и часть компаний работала под общей лицензией VASP, не разграничивая хранение клиентских активов и собственные операции. Финнадзор устранил этот пробел, выделив кастодию в отдельный лицензируемый вид деятельности.

Ключевые изменения касаются трёх аспектов. Первый — разделение лицензий: если компания ведёт и обмен, и хранение, она получает две отдельные лицензии с разными требованиями к капиталу. Второй — обособление клиентских активов: кастодиан обязан держать клиентские криптоактивы на отдельных адресах, изолированных от собственных средств. Третий — расширение AML-требований: обязательный мониторинг по Travel Rule распространяется на все операции с клиентскими кошельками, включая внутренние переводы между адресами кастодиана.

Компании, получившие лицензию VASP ранее, до конца 2026 года обязаны пройти переоценку соответствия и, при необходимости, дополнить лицензию кастодиальным видом деятельности. Финнадзор в 2025 году уже отозвал лицензии у ряда VASP — в том числе за несоответствие требованиям к AML-политикам и хранению клиентских активов.

Каковы требования к кастодиану в Кыргызстане?

Лицензия кастодиана предполагает уставный капитал от 40 млн сомов (около $460 тыс.) — как и для обменника. Это минимальный порог; Финнадзор вправе установить повышенные требования для кастодианов, работающих со стейблкоинами или токенизированными реальными активами (RWA). Срок рассмотрения заявки — около одного месяца официально, на практике процесс занимает от одного до трёх месяцев.

Серверная инфраструктура обязана находиться в Кыргызстане. Это требование напрямую затрагивает компании из ПВТ, которые исторически использовали зарубежные облачные решения: при оказании кастодиальных услуг резидентам КР серверы с клиентскими ключами должны быть физически локализованы. Исключения для резидентов ПВТ в части локализации данных не предусмотрены.

AML/KYC-требования для кастодиана строже, чем для стандартного VASP: обязательна верификация конечного бенефициара (UBO) для корпоративных клиентов, ежеквартальный отчёт в ГСФР о подозрительных транзакциях и поддержание актуального реестра клиентских адресов. Travel Rule применяется ко всем исходящим переводам от 1 000 долларов США в эквиваленте — сведения об инициаторе и получателе должны передаваться вместе с транзакцией.

ПВТ-резидентам, оказывающим кастодиальные услуги, налоговые льготы (0% НП, 0% НДС) сохраняются в полном объёме при условии получения надлежащей лицензии Финнадзора. Без лицензии деятельность квалифицируется как незаконная и лишает компанию оснований для применения режима ПВТ по этому направлению. Каждый IT-проект сочетает уникальную комбинацию лицензии, юрисдикции и контрактной структуры — детали стоит разобрать применительно к конкретной бизнес-модели.

Последствия для IT-компаний и рекомендации

Для IT-компаний и финтех-проектов, которые встраивают функцию хранения криптоактивов в продукт (кошельки, custody-as-a-service, DeFi-агрегаторы с custodial-элементами), изменения создают три практических последствия.

Первое: необходимо провести правовую квалификацию продукта. Если пользователь не контролирует приватные ключи — деятельность кастодиальная и требует лицензии. Если ключи хранятся у пользователя, а компания лишь предоставляет интерфейс — лицензия кастодиана формально не нужна, однако пограничные случаи (MPC-кошельки с разделёнными ключами) Финнадзор трактует расширительно.

Второе: компании с действующей VASP-лицензией должны до конца 2026 года проверить, покрывает ли она кастодиальную деятельность. Если нет — подать заявление на расширение лицензии. Работа без соответствующего вида деятельности в лицензии после установленного срока влечёт административную ответственность и риск отзыва основной лицензии.

Третье: при привлечении иностранных клиентов необходимо учитывать, что Travel Rule в КР применяется к транзакциям вне зависимости от юрисдикции контрагента. Контрагент-VASP из страны без аналогичного требования не освобождает кыргызского кастодиана от обязанности передавать данные. Подробнее о практике применения Travel Rule — в материале Travel Rule для криптокомпаний в Кыргызстане.

Компаниям, рассматривающим Кыргызстан как юрисдикцию для кастодиального бизнеса, целесообразно также ознакомиться с обзором IT-права и виртуальных активов в КР и с особенностями контрактной структуры с зарубежными заказчиками. Общий обзор цифрового права доступен в разделе аналитика.