Разбор: Кастодиан криптоактивов в КР: лицензирование хранения

Что такое кастодиан виртуальных активов и чем он отличается от биржи?

Кастодиан — это провайдер, который принимает на ответственное хранение приватные ключи клиентов и осуществляет операции с криптоактивами исключительно по поручению владельца. Ключевое отличие от биржи состоит в том, что кастодиан не сводит заявки на покупку и продажу, не формирует собственный ордербук и не исполняет встречные сделки за собственный счёт. Его функция — безопасное хранение активов, подписание транзакций и обеспечение доступа клиента к его средствам.

На практике это разграничение становится размытым, когда компания совмещает несколько видов деятельности. Если платформа хранит активы клиента и одновременно исполняет его обменные заявки, она выступает и как кастодиан, и как обменник — и обязана получать отдельные разрешения на каждый вид услуг или фиксировать их в совмещённой лицензии Финнадзора. Регулятор при оценке заявки рассматривает фактически осуществляемую деятельность, а не только декларируемую бизнес-модель.

В Кыргызстане рынок кастодиальных услуг активно формируется: институциональные инвесторы, майнинговые компании и ПВТ-резиденты нуждаются в профессиональном хранении токенов и стейблкоинов. Поправки «Тамчы» к Закону «О виртуальных активах» расширили периметр регулирования, включив в него стейблкоины и токенизированные реальные активы (RWA). Это означает, что кастодиан, хранящий не только «классические» криптовалюты вроде биткоина, но и стейблкоины или RWA-токены, подпадает под дополнительные требования к раскрытию информации и управлению рисками.

Финнадзор в 2025 году провёл массовые отзывы лицензий у VASP, нарушивших требования AML/KYC. Кастодианы оказались в зоне особого надзора, поскольку управляют активами третьих лиц: регулятор оценивает не только формальное соответствие документации, но и реальное соблюдение процедур идентификации клиентов и мониторинга транзакций. Платёжная лицензия НБКР и VASP-лицензия Финнадзора — разные документы для разных видов деятельности, и их нередко путают при структурировании бизнеса.

Какое регулирование применяется к кастодианам в КР?

Правовую основу для кастодиальной деятельности в Кыргызстане составляет Закон «О виртуальных активах» с поправками «Тамчы» и подзаконные акты Финнадзора. Закон закрепляет базовые определения, виды VASP-деятельности и полномочия регулятора; подзаконные акты детализируют требования к капиталу, внутренним процедурам, технической инфраструктуре и отчётности. Совокупность этих документов образует специальный режим, выходящий за рамки общего корпоративного законодательства КР.

Кастодиальное хранение виртуальных активов прямо включено в перечень видов VASP-деятельности, подлежащих лицензированию. Это означает: любая компания, которая принимает приватные ключи на хранение или управляет доступом к кошелькам клиентов, обязана получить разрешение Финнадзора до начала операций. Работа без лицензии квалифицируется по Кодексу о правонарушениях КР как незаконное предпринимательство, а при наличии крупного ущерба — по Уголовному кодексу КР.

Поправки 2025 года расширили регулирование на стейблкоины и RWA-токены. Кастодиан, хранящий такие активы, дополнительно обязан раскрывать информацию об их обеспечении и соответствовать требованиям к управлению резервами. Это существенно усложняет комплаенс для компаний, работающих с широким спектром цифровых активов.

Закон «О ПОД/ФТ» распространяется на всех VASP в КР, включая кастодианов. Они признаются субъектами первичного финансового мониторинга и обязаны: идентифицировать клиентов по процедуре KYC, проводить проверку бенефициарных владельцев, фиксировать и хранить документы по каждой операции, а также передавать в ГСФР информацию о подозрительных транзакциях. ГСФР вправе запрашивать у кастодиана данные об операциях клиентов в рамках финансового надзора.

Travel Rule — требование FATF, имплементированное в законодательство КР, — обязывает кастодиана при переводах виртуальных активов свыше установленного порога передавать идентификационные данные инициатора и бенефициара контрагентскому VASP. Несоблюдение этого требования является самостоятельным основанием для приостановления лицензии. Travel Rule обязателен для всех VASP в Кыргызстане — без него лицензия под угрозой.

Как получить лицензию кастодиана: требования и процедура?

Процедура лицензирования кастодиана включает несколько последовательных этапов, каждый из которых предполагает подготовку документации и взаимодействие с Финнадзором. Ориентировочный срок прохождения всех этапов — один-три месяца с момента подачи полного пакета документов. На практике сроки зависят от полноты поданного пакета и загруженности регулятора.

Первый блок требований — корпоративный. Заявитель должен быть зарегистрирован как ОсОО или АО в Минюсте КР; иностранные юридические лица обязаны создать дочернюю структуру в Кыргызстане — применение иностранного юридического лица в качестве лицензиата не допускается. Уставный капитал должен быть полностью оплачен и подтверждён документально: для кастодианов минимальная планка составляет около 40 миллионов сомов. Если кастодиан планирует совмещать хранение с функциями биржи, требование к капиталу возрастает до 100 миллионов сомов.

Второй блок — технический. Серверы и ключевая инфраструктура обязаны располагаться на территории Кыргызстана. Финнадзор вправе провести инспекцию дата-центра в рамках лицензионной процедуры. Кроме того, компания должна обеспечить использование сертифицированных решений для cold storage и hot wallet, задокументировать архитектуру безопасности и порядок реагирования на инциденты. Обязательным условием является также заключение договора с аккредитованным AML/KYT-провайдером для мониторинга транзакций.

Третий блок — документационный. Пакет включает: заявление установленной формы, учредительные документы, сведения о бенефициарных владельцах, деловой план с описанием бизнес-модели, внутренние политики AML/KYC, регламент обеспечения информационной безопасности, заключение независимого аудитора об уставном капитале и технической инфраструктуре. Финнадзор вправе запросить дополнительные документы на любом этапе рассмотрения заявки.

По итогам рассмотрения регулятор либо выдаёт лицензию сроком на пять лет, либо отказывает с указанием причин. Отказ можно обжаловать в административном порядке или в МСЭД. После получения лицензии кастодиан обязан ежеквартально направлять в Финнадзор отчёты об операционной деятельности и немедленно уведомлять регулятора об изменениях в составе бенефициарных владельцев или корпоративной структуре.

Требования AML и KYC: что должен выполнять кастодиан?

AML/KYC-комплаенс — центральный блок операционных требований к кастодиану. Регулятор оценивает не только наличие политик на бумаге, но и реальную эффективность их применения: Финнадзор в 2025 году отозвал лицензии у ряда VASP именно из-за дефектов AML-политик, а не из-за нарушений капитальных требований.

Идентификация клиента (KYC) для кастодиана включает три уровня. Первый — базовая верификация: имя, дата рождения, документ удостоверяющий личность, адрес проживания. Второй — усиленная проверка для клиентов с повышенным риском: источник средств, экономическая цель операций, структура бенефициарного владения для юридических лиц. Третий — постоянный мониторинг: обновление данных клиента при изменении обстоятельств и пересмотр уровня риска не реже одного раза в год. Для клиентов из юрисдикций из «серого» и «чёрного» списка FATF применяются процедуры расширенной проверки (EDD).

Мониторинг транзакций строится на двух элементах: автоматизированном блокчейн-анализе и ручной верификации подозрительных паттернов. Кастодиан обязан заключить договор с аккредитованным AML/KYT-провайдером, который обеспечивает скрининг адресов кошельков на предмет связей с санкционными списками, DarkNet-активностью или известными схемами отмывания. Внутренний AML-офицер должен быть назначен приказом по компании — этот документ предоставляется Финнадзору при лицензировании.

Хранение документов по операциям — не менее пяти лет. ГСФР вправе запрашивать данные о транзакциях в рамках финансовой разведки; отказ или задержка с предоставлением документов влекут административную ответственность и создают риск отзыва лицензии. При выявлении подозрительной операции кастодиан обязан направить отчёт в ГСФР в течение установленного срока — до исполнения транзакции, если это технически возможно.

ПВТ-резидентство даёт экономию налоговой нагрузки около 80% против общего режима, однако не освобождает от AML-обязательств. Кастодианы-резиденты ПВТ обязаны выполнять те же требования Закона «О ПОД/ФТ», что и компании в общем режиме. Налоговые льготы ПВТ (0% НП, 0% НДС, 5% подоходный) не влияют на регуляторный статус VASP.

Travel Rule: практика применения в кастодиальных операциях

Travel Rule обязывает кастодиана как VASP-отправителя при каждом переводе виртуальных активов свыше порогового значения передавать VASP-получателю идентификационные данные инициатора транзакции и сведения о бенефициаре. Аналогично, при получении перевода кастодиан обязан принимать и проверять эти данные. Правило применяется ко всем транзакциям независимо от используемого токена — будь то биткоин, эфир, стейблкоин или RWA-токен.

На практике исполнение Travel Rule требует технической интеграции с протоколами обмена данными, признанными FATF. Наиболее распространённые решения — протоколы TRISA и OpenVASP. Кастодиан, не обеспечивший такую интеграцию, фактически не может исполнять трансграничные переводы в соответствии с требованиями КР. Финнадзор при плановых проверках запрашивает логи передачи Travel Rule-данных за отчётный период.

Особая сложность возникает при переводах между лицензированным VASP и неидентифицированным кошельком (unhosted wallet). В таких случаях кастодиан обязан применять усиленные процедуры верификации: запросить у клиента подтверждение контроля над адресом назначения и зафиксировать это в документах. Переводы на адреса из санкционных списков запрещены безусловно.

Несоблюдение Travel Rule — один из наиболее частых поводов для надзорных действий Финнадзора. Регулятор квалифицирует это нарушение как системное: если AML/KYT-провайдер фиксирует транзакции без надлежащей Travel Rule-разметки, это рассматривается как недостаток внутреннего контроля, а не единичный инцидент. Результат — предписание об устранении нарушений с коротким сроком исполнения, а при повторном нарушении — приостановление лицензии.

Какие риски несёт кастодиан при нарушении требований?

Риски кастодиана в случае нарушения лицензионных требований делятся на три категории: регуляторные, гражданско-правовые и уголовно-правовые. Совокупность этих рисков делает комплаенс не опциональным элементом, а условием выживания бизнеса.

Регуляторные риски реализуются через механизм надзорных действий Финнадзора. При выявлении нарушений регулятор вправе: выдать предписание об устранении нарушений (как правило, со сроком исполнения 30–60 дней), наложить административный штраф, приостановить действие лицензии на срок до шести месяцев или отозвать лицензию без права получения новой в течение трёх лет. Финнадзор в 2025 году применял крайние меры — отзыв лицензий — в отношении VASP, систематически нарушавших AML-требования. Мораторий на проверки бизнеса до 31.12.2026 не распространяется на надзорные полномочия Финнадзора в отношении VASP.

Гражданско-правовые риски возникают из договорных отношений с клиентами. Кастодиан несёт ответственность за сохранность активов клиентов: утрата ключей, взлом инфраструктуры или ненадлежащее исполнение поручений влечёт требования о возмещении убытков. При значительном числе клиентов ущерб может достигать сумм, ставящих под угрозу платёжеспособность компании. Судебные споры по таким требованиям рассматриваются МСЭД; для международных структур возможен арбитраж в МТС при ТПП КР.

Уголовно-правовые риски возникают при наличии умысла или систематического характера нарушений. Уклонение от требований AML при значительном объёме операций может квалифицироваться по Уголовному кодексу КР как содействие отмыванию денег. Руководитель кастодиана несёт личную ответственность за организацию заведомо ненадлежащих процедур контроля. При проведении проверок ГКНБ или МВД мораторий не действует.

Налогообложение кастодиана: общий режим, ПВТ и ПКИ

Выбор налогового режима для кастодиана определяется структурой выручки и планируемым масштабом операций. Для большинства IT-компаний в КР наиболее выгодным остаётся режим ПВТ; ПКИ — альтернатива для компаний, работающих в сфере креативных индустрий с криптокомпонентом.

В общем режиме кастодиан-ОсОО уплачивает: налог на прибыль по ставке 10% от разницы доходов и расходов; НДС по ставке 12% при обороте свыше установленного порога (около 90 000 долларов в год); налог с продаж 1–2% в зависимости от формы оплаты; подоходный налог с зарплат сотрудников по ставке 10%; страховые взносы с ФОТ по ставке 2,25%. Совокупная нагрузка при высокой марже типична для сервисных компаний.

Резиденты ПВТ получают принципиально иные условия: 0% налога на прибыль, 0% НДС (включая «обратный НДС»), 0% налога с продаж, 5% подоходного налога (вместо 10%) и взнос 1% от выручки в Дирекцию ПВТ. Режим бессрочный с 2024 года. Для кастодиана с выручкой от оказания услуг хранения это означает экономию около 80% от суммы налогов, которые уплачивались бы в общем режиме. Регистрация в ПВТ занимает ориентировочно шесть месяцев: от подачи документов до получения постоянного статуса резидента.

ПКИ (Парк креативных индустрий) применим для компаний, у которых 90% выручки приходится на 34 вида деятельности из утверждённого перечня. Кастодиальные услуги сами по себе в этот перечень не входят, однако если кастодиан работает, например, с NFT или цифровым контентом, часть деятельности может подпадать под ПКИ. Единый налог для резидентов ПКИ составляет 1% в 2025–2026 годах и 2% с 2027 года. На май 2025 года в ПКИ зарегистрировано 76 резидентов с суммарной выручкой около 915 миллионов сомов.

Дивиденды участников ОсОО-кастодиана облагаются налогом по ставке 10% у источника выплаты — как для резидентов, так и для нерезидентов КР. При выплате дивидендов российским участникам применяется СОИДН РФ-КР, которое предусматривает ту же ставку 10%. Соглашение действует и не приостановлено.

Практические рекомендации: как структурировать кастодиальный бизнес в КР

Структурирование кастодиального бизнеса в Кыргызстане требует последовательной работы по четырём направлениям: корпоративному, регуляторному, техническому и налоговому. Попытка решить их одновременно без чёткого приоритета ведёт к затягиванию запуска на 6–12 месяцев сверх необходимого.

Корпоративный этап: регистрация ОсОО через Минюст КР (около 5 рабочих дней, госпошлина 570 сомов), формирование уставного капитала не менее 40 миллионов сомов, структурирование состава участников с раскрытием бенефициарных владельцев. Если планируется привлечение иностранных инвесторов — сразу проработать нотариальное удостоверение сделок с долями и антимонопольные требования при превышении пороговых значений. При покупке 100% долей ОсОО антимонопольное согласование обязательно при превышении соответствующих порогов.

Регуляторный этап: подготовка полного пакета документов для Финнадзора, включая политики AML/KYC, регламент информационной безопасности и деловой план. Одновременно — заключение договора с AML/KYT-провайдером и выбор технического решения для исполнения Travel Rule. Подача заявки до полного формирования инфраструктуры нецелесообразна: регулятор может запросить документы об инфраструктуре ещё до выдачи лицензии.

Технический этап: организация серверной инфраструктуры на территории КР, внедрение cold/hot wallet-архитектуры, настройка системы мониторинга транзакций в реальном времени. Этот этап по срокам часто оказывается критическим путём — его следует начинать параллельно с регуляторным, а не последовательно. Нарушение требования о локализации серверов — одно из оснований для отказа в выдаче лицензии.

Налоговый этап: выбор между ПВТ и общим режимом — после получения VASP-лицензии. Регистрация в ПВТ возможна после шести месяцев работы в статусе обычного ОсОО (так называемый «испытательный» период учётной регистрации). Многие компании начинают работу в общем режиме, затем переходят на ПВТ — это допустимо с точки зрения налогового законодательства. Для сравнения режимов: подробный анализ IT-права и виртуальных активов в КР.

Сравнение с другими юрисдикциями: почему КР?

Кыргызстан занимает конкурентную позицию среди постсоветских юрисдикций для регистрации кастодиальных VASP. Сравнение с ближайшими альтернативами показывает реальные преимущества и ограничения кыргызского регулирования.

Грузия: нет специального VASP-закона, кастодианы работают в режиме «серой зоны» без лицензионных требований — это привлекает одних, отталкивает институциональных клиентов, требующих регуляторного подтверждения статуса контрагента. Налог на прибыль 15% (на распределённую), НДС 18% — выше, чем в КР без ПВТ. Армения: налог на прибыль 18%, специального VASP-регулирования нет, что создаёт правовую неопределённость. Казахстан: развитый VASP-рынок через МФЦА, но требования к капиталу выше, а стоимость операционного содержания значительно больше. КР лидирует по совокупной налоговой нагрузке для IT-компаний через режим ПВТ: 0% НП и НДС против 15–20% у соседей.

Вместе с тем у КР есть ограничения, которые нужно учитывать при планировании: криптовалюты не признаются средством платежа, что исключает расчёты в криптовалюте внутри страны; банковская инфраструктура для крипто-фиатной конвертации менее развита, чем в Грузии или Казахстане; правоприменение только формируется — Финнадзор накапливает практику, и требования могут меняться быстрее, чем в более зрелых юрисдикциях. Решения МТС при ТПП КР исполняются в 172 странах по Нью-Йоркской конвенции — это аргумент для международных структур, выбирающих юрисдикцию для разрешения споров.

Для IT-проекта с фокусом на институциональных клиентах из ЕАЭС кыргызская лицензия обеспечивает сочетание регуляторного статуса, низкой налоговой нагрузки через ПВТ и доступа к рынку СНГ. Для проектов с глобальным охватом КР может выступать как дополнительная юрисдикция наряду с офшорными структурами, а не как единственная точка присутствия. Каждый IT-проект — уникальная комбинация юрисдикции, лицензии и контрактной структуры. Разберём вашу на встрече.

Типичные ошибки при подаче заявки на лицензию кастодиана

По сложившейся практике взаимодействия с Финнадзором, большинство отказов и задержек в выдаче VASP-лицензий связано с ограниченным числом повторяющихся ошибок. Их устранение на этапе подготовки сокращает срок лицензирования с трёх месяцев до одного.

Первая группа ошибок — неполный пакет документов. Финнадзор при первичном рассмотрении проверяет формальную комплектность: отсутствие даже одного обязательного документа (например, заключения аудитора о капитале или регламента информационной безопасности) влечёт возврат пакета на доработку. Каждый такой возврат — дополнительные 2–4 недели. Чек-лист обязательных документов следует запрашивать у Финнадзора непосредственно перед подачей: регулятор периодически обновляет требования.

Вторая группа — несоответствие политик AML/KYC реальным операционным процессам. Финнадзор при рассмотрении оценивает не только наличие документов, но и их содержательное соответствие заявленной бизнес-модели. AML-политика, скопированная из шаблона для традиционного банка, очевидно не подходит для кастодиана. Политика должна описывать конкретные процедуры применительно к операциям с приватными ключами, мультиподписным кошелькам и смарт-контрактам.

Третья группа — неподтверждённая локализация инфраструктуры. Заявление о размещении серверов в КР без документального подтверждения (договор аренды стойки в местном дата-центре, акты сдачи-приёмки) не принимается. Ряд компаний на этапе подачи заявки ещё не завершил развёртывание инфраструктуры — это гарантированный отказ или приостановление рассмотрения.

Четвёртая группа — ошибки в корпоративных документах. Несоответствие данных о бенефициарных владельцах в заявке и в реестре ГРС, незаверенные нотариально переводы иностранных документов, отсутствие решения участников об увеличении уставного капитала до требуемого размера — всё это ведёт к приостановлению рассмотрения. Нотариальное удостоверение сделок с долями в ОсОО является обязательным требованием закона.

Операционные вопросы после получения лицензии

Получение лицензии — начало, а не конец регуляторного пути кастодиана. Финнадзор осуществляет постоянный надзор за лицензированными VASP через механизмы обязательной отчётности и плановых проверок. Операционные требования после лицензирования по объёму сопоставимы с требованиями к получению лицензии.

Ежеквартальная отчётность в Финнадзор включает: данные об объёме операций по видам активов, информацию о количестве клиентов (с разбивкой по юрисдикциям), сведения о выявленных подозрительных транзакциях и о мерах, принятых по предписаниям регулятора. Просрочка представления отчётности — административный проступок; систематическая просрочка создаёт риск приостановления лицензии.

Изменения в корпоративной структуре — смена бенефициарного владельца, увеличение или снижение уставного капитала, изменение адреса фактического места нахождения серверов — подлежат немедленному уведомлению Финнадзора. В ряде случаев такие изменения требуют переоформления лицензии. Сделка по уступке долей в ОсОО-кастодиане без уведомления регулятора является нарушением лицензионных условий.

Внутренний аудит AML-процедур рекомендуется проводить не реже одного раза в год. По результатам аудита составляется отчёт, который хранится в компании и предъявляется Финнадзору при проверке. Компании, прошедшие независимый AML-аудит, как правило, получают более короткие сроки при плановых инспекциях регулятора. Руководство по комплаенсу для VASP и детальное описание AML-политик — в материале VASP-комплаенс в Кыргызстане: AML-политики и процедуры.

Ключевые сотрудники кастодиана — AML-офицер, CISO, исполнительный директор — подлежат проверке деловой репутации. Финнадзор вправе запрашивать справки об отсутствии судимости и сведения о работе в других финансовых организациях. Смена ключевого персонала после получения лицензии требует уведомления регулятора и повторной проверки нового сотрудника. Пошаговое руководство по открытию крипто-обменника и получению лицензии Финнадзора — в материале Криптообменник в КР: лицензия Финнадзора от 40 млн сомов.