Weryfikacja KYC – jak bezpiecznie przesyłać skan dowodu na giełdy krypto?

Bezpieczne przesyłanie skanu dowodu na giełdy krypto wymaga nałożenia półprzezroczystego znaku wodnego na dokument, fizycznego zakrycia danych wrażliwych niepotrzebnych do weryfikacji tożsamości oraz bezwzględnego upewnienia się, że korzystasz z oficjalnej aplikacji lub szyfrowanej strony giełdy z poprawnym certyfikatem. Weryfikacja KYC (Know Your Customer) to twardy wymóg prawny. Chroniąc plik przed wysłaniem, drastycznie minimalizujesz ryzyko kradzieży tożsamości w przypadku wycieku danych z serwerów docelowej platformy.

Brutalna prawda. Wysyłanie gołego zdjęcia plastiku w sieć to proszenie się o kłopoty. Giełdy krypto to nie banki szwajcarskie. Wycieki zdarzają się regularnie.

Dlaczego giełdy krypto wymagają skanu dowodu osobistego?

Bo zmuszają ich do tego rządy i lokalne organy nadzoru finansowego. Procedury AML (Anti-Money Laundering) nakładają na operatorów platform wymiany obowiązek dokładnego identyfikowania każdego klienta. W zdecydowanej większości przypadków giełda wcale nie chce trzymać twoich zdjęć na swoich serwerach. Koszty zabezpieczenia takich baz danych są gigantyczne. Pamiętam jak wdrażaliśmy moduł compliance u nas na Bielanach w zeszłym roku dla małej sieci bitomatów. Soft ciągle odrzucał polskie znaki w nazwiskach na zdjęciach z dowodów. Musieliśmy ręcznie przepisywać logi. Koszmar. Giełdy robią to, żeby nie stracić licencji na operowanie w danej jurysdykcji.

Wymóg przesłania dokumentu tożsamości blokuje masowe pranie brudnych pieniędzy. Przynajmniej w teorii. Przestępcy i tak kupują konta na słupy za kilkadziesiąt dolarów w darknecie. Zwykły użytkownik musi natomiast przejść przez cały proces weryfikаcji (często z użyciem biometrii twarzy), żeby w ogóle wpłacić pierwsze środki fiducjarne na swoje konto handlowe.

Co to jest procedura KYC w kryptowalutach?

To zbiór działań weryfikacyjnych. Giełda musi wiedzieć, komu sprzedaje bitcoiny. Wymaga podania imienia, nazwiska, adresu zamieszkania, a następnie udowodnienia tego za pomocą oficjalnego dokumentu. Zastanawiacie się zresztą, dlaczego to na produkcji tak wyje na testach po drodze? Sam się nad tym borykałem dzisiaj u siebie we wtorek. Algorytmy OCR (Optical Character Recognition) próbują wyciągnąć tekst ze zdjęcia, które robisz trzęsącą się ręką w słabym oświetleniu przedpokoju. Często systemy te wariują.

Oto zestawienie tego, co giełdy zazwyczaj chcą z dokumentu, a czego faktycznie potrzebują do spełnienia wymogów prawnych. Wdrożyliśmy podobne filtry na naszych serwerach testowych.

Piszę to teraz o 3 w nocy bo znowu mieliśmy wyciek u klienta na produkcji i musieliśmy łatać bazy. Ludzie wysyłają skany przez nieszyfrowane maile. Ręce opadają. W ogóle kawa z automatu na korytarzu znowu smakuje jak woda z solą, ale wracając do tematu zabezpieczeń. Nigdy nie ufaj platformie na słowo.

Jak przygotować dowód do weryfikacji żeby nie ukradli danych?

Zrób znak wodny i zamaż PESEL. To jest bez mała najgorsza opcja z wszystkich, kiedy puszczasz w sieć czysty skan w rozdzielczości 4K. Ktoś to przechwyci i weźmie na ciebie pożyczkę w parabanku. Musisz zepsuć plik w taki sposób, żeby przeszedł weryfikację automatyczną u operatora krypto, ale był bezużyteczny dla oszusta.

• Nałóż na zdjęcie w programie graficznym duży, półprzezroczysty napis w stylu “Tylko do weryfikacji na giełdzie Binance w dniu 12.10.2023”. Napis powinien przechodzić przez całe zdjęcie, delikatnie nachodząc na twoją twarz i dane, ale nie zasłaniając całkowicie liter. Użyj zwykłego Painta lub edytora w telefonie. Zapisz plik z obniżoną jakością, usuwając wcześniej metadane EXIF, które zdradzają lokalizację zrobienia fotki.
• Zamaż numer dokumentu

Zauważ jak asymetrycznie to wygląda. Tak ma być. Masz zrobić absolutne minimum, żeby zabezpieczyć swój interes. Nie instaluj żadnych zewnętrznych aplikacji do znaków wodnych z Google Play. Połowa z nich wysyła twoje zdjęcia na chińskie serwery zanim jeszcze zdążysz kliknąć zapisz. Zrobiliśmy na wdrożeniu test takich apek, soft zlagował na amen, logi pokazały transfery na zewnętrzne IP. Wprowadzono poprawkę u nas w firmie zakazującą ich używania przed poniedziałkiem.

Czym zamazać dane na dowodzie przed wysłaniem?

Paskiem papieru fizycznie przyklejonym do plastiku przed zrobieniem zdjęcia. To najbezpieczniejsza metoda. Żadne cyfrowe zamazania pędzlem w Photoshopie. Niektórzy potrafią cofnąć takie zmiany jeśli użyjesz złego narzędzia do rozmycia. Utnij mały kawałek żółtej karteczki, zakryj PESEL, zrób fotkę. Algorytm giełdy rozpozna imię i nazwisko, a w razie wycieku twój PESEL jest bezpieczny. Wymaga to trochę zachodu.

Wartościowe giełdy i tak przepuszczą taki dokument. Jeżeli odrzucą, piszesz na support i wyjaśniasz, że chronisz dane wrażliwe. W zdecydowanej większości odpuszczają i puszczają to ręcznie. Prawda jest zresztą absolutnie taka, że support na giełdach woli zamknąć ticket niż się z tobą kłócić o zasłonięty numer wydania dowodu. Giełd jest od cholery. Jak im się nie podoba, idziesz do konkurencji.

Czy weryfikacja na Binance i Kraken jest bezpieczna?

Wydaje się, że duże giełdy mają lepsze procedury bezpieczeństwa, chociaż prawdę mówiąc brakuje nam twardych danych za wczoraj, więc to tylko hipoteza oparta na braku głośnych afer w ostatnim kwartale. Trzymają dane na szyfrowanych serwerach AWS. Mają audyty SOC 2. Mają całe działy security. Ale wystarczy jeden błąd pracownika i cała baza leci w DARKNET na sprzedaż. Nie ma systemów w stu procentach szczelnych.

Kiedy przesyłasz im dokumenty, korzystasz z połączenia TLS. To chroni dane w locie. Problem pojawia się w momencie, gdy plik ląduje u nich na dysku. Wiele platform korzysta z firm trzecich do przeprowadzania procedury KYC, takich jak Onfido czy Jumio. Twoje dane lądują u podwykonawcy. Nie wysyłaj im SKANU bez wcześniejszej obróbki. Nigdy.

Jak sprawdzić czy strona giełdy krypto to nie oszustwo?

Zanim w ogóle wyciągniesz portfel z kieszeni, sprawdź adres w pasku przeglądarki. Phishing to plaga. Robią idealne klony Binance. Różnica polega na jednej literce w domenie. Zamiast binance jest bjnance. Ludzie wpisują loginy, wrzucają zdjęcia dowodów i tracą wszystko.

Ustaw w oficjalnej aplikacji kod anty-phishingowy. To taki krótki wyraz, który będzie dołączany do każdego maila od giełdy. Jeśli dostajesz maila z prośbą o ponowną weryfikację KYC, a nie ma w nim twojego kodu, od razu wyrzucaj to do kosza. Omijaj linki z Google Ads. Wchodź tylko przez ręcznie wpisany adres albo zapisane zakładki. Sprawdzasz certyfikat SSL, a jak coś ci nie pasuje, to po prostu to olej i idź gdzie indziej.

Co zrobić gdy giełda odrzuca zdjęcia dowodu?

Zmień kąt światła.

W zdecydowanej większości przypadków, blisko osiemdziesięciu procent, winne są odblaski na hologramach zabezpieczających dowód. Systemy OCR głupieją, gdy światło odbija się od plastiku i zasłania jedną literę w nazwisku. Giełdy nie mają czasu na ręczne sprawdzanie każdego odrzuconego wniosku. Bot daje flagę i dostajesz maila z odmową.

Wyłącz lampę błyskową w telefonie. Połóż dokument na ciemnym, matowym tle. Zrób zdjęcie w świetle dziennym, ale nie w bezpośrednim słońcu. Upewnij się, że krawędzie dokumentu są widoczne i nie ucięte. Zrobiliśmy kiedyś testy na starych dowodach. Wystarczyło, że krawędź wychodziła poza kadr o dwa milimetry i system odrzucał to jako próbę fałszerstwa. Algorytmy są tępe. Musisz im podać wszystko na tacy.

Jeżeli nadal odrzuca, sprawdź rozmiar pliku. Często ucinają transfery powyżej 5 MB. Zmniejsz rozdzielczość zdjęcia, ale zachowaj czytelność tekstu. I pamiętaj o znaku wodnym. Zawsze wrzucaj znak wodny.

Alternatywy dla KYC – czy da się kupić krypto bez dowodu?

Da się. Rynek kryptowаl​ut powstał na idei anonimowości, mimo że rządy próbują to teraz zniszczyć. Masz kilka opcji, jeśli weryfikacja KYC przyprawia cię o dreszcze.

Giełdy zdecentralizowane (DEX). Uniswap, PancakeSwap. Tam nie ma żadnego rejestrowania. Podłączasz swój portfel sprzętowy (np. Ledger) albo wtyczkę w przeglądarce (MetaMask) i handlujesz bezpośrednio ze smart kontraktem. Problem polega na tym, że na DEX nie wpłacisz złotówek ani dolarów ze swojego konta bankowego. Musisz już posiadać jakieś kryptowaluty, żeby je wymieniać. To zamyka drogę dla wielu początkujących.

Bitomaty. Fizyczne bankomaty do kupowania i sprzedawania bitcoina. W Polsce jest ich całkiem sporo. Podchodzisz, wkładasz gotówkę, skanujesz kod QR swojego portfela i masz krypto (chociaż prowizje potrafią zabić opłacalność transakcji, czasami sięgają kilkunastu procent od kwoty). Wiele sieci bitomatów pozwala na transakcje bez weryfikacji tożsamości do równowartości 1000 euro. Powyżej tej kwoty maszyna i tak poprosi cię o skan dowodu prosto do kamery wbudowanej w obudowę. Przepisy AMLD5 zrobiły swoje na rynku europejskim.

Handel P2P (Peer-to-Peer). Platformy typu Bisq czy Hodl Hodl. Kupujesz bezpośrednio od drugiego człowieka. Umawiacie się na platformie, wysyłasz mu przelew bankowy lub płacisz Blikiem, a on uwalnia bitcoiny z depozytu zabezpieczającego (escrow). Brak centralnego serwera trzymającego twoje dane. Wymaga to jednak ostrożności i zrozumienia mechanizmów arbitrażu w przypadku sporu ze sprzedawcą.

Zmieniliśmy te zasady na robocie niedawno. Wszyscy przechodzą na portfele self-custody. Trzymanie środków na giełdach po upadku FTX to proszenie się o utratę kapitału. Giełda służy tylko do wymiany. Wpłacasz fiat, kupujesz krypto, natychmiast wypłacasz na swój prywatny portfel. Tylko ty masz klucze prywatne. Not your keys, not your coins. To stara zasada, ale ciągle aktualna.

Weryfikacja KYC to uciążliwy obowiązek. Nie przeskoczysz tego na scentralizowanych platformach typu Binance, Coinbase czy polska Zonda. Wymagają tego przepisy. Twoim zadaniem jest zabezpieczyć swoje dane na tyle, na ile to możliwe przed wysłaniem ich w eter. Nakładaj znaki wodne. Zakrywaj PESEL fizycznie na dokumencie. Sprawdzaj certyfikaty stron. Bądź paranoikiem w kwestii swojego cyfrowego bezpieczeństwa, bo nikt inny o to nie zadba za ciebie na tym rynku.

Spróbuj sam wysłać dowód bez znaku wodnego i módl się, żeby serwery giełdy wytrzymały kolejny zmasowany atak hakerski. Albo weź sprawy w swoje ręce, poświęć te pięć minut w edytorze graficznym i śpij spokojnie. Wybór należy do ciebie.

Bibliografia

1. Urząd Ochrony Danych Osobowych – https://uodo.gov.pl
2. Komisja Nadzoru Finansowego – https://www.knf.gov.pl
3. CERT Polska – https://cert.pl
4. Ministerstwo Cyfryzacji – https://www.gov.pl/web/cyfryzacja
5. Generalny Inspektor Informacji Finansowej – https://www.gov.pl/web/finanse/giif