Как построить DeFi- или Web3-проект: лицензирование, банковское обслуживание и инфраструктура

Что необходимо для запуска DeFi- или Web3-проекта

Проекту DeFi или Web3 нужны пять взаимосвязанных компонентов: юридическая оболочка для протокола или DAO, операционная компания для офчейн-деятельности, анализ регуляторного периметра по MiCA, пункт преамбулы 22 (и по эквивалентным нормам за пределами EU), банковский фиатный on/off-ramp для казначейства и операций, а также постоянный комплаенс-стек, охватывающий аудиты смарт-контрактов, санкционный скрининг и контроли DORA. Компоненты выстраиваются последовательно, а не параллельно.

Сначала — юридическая оболочка для протокола. DeFi-протоколы значимого масштаба работают через фонд: чаще всего это Cayman Foundation Company по Foundation Companies Act (2017, с изменениями), ADGM DLT Foundation по Distributed Ledger Technology Foundations Regulations 2023 либо панамский Private Interest Foundation по Закону № 25 от 12 июня 1995. Оболочка держит казну протокола, заключает договоры с разработчиками и провайдерами и служит контрагентом для грантовых программ, бирж и контрагентов.

Протокол без юридической оболочки — это не протокол; это группа людей, лично подверженных ответственности по законодательству о ценных бумагах, налогах и AML-праву в каждой юрисдикции, где они проживают.^[1]

Второй элемент — операционная компания для off-chain активностей. Обёртка редко нанимает разработчиков, поддерживает сайт, подписывает SaaS-контракты или держит фиатный флоут. Эти активности проходят через операционную компанию — как правило, сервисную структуру, которая заключает договор с фондом. Именно на операционную компанию смотрит европейский регулятор, когда решает, требуется ли авторизация CASP: у неё есть идентифицируемое руководство, маркетинговая активность, начисление вознаграждений и отношения с контрагентами, которые делают её видимой для регулятора.

Третье — регуляторный периметр согласно пункту 22 преамбулы MiCA. Совместный отчёт EBA и ESMA, подготовленный на основании статьи 142 MiCA (ESMA75-453128700-1391 / EBA/Rep/2025/01, опубликован 13 января 2025), подтверждает, что «очень немногие DeFi-системы достигают действительно полной децентрализации в том виде, как это предполагается пунктом 22 преамбулы», и что применимость исключения оценивается в каждом случае индивидуально.^[2] К факторам, возвращающим услугу в периметр MiCA, относятся идентифицируемый оператор фронтенда, административные ключи или ключи обновления, начисление комиссий в казну, контролируемую конкретным лицом, активный маркетинг в EU и концентрация токенов управления.

Частичная децентрализация не создаёт безопасной пристани. В пункте 22 преамбулы прямо сказано, что MiCA применяется «когда часть такой деятельности или услуг осуществляется децентрализованно».

Четвёртый пункт — банковское обслуживание fiat on/off-ramp. Даже полностью ончейн-проектам нужны фиатные расчёты: зарплаты, платежи поставщикам и сам on/off-ramp. Банки регулярно отказывают контрагентам, связанным с DeFi: анонимность контрагентов на уровне протокола, операционный риск смарт-контрактов, волатильность токенового казначейства и обязательства Travel Rule по Регламенту о переводах средств (Regulation (EU) 2023/1113, применяется с 30 декабря 2024) — всё это склоняет основные клиринговые банки к отказу.

Согласно TFR, информация об инициаторе и получателе должна сопровождать каждый перевод криптоактивов между CASP без какого-либо минимального порога; для переводов на самостоятельно управляемые кошельки или с них на сумму свыше 1 000 € CASP должен дополнительно проверить, что клиент владеет кошельком или контролирует его.^[3] Практический путь совмещает лицензированный в EU EMI для потоков в евро, дружественный к DLT банк в юрисдикции, понимающей цифровые активы, — для кастодиального хранения токен-казны, и регулируемую трастовую компанию для хранения стейблкоинов и биткоина.

Пятое — постоянный комплаенс: аудиты смарт-контрактов и непрерывная программа bug bounty, скрининг санкций на фронтенде и на этапе ввода/вывода фиата, мониторинг транзакций для любой поверхности, классифицируемой как CASP, контроли DORA в отношении риска сторонних поставщиков ICT согласно Регламенту (ЕС) 2022/2554 (применяется с 17 января 2025), а также соблюдение Travel Rule для любого перевода между CASP.^[4]

Инфраструктурный чек-лист

Здесь ничто не идёт параллельно. Прежде чем можно организовать банковское обслуживание, заключить договоры на аудит и подключить любого комплаенс-подрядчика, должны существовать юридическая оболочка и операционное лицо. Анализ периметра должен предшествовать развёртыванию смарт-контракта, поскольку архитектурные решения (админ-ключи, механика начисления комиссий, обновляемость) определяют, применяется ли MiCA. Фиатное банковское обслуживание — самый длительный элемент в большинстве проектов: предварительная квалификация через партнёрскую сеть обычно начинается параллельно с созданием оболочки, а не после него.

Выбор подходящей юрисдикции

Выбор юрисдикции определяет доступную правовую оболочку, регуляторный периметр, налоговый режим казначейства протокола, варианты фиатного банковского обслуживания и сигнал доверия для бирж, кастодианов и институциональных контрагентов. Для DeFi- и Web3-проектов выбор стоит между офшорными юрисдикциями для фондов (Кайманы, ОАЭ ADGM, Панама, Сент-Китс и Невис) и юрисдикциями ЕС с режимом MiCA (Кипр, Чехия) — каждая подходит своему профилю протокола.

Сравнение юрисдикций

Выбирайте Каймановы острова, если проект представляет собой протокол с казначейством, где хранятся governance-токены или стейблкоины, рассчитывает на упоминание по названию на сторонних платформах и хочет получить самый глубокий пул профессиональных провайдеров, разбирающихся в крипте. В мировом масштабе Cayman Foundation Company — доминирующая форма DAO-обёртки, поскольку она может стать «сиротской» структурой без акционеров, под надзором физических лиц или провайдеров (а не участников), и используется крупными DeFi-протоколами, включая протоколы поколений Aave и Compound.^[5]

Если фронтенд протокола носит кастодиальный характер или управляет торговой платформой, применяется режим лицензирования Phase 2 по VASP Act 2020.

Каймановы острова — стандартный выбор для протоколов, планирующих институциональные интеграции; это не та база, которая подходит проектам, нацеленным на активную розничную дистрибуцию в EU. См. полный хаб по крипто-лицензированию.

Выбирайте Объединённые Арабские Эмираты, если проекту нужна надёжная регулируемая база с доступом к местному рынку, институциональным потоком MENA и возможностью выпускать токены или вести кастодиальный фронтенд в рамках признанной системы регулирования. В ОАЭ доступны три релевантных строительных блока:

• Лицензирование VARA: восьмикатегорийная модель охватывает консультирование, брокерско-дилерскую деятельность, кастодиальное хранение, биржу, кредитование, управление, перевод и выпуск VA, при этом сборы за рассмотрение заявки составляют от 40 000 AED до 100 000 AED за каждый вид деятельности, а ежегодные надзорные сборы — от 80 000 AED до 200 000 AED за каждый вид деятельности.^[6]
• ADGM DLT Foundations: Регламент 2023 года — единственный в мире режим фондов, специально созданный для применения DLT и управления DAO; он требует минимальной начальной стоимости активов в 50 000 USD с внесением в фиате (раздел 19), совета из двух — шестнадцати членов и письменного устава, регулирующего выпуск токенов и правила распоряжения казной.^[7]
• Налоги и правоприменение: корпоративный подоходный налог в ОАЭ составляет 9% с налогооблагаемой прибыли свыше 375 000 AED и 0% в квалифицирующих свободных зонах. Правоприменительная активность VARA усилилась: 7 октября 2025 VARA наказала 19 компаний за деятельность с виртуальными активами без лицензии, штрафы составили от 100 000 AED до 600 000 AED.^[8]

См. центр по лицензированию криптоактивов.

Выбирайте Панаму, если проекту нужна недорогая и необременительная оболочка для казначейства протокола, территориальный налоговый режим и отсутствие лицензионного слоя Фазы 2. Одна из наименее обременительных DAO-оболочек в мире — панамский частный фонд (Private Interest Foundation) по закону 25 от 1995 года: минимальный взнос 10 000 USD, ежегодный государственный сбор 300 USD, совет фонда минимум из трёх членов и полное отделение активов от учредителя согласно статье 11.^[9]

Панама была исключена из «серого» списка FATF 27 октября 2023; исключение из списка высокорисковых третьих стран ЕС по AML последовало с обновлением этого списка Комиссией 10 июня 2025 (Делегированный регламент (ЕС) 2025/1184, вступил в силу 5 августа 2025).^[10] Панама подходит для казначейских и холдинговых структур, но не для протоколов, которым нужна лицензия регулятора на фронтенде.

Выбирайте Кипр, если проект планирует европейский фронт-энд с активным маркетингом на пользователей EEA, намерен работать как регулируемый CASP и хочет получить согласованную с Pillar Two базу налога на прибыль в 15% при развитой инфраструктуре профессиональных услуг. Авторизация CASP от CySEC в рамках MiCA предполагает стандартные многоуровневые требования к капиталу, установленные статьёй 67 и Приложением IV: 50 000 € для Class 1 (консультирование, приём и передача поручений, исполнение поручений, размещение, услуги перевода, управление портфелем), 125 000 € для Class 2 (кастодиальное хранение и администрирование криптоактивов, а также обмен криптоактивов на денежные средства и на другие криптоактивы) и 150 000 € для Class 3 (управление торговой платформой). Если авторизация охватывает несколько классов, применяется наивысший подходящий порог; статья 67(3) дополнительно требует, чтобы CASP располагали большей из двух величин: установленным законом минимумом или четвертью фиксированных накладных расходов предыдущего года.^[12]

Капитал должен удерживаться в квалифицируемых инструментах собственных средств; казначейская позиция в BTC или стейблкоинах не удовлетворяет регуляторному минимуму. CySEC установил крайний срок 27 февраля 2026 для подачи заявок по MiCA действующими CASP, а общеевропейский переходный период завершился 1 июля 2026. См. полное руководство по лицензированию криптодеятельности на Кипре.

Выбирайте Чехию, если проекту нужна авторизация CASP по MiCA в EU с более эффективным взаимодействием с регулятором, чем в крупных государствах-членах. В рамках MiCA надзор за CASP осуществляет Чешский национальный банк (ČNB), а транспозицию обеспечивает местный AML Act 2024. Чехия предлагает ставку корпоративного налога 21% и паспортизацию в EU на основании единой авторизации CASP. Чехия подходит проектам, которым нужен регуляторный статус в EU без надзорных задержек, заметных в Германии, Нидерландах и других странах EU первого эшелона.^[13] См. хаб по лицензированию криптоактивов.

Регистрация компании

Регистрация компании — первый операционный шаг для DeFi- или Web3-проекта, поскольку фонд-обёртка, операционная компания, заявка на фиатное банковское обслуживание и заказ аудита смарт-контрактов требуют зарегистрированного юридического лица. Чаще всего ошибка на этапе регистрации состоит в том, что операционную компанию инкорпорируют в неподходящей юрисдикции (обычно это US LLC или UK Ltd, которыми основатели владеют лично), а затем проводят реструктуризацию, когда становится ясно, что такая компания не может держать казну протокола или заключать договоры с регулируемыми контрагентами. Цена этого — от 2 до 4 месяцев и от 40 000 € до 100 000 € расходов на реструктуризацию.

Регистрация по юрисдикциям

Для большинства протоколов значимого масштаба рабочей архитектурой является структура из двух юридических лиц (фонд плюс операционная компания). Фонд держит казну и интеллектуальную собственность на уровне протокола; операционная компания нанимает разработчиков, поддерживает сайт и фронтенд, заключает договоры с третьими лицами. Оценивая, «полностью ли децентрализован» протокол или же операционная компания является CASP, регулятор направляет информационный запрос по договору об оказании услуг между этими двумя лицами. Составление такого договора — задача регуляторная, а не корпоративная.

То, что MiCA не оценивает на уровне протокола, она оценивает на уровне операционной структуры: выбор организационно-правовой формы фонда (Cayman Foundation Company, ADGM DLT Foundation, Panama Private Interest Foundation) сам по себе не снимает вопрос о том, кто выступает CASP-of-record, — а он решается тем, какая структура контролирует ключи обновления, получает комиссии протокола и управляет фронтендом, доступным пользователям из EEA.

Лицензионные требования

Проекту DeFi или Web3 нужна одна из трёх позиций, подкреплённая одновременно составленной документацией: позиция «полностью децентрализованного» проекта согласно MiCA, пункт 22 преамбулы, без требования о лицензировании; авторизация CASP согласно MiCA в EU; либо лицензия VARA, CIMA или иная равнозначная лицензия за пределами EU. Согласно статье 67 + Приложению IV, минимальный капитал CASP по MiCA составляет 50 000 € для Класса 1 (консультирование, приём и передача поручений, исполнение поручений, размещение, услуги перевода, управление портфелем), 125 000 € для Класса 2 (кастодиальное хранение и администрирование, а также обмен криптоактивов на денежные средства и на другие криптоактивы) и 150 000 € для Класса 3 (управление торговой платформой).^[12]

Сфера применения MiCA и исключение по пункту 22 преамбулы

Пункт 22 преамбулы Регламента о рынках криптоактивов (Регламент (ЕС) 2023/1114) гласит, что “если услуги в сфере криптоактивов предоставляются полностью децентрализованным образом без какого-либо посредника, они не должны попадать в сферу применения настоящего Регламента.” Его применение определяют два практических момента. Во-первых, пункт 22 преамбулы не имеет обязательной силы как часть преамбулы; в операционных статьях определение “полной децентрализации” отсутствует. Во-вторых, изъятие следует применять в каждом случае отдельно, а не как формальный однозначный тест: совместный отчёт EBA и ESMA согласно MiCAR, статья 142, в котором изложены приведённые ниже индикаторы, заключает, что “очень немногие системы DeFi достигают действительно полной децентрализации.”^[2]

Семь признаков остаточной централизации возвращают сервис в сферу MiCA — согласно совместному отчёту EBA и ESMA о DeFi (опубликован 13 января 2025):^[2]

• Наличие административных ключей или ключей обновления.
• Начисление комиссий в пользу казначейства, контролируемого поименованной стороной.
• Идентифицируемый фронтенд- или UI-оператор.
• Активный маркетинг в EU.
• Концентрация governance-токенов в небольшом числе кошельков.
• Управление резервами со стороны идентифицируемого фонда.
• Зависимости от мостов или оракулов, которые вводят посредников.

Частичная децентрализация не является безопасной гаванью: сам пункт 22 преамбулы гласит, что MiCA применяется «когда часть такой деятельности или услуг осуществляется децентрализованно». Распространённая ошибка — трактовать пункт 22 преамбулы как бинарный квалификатор, а не как доказательственное дело: протокол с обновляемым мультисигом, казной под контролем фонда и named-оператором фронтенда не проходит тест на «полную децентрализацию» в рамках факторного анализа EBA-ESMA даже там, где сами смарт-контракты являются некастодиальными, и национальный компетентный орган (NCA) страны происхождения может определить фронтенд как фактический CASP независимо от того, как устроено управление на уровне протокола.

Триггеры CASP для фронтендов и DAO

Виды деятельности CASP, которые с наибольшей вероятностью применимы к DeFi- или Web3-фронтенду, — это управление торговой платформой для криптоактивов (когда фронтенд сопоставляет заявки третьих лиц), обмен криптоактивов на денежные средства или на другие криптоактивы (когда оператор обеспечивает свопы), кастодиальное хранение и администрирование криптоактивов (когда фронтенд управляет хранилищами на смарт-контрактах) и услуги перевода (актуально для фронтендов мостов).

Некастодиальный смарт-контракт, который оператор не может обновить, — самая сильная защита от попадания в периметр CASP; обновляемый контракт под управлением мультисига с named signers втягивает оператора в этот периметр.

Выпуск токенов согласно MiCA, раздел II

К токенам, которые не являются ни токенами, привязанными к активам (Раздел III), ни токенами электронных денег (Раздел IV), применяется Раздел II MiCA. Эмитенты обязаны составить white paper, соответствующий требованиям Приложения I, уведомить национальный компетентный орган государства происхождения не позднее чем за 20 рабочих дней до публикации, обеспечить соответствие маркетинговых материалов white paper, а также действовать честно, добросовестно и профессионально (статья 14).

23 декабря 2025 вступило в силу требование о машиночитаемом формате iXBRL, а таксономия XBRL ESMA была опубликована 5 августа 2025.^[14] Большинство токенов управления DeFi подпадают под раздел II.

Пути лицензирования за пределами EU

VARA (Дубай): восемь лицензий по видам деятельности в рамках Virtual Assets and Related Activities Regulations 2023, дополненных сводами правил 2024 и 2025 годов. Сбор за подачу заявления составляет 40 000 AED для консультационных услуг, выпуска VA, а также услуг по переводу и расчётам с VA и 100 000 AED для брокерско-дилерской деятельности, кастодиального хранения, биржи, кредитования и заимствования, а также услуг по управлению VA и инвестициям.

Ежегодные надзорные сборы по каждому виду деятельности составляют 80 000 AED для консультационных услуг и услуг по переводу и расчётам с VA, а также 200 000 AED для брокерско-дилерских услуг, кастодиального хранения, биржи, кредитования и заимствования, услуг по управлению VA и инвестиционных услуг; они уплачиваются за каждый вид деятельности за год вперёд. При заявке на несколько видов деятельности взимается сбор за расширение лицензии (Licence Extension Fee) в размере 50% от меньшего из двух заявочных сборов. Процесс лицензирования состоит из двух этапов: первичная анкета раскрытия информации (Initial Disclosure Questionnaire), по итогам которой выдаётся разрешение на инкорпорацию (Approval to Incorporate), а затем полная заявка VASP, ведущая к получению лицензии. Типичный срок от начала до конца — 6–12 месяцев.^[6]

Cayman Islands VASP Act 2020: регистрация первого этапа распространяется на AML и кибербезопасность для любой услуги виртуальных активов, предоставляемой публике. Лицензирование второго этапа для торговых платформ и кастодианов вводилось поэтапно с 2024 года. После консультаций Министерства финансовых услуг, проходивших с февраля по апрель 2024, Virtual Asset (Service Providers) (Amendment) Act 2024 расширил определение “Owner/Operator”, охватив торговые платформы и DAO без идентифицируемой управляющей группы.^[15]

Частные продажи (согласно Virtual Asset (Service Providers) Regulations 2020 — “не рекламируемые и доступные ограниченному числу лиц или организаций”) под действие закона не подпадают, как и безвозмездные аирдропы. Законодательного минимума капитала нет: его достаточность оценивается по бизнес-плану.

ADGM DLT Foundations Regulations 2023: режим только для холдинговых структур. Минимальная первоначальная стоимость активов — 50 000 USD, вносимая в фиате (Section 19), с оплатой в течение шести месяцев после инкорпорации; Foundation Council в составе не менее 2 и не более 16 членов; обязательный Charter, определяющий цели, правила выпуска токенов и правила обращения с активами; опциональная роль Guardian, контролирующего соблюдение Советом положений Charter; ежегодная аудированная отчётность, публикуемая на сайте фонда; периодические аудиты безопасности систем защиты данных и ИТ-систем с предоставлением результатов Registrar; обязательное привлечение Company Service Provider, кроме случаев получения статуса “exempt foundation”.^[7]

Закон Сент-Китса и Невиса о виртуальных активах 2020 года, Cap. 21.29 (в редакции Virtual Asset (Amendment) Act No. 8 of 2026, утверждён 18 июня 2026): регистрация VASP в Financial Services Regulatory Commission (подразделение Невиса). Поправка 2024 года приводит закон в соответствие со стандартами Рекомендации 15 FATF.^[11] Действующим подзаконным актом теперь являются Virtual Asset Business Regulations, SR&O 13 of 2026, которые отменили SRO 25 of 2022.

Saint Lucia Virtual Asset Business Act, No. 24 of 2022: утверждён 15 декабря 2022; вступил в силу 28 декабря 2022. 4 августа 2025 FSRA выпустил общий циркуляр о VASP, подтвердив, что надзорным органом является FSRA.^[18] Закон требует от лицензиата разместить на escrow-счёте активы, эквивалентные не менее 15% совокупной стоимости удерживаемых средств клиентов (раздел 12(1)).

Приложение 2 к SI No. 37 of 2025 устанавливает невозвратный сбор за подачу заявления в размере 1 000 EC$ и единую лицензионную пошлину в размере 15 000 EC$, покрывающую все виды деятельности и уплачиваемую повторно при ежегодном продлении.

Применение DORA к CASP в рамках MiCA

С 17 января 2025 Digital Operational Resilience Act (Regulation (EU) 2022/2554) применяется к CASP под MiCA. Обязанности включают:

• комплексная система управления ICT-рисками;
• классификация и уведомление о серьёзных ICT-инцидентах в течение считанных часов;
• тестирование устойчивости, включая тестирование на проникновение на основе угроз каждые три года для значимых субъектов;
• реестр рисков ICT-услуг третьих сторон (первая подача 30 апреля 2025);
• договоры с ICT-провайдерами, включающие права на аудит, стратегии выхода и контроль субподряда (Делегированный регламент Комиссии (ЕС) 2025/532 о субподряде ICT-услуг, поддерживающих критические или важные функции, в силе с 22 июля 2025).

18 ноября 2025 Европейские надзорные органы определили 19 критически важных сторонних ICT-провайдеров, включая AWS, Microsoft Azure, Google Cloud, Oracle, SAP и Deutsche Telekom.^[4] Для финансовых организаций штрафы достигают 2% годового мирового оборота; критически важные сторонние ICT-провайдеры дополнительно подлежат ежедневным периодическим штрафным платежам в размере до 1% среднего дневного мирового оборота согласно статье 35(6).

Восьмое обновление Директивы об административном сотрудничестве, Директива (ЕС) 2023/2226 (DAC8), применяется с 1 января 2026.^[19] DAC8 вводит автоматический обмен данными о транзакциях с криптоактивами для отчитывающихся провайдеров услуг криптоактивов (RCASP), которые оказывают услуги пользователям — резидентам ЕС, независимо от того, где учреждён сам RCASP.

Оператор за пределами EU, обслуживающий клиентов в EU, попадает под охват; полная децентрализация в смысле MiCA, преамбула, пункт 22, сама по себе не снимает действие DAC8 там, где существует идентифицируемый оператор, фронтенд или контрагент по управлению резервами. Первый отчётный цикл охватывает транзакции календарного 2026 года, отчётность подаётся до 31 января 2027 компетентному органу того государства-члена, с которым связан RCASP’а.

Размер санкций устанавливает каждое государство-член в пределах гармонизированного диапазона статьи 25a Директивы 2011/16/EU; на практике национальные имплементации группируются в диапазоне от 20 000 € до 150 000 € за нарушение, с ежедневными штрафами за продолжающееся нарушение.

См. полное руководство по авторизации CASP на Кипре и центр по лицензированию криптоактивов.

Банкинг

Фиатное банковское обслуживание — самый недооценённый элемент любого DeFi- или Web3-проекта. Крупные клиринговые банки регулярно отказывают контрагентам, связанным с DeFi, и доля отказов не снижается сколько-нибудь заметно даже тогда, когда у проекта есть фонд-обёртка, опубликованный аудит и понятная регуляторная позиция. По состоянию на май 2026 банковское обслуживание фиатных on/off-ramp на практике требует нескольких учреждений: EMI с лицензией EU для операционных потоков в евро, DLT-дружественный банк в юрисдикции, знакомой с цифровыми активами, — для кастодиального хранения токен-казны, а при необходимости — регулируемая трастовая компания в США для хранения стейблкоинов и биткоина.

Большинство банков отказывает в обслуживании DeFi-мандатов по пяти причинам:

• Анонимность контрагентов: конечные пользователи DeFi, как правило, неидентифицируемы для протокола, поэтому банк не может провести содержательный анализ Source of Wealth или Source of Funds по фактическим клиентам протокола.
• Операционный риск смарт-контрактов: эксплойт создаёт риск ответственности для любого банка, финансирующего операции или держащего казначейские средства.
• Волатильность токен-казны: казна протокола, номинированная в собственных governance-токенах, может измениться на 70% в пределах квартала, что усложняет оценку кредитоспособности.
• Экспозиция по Travel Rule: Регламент (ЕС) 2023/1113, применяемый с 30 декабря 2024, возлагает на банки ответственность за информацию о плательщике и получателе, которую отправляют и получают их контрагенты, классифицированные как CASP.^[3]
• Риски третьих сторон по DORA: банки рассматривают любого контрагента, связанного с DeFi и подключающегося через API, как узел ICT-риска.

На практике одна лишь оболочка в виде фонда не открывает доступ к банковскому обслуживанию; кредитный комитет оценивает способность операционной компании подтвердить свою KYC-практику в отношении пользователей фронтенда, схему кастодиального хранения ключей обновления смарт-контрактов, а также зависимости от оракулов и мостов, через которые стоимость проходит через идентифицируемых посредников, — именно в этих точках банк принимает на себя остаточную AML-ответственность и операционные риски.

Принимающие организации на практике делятся на четыре архетипа. Первый — лицензированное в EU учреждение электронных денег с документированной политикой онбординга цифровых активов; используется для входящих и исходящих SEPA-платежей, выплаты зарплат и расчётов с поставщиками; как правило, это EMI второго эшелона в юрисдикции, знакомой с цифровыми активами, с комплаенс-командой, разбирающейся в крипто. Второй — банк с DLT-лицензией в небольшой юрисдикции EEA (DLT Act в Лихтенштейне и аналогичные акты); используется для кастодиального хранения казны DAO и операционных балансов в стейблкоинах.

Третий — регулируемая трастовая компания США, работающая под надзором штата Нью-Йорк или Вайоминг, которую используют для институциональных вложений в биткойн и стейблкоины с ежемесячной аттестацией. Четвёртый — коммерческий банк ОАЭ на материковой части, имеющий разрешение (non-objection) на ведение счетов VASP с лицензией VARA.

Текущий комплаенс

Комплаенс — это постоянные операционные расходы, а не разовые затраты на лицензирование. Для DeFi-фронтенда, классифицированного как CASP класса 3 по MiCA, годовой run-rate обычно составляет от 500 000 € до 1,2 млн €, плюс минимальный порог собственных средств в 150 000 €; для провайдера услуг виртуальных активов с одной лишь регистрацией на Каймановых островах или в Сент-Китсе и Невисе годовой run-rate ближе к 150 000 USD — 400 000 USD.

На любую структуру, отнесённую к категории CASP, ложатся пять постоянных обязанностей: AML-контроль и соблюдение Travel Rule согласно Регламенту о переводах средств; мониторинг транзакций и санкционный скрининг на фронтенде (стоимость решений поставщиков — примерно от 25 000 USD до 80 000 USD в год); контроль DORA, включая реестр рисков ICT-третьих сторон, классификацию и отчётность по инцидентам, а также тестирование на проникновение по модели threat-led для значимых субъектов; регулярный аудит смарт-контрактов (первичный аудит перед запуском плюс аудит при каждом существенном обновлении плюс конкурентный аудит плюс постоянная программа bug bounty); и внешний аудит финансовой отчётности и ICT-контроля.

Диапазоны стоимости аудита смарт-контрактов на 2025–2026 распределяются по сложности:

• Простой модуль: контракт ERC-20 или стейкинга стоит от 8 000 USD до 50 000 USD.
• DeFi-примитив средней сложности: протоколы кредитования, AMM или управления стоят от 50 000 USD до 150 000 USD.
• Сложный протокол: новая сеть L1/L2 стоит от 150 000 USD до 600 000 USD и более при формальной верификации.

Ставки инженеров высшего уровня составляют примерно 25 000 USD за инженеро-неделю в Trail of Bits и OpenZeppelin (предложения Arbitrum Research and Development Committee, 2024–2025), а модель retainer распространена у протоколов с размером казны свыше 100 млн USD.^[16] Отраслевая практика для протоколов с TVL свыше 100 млн USD — два независимых аудита, конкурсный контест на платформе вроде Code4rena или Sherlock и непрерывная программа bug bounty на Immunefi (которая на сентябрь 2024 выплатила 100,21 млн USD по более чем 3 000 отчётам bug bounty, причём 77,5% пришлось на уязвимости смарт-контрактов; крупнейшая единичная выплата составила 10 млн USD за уязвимость кросс-чейн-моста Wormhole).^[17]

Ограничивает проект не бюджет предзапускного аудита, который конечен, а обязанность проводить повторный аудит при каждом существенном обновлении плюс непрерывная программа bug bounty; протоколы, которые рассматривают первый аудит как разовый расход, а не как начальную стоимость постоянной статьи операционных затрат на безопасность, как правило, обнаруживают этот разрыв в момент инцидента, вызванного обновлением, — когда предельная стоимость устранения последствий в пять–десять раз превышает регулярный цикл аудита, финансировать который они отказались.

Два переходных срока MiCA уже истекли: переходный период MiCA для ранее действовавших VASP закончился 1 июля 2026, а срок подачи документов CySEC для ранее действовавших CASP наступил 27 февраля 2026. Что касается будущего, Европейская комиссия пока не опубликовала оценку в соответствии с MiCA, статья 142, которая ожидалась в середине 2026 года и может привести к отдельному законодательству о DeFi; проверено 25 августа 2026.

Реалистичные сроки и расходы

Полный срок от первичной проработки до запуска операционного фронтенда обычно составляет от 1 до 9 месяцев для офшорной регистрации — в зависимости от того, будет ли структурой фонд в Панаме либо регистрация на Каймановых островах или в Сент-Китс и Невис, — и от 9 до 18 месяцев для построения CASP по MiCA в EU. Технологическая разработка (аудиты смарт-контрактов, фронтенд, инфраструктура) идёт параллельно с лицензионным досье; онбординг в банке в большинстве графиков остаётся элементом критического пути.

Разбивка расходов по этапам

По состоянию на май 2026 приведённые суммы включают гонорары специалистов, государственные пошлины, стоимость аудита и минимальный регуляторный капитал, где он применим. Они не включают зарплаты основателей, маркетинговые расходы, мероприятие по распределению токенов протокола и реагирование на инциденты безопасности после запуска. Валютная конвенция: EUR для этапов в EU; USD для этапов вне EU; AED там, где речь идёт о специфике VARA.

Частые вопросы

Источники