Как работает система мониторинга транзакций

Система мониторинга транзакций (TMS) отслеживает депозиты, выводы, переводы и связанные события, чтобы вовремя обнаруживать AML-риски, финансовый фрод и операционные аномалии. В iGaming это ядро защиты денег: на входе — данные платежей и поведения, на выходе — ранжированные алерты, кейсы для расследований и регуляторные отчёты.

1) Потоки данных: что именно мы собираем

Платежи и выплаты: `authorized/captured/refunded/chargeback`, суммы, валюта, метод, банк/PSP, комиссии.

Кошелёк: `wallet.debit/credit`, балансы, отмены, идемпотентность (`txn_id`, `Idempotency-Key`).

KYC/AML-сигналы: возраст/адрес, liveness, санкции/PEP, adverse media, SoF/SoW (при EDD).

Поведение: частота сессий, «погоня», скорость ставок, ночная активность.

Сеть и устройство: device fingerprint, IP/ASN, прокси/VPN, гео-дрейф.

Связи: общие карты/кошельки/устройства, реферальные графы.

Вебхуки провайдеров: подписанные HMAC, с anti-replay (`timestamp`, nonce).

💡 Все события проходят через шину (Kafka/PubSub) и получают сквозные ключи: `trace_id`, `txn_id`, `player_ref`.

2) Архитектура TMS (уровни)

1. Ингест и нормализация: приведение статусов PSP к общей схеме, дедупликация, валидация валют/сумм.

2. Feature Store: онлайн/офлайн признаки (velocity, гео-стабильность, chargeback-история, граф-связи).

3. Правила и модели: детерминированные пороги + ML/аномалии + граф-детекторы.

4. Скоринг и оркестрация решений: единый риск-скор, политика действий (пропустить/лимит/hold/EDD/блок).

5. Алертинг и кейс-менеджмент: очереди, приоритезация, чеклисты, SLA.

6. Отчётность и аудит: дашборды, STR/SAR, WORM-архив, экспорт регулятору.

3) Правила первого уровня (быстрые детекторы)

Velocity: N депозитов/выводов за X минут; всплески отмен/refund.

Гео/метод: несоответствие страны карты и IP; редкие PSP/кошельки.

Pass-through: крупный депозит → минимальная активность → быстрый вывод.

Structuring: дробление сумм около порога KYC/AML.

Поведенческие триггеры: мультиаккаунт по устройству/IP, ночные пики.

Каждое правило имеет окно, порог, тяжесть и действие (soft-limit, hold, ручное ревью).

4) Модели второго уровня

Аномалии: Isolation Forest/автоэнкодер для «нестандартного» паттерна транзакций.

Супервизия: градиентный бустинг/логрег на размеченной истории (chargeback/подтверждённый фрод).

Граф: link prediction/Node2Vec/GNN для синдикатов, общих реквизитов, «мулов».

Калибровка cut-off: баланс TPR/FPR по целям бизнеса, стабильность на сезонности.

5) Скоринг и принятие решений (decisioning)

Собираем агрегированный риск-скор (0–1 или Low/Med/High).

Политики:

Low → пропустить/мягкие лимиты;
Med → step-up KYC/EDD, задержка вывода;
High → hold/блок и немедленное расследование.
Комбинации сигналов (высокий ML-скор + граф-флаг) дают приоритет в очереди.

6) Кейс-менеджмент и расследования

Автосбор контекста: платежи, KYC, IP/ASN, граф-связи, история chargeback.

Чеклисты: что запросить у клиента (адрес/SoF), что сверить (кошелёк↔PSP), когда эскалировать.

Результат: cleared / ограничения / EDD / STR/SAR; все действия логируются в WORM-архив.

SLA: время реакции и закрытия по тяжести кейса, алерты «когда горит».

7) STR/SAR и комплаенс

Кейс с признаками отмывания/финансирования терроризма → формируется отчёт STR/SAR (факты, суммы, связь участников, таймлайн).

Сроки и формат — по юрисдикции; tipping-off запрещён.

Материалы хранятся в неизменяемом хранилище, доступ — строго по ролям.

8) Безопасность и приватность в TMS

Шифрование: TLS 1.2+/1.3 «в пути», AES-GCM «в хранении», ключи в KMS/HSM, ротации.

Псевдонимизация: `player_ref` вместо PII; связь с PII — отдельно, с полевым шифрованием.

Доступ: RBAC/ABAC, JIT-права на чувствительные кейсы, аудит чтения/экспорта.

Вебхуки/внешние: HMAC-подпись, anti-replay, идемпотентные ретраи.

9) Схема события (пример `payment.captured`)

json
{
"event_id": "evt_9ab…",  "occurred_at": "2025-10-17T10:15:22.512Z",  "trace_id": "trc_41c…",  "txn_id": "txn_dep_784…",  "player_ref": "plr_0f2…",  "method": "card",  "amount": 150.00,  "currency": "EUR",  "psp": "acq_X",  "geo": {"ip":"203.0.113.5","country":"DE","asn":"AS12345"},  "device": {"fp":"dfp_a18…","platform":"ios"},  "risk": {"velocity_5m":3,"asn_reputation":"medium"},  "integrity": {"signature":"base64:…"}
}

Аналогичные схемы — для `wallet.credit`, `payout.settled`, `kyc.verified`, `graph.linked`.

10) Метрики качества TMS

Precision/Recall, TPR/FPR по алертам и кейсам.

Alert-to-Case Ratio и TTR/MTTR расследований.

SAR rate и подтверждённые регулятором случаи.

Chargeback/Fraud-loss % и ROI фильтров.

Customer friction: среднее время вывода, % «чистых» клиентов подпавших под проверку.

Stability: latency скоринга, таймауты, доступность флоу.

11) Тюнинг и контроль дрейфа

Backtesting: прогоны правил/моделей на истории, сравнение с эталоном.

Champion/Challenger: параллельные модели в проде.

Дрейф данных: PSI/KS-тесты, алёрты при смене микса методов/гео.

Ретренинг: регулярные окна + ручная разметка «золота» командой комплаенса.

12) Эксплуатация: наблюдаемость и SLO

Дашборды: алерты/кейсы в час, p95 латентность скоринга, доля таймаутов, очередь расследований, pass-through rate.

SLO: «скоринг ≤150 мс p95», «TTR High-case ≤ 24 ч», «ошибочный бюджет» на FPR.

Трассировка end-to-end (`trace_id`) — быстрый drill-down от выплаты к первопричине.

13) Типичные ошибки

Ставка только на правила или, наоборот, только на ML. Нужна композиция.

Нет идемпотентности денег. Повторы webhook → дубли операций и ложные алерты.

Плохая нормализация статусов PSP. «Серые» состояния ломают свёрку.

Отсутствие граф-аналитики. Синдикаты и «фермы» остаются невидимыми.

Нет обратной связи в модели. Ошибки не превращаются в обучение — качество стагнирует.

Смешение PII в событиях. Нарушение минимизации и лишние риски GDPR.

14) Чеклист внедрения (сохраните)

Единая шина событий, нормализация статусов PSP
Сквозные ключи: `trace_id`, `txn_id`, `player_ref`
Feature Store (онлайн/офлайн) и каталог признаков
Композиция: правила + аномалии + supervised + граф
Real-time скоринг ≤150 мс + fallback-решения
Кейс-менеджмент: очереди, чеклисты, SLA, WORM-архив
STR/SAR процесс и шаблоны отчётов
Приватность/шифрование (TLS/KMS/HSM), RBAC/ABAC, JIT-доступ
Наблюдаемость: дашборды, трассировка, алёрты
Backtesting, Champion/Challenger, мониторинг дрейфа
Автосверка кошелёк↔PSP, расследование расхождений
Документация: политики, плейбуки саппорта, обучение аналитиков

15) Мини-FAQ

TMS = антифрод? Перекрываются, но цели шире: AML/регуляторика, STR/SAR, отчётность.

Можно ли снизить FPR без потери TPR? Да: граф-сигналы и каскад правил+ML, плюс тонкая калибровка порогов.

Почему важен real-time? Задержки = «плохие» выводы и невозвратные потери.

Нужны ли внешние провайдеры? Часто да (санкции/PEP, KYC, поведенческие репутации ASN/устройств).

Как не «душить» честных игроков? Ступенчатые меры: мягкие лимиты → step-up KYC → hold только при высоком риске.

Рабочая система мониторинга транзакций — это согласованный конвейер: нормализованные события, единые признаки, каскад правил и моделей, граф-аналитика, быстрый скоринг и дисциплина расследований. Такой TMS одновременно снижает убытки, выполняет требования регулятора и сохраняет хороший UX «чистым» игрокам.