Як ліцензуються криптовалютні казино

Навіщо крипто-казино потрібна подвійна ліцензія

Крипто-казино оперує на стику двох регуляцій:

1. Ігрова ліцензія (онлайн-гемблінг) - право пропонувати слоти, live-ігри, ставки, лотереї; вимоги до RTP/RNG, скарг, відповідальної гри, зберігання логів і т.д.

2. Ліцензія/реєстрація VASP (Virtual Asset Service Provider) - право працювати з віртуальними активами (кастодіальні гаманці, прийом/виведення крипто, обмін VA↔fiat), з обов'язками по AML/CTF, KYC і Travel Rule.

💡 У ряді юрисдикцій достатньо однієї ігрової ліцензії плюс повідомний режим для VA; в інших потрібні обидва статуси.

Модель бізнесу та вплив на вимоги

Кастодіальна модель (казино тримає гаманці клієнтів): зазвичай зажадає VASP-статус, жорсткий ончейн-скринінг, зберігання ключів (M-of-N, cold), ліміти і процедури інцидентів.

Некостодіальна модель (гаманець у клієнта, smart-контракти/провайдери платежів): ризики нижче, але VASP-обов'язки і AML-контроль найчастіше все одно застосовуються (source of funds, санкції, Travel Rule при міжплатформових перекладах).

Що перевіряє регулятор при видачі ліцензії

1) Компанія і власники

Юрструктура (установчі документи, реєстр бенефіціарів).

Fit & Proper ключових осіб: репутація, відсутність судимостей, профільний досвід.

Джерело коштів акціонерів (SoW) і капіталізація (мінімальний статутний/операційний капітал).

2) Продукт і технологічна платформа

RNG и “provably fair”: сертифікація незалежними лабораторіями + криптографічний доказ чесності (не замінює сертифікацію).

Бекофіс і логи: подієві журнали, незмінні записи (WORM/тайм-стемпи), зберігання за термінами ліцензії.

Інфраструктура: відмовостійкість, моніторинг, DRP/BCP, пентест/аудит безпеки.

Інтеграції: платежі (фіат/крипто), провайдери ігор, оракули, КУС/санкційні скрінери.

3) Комплаєнс і захист гравців

KYC/CDD/EDD: політика, тригери, документи; верифікація власника платіжного методу/гаманця.

AML/CTF: ризик-оцінка (BWRA), правила моніторингу, граф- і ончейн-аналітика, SAR/STR-процедури, заборона tipping-off.

Travel Rule: обмін даними при VA-переказах (де потрібно), вайтліст VASP/бірж.

Відповідальна гра: ліміти депозитів/втрат/часу, самовиключення, віковий контроль.

Скарги та ADR/омбудсмен: порядок розгляду, терміни, арбітраж.

Захист засобів гравців: сегрегація/гарантійні рахунки/страхування, політика на випадок неплатоспроможності.

4) Маркетинг і геоблокування

Реклама/афіліати: гайди, заборони «dark patterns», розкриття умов бонусів.

Гео-обмеження та санкції: IP/GPS/ASN-контроль, black-lists юрисдикцій, РЕР/санк-скринінг з рескринінгом.

Пакет документів: що готувати заздалегідь

Установчі документи, реєстр бенефіціарів, діаграма володіння.

Анкети Fit & Proper (KYC на директорів/бенефіціарів): паспорта, довідки про відсутність судимостей, резюме, рекомендації.

Фінплан і модель ризиків: P & L/CF, опис продуктів, прогноз навантаження.

Політики та процедури: AML/CTF (BWRA, EDD, SAR/STR), КУС/санкції, відповідальна гра, скарги/ADR, ретенція даних, інциденти, інформаційна безпека.

Тех-досьє: архітектура, доступи за ролями, логи, DRP/BCP, багбаунті, результати пентестів.

Договори і SLA з провайдерами (ігрові студії, PSP/криптопроцесинг, KYC-провайдери, ончейн-аналітика).

Сертифікати/звіти лабораторій по RNG/платформі.

Політика зберігання коштів гравців і підтвердження банківських/кастодіальних угод.

Терміни та етапи (типовий ритм)

1. Прескопінг (2-6 тижнів): вибір юрисдикції, оцінка моделі (кастодіальна/ні), GAP-аналіз вимог.

2. Підготовка пакету (4-12 тижнів): фіналізація політик, договорів, архітектури, збір довідок і сертифікацій.

3. Подача та взаємодія (8-20 тижнів): Q&A з регулятором, доопрацювання, очні інтерв'ю ключових осіб.

4. Умовне схвалення → production-аудит → ліцензія.

5. Пост-ліцензія: регулярна звітність, незалежні аудити, ресертифікація, навчання персоналу.

(Реальні терміни сильно залежать від юрисдикції і готовності документів.)

Бюджет відповідності (в загальних рисах)

Разові: application/due-diligence fees, лабораторні сертифікації, легалізація документів, консультації.

Щорічні: license fee, наглядові збори, регуляторні аудити, провайдери KYC/AML/ончейн-аналітики, пентести, страхування, ADR-внески.

Операційні: PSP/крипто-процесинг, хостинг/CDN, case-management, навчання, оновлення політик.

Технічні та крипто-специфічні вимоги

Ончейн-скринінг вхідних/вихідних транзакцій; ризик-мітки (міксери, зломи, санкції).

Кастодіальні гаманці: холодне зберігання, багатопідпис, ліміти, альберти, журнал дій; політика «аварійного вимикача» (circuit breaker).

Smart-контракти: не менше двох незалежних аудитів, контроль адмін-прав (timelock, multisig), план міграцій.

Provably fair: хеш-сид, верифікація клієнтом; вимоги регулятора до незалежної перевірки залишаються.

Дані та приватність: DPIA, мінімізація, шифрування PII «на диску і в каналі», терміни ретенції, права суб'єкта даних.

Часті помилки заявників

«Тільки provably fair - без RNG-сертифікації». Регулятор не прийме.

Немає виразної політики Travel Rule і вайтлиста VASP/бірж. Відмови/затримки.

Слабка сегрегація засобів гравців і неясна схема кастодіального зберігання.

Відсутність BWRA/EDD-тригерів (лише «загальний AML» без ризик-матриць).

Маркетинг через афіліатів в заборонених гео - жорсткі санкції аж до відкликання.

Неоформлені відносини з провайдерами (немає SLA/прав на аудит/інцидент-репортинг).

Недостатня кваліфікація ключових осіб (комплаєнс-офіцер «за сумісництвом»).

Як вибрати юрисдикцію (рамка для порівняння)

Продуктове охоплення (слоти, live, ставки, крипто-платежі).

Чи потрібно VASP і при яких моделях (кастодіальна/некостодіальна).

Фіскальне навантаження (податок на GGR/прибуток, ПДВ, збори).

Швидкість розгляду/передбачуваність процедур.

Доступ до платіжних рейок (банки, емітенти стейблкоінів, PSP).

Репутація ліцензії (конверсія трафіку, довіра провайдерів і гравців).

Чек-лист перед подачею

1. Компанія структурована, бенефіціари розкриті, fit & proper пройдені.

2. Політики KYC/AML/Travel Rule, BWRA, EDD-матриця і кейс-менеджмент готові.

3. RNG сертифікований, provably fair реалізований і документований.

4. Кастодіальні процеси: cold-storage, multisig, ліміти, інциденти, журнал дій.

5. ADR, responsible gambling, скарги і SLA прописані.

6. Геоблокування/санк-скринінг, device/IP-інтелідженс, список заборонених юрисдикцій.

7. Договори з провайдерами, право на аудит, план B при відмовах.

8. План аудитів/навчання персоналу на рік вперед.

Міні-FAQ

Чи потрібна VASP-ліцензія всім крипто-казино?

Ні, залежить від моделі. Але при кастодіальних гаманцях і/або обміні VA↔fiat - майже завжди так.

Чи можна обійтися тільки «provably fair» без сертифікації RNG?

Ні, ні. Провайдери і регулятори вимагають незалежну сертифікацію RNG і платформи.

Чи обов'язковий KYC, якщо виплати в крипто?

Практично скрізь так: KYC/AML і санк-скринінг - базовий стандарт, плюс Travel Rule у відповідних режимах.

Як захистити засоби гравців?

Сегрегація рахунків/гаманців, холодне зберігання, багатопідпис, ліміти, страхування/гарантії та зрозуміла процедура виведення при форс-мажорі.

Що з маркетингом через афіліатів?

Договори з комплаєнс-клаузами, верифікація трафіку, заборона «темної» реклами і промо в заблокованих гео.

Ліцензування крипто-казино - це не один папір, а система: юридична прозорість і «fit & proper», сертифікований продукт (RNG + provably fair), сильний AML/KYC з Travel Rule, ончейн-скринінг і захист засобів гравців, плюс дисципліна звітності та аудитів. Оператори, які закладають compliance-by-design в архітектуру і процеси, отримують стійкий доступ до платежів, довіру провайдерів і гравців - і, як наслідок, передбачуване зростання без регуляторних сюрпризів.