> ## Documentation Index
> Fetch the complete documentation index at: https://docs.didit.me/llms.txt
> Use this file to discover all available pages before exploring further.

# Библиотека правил мониторинга транзакций (KYT): 150+ готовых сценариев

> Didit: 150+ готовых правил KYT — структурирование, скорость, санкции, крипто, Travel Rule, iGaming. 1,000 включено, далее $0.001 за каждое.

Didit предоставляет подобранную библиотеку из **более 150 готовых правил мониторинга транзакций**, которые можно устанавливать по отдельности или набором. Каждое правило соответствует реальной типологии AML, мошенничества или комплаенса из глобальных стандартов и регуляторных рекомендаций: рекомендации FATF, рекомендации FinCEN, правила NACHA, принципы Wolfsberg, типологии Egmont Group и схемы злоупотреблений в iGaming.

Выберите нужные пресеты или наборы, затем управляйте режимом каждого установленного правила (`ACTIVE`, `TEST` или `DISABLED`). Условия, пороги и действия пресетов фиксированы; если нужна другая логика, создайте собственное правило. Чтобы удалить пресет из приложения, деинсталлируйте его; при необходимости его можно установить снова.

> [!NOTE]
>
> Правила из библиотеки можно просматривать, устанавливать и удалять в *Transactions -> Rules -> Library* в Business Console, через [API библиотеки правил](https://docs.didit.me/ru/management-api/transactions/rules-library.md) (`GET /v3/transactions/rules/library/`, `POST`/`DELETE /v3/transactions/rules/install/`) или через инструменты `didit_transaction_rule_library_list` / `didit_transaction_rule_install` / `didit_transaction_rule_uninstall` из [MCP](https://docs.didit.me/ru/integration/mcp/tools.md). Для установленных пресетов принимаются только изменения `mode` (activate, disable, test): их пороги фиксированы. Чтобы переопределить порог, создайте [пользовательское правило](https://docs.didit.me/ru/transaction-monitoring/rules.md#создание-пользовательских-правил). О том, как правила влияют на скоринг, см. [скоринг рисков](https://docs.didit.me/ru/transaction-monitoring/risk-scoring.md).

> [!NOTE]
>
> Правило из библиотеки, условия которого опираются на данные, которые движок правил пока не умеет оценивать, **временно недоступно**, пока движок не сможет его выполнить. В этот период библиотека его не показывает, запрос, в котором оно указано в `library_keys`, возвращает `400` и ничего не устанавливает (неизвестный ключ при этом пропускается), а установка `bundle` его пропускает. Ранее установленная копия отключается (`DISABLED`) и остаётся в вашем списке правил, а изменение её `mode` на любое другое значение возвращает `400`. Когда движок правил сможет оценивать условия правила, оно вернётся автоматически, поэтому список библиотеки всегда показывает правила, которые можно установить сегодня.

## Как организованы пресеты

Каждый пресет принадлежит к **набору** (его функциональному семейству) и **категории** (его более широкой теме риска). Наборы позволяют переключать связанные правила вместе из консоли; категории определяют скоринг и отчётность.

| Набор | Что охватывает |
| - | - |
| `finance` | Структурирование, крупные транзакции, совокупный объём, распределение по странам, расслоение, схождение средств на счёт денежного мула, смерфинг |
| `aml_ctf` | Санкции, подозрительные референсы в платежах, расслоение с круглыми суммами, быстрые операции «пришёл и ушёл» |
| `aml_monitoring` | Подверженность высокорисковым источникам средств, выявленным по блокчейну, финансирование терроризма, эксплуатация детей |
| `anomaly_detection` | Высокая скорость операций, реактивация спящих аккаунтов, активность в нерабочее время |
| `fatf` | Связи с юрисдикциями повышенного риска |
| `device_intelligence` | Повторное использование отпечатков устройств, аккаунты с несколькими отпечатками, аномалии IP и браузера, VPN/прокси, невозможное перемещение |
| `fraud_prevention_multi_accounting` | Общие отпечатки у разных субъектов |
| `fraud_prevention_app` | Сигналы авторизованного push-платежа, первого платежа новому получателю и жертвы мошенничества |
| `fraud_prevention_ato` | Составные сигналы захвата аккаунта (изменение персональных данных, новый способ оплаты) |
| `fraud_prevention_consortium` | Контрагенты, отмеченные другими организациями в общей сети |
| `crypto_monitoring` | Связи с миксерами, даркнет-кошельками и санкционными кошельками, переход между блокчейнами, некастодиальные кошельки, пробелы VASP |
| `travel_rule` | Глобальные и региональные обязательства по Travel Rule (12 режимов) и должная проверка контрагентов-VASP |
| `travel_rule_eu_tfr` | Проверки по EU TFR: несовпадение данных контрагента, непроверенное владение кошельком, неидентифицированный VASP-контрагент, истёкшее подтверждение |
| `responsible_gaming` | Лимиты депозитов и выводов для безопасной игры, самоисключение, игра в нерабочее время |
| `igaming_fraud` | Злоупотребления бонусами, связанные с событиями, встречные ставки, партнёрское мошенничество, накрутка бонусов в чатах, сброс фишек, захват аккаунта |
| `e_commerce` | Тестирование карт микротранзакциями, индикаторы чарджбэков, несовпадение страны выставления счёта, всплеск партнёрских переходов |
| `check_fraud` | Чеки вне диапазона, без номера, повторно предъявленные, отмеченные в списках наблюдения даркнета и отмытые чеки, кайтинг |
| `bnpl` | Мошенничество первой стороны с невыплатой рассрочки, общие идентификаторы в аккаунтах BNPL, рассрочки по новым аккаунтам |

## Как читать эту страницу

Каждое правило содержит свой `library_key` (стабильный идентификатор, который можно использовать в API или в URL консоли), условия и агрегацию, при которых оно срабатывает, и действия по умолчанию. Числовые пороги, указанные здесь, это значения по умолчанию при поставке: каждое значение можно изменить для приложения, не теряя идентичности правила.

***

## Пакет финансовых правил

Эти правила применяются к каждой транзакции с `transaction_type = FINANCE`. Они моделируют регуляторную базу (пороги отчётности BSA/FinCEN, эвристики скорости FATF), а также схемы с денежными мулами и смёрфингом.

### Структурирование и суммы чуть ниже порога

| `library_key` | Условие срабатывания | Действие по умолчанию |
| - | - | - |
| `structuring-inbound` | ≥20 входящих переводов на сумму менее \$10,000 от одного субъекта за 30 дней | +35 к оценке риска |
| `structuring-outbound` | ≥20 исходящих переводов на сумму менее \$10,000 от одного субъекта за 30 дней | +35 к оценке риска |
| `single-transaction-just-below-threshold` | Одна транзакция на сумму от $9,000 до $9,999 | +25 к оценке риска |
| `round-amount-layering` | Сумма перевода равна подозрительно круглому значению ($10k, $25k, $50k, $100k, $250k, $500k, \$1M…) | +20 к оценке риска |

### Объём и скорость

| `library_key` | Условие срабатывания | Действие по умолчанию |
| - | - | - |
| `large-single-transaction` | Одна транзакция ≥ \$25,000 | +50 к оценке риска, `IN_REVIEW` |
| `cumulative-outbound-volume` | Исходящий объём ≥ \$100,000 за 30 дней | +45 к оценке риска, `IN_REVIEW` |
| `cumulative-inbound-volume-90d` | Входящий объём ≥ \$200,000 за 90 дней | +30 к оценке риска, `IN_REVIEW` |
| `cumulative-outbound-volume-7d` | Исходящий объём ≥ \$50,000 за 7 дней | +30 к оценке риска, `IN_REVIEW` |
| `business-4h-inbound-volume` | Входящий объём компании ≥ \$30,000 в любом 4-часовом окне | +30 к оценке риска, `IN_REVIEW` |
| `business-4h-outbound-volume` | Исходящий объём компании ≥ \$30,000 в любом 4-часовом окне | +30 к оценке риска, `IN_REVIEW` |
| `high-velocity-inbound` | ≥20 входящих транзакций за 7 дней | +25 к оценке риска |
| `high-velocity-outbound` | ≥20 исходящих транзакций за 7 дней | +25 к оценке риска |

### Многоступенчатое размещение, мулы и смёрфинг

| `library_key` | Условие срабатывания | Действие по умолчанию |
| - | - | - |
| `rapid-in-and-out-movement` | Исходящая транзакция, которой предшествовала входящая в течение 6 часов | +60 к оценке риска, `IN_REVIEW` |
| `cash-deposit-followed-by-withdrawal` | Наличные взносы ≥ \$50,000 за 72 часа, после которых следует снятие наличных | +30 к оценке риска, `IN_REVIEW` |
| `money-mule-fan-in-to-counterparty` | Контрагент получает переводы от ≥5 различных субъектов за 7 дней | +30 к оценке риска, `IN_REVIEW` |
| `rapid-repeated-payments-same-counterparty` | ≥5 исходящих переводов одному и тому же контрагенту за 24 часа | +30 к оценке риска, `IN_REVIEW` |
| `cross-border-small-amount-velocity` | Субъект отправляет суммы менее \$1,000 контрагентам в ≥4 различных странах за 24 часа | +30 к оценке риска, `IN_REVIEW` |
| `high-risk-jurisdiction-smurfing` | ≥5 исходящих переводов на сумму менее \$1,000 в одну и ту же страну высокого риска за 7 дней | +30 к оценке риска, `IN_REVIEW` |
| `many-unique-counterparties-24h` | Субъект совершает транзакции с ≥6 различными контрагентами за 24 часа | +30 к оценке риска, `IN_REVIEW` |
| `many-unique-payment-methods-7d` | Субъект переключается между ≥4 различными способами оплаты за 7 дней | +30 к оценке риска, `IN_REVIEW` |
| `counterparty-country-spread-24h` | Субъект совершает транзакции с контрагентами из ≥4 различных стран за 24 часа | +30 к оценке риска, `IN_REVIEW` |

### Поведенческие аномалии

| `library_key` | Условие срабатывания | Действие по умолчанию |
| - | - | - |
| `dormant-account-reactivation` | Первая транзакция ≥ \$1,000 после ≥365 дней неактивности | +20 к оценке риска |
| `off-hours-high-value-finance` | Крупный перевод (≥ \$5,000), помеченный как совершённый в нерабочее время для локали субъекта | +25 к оценке риска |

***

## Пакет AML / CTF

Эти правила моделируют классические типологии AML/CTF, которые не зависят от обогащения данными блокчейна: они применяются ко всем фиатным и криптовалютным переводам.

| `library_key` | Условие срабатывания | Действие по умолчанию |
| - | - | - |
| `sanctions-counterparty` | Проверяемый кошелёк сам отнесён к подсанкционному субъекту (`wallet_sanctioned`). Одна только связь с такими субъектами не запускает правило | +90 к оценке риска, `DECLINED` |
| `sanctions-exposure-review` | Проверяемый кошелёк переводил средства подсанкционным субъектам или получал их от них, но сам не относится к подсанкционным | +50 к оценке риска, `IN_REVIEW` |
| `suspicious-payment-reference` | Платёжное назначение содержит ключевые слова, связанные с доходами от незаконной деятельности | +45 к оценке риска, `IN_REVIEW` |
| `high-risk-jurisdiction-exposure` | Страна контрагента или страна IP-адреса субъекта входит в список стран высокого риска | +40 к оценке риска, `IN_REVIEW` |
| `high-risk-inbound-single` | Входящая транзакция ≥ \$20,000 из страны высокого риска | +30 к оценке риска, `IN_REVIEW` |
| `high-risk-outbound-single` | Исходящая транзакция ≥ \$20,000 в страну высокого риска | +30 к оценке риска, `IN_REVIEW` |

Список стран высокого риска по умолчанию включает территории, для которых FATF призывает к мерам, и регионы вооружённых конфликтов: `IRN`, `PRK`, `SYR`, `AFG`, `RUS`, `MMR`. Вы можете переопределить этот список для каждого приложения.

> [!NOTE]
>
> **Проверка контрагентов на статус политически значимого лица (PEP) в настоящее время не предоставляется.** Ни один подключённый провайдер скрининга не сообщает, является ли контрагент политически значимым лицом: поле `pep_counterparty` сейчас равно `null` во всех результатах скрининга (см. [скрининг кошельков](https://docs.didit.me/ru/transaction-monitoring/wallet-screening.md#ответ)), поэтому в библиотеке нет пресета для проверки PEP-контрагентов. Правило, установленное до того, как этот пресет был снят, продолжает выполняться, но не может сработать на реальном скрининге. Если вам нужно реагировать на другой сигнал, удалите такое правило или замените его пользовательским правилом.

***

## Пакет скрининга криптовалют

Эти правила используют обогащённые данные, которые формирует скрининг криптовалют Didit. Они наиболее полезны для приложений, изначально работающих с криптовалютами, и для VASP.

| `library_key` | Условие срабатывания | Действие по умолчанию |
| - | - | - |
| `aml-high-risk-source-exposure` | ≥30% средств из источника происходят из категорий, связанных с подсанкционными субъектами, даркнетом, украденными средствами, программами-вымогателями или мошенничеством | +70 к оценке риска, `IN_REVIEW` |
| `aml-multiple-risky-counterparties` | ≥3 связи с организациями высокого риска в графе источника средств | +50 к оценке риска, `IN_REVIEW` |
| `aml-terrorist-financing-exposure` | Любая связь кошелька с финансированием терроризма | +100 к оценке риска, `DECLINED` |
| `aml-child-exploitation-exposure` | Любая связь кошелька с материалами эксплуатации детей | +100 к оценке риска, `DECLINED` |
| `aml-wallet-risk-score-medium` | Оценка риска кошелька от провайдера находится в диапазоне от 40 до 70 | +30 к оценке риска |

***

## Пакет мониторинга криптовалют

Правила на уровне кошельков и проверки целостности, связанные с VASP и Travel Rule.

| `library_key` | Триггер | Действие по умолчанию |
| - | - | - |
| `crypto-mixer-exposure` | Кошелёк связан с миксером или сервисом обфускации | +80 к скорингу, `IN_REVIEW` |
| `crypto-darknet_market-exposure` | Контакт с кошельком даркнет-маркета | +80 к скорингу, `IN_REVIEW` |
| `crypto-sanctioned-exposure` | Контакт с санкционным кошельком | +90 к скорингу, `IN_REVIEW` |
| `crypto-stolen_funds-exposure` | Подверженность кошельку, связанному с украденными средствами | +85 к скорингу, `IN_REVIEW` |
| `crypto-scam-exposure` | Контакт с мошенническим кошельком | +70 к скорингу, `IN_REVIEW` |
| `crypto-ransomware-exposure` | Подверженность кошельку, связанному с программами-вымогателями | +90 к скорингу, `IN_REVIEW` |
| `crypto-hacked_exchange-exposure` | Контакт с кошельком взломанной биржи | +80 к скорингу, `IN_REVIEW` |
| `crypto-gambling_unlicensed-exposure` | Подверженность кошельку, связанному с нелицензированным гэмблингом | +60 к скорингу, `IN_REVIEW` |
| `high-risk-wallet-exposure` | Риск кошелька связан с даркнет-маркетом, санкциями или украденными средствами | +70 к скорингу, `IN_REVIEW` |
| `crypto-wallet-risk-score-critical` | Оценка кошелька от провайдера ≥ 90 | +90 к скорингу, `IN_REVIEW` |
| `crypto-wallet-risk-score-high` | Оценка кошелька от провайдера ≥ 70 | +60 к скорингу, `IN_REVIEW` |
| `crypto-unhosted-wallet-large-outbound` | Исходящий перевод ≥ \$1,000 на некастодиальный кошелёк | +45 к скорингу, `IN_REVIEW` |
| `crypto-repeated-unhosted-wallet-withdrawals` | ≥5 исходящих переводов на некастодиальные кошельки за 24 ч | +35 к скорингу, `IN_REVIEW` |
| `crypto-many-new-wallets-per-subject` | Субъект отправляет средства на ≥5 различных кошельков за 24 ч | +40 к скорингу, `IN_REVIEW` |
| `crypto-chain-hopping-pattern` | Один и тот же субъект переводит средства между ≥3 блокчейнами за 24 ч | +45 к скорингу, `IN_REVIEW` |
| `crypto-missing-vasp-id-high-value` | Перевод с участием кастодиального кошелька на сумму ≥ \$1,000 без идентификатора VASP | +30 к скорингу, `IN_REVIEW` |

***

## Пакет Travel Rule

Правила Travel Rule применяются только к транзакциям `travelRule`.
Каждый региональный режим включает четыре правила: ожидание контрагента, ожидание действия, отсутствующие данные и неудачный обмен.

### Глобальные правила Travel Rule

| `library_key` | Триггер | Действие по умолчанию |
| - | - | - |
| `travel-rule-pending-counterparty` | Статус `AWAITING_COUNTERPARTY` (ожидание ответа от VASP-контрагента) | +35 к скорингу, `IN_REVIEW` |
| `travel-rule-pending-action` | Статус `ON_HOLD` (на управляемой бирже входящий перевод ждёт вашего решения: нет совпадения в адресной книге кошельков или запрос ждёт ручного одобрения) | +35 к скорингу, `AWAITING_USER` |
| `travel-rule-missing-required-data` | `travel_rule_required` равно `true`, а `travel_rule_obligations_count` больше `0`; количество обязательств есть только у данных Travel Rule, которые вы сами записываете в `travel_rule_details`, поэтому это правило никогда не срабатывает на переводе, который выполняет управляемая биржа | +50 к скорингу, `IN_REVIEW` |

### Региональные режимы

Один и тот же шаблон из четырёх правил применяется к каждому режиму. Вместо `<regime>` ниже подставляйте любое из значений: `australia`, `dubai`, `eu`, `hong_kong`, `india`, `indonesia`, `japan`, `kazakhstan`, `singapore`, `south_africa`, `turkey`, `uk`.

Режим назначается автоматически: Didit проставляет `custom_values.travel_rule_regime` для каждой транзакции Travel Rule на основании `jurisdiction` из ваших [настроек Travel Rule](https://docs.didit.me/ru/transaction-monitoring/travel-rule.md#настройка). Например, `SG` → `singapore`, `GB` → `uk`, а любой код страны ЕС или EEA, например `DE` или `FR`, → `eu`. Коды без регионального пакета получают режим в нижнем регистре (`US` → `us`), чтобы к ним по-прежнему можно было применять пользовательские правила. Значение `props.travel_rule_regime`, переданное в транзакции, всегда переопределяет вычисленный режим.

| `library_key` шаблон | Триггер |
| - | - |
| `travel-rule-<regime>-pending-counterparty` | Перевод с тегом режима ожидает ответа VASP-контрагента |
| `travel-rule-<regime>-pending-action` | Перевод с тегом режима имеет статус `ON_HOLD` |
| `travel-rule-<regime>-missing-required-data` | Для перевода с тегом режима требуется Travel Rule, но данные не урегулированы |
| `travel-rule-<regime>-failed-exchange` | Перевод с тегом режима имеет статус `CANCELLED` |

Итого 48 правил для конкретных регионов, помимо трёх глобальных правил Travel Rule и пяти правил для контрагентов ниже.
Отдельный пакет `travel_rule_eu_tfr` добавляет четыре правила EU TFR, описанные в [пакете правил EU TFR](https://docs.didit.me/ru/transaction-monitoring/travel-rule.md#пакет-правил-eu-tfr).

### Проверка контрагента (комплексная проверка)

Эти правила используют данные, которые ваше приложение знает о VASP-контрагенте, с которым связалась биржа: ваше собственное решение по нему, его уровень риска по результатам проверки, страну и отзывчивость.
Подробнее о том, откуда берётся каждое значение, см. в разделе [Проверка контрагента](https://docs.didit.me/ru/transaction-monitoring/travel-rule.md#проверка-должной-осмотрительности-контрагента).

| `library_key` | Триггер | Действие по умолчанию |
| - | - | - |
| `travel-rule-counterparty-blocked` | Ваше решение по контрагенту (`counterparty_dd_status`) равно `BLOCKED` | +90 к скорингу, `DECLINED` |
| `travel-rule-counterparty-restricted` | Ваше решение по контрагенту равно `RESTRICTED` | +50 к скорингу, `IN_REVIEW` |
| `travel-rule-counterparty-high-risk` | Уровень риска контрагента (`counterparty_risk_level`) равен `HIGH`: оценка проверки ниже 40 или ваша собственная свежая проверка контрагента нашла возможное совпадение с санкционными списками или негативными публикациями в СМИ | +40 к скорингу, `IN_REVIEW` |
| `travel-rule-counterparty-high-risk-jurisdiction` | Контрагент находится в стране из списка высокого риска по умолчанию (`IRN`, `PRK`, `SYR`, `AFG`, `RUS`, `MMR`) | +60 к скорингу, `IN_REVIEW` |
| `travel-rule-counterparty-unresponsive` | Контрагент ответил менее чем на 10 процентов запросов Travel Rule, которые клиенты Didit отправили ему за последние 90 дней, при условии что решено не менее 5 таких запросов | +30 к скорингу, `IN_REVIEW` |

***

## Аналитика устройств и предотвращение мошенничества

Эти правила преобразуют сигналы из клиентского SDK (отпечаток устройства, IP-адрес, браузер, возраст сессии) и данные, полученные от провайдера в результате обогащения, в события обнаружения мошенничества.

### Отпечаток устройства и мультиаккаунтинг

| `library_key` | Триггер | Действие по умолчанию |
| - | - | - |
| `multi-accounting-shared-fingerprint` | Один отпечаток устройства используется ≥3 разными субъектами за 7 дней | +50 к оценке риска, `IN_REVIEW` |
| `multiple-device-fingerprints-for-same-subject` | Один субъект сопоставляется с ≥3 разными отпечатками устройств за 24 часа | +20 к оценке риска |
| `same-fingerprint-transaction-burst` | ≥6 транзакций с одного отпечатка устройства за 24 часа | +30 к оценке риска |
| `same-ip-multi-accounting` | Один IP-адрес используют ≥3 разных субъекта за 7 дней | +30 к оценке риска |
| `same-ip-transaction-burst` | ≥6 транзакций с одного IP-адреса за 24 часа | +30 к оценке риска |
| `same-fingerprint-multiple-payment-methods` | Один отпечаток устройства переключается между ≥4 способами оплаты за 7 дней | +30 к оценке риска |
| `shared-payment-method-across-subjects` | Один способ оплаты используется ≥3 разными субъектами за 7 дней | +30 к оценке риска |
| `many-ip-addresses-per-subject` | Субъект использует ≥4 разных IP-адреса за 24 часа | +30 к оценке риска |
| `new-browser-and-new-ip-combination` | У субъекта выявлено ≥3 разных браузера И ≥3 разных IP-адреса за 24 часа | +30 к оценке риска |

### IP, сеть и VPN

| `library_key` | Триггер | Действие по умолчанию |
| - | - | - |
| `vpn-or-proxy-high-value` | Обнаружен VPN или прокси при переводе ≥ \$5,000 | +30 к оценке риска |
| `impossible-travel-between-transactions` | Субъект совершает транзакции из ≥2 разных стран по IP-адресу в течение 1 часа | +30 к оценке риска |

### Комплексные поведенческие правила

| `library_key` | Триггер | Действие по умолчанию |
| - | - | - |
| `browser-spoofing-password-reuse` | Обнаружен спуфинг браузера И ≥2 транзакции с повторным использованием одного хеша пароля за 30 минут | +30 к оценке риска |
| `remote-access-high-value-transfer` | Обнаружен инструмент удалённого доступа при переводе ≥ \$5,000 | +30 к оценке риска |
| `low-session-age-high-value-transfer` | Перевод ≥ \$5,000 в течение 30 секунд после начала сессии | +30 к оценке риска |
| `synthetic-identity-fresh-account-high-value` | Аккаунт, открытый за последние 7 дней, совершает транзакции на ≥ \$1,000 | +30 к оценке риска |

### Захват аккаунта и APP-мошенничество

| `library_key` | Триггер | Действие по умолчанию |
| - | - | - |
| `recent-pii-change-and-transaction` | Перевод ≥ \$1,000 в пределах окна недавнего изменения персональных данных (PII) | +45 к оценке риска, `IN_REVIEW` |
| `new-payment-method-high-value` | Перевод ≥ \$5,000 с использованием способа оплаты, добавленного за последние 7 дней | +30 к оценке риска |
| `first-time-payee-high-value` | Исходящий перевод ≥ \$5,000 контрагенту, которому субъект никогда ранее не платил | +40 к оценке риска, `IN_REVIEW` |
| `consortium-flagged-counterparty` | Перевод ≥ \$500 контрагенту, о котором сообщила другая организация | +60 к оценке риска, `IN_REVIEW` |

### Злоупотребление партнёрскими программами и бонусами

| `library_key` | Триггер | Действие по умолчанию |
| - | - | - |
| `repeated-bonus-campaign-from-same-fingerprint` | ≥6 транзакций в рамках одной кампании с одним отпечатком устройства за 2 часа | +35 к оценке риска |
| `shared-fingerprint-across-bonus-campaigns` | Один отпечаток устройства заявляет права на участие в ≥3 разных кампаниях за 7 дней | +30 к оценке риска |
| `affiliate-fraud-repeated-fingerprint` | ≥5 транзакций по одному партнёру с одним отпечатком устройства за 2 часа | +30 к оценке риска |

***

## Пакет ответственной игры

Для приложений iGaming. Эти правила предназначены для выявления как сигналов защиты игроков, так и схем злоупотребления бонусами.

| `library_key` | Триггер | Действие по умолчанию |
| - | - | - |
| `responsible-gaming-rapid-deposits` | ≥10 входящих транзакций одного и того же действия за 24 часа | +20 к оценке риска |
| `responsible-gaming-rapid-withdrawals` | ≥8 исходящих транзакций одного и того же действия за 24 часа | +20 к оценке риска |
| `responsible-gaming-cumulative-deposits-7d` | Объём входящих средств ≥ \$5,000 за 7 дней | +20 к оценке риска |
| `responsible-gaming-cumulative-withdrawals-7d` | Объём исходящих средств ≥ \$5,000 за 7 дней | +20 к оценке риска |
| `responsible-gaming-self-excluded-activity` | Любая транзакция с самоисключённого аккаунта | +20 к оценке риска |
| `responsible-gaming-loss-limit-hit` | Активность продолжается после сигнала о лимите убытков | +20 к оценке риска |
| `responsible-gaming-bonus-hunting` | ≥4 транзакции в рамках одной кампании с одним отпечатком устройства за 24 часа | +20 к оценке риска |
| `responsible-gaming-multiple-payment-methods` | ≥4 разных способа оплаты за 7 дней | +20 к оценке риска |
| `responsible-gaming-off-hours-high-value` | Игровая активность, помеченная как происходящая в нерабочее время, на ≥ \$1,000 | +20 к оценке риска |
| `responsible-gaming-failed-withdrawals` | ≥3 неудачных попыток вывода средств | +20 к оценке риска |
| `responsible-gaming-many-counterparties` | ≥5 разных контрагентов за 24 часа | +20 к оценке риска |

***

## Пакет iGaming-мошенничества

Для операторов, которые передают события мониторинга наряду с движением денег. Эти правила используют `scope.record_types = ["event"]`, поэтому для клиентов, передающих только транзакции, поведение не изменится. Если для правила есть запасной вариант только для транзакций, установите указанное запасное правило вместе с правилом событий, пока ваша интеграция не начнёт передавать категорию событий.

| `library_key` | Триггер | Действие по умолчанию | Запасной вариант только для транзакций |
| - | - | - | - |
| `igaming-account-takeover-drain` | 3+ неудачных входа, затем изменение MFA, затем изменение адреса для вывода и запрос на вывод, именно в таком порядке, в течение 24 часов | +90 к оценке, `DECLINED` | `recent-pii-change-and-transaction`, `new-payment-method-high-value` |
| `igaming-minimal-play-laundering` | Запрос на вывод ≥ \$1,000, при этом сумма ставок аккаунта ≤ 5% от его завершённых депозитов за предыдущие 24 часа | +60 к оценке, `IN_REVIEW` | `rapid-in-and-out-movement` |
| `igaming-chargeback-deposit-ratio` | Открытые чарджбэки составляют не менее 50% от завершённых депозитов за 30 дней | +80 к оценке, `DECLINED` | `ecommerce-chargeback-indicator` |
| `igaming-chip-dumping-pair-net-winner` | Одна и та же P2P-пара участвует в расчётах минимум по 2 различным раздачам, раундам или матчам за 7 дней **и** чистый результат одной стороны составляет ≥ \$400 | +70 к оценке, `IN_REVIEW` | Требуется событие |
| `igaming-opposite-betting-same-market` | На обе стороны одного матча и одного рынка сделаны ставки с 2+ различных аккаунтов, использующих один отпечаток устройства, в течение 1 часа | +65 к оценке, `IN_REVIEW` | Требуется событие |
| `igaming-bot-rta-cadence` | `session.bot_signal_observed` с оценкой бота ≥ 90 и разбросом времени ≤ 10 мс | +55 к оценке, `IN_REVIEW` | Требуется событие |
| `igaming-self-exclusion-evasion` | Совпадение с реестром самоисключения при `exclusion_status: active` в попытке повторной регистрации | +100 к оценке, `DECLINED` | `responsible-gaming-self-excluded-activity` |
| `igaming-chat-rain-farming` | Второе получение **того же** бонуса чат-рейн одним аккаунтом за 24 часа, при получении в течение 500 мс | +45 к оценке, `IN_REVIEW` | `responsible-gaming-bonus-hunting` |
| `igaming-repeated-bonus-claims-one-device` | Третье получение **того же** бонуса с одного отпечатка устройства за 7 дней | +50 к оценке, `IN_REVIEW` | `repeated-bonus-campaign-from-same-fingerprint`, `shared-fingerprint-across-bonus-campaigns`, `responsible-gaming-bonus-hunting` |
| `igaming-affiliate-self-referral` | Атрибуция по партнёрскому коду, который 3+ различных аккаунта использовали с одного отпечатка устройства за 7 дней | +50 к оценке, `IN_REVIEW` | `affiliate-fraud-repeated-fingerprint` |
| `igaming-multi-accounting-device` | Вход или регистрация с отпечатка устройства, который использовали 3+ различных аккаунта за 24 часа | +60 к оценке, `IN_REVIEW` | `multi-accounting-shared-fingerprint` |
| `igaming-shared-proxy-ip` | Вход с адреса, который использовали 3+ различных аккаунта за 24 часа | +40 к оценке, `IN_REVIEW` | `same-ip-multi-accounting` |

### Сигналы событий, необходимые для каждого правила

Каждое правило выше читает именованные поля событий. Если обязательное поле отсутствует, правило просто не срабатывает: оно никогда не выводит этот сигнал из других данных и не аппроксимирует его на их основе и никогда не переходит на данные транзакций само по себе. Передавайте ключи, указанные ниже, в `payload` и `device_context` события (полный контракт отправки см. в разделе [События](https://docs.didit.me/ru/transaction-monitoring/events.md), пути полей правил см. в разделе [Правила событий](https://docs.didit.me/ru/transaction-monitoring/event-rules.md)).

| `library_key` | Действия событий, которые читает правило | Поля, которые нужны правилу |
| - | - | - |
| `igaming-account-takeover-drain` | `security.login_failed`, `security.mfa_changed`, `payment.withdrawal_address_changed`, `payment.withdrawal_requested` | `changed_field`, `withdrawal_address_hash` и стандартные платёжные ключи |
| `igaming-minimal-play-laundering` | `payment.withdrawal_requested`, `gameplay.bet_placed`, `payment.deposit_completed` | `amount` в каждом из этих событий |
| `igaming-chargeback-deposit-ratio` | `dispute.chargeback_opened`, `payment.deposit_completed` | `payment_reference_id`, а также `dispute_id` или `chargeback_id` |
| `igaming-chip-dumping-pair-net-winner` | `gameplay.p2p_settlement` | `counterparty_vendor_data`, `net_result_amount` и один из ключей `hand_id` / `round_id` / `match_id` |
| `igaming-opposite-betting-same-market` | `gameplay.bet_placed` | `match_id`, `market_id`, `side`, `device_context.fingerprint` |
| `igaming-bot-rta-cadence` | `session.bot_signal_observed` | `device_context.bot_score`, `timing_variance_ms` |
| `igaming-self-exclusion-evasion` | `responsible_gambling.self_exclusion_match` | `exclusion_status`, `re_registration_attempt`, а также обязательные `registry_source` и `identity_match_ref` |
| `igaming-chat-rain-farming` | `bonus.bonus_claimed` | `bonus_id`, `bonus_type`, `claim_delay_ms` |
| `igaming-repeated-bonus-claims-one-device` | `bonus.bonus_claimed` | `bonus_id`, `device_context.fingerprint` |
| `igaming-affiliate-self-referral` | `affiliate.affiliate_attributed` | `affiliate_code`, `device_context.fingerprint` |
| `igaming-multi-accounting-device` | `security.login_succeeded` или пользовательское `security.registration_attempt` | `device_context.fingerprint` |
| `igaming-shared-proxy-ip` | `security.login_succeeded` | `device_context.network_context.ip_address` |

Используйте пакет `igaming_fraud`, если ваша интеграция передаёт события входа, игрового процесса, бонусов, партнёрских программ, платежей, споров, безопасности и ответственной игры. Правила не подключаются автоматически: добавление их в библиотеку не устанавливает их для существующих приложений и не меняет текущие пресеты действующих клиентов.

***

## Пакет электронной торговли

Для маркетплейсов и приложений, в которых продавцом выступает платформа.

| `library_key` | Триггер | Действие по умолчанию |
| - | - | - |
| `ecommerce-card-testing-microtransactions` | ≥10 транзакций на сумму ≤ \$5 с одного отпечатка устройства за 1 час | +30 баллов |
| `ecommerce-high-order-velocity` | ≥8 транзакций с одного отпечатка устройства за 30 минут | +30 баллов |
| `ecommerce-chargeback-indicator` | Провайдер или сценарий отметил признак чарджбэка | +30 баллов |
| `ecommerce-billing-country-mismatch` | Несовпадение страны выставления счёта по транзакции ≥ \$500 | +30 баллов |
| `ecommerce-shared-payment-method` | Способ оплаты повторно использован ≥3 субъектами электронной торговли за 7 дней | +30 баллов |
| `ecommerce-shared-ip-multi-accounting` | Один адрес (IP) у ≥4 субъектов электронной торговли за 24 часа | +30 баллов |
| `ecommerce-remote-checkout-high-value` | Обнаружен удалённый доступ при оплате на сумму ≥ \$1,000 | +30 баллов |
| `ecommerce-affiliate-burst` | ≥5 транзакций одного партнёра с одним отпечатком устройства за 2 часа | +30 баллов |

***

## Пакет мошенничества с чеками

Для приложений, отправляющих операции по внесению чеков. Каждое правило срабатывает по флагам `custom_values.check_*`, которые вызывающая сторона устанавливает, когда у чека есть известный признак риска (отмывка, отсутствующая MICR-строка, серийный номер из даркнета и т. д.).

| `library_key` | Триггер | Действие по умолчанию |
| - | - | - |
| `check-amount-out-of-range` | Сумма чека помечена как выходящая за обычный диапазон счёта И ≥ \$1,000 | +40 баллов, `IN_REVIEW` |
| `check-missing-or-invalid-number` | Чек поступил с отсутствующим, несогласованным или непоследовательным номером | +35 баллов, `IN_REVIEW` |
| `check-duplicate-presentation` | Один и тот же чек, по-видимому, внесён дважды (через мобильное приложение и в отделении) | +70 баллов, `IN_REVIEW` |
| `check-on-dark-web-watchlist` | Серийный номер или изображение чека найдены в ленте краденых чеков в даркнете или Telegram | +90 баллов, `DECLINED` |
| `check-altered-or-washed` | На чеке есть признаки химического стирания, изменения MICR-строки или иной отмывки | +70 баллов, `IN_REVIEW` |
| `check-deposit-rapid-multi-bank` | Один субъект вносит чеки в ≥3 разных банках-контрагентах за 24 часа (кайтинг) | +45 баллов, `IN_REVIEW` |

***

## Пакет BNPL

Для провайдеров «покупка сейчас, оплата потом» (BNPL). Выявляет мошенничество первой стороны (неоплата) и схемы совместного использования идентификаторов, характерные для кредитования в рассрочку.

| `library_key` | Триггер | Действие по умолчанию |
| - | - | - |
| `bnpl-failed-repayment-velocity` | ≥2 недавних неудачных платежей по погашению у субъекта: сигнал мошенничества первой стороны | +45 баллов, `IN_REVIEW` |
| `bnpl-shared-identifier-across-accounts` | Телефон, электронная почта или адрес встречались у нескольких разных субъектов BNPL | +40 баллов, `IN_REVIEW` |
| `bnpl-high-installment-on-fresh-account` | Платёж в рассрочку на сумму ≥ \$500 со счёта, открытого за последние 7 дней | +35 баллов |

***

## Справочник: стандарты, лежащие в основе библиотеки

Каждый пресет в библиотеке Didit соотносится с общепринятой типологией AML, мошенничества или комплаенса. Вот стандарты, на которые мы опираемся:

| Источник | Типологии, включённые в библиотеку |
| - | - |
| **Рекомендации FATF** | Структурирование, быстрое перемещение средств, связь с юрисдикциями повышенного риска, скрининг контрагентов на санкции |
| **Рекомендации FinCEN** | Пороги отчётности BSA / CTR, реактивация спящих счетов, подозрительные схемы с наличными |
| **Правила NACHA** | Пороговые значения, специфичные для ACH, и схемы вне рабочего времени |
| **Вольфсбергские принципы** | Типологии корреспондентского и частного банковского обслуживания |
| **Типологии Группы Эгмонт** | Трансграничные схемы и схемы слоения |
| **Отраслевые лучшие практики** | Оконный анализ частоты операций, невозможное перемещение, первый платёж новому получателю, повторное использование отпечатка устройства, сигналы мошенничества первой стороны в BNPL |

Didit реализует только типологии, признанные отраслевыми стандартами, и предоставляет возможность настраивать все пороговые значения.

***

## Настройка пресетов

Каждый пресет можно:

* **Настроить**: изменить пороги, окна, значения баллов или действия для каждого приложения
* **Отключить**: переключить пресет в режим `DISABLED`, после чего он перестанет оцениваться, но сохранит свою идентичность
* **Протестировать**: переключить пресет в режим `TEST`, чтобы оценивать его в теневом режиме без влияния на результаты транзакций
* **Расширить**: создать пользовательские правила, которые дополняют пресеты или переопределяют их

Об анатомии правил, endpoint API и примерах создания пользовательских правил см. [Правила и скоринг](https://docs.didit.me/ru/transaction-monitoring/rules.md).


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.