VARA (Дубай): регулятор виртуальных активов — лицензирование VASP, правила и практика

VARA — Управление по виртуальным активам Дубая (Dubai Virtual Assets Regulatory Authority)

Кто считается VASP под VARA

Под действие VARA попадают компании, которые в Дубае предлагают или оказывают один или несколько из перечисленных видов услуг с VA (набор формулировок может отличаться по лицензии, ниже — обобщённая карта):

• Exchange Services — спот/деривативы, книга ордеров, матчинг, конвертация VA↔VA/фиат.
• Broker–Dealer Services — агентское исполнение/маршрутизация, OTC-операции.
• Custody Services — хранение активов клиентов, ключевая сегрегация и процедуры доступа к ключам (MPC/мультисиг).
• Lending & Borrowing Services — централизованные схемы займа/кредита с VA.
• Management & Investment Services — управление портфелями/продуктами с VA-экспозицией.
• Transfer & Settlement Services — перевод/клиринг VA от имени клиентов.
• Advisory Services — профессиональные рекомендации по VA-продуктам.

Некоторые роли требуют комбинации лицензий (например, биржа с кастоди и брокерским блоком).

Основные rulebooks и что они требуют

VARA публикует набор правил (rulebooks), которые задают требования для всех VASP и для отдельных видов деятельности. Обобщённо:

• Company / General Rulebook — корпоративное управление, компетенции менеджмента, независимые функции (risk/compliance), отчётность.
• Compliance & Risk Management — AML/CFT (в связке с федеральными нормами ОАЭ), Travel Rule, санкционный скрининг, RBA-матрицы, SAR/STR. См. KYC/AML и FATF.
• Market Conduct — запрет манипуляций/вводящих в заблуждение практик, правила листинга/делистинга, конфликтов интересов и раскрытий.
• Prudential / Financial — капитал, резервы, ликвидность, аудит.
• Custody Services — сегрегация клиентских средств, политика кошельков (горячий/холодный), лимиты и дашборды прозрачности, план инцидентов, PoR/PoL (см. резервы).
• Technology & Information — ИБ, управление ключами, логирование, доступы (PAM), BCP/DRP, пентесты.
• Marketing & Promotions — жёсткие требования к рекламе: никаких «гарантированных доходностей», корректные предупреждения, контроль партнёров/аффилиатов.
• VA Issuance / Product — правила для выпусков/предложений VA-продуктов, включая стабилькоины и токенизацию (где применимо совместно с федеральными нормами).

AML/CFT и Travel Rule под VARA

• Обязателен полный цикл AML: KYC/KYB, санкционный и негативный скрининг, транзакционный мониторинг, отчётность по подозрительным операциям — с учётом подхода на основе риска (RBA).
• Travel Rule: при трансграничных переводах между VASP — обмен реквизитами отправителя/получателя через совместимые провайдеры/хабы. Для self-custody адресов — дополнительные проверки риска и аттестация владения адресом.
• Для ончейн-части практикуется интеграция с блокчейн-аналитикой (кластеризация, SoF/SoW, риск-рейтинги).

Кастоди и доказуемость резервов

Кастодианы под VARA должны обеспечивать:

• Сегрегацию клиентских активов от операционных; чёткая политика доступа к ключам (MPC/мультисиг).
• Управление лимитами горячих/холодных кошельков, журнал событий и процедуры инцидентов (24/7).
• Прозрачность: регулярные снимки активов/обязательств (PoR/PoL) и методология их расчёта. См. резервы.

Реклама и работа с розницей

• Запрещены обещания фиксированной/гарантированной доходности, вводящие в заблуждение заявления о рисках/доходе.
• Требуется pre-approval/внутренний комплаенс-ревью материалов, контроль партнёров/инфлюенсеров, корректные предупредительные формулировки в интерфейсе.
• Для отдельных продуктов действуют ограничения для розницы (suitability, лимиты, тесты знаний).

Стейблкоины и токенизация

Вопросы стейблкоинов решаются в связке с федеральными регуляторами ОАЭ (SCA/ЦБ ОАЭ). Для VASP это означает:

• проверку статуса эмитента и резервов при листинге/маршрутизации;
• учёт админ-функций (freeze/wipe) и сетевых рисков — см. blacklists у стейблкоинов;
• практическую оценку сетевого распределения ликвидности (например, контекст USDT на Tron).

Лицензирование: что готовить на старте

Практика для проектов и интерфейсов DeFi

• Разделите «некастодиальный код» и «централизованные интерфейсы»: последние обычно подпадают под промо/AML-требования.
• В интерфейсах применяйте маршрутизацию по «белым» пулам/мостам и предупреждения пользователю — см. Privacy Pools и ERC-5564 как примеры приватности с комплаенсом.
• Ведите реестр сетей/контрактов по листингам, фиксируйте правила redeem для стейблкоинов и публикуйте методологию PoR/PoL.

Риски и «красные флаги»

• Оказание услуг в Дубае без лицензии VARA при фактическом таргетинге местных резидентов.
• Аggressive-маркетинг «доходности» без раскрытий и проверок suitability.
• Отсутствие сегрегации и прозрачности по резервам.
• Игнор Travel Rule и слабый транзакционный мониторинг.
• Недостаточная ИБ: единая точка компрометации ключей, отсутствие журналов/BCP.

Мини-чек-листы

Запуск VASP в Дубае

1. Определите набор лицензий (exchange/broker/custody/…); учтите, что DIFC регулируется DFSA, а не VARA.
2. Подключите KYC/KYB и санкционный скрининг; опишите RBA-матрицы.
3. Встроите Travel Rule и процессы для self-custody адресов.
4. Настройте кастоди (MPC/мультисиг), лимиты и PoR/PoL-отчётность.
5. Утвердите ИБ-политики и BCP/DRP; проведите пентест.
6. Введите промо-процедуру pre-approval и предупреждения в интерфейсе.

Для пользователей

1. Проверяйте в реестрах статус платформы и её лицензии.
2. Смотрите публичные доказательства резервов/обязательств и сетей вывода (см. резервы).
3. Избегайте обещаний «безрисковой доходности»; соблюдайте гигиену кошельков (см. руководство по дрейнерам).

Частые вопросы (FAQ)

VARA покрывает весь Дубай? Да, кроме DIFC (финансовая свободная зона со своим регулятором DFSA). Если вы таргетируете клиентов в Дубае вне DIFC — это контур VARA.

Нужна ли лицензия всем, кто «просто делает интерфейс»? Зависит от фактов бизнеса. Если интерфейс организует обмен/хранение/переводы для клиентов, VARA может рассматривать его как VASP-деятельность. Обратите внимание на промо и AML-обязанности.

Можно ли рекламировать продукты с доходностью? Только с жёсткими раскрытиями и в рамках правил промо. Гарантировать доход — нельзя.

Как стейблкоины вписываются в режим VARA? Листинг/маршрутизация учитывают статус эмитента, резервы и админ-функции в связке с федеральными нормами ОАЭ. См. blacklists и USDT на Tron.

См. также

• Регулирование крипторынка
• KYC/AML
• Blockchain-аналитика
• PoR/PoL — резервы и обязательства
• Blacklists у стейблкоинов
• USDT на Tron
• FATF • SFC (Гонконг) • MAS (Сингапур) • SEC (США)