Ганган і Партнери · Legal Outlook 2026

Digital Assets & Cross-Border Legal Risk Outlook 2026

Віртуальні активи та транскордонні юридичні ризики: Україна — Європейський Союз

MiCAвихід українських проєктів до ЄСAML/Travel RuleDAC8санкціїкриптозлочиниелектронні доказиповернення активів

В'ячеслав Ганган, Ганган і Партнери · Київ · 25 серпня 2026 року

Завантажити PDF Обговорити свій кейс

Поділитися

Зміст

Executive Brief
Ключові висновки
1. Україна: ринок існує, спеціальний режим формується
2. Функція продукту важливіша за назву токена
3. Вихід до ЄС починається з класифікації
4. CASP-авторизація та межі reverse solicitation
5. Travel Rule: транзакція стає пакетом ідентифікаційних даних
6. DAC8: криптооперації входять до автоматичного обміну
7. Stablecoins, DeFi, P2P та offshore VASPs
8. Санкційний ризик не обмежується перевіркою імені
9. Компрометація доступу — один із ключових векторів криптоінцидентів
10. Перші 48 годин після криптоінциденту
11. Електронні докази та повернення активів
12. Готовність проєкту: 20 контрольних питань
13. Практичний план на 90 днів
14. Прогноз: що визначатиме 2027 рік
Джерела
Методологія та застереження

Executive Brief

Головне у 2026 році

Одна теза

Для криптопроєкту більше недостатньо правильно назвати продукт. Регулятори оцінюють, що він фактично робить: зберігає активи, виконує переказ, організовує торгівлю, надає кредит, залучає інвестиції чи забезпечує платіж.

Контур	Що змінилося
ЄС	Максимальний перехідний режим MiCA завершився 1 липня 2026 року. Надання охоплених MiCA послуг клієнтам ЄС без авторизації загалом заборонене; reverse solicitation є вузьким винятком. [1, ст. 61, 143; 6]
Україна	Закон № 2074-IX не набрав чинності. Станом на 25 серпня 2026 року законопроєкт № 10225-д готується до другого читання; очікувані правила не є чинним правом. [29; 30]
AML	За self-reported опитуванням FATF 83% зі 129 юрисдикцій-респондентів повідомили про ухвалення законодавства щодо Travel Rule; практичне застосування залишається нерівномірним. [12]
Податки	У 2026 році Reporting Crypto-Asset Service Providers, що підпадають під DAC8, збирають звітні дані; перший обмін має відбутися до 30 вересня 2027 року з урахуванням національних строків. [10; 11]
Спори	Швидке збереження адрес, хешів транзакцій, логів і комунікацій підвищує шанси на повернення активів, але технічне відстеження не дорівнює юридичному заморожуванню. [17-19; 23]

Кому адресовано

Звіт призначений для українських засновників, інвесторів, фінтех- і Web3-команд, провайдерів OTC, кастодіальних і платіжних рішень, а також бізнесу, який приймає криптоактиви або стикається з блокуванням, шахрайством чи транскордонним розслідуванням.

Ключові висновки

1Максимальний перехідний режим MiCA для CASP, які діяли до 30 грудня 2024 року, завершився 1 липня 2026 року; надання охоплених послуг у ЄС без авторизації загалом заборонене, крім вузьких винятків. [1, ст. 143; 6]
2Закон України № 2074-IX ухвалений, але не набрав чинності; законопроєкт № 10225-д станом на 25 серпня 2026 року готується до другого читання. [29; 30]
3Токенізація не змінює економічну сутність операції: у справі Crypsee НБУ виявив ознаки фактичного гривневого споживчого кредитування, оформленого як позики в USDT. [34]
4Reverse solicitation тлумачиться вузько: сама доступність сайту не є вирішальною; оцінюються всі обставини, зокрема локалізація, реклама, SEO/SEM, affiliates та influencers. [1, ст. 61; 4]
5За self-reported опитуванням FATF 83% зі 129 юрисдикцій-респондентів повідомили про ухвалення законодавства щодо Travel Rule; практичний нагляд та enforcement залишаються нерівномірними. [12]
6DAC8 охоплює RCASP, які підпадають під імплементовані національні правила: у 2026 році вони збирають звітні дані, а перший обмін має відбутися до 30 вересня 2027 року. [10; 11]
7Санкційна перевірка охоплює особу, адресу, ownership/control та on-chain exposure; кластер є ризиковим індикатором, а не самостійним доказом контролю. Правила ЄС та OFAC застосовуються окремо. [24-28]
8Компрометація доступу є одним із ключових векторів криптоінцидентів; типовими механізмами є phishing, malicious signatures, social engineering, infostealers, session theft та SIM swap. [14; 23; 35]
9Дії в перші години та дні впливають на збереження доказів і можливість recovery; добровільний risk hold платформи слід відрізняти від процесуального freezing або seizure. [17-19; 23]
10З 18 серпня 2026 року Regulation (EU) 2023/1543 застосовується в ЄС до визначених service providers; фінансові послуги виключені, а Україна не видає EPOC/EPOC-PR безпосередньо. [15; 16; 36]

UKRAINE

1. Україна: ринок існує, спеціальний режим формується

Закон України № 2074-IX «Про віртуальні активи» ухвалений у 2022 році, але не набрав чинності. Законопроєкт № 10225-д 3 вересня 2025 року прийнято за основу з доопрацюванням; станом на 25 серпня 2026 року він готується до другого читання. Положення законопроєкту не слід подавати як чинне право. [29; 30]

Юридичне правило обережності

У презентаціях, договорах і юридичних висновках слід чітко розділяти: (1) чинне право; (2) ухвалений, але нечинний Закон № 2074-IX; (3) положення законопроєкту № 10225-д, які можуть змінитися до остаточного голосування. [29; 30]

Що вже діє незалежно від спеціального закону

—цивільне, господарське та корпоративне право — для договорів, прав на програмний код, токеноміки, відповідальності та відшкодування;
—законодавство про фінансові та платіжні послуги — якщо економічна сутність продукту відповідає регульованій послузі;
—законодавство про фінансовий моніторинг — для належної перевірки, походження активів і підозрілих операцій у межах його чинної сфери;
—податкове, валютне, споживче, рекламне та санкційне законодавство;
—кримінальне і кримінальне процесуальне право — у справах про шахрайство, несанкціонований доступ, легалізацію доходів, арешт і спеціальну конфіскацію.

Практичний висновок

Відсутність чинного спеціального режиму не означає відсутності застосовного права. Водночас спеціальні регуляторні та процедурні прогалини зберігаються. Проєкт може підпадати під кілька чинних режимів; кваліфікація залежить від фактичних грошових потоків, договорів, реклами та розподілу контролю. [29-33]

Офіційні джерела: Закон № 2074-IX [29]; законопроєкт № 10225-д [30]; Закон № 361-IX [31]; КПК України [32]; матеріали Ради з фінансової стабільності / НБУ [33].

REGULATORY SIGNAL

2. Функція продукту важливіша за назву токена

2 квітня 2026 року НБУ повідомив про заборону діяльності онлайн-сервісу Crypsee. За результатами аналізу правочинів НБУ виявив ознаки надання фінансової послуги з надання коштів у кредит: формально оформлені позики в USDT фактично мали ознаки гривневого споживчого кредитування без належного регуляторного режиму. Висновок ґрунтувався на змісті договорів, фактичних розрахунках, вартості кредиту, розкритті інформації та захисті споживачів. [34]

Сигнал для ринку

Токенізація не «переписує» економічну сутність операції. USDT, smart contract або нерезидент у структурі не усувають вимоги, що застосовуються до фактичної фінансової послуги.

Крок	Питання
1. Актив	Що отримує користувач: право вимоги, частку прибутку, доступ, платіжний інструмент, забезпечення чи лише цифровий запис?
2. Послуга	Хто контролює ключі, виконує перекази, обмін, кастодію, matching orders, розміщення або консультацію?
3. Грошовий потік	У якій валюті фактично видаються та повертаються кошти; хто приймає spread, fee, interest або performance return?
4. Маркетинг	Кому і де адресована реклама; чи обіцяє вона дохідність, ліквідність, кредит або захист капіталу?
5. Контроль	Хто може змінити smart contract, заблокувати wallet, оновити protocol, вилучити liquidity або зупинити операцію?
6. Юрисдикція	Де перебувають клієнти, команда, сервери, банк, кастодіан та особа, яка приймає ключові рішення?

Документи, які мають узгоджуватися

White paper, Terms of Use, Privacy Notice, AML/KYC Policy, sanctions policy, risk disclosures, custody terms, token allocation, treasury policy та фактичний UX повинні описувати одну й ту саму модель. Розрив між документами і продуктом — окремий доказовий та регуляторний ризик.

Офіційні джерела: рішення НБУ щодо Crypsee [34]; MiCA [1]; настанови ESMA щодо кваліфікації криптоактивів як фінансових інструментів [5].

EUROPEAN UNION

3. Вихід до ЄС починається з класифікації

MiCA не охоплює всі цифрові активи. Перший юридичний крок — встановити, чи є інструмент криптоактивом у розумінні MiCA або підпадає під інший режим: фінансових інструментів, депозитів, структурованих депозитів, коштів (крім e-money tokens), сек'юритизаційних позицій, страхових або пенсійних продуктів. Оцінка здійснюється індивідуально з урахуванням прав та економічної сутності. [1, ст. 2; 5]

Substance over form у ЄС

ESMA вимагає технологічно нейтрального підходу: якщо токен надає права, еквівалентні акціям, облігаціям або іншим transferable securities, його слід оцінювати за MiFID II, а не лише за MiCA.

Класифікаційна брама	Що перевірити
Financial instrument?	Перевірити права на прибуток, управління, погашення, оборотність і стандартизацію. Жодна ознака не є вирішальною сама по собі; потрібна індивідуальна оцінка за категоріями MiFID II. [5]
EMT	Токен підтримує стабільну вартість шляхом прив’язки до однієї офіційної валюти.
ART	Стабільність пов'язана з іншою вартістю, правом або комбінацією активів/валют.
Інший crypto-asset	Utility, exchange або інший токен, що не виключений зі сфери MiCA.
NFT / унікальність	Назва NFT не є достатньою. Серії, взаємозамінність і фактичні права потребують окремої оцінки.
DeFi	Оцінити, чи послуга надається повністю децентралізовано без посередника; для AML/FATF — чи є особа або група з контролем або достатнім впливом.

Вихідний документ

До запуску маркетингу варто мати меморандум про класифікацію з описом токена, прав користувача, грошових потоків, прав контролю, географії та мотивованого висновку про застосовний режим. Це робочий доказ належної підготовки, а не формальна довідка.

Офіційні джерела: MiCA, зокрема стаття 2 [1]; настанови ESMA щодо фінансових інструментів [5]; сторінка ESMA щодо MiCA та Interim Register [3].

MARKET ACCESS

4. CASP-авторизація та межі reverse solicitation

MiCA вимагає авторизації для надання охоплених crypto-asset services у ЄС. Дозвіл визначає перелік послуг і може використовуватися в Союзі за правилами passporting. Максимальний перехідний режим для провайдерів, які діяли до 30 грудня 2024 року, завершився 1 липня 2026 року; для окремого CASP він міг завершитися раніше через національний строк або рішення щодо авторизації. [1, ст. 59, 143; 6]

Reverse solicitation — вузький виняток

Стаття 61 MiCA встановлює вузький виняток з вимоги авторизації для фірми з третьої країни, якщо клієнт ЄС звернувся виключно з власної ініціативи. Виняток не створює права рекламувати нові типи активів або послуг і оцінюється за всіма фактичними обставинами. [1, ст. 61; 4]

Група	Приклади регульованих функцій
Custody	зберігання/адміністрування crypto-assets або засобів доступу
Trading platform	керування платформою торгівлі
Exchange	обмін crypto-assets на funds або інші crypto-assets
Orders	execution, reception/transmission або placement
Advice / portfolio	поради або управління портфелем crypto-assets
Transfer	переказ crypto-assets від імені клієнта

Практичний зміст ризику

—Ймовірні ознаки залучення: таргетована реклама в ЄС; локалізовані кампанії; affiliates та influencers; заходи; географічно орієнтовані SEO/SEM; локальні телефонні номери. Сама доступність сайту не є вирішальною. [4]
—Не усувають порушення: disclaimer про ініціативу клієнта, вибір права третьої країни або checkbox, якщо фактичні обставини свідчать про solicitation. [4]
—Вимоги застосовуються і в B2B-контексті: ESMA прямо поширює підхід до unauthorized CASPs на відносини між професійними учасниками. [6]

Офіційні джерела: MiCA, статті 59, 61 і 143 [1]; ESMA reverse solicitation [4]; заява ESMA про завершення перехідного режиму [6]; MiCA register [3].

AML / CFT

5. Travel Rule: транзакція стає пакетом ідентифікаційних даних

Regulation (EU) 2023/1113 застосовується з 30 грудня 2024 року і визначає інформацію про originator та beneficiary, яка має супроводжувати перекази криптоактивів. CASP повинен мати процедури щодо відсутніх або неповних даних, ризик-орієнтованої оцінки та операцій із self-hosted addresses. [2; 7]

Глобальний контекст FATF 2026

За результатами self-reported опитування FATF 83% зі 129 юрисдикцій-респондентів повідомили про ухвалення законодавства щодо Travel Rule. Майже половина юрисдикцій, які вже мають такі правила, ще не здійснювали пов'язаних наглядових або enforcement actions. FATF не проводила незалежної перевірки відповідей.

6. DAC8: криптооперації входять до автоматичного обміну

Держави-члени застосовують правила DAC8 з 1 січня 2026 року. Reporting Crypto-Asset Service Providers (RCASP), які підпадають під імплементовані національні норми, збирають дані про reportable transactions користувачів — податкових резидентів ЄС. Перший обмін інформацією за 2026 рік має відбутися до 30 вересня 2027 року. [10; 11]

Період	Обов'язок / наслідок
2026	Збір self-certifications, tax residence, TIN та даних про reportable transactions.
До 30.09.2027	Перша звітність та обмін за 2026 рік — з урахуванням національних строків і форматів. [10; 11]
Після звітування	Автоматичний обмін між податковими адміністраціями; можливе зіставлення з банківськими, корпоративними й AML-даними.

Що має зробити провайдер

—провести scope analysis: чи є він Reporting Crypto-Asset Service Provider;
—перебудувати onboarding для tax residency і self-certification;
—визначити reportable users, transactions, valuation methodology та data lineage;
—узгодити DAC8 із GDPR, AML recordkeeping та внутрішніми строками зберігання;
—перевірити single registration obligations для провайдера поза ЄС, якщо вони застосовуються;
—підготувати процедури виправлення помилкових TIN, дублювання акаунтів і зміни податкової резидентності.

Для українського засновника

Іноземна компанія, рахунок або wallet не роблять операцію «невидимою». Важливо завчасно узгодити особисту податкову резидентність, корпоративну структуру, контроль над treasury та облік acquisition cost.

Офіційні джерела: Council Directive (EU) 2023/2226 [10]; European Commission: DAC8 [11].

EMERGING RISK MAP

7. Stablecoins, DeFi, P2P та offshore VASPs

FATF у звітах 2026 року виділяє ризики індустріалізації шахрайства, зловживання stablecoins, P2P-переказів через unhosted wallets та offshore VASPs. У звіті про DeFi від 21 липня 2026 року зазначено: 132 зі 143 юрисдикцій-респондентів (майже 93%) не імплементували стандарти FATF щодо qualifying DeFi arrangements; лише 2 зі 142 повідомили про фактичне ліцензування або реєстрацію. Дані є self-reported. [12; 13]

Принцип пропорційності

Ризикова ознака не дорівнює незаконності. Юридично стійка система має не лише виявляти alerts, а й забезпечувати їх перевірку, документування контексту, право клієнта надати пояснення та обґрунтоване рішення: proceed, enhanced due diligence, hold, reject, exit або report.

Сегмент	Чому виникає ризик	Що перевіряється
Stablecoins	висока швидкість і глобальна ліквідність	reserve/issuer, freezing policy, sanctions exposure, chain and bridge risk
DeFi	розподілений інтерфейс, але можливий фактичний контроль	admin keys, governance concentration, fee capture, upgrade rights, front-end control
P2P / unhosted	відсутність regulated counterparty на одній стороні	wallet control, source/destination, behavioural pattern, purpose
Offshore VASP	послуга доступна глобально без дієвого нагляду	licence authenticity, jurisdiction, ownership, enforcement history, exit path
Bridge / mixer	ускладнення маршруту і підвищення alert score	legitimate rationale, pre/post-chain evidence, sanctions/illicit exposure

Помилка двох крайнощів

Небезпечно як ігнорувати on-chain indicators, так і автоматично вважати злочинною будь-яку операцію зі stablecoin, self-hosted wallet, DeFi або privacy tool.

Офіційні джерела: FATF Seventh Targeted Update [12]; FATF Targeted Report on DeFi [13]; EBA ML/TF Risk Factors Guidelines [8].

SANCTIONS

8. Санкційний ризик не обмежується перевіркою імені

Станом на 25 серпня 2026 року консолідовані санкційні FAQs Європейської Комісії оновлено 24 серпня 2026 року. Перевірку слід починати з первинних актів і звіряти з актуальним FAQ. Критерії ownership/control ЄС та OFAC застосовуються окремо в межах відповідного режиму. OFAC рекомендує tailored, risk-based program, зокрема geolocation, IP blocking, sanctions screening та blockchain analytics. Повідомлення про підозрілу діяльність подається лише тоді, коли це передбачено BSA/AML або іншим застосовним законодавством. [24-28]

Рівень	Що перевіряти
Особа	name, aliases, DOB, citizenship, residence, ownership/control
Адреса	wallet address, on-chain exposure і кластер як ризикові індикатори; зв'язок з особою та фактичний контроль потребують ручної перевірки
Сервіс	exchange, mixer, bridge, OTC broker, payment processor, hosted/unhosted status
Географія	IP, device, residence, bank, corporate seat, shipping/service location
Призначення	economic rationale, source of funds/wealth, recipient and end use
Контроль	власники та особи, що фактично контролюють company, protocol або treasury

Що має містити sanctions compliance framework

—визначення окремого переліку застосовних режимів: Україна, ЄС, ООН, США/OFAC та інші залежно від nexus;
—screening під час onboarding, перед транзакцією та в межах ongoing monitoring;
—окремі правила ownership/control для кожного застосовного санкційного режиму;
—on-chain analytics із визначеними thresholds та обов'язковою ручною перевіркою;
—процедури блокування, відмови, повідомлення, збереження доказів і legal privilege;
—контроль geofencing, affiliates, contractors та outsourced providers.

Офіційні джерела: санкційна політика ЄС [24]; Regulations (EU) No 269/2014 і No 833/2014 [25; 26]; FAQs Європейської Комісії [27]; guidance OFAC [28].

CYBERCRIME & FRAUD

9. Компрометація доступу — один із ключових векторів криптоінцидентів

Europol у IOCTA 2026 описує зростання онлайн-шахрайства, використання AI, end-to-end encryption та proxy infrastructure. Під час розслідування як типові вектори слід перевіряти phishing, malicious signatures, social engineering, infostealers, викрадення session tokens, SIM swap та compromised devices. [14; 23; 35]

Доказовий пріоритет

Недостатньо зберегти лише хеш транзакції. Кваліфікований форензичний спеціаліст має створити форензичні копії (образи), обчислити контрольні хеш-значення, зафіксувати ланцюг зберігання та зберегти оригінальні носії без змін. Також важливі browser history, extension logs, email headers, chat exports, session data, IP/device notifications, API history, smart-contract approvals, DNS/hosting data і точна часова шкала. [23]

Вектор	Механіка
Phishing / drainer	підроблений сайт або dApp змушує підписати дозвіл чи транзакцію
Business email compromise	підміна платіжних реквізитів, wallet address або контрагента
Infostealer	викрадення cookies, passwords, wallet extensions, API keys
SIM swap / account takeover	перехоплення 2FA, email або exchange account
Fake investment / pig butchering	тривале формування довіри та контрольований «інвестиційний» інтерфейс
Insider / key misuse	зловживання доступом до treasury, multisig або withdrawal rules

Роль юриста з першої години

Визначити legal hold, межі внутрішнього розслідування, privilege, повідомлення регуляторам і контрагентам та підготувати preservation/freezing requests без передчасних неперевірених тверджень. Настанови INTERPOL є технічним орієнтиром для правоохоронців; корпоративна команда має діяти через кваліфікованого спеціаліста та на належній правовій підставі. [23]

Офіційні джерела: Europol IOCTA 2026 [14]; INTERPOL Digital Forensics First Responders [23]; актуальні рекомендації Кіберполіції [35].

INCIDENT RESPONSE

10. Перші 48 годин після криптоінциденту

Рекомендований авторський incident-response protocol — практичний орієнтир команди, а не встановлена законом процедура.

Час	Ціль	Ключові дії
0–2 години	Зупинити втрати	ізолювати compromised devices; revoke sessions/approvals; pause withdrawals, якщо дозволено; не видаляти дані
0–4 години	Зафіксувати	wallets, tx hashes, chain, timestamps, fiat accounts, URLs, domains, emails, chats, screenshots і суму
2–8 годин	Зберегти докази	форензичні копії та експорт логів; контрольні хеші; chain of custody; legal hold; журнал дій команди
2–12 годин	Сповістити точки контролю	preservation requests; приватний risk hold і процесуальне freezing слід розмежовувати
4–24 години	Побудувати маршрут	on-chain tracing, attribution hypotheses, bridges/swaps, deposit addresses, off-ramp points
6–24 години	Розпочати правовий контур	заява/повідомлення; процесуальна стратегія; юрисдикції; контакт з компетентними органами
24–48 годин	Координувати	follow-up з platforms та authorities; уточнені додатки; litigation/regulatory notifications; recovery plan

Чого не робити

—не вести переговори з імовірним зловмисником без узгодженої стратегії;
—не публікувати wallet addresses або деталі атаки до оцінки наслідків;
—не перезавантажувати та не «чистити» пристрої, які можуть містити докази;
—не надсилати seed phrase, private key або повну форензичну копію третім особам;
—не називати конкретну особу злочинцем до належної перевірки та процесуальної оцінки;
—не обіцяти клієнту гарантоване повернення: blockchain tracing не дорівнює юридичному freezing.

Критична залежність

Технічне встановлення destination wallet створює lead. Для фактичного повернення потрібні ідентифікація контрольної особи, юрисдикція, правова підстава, швидка взаємодія з платформою та процесуальне рішення компетентного органу.

Офіційні джерела: INTERPOL [23]; Europol IOCTA 2026 [14]; Regulation (EU) 2023/1543 [15]; Будапештська конвенція [19].

CROSS-BORDER INVESTIGATIONS

11. Електронні докази та повернення активів

Криптоінцидент майже завжди розподілений між кількома юрисдикціями: потерпілий, пристрій, exchange, stablecoin issuer, bank, cloud provider і підозрювана особа можуть бути в різних державах. Тому юридична стратегія має проєктуватися як multi-jurisdiction evidence map.

ЄС: e-Evidence застосовується з 18 серпня 2026 року

Regulation (EU) 2023/1543 дозволяє компетентним судовим органам держав-членів ЄС вимагати від визначених service providers в іншій державі-члені видачі або збереження електронних даних. Фінансові послуги виключені зі сфери Регламенту. Україна не може безпосередньо видавати EPOC/EPOC-PR; для неї застосовуються національні процедури, MLA та Будапештська конвенція. Акт не є підставою для freezing чи confiscation. [15, ст. 3, 34; 16; 19-22]

Джерело	Що може містити	Механізм
Blockchain	transactions, addresses, token contract, bridge, approvals	публічні дані; аналітика як investigative lead; достовірність і допустимість встановлюються процесуально
Platform	KYC, IP/device, deposits/withdrawals, linked accounts	preservation; law-enforcement/judicial request
Bank / PSP	fiat off-ramp, beneficiary, account statements	процесуальний запит або рішення; FIU-to-FIU exchange надає розвідінформацію, але не замінює отримання доказів
Cloud / telecom	subscriber, traffic, access logs, domain/hosting	Будапештська конвенція / MLA; e-Evidence лише для визначених провайдерів та компетентних органів ЄС
Corporate	ownership, directors, UBO, contractual counterparties	official registries, disclosure, judicial measures
Physical device	wallet files, keys, sessions, chats, source code	форензичне копіювання із документованим ланцюгом зберігання та контрольними хешами

Послідовність повернення активів

—preserve — не допустити знищення даних;
—trace — встановити маршрут і точки можливого контролю;
—attribute — пов'язати адресу або акаунт із конкретною особою чи сервісом;
—risk hold — просити платформу про добровільне тимчасове обмеження за її правилами;
—freeze/seize — отримати належне процесуальне рішення компетентного органу;
—adjudicate — довести право на актив і підстави вилучення або повернення;
—return — виконати рішення з урахуванням custody, chain, tax і sanctions issues.

Офіційні джерела: e-Evidence [15; 16; 36]; freezing/confiscation [17; 18]; Будапештська конвенція та українська реформа [19-22]; КПК України [32]; INTERPOL [23].

12. Готовність проєкту: 20 контрольних питань

Блок	Контрольне питання
Класифікація	Чи є актуальний classification memo для кожного token/service?
Периметр ЄС	Які держави, мови, домени, affiliates та канали маркетингу охоплюються?
Ліцензія	Яка юридична особа надає кожну послугу і на підставі якого дозволу?
Reverse solicitation	Чи існують докази exclusive initiative, а не лише disclaimer?
White paper	Чи узгоджуються права токена, ризики, tokenomics і фактичний код?
Custody	Хто контролює keys, recovery, withdrawals і segregation?
AML	Чи документовані risk appetite, KYC/KYB, EDD та monitoring?
Travel Rule	Чи передаються/отримуються дані і як обробляються винятки?
Self-hosted wallets	Як верифікується control і за яких умов потрібна EDD?
Sanctions	Які списки, ownership rules та wallet indicators перевіряються?
DAC8	Чи визначені RCASP status, reportable users і data fields? [10; 11]
DORA / ICT	Якщо DORA застосовується, чи діють incident, continuity, testing і third-party risk frameworks? [9]
Privacy	Чи є lawful basis, notices, transfers і retention schedule?
Market abuse	Якщо Title VI MiCA застосовується до активів, допущених до торгівлі або щодо яких подано запит на допуск, чи контролюються зловживання? [1]
Treasury	Чи документовані source, approvals, multisig і related-party flows?
Vendors	Чи перевірені banks, custodians, analytics, bridges та issuers?
Evidence	Чи логуються дії так, щоб їх можна було використати у спорі?
Incident	Чи є 24/7 contact tree і готові preservation templates?
Insurance	Чи відповідає покриття cyber/crime/D&O фактичній моделі?
Board	Чи отримує керівний орган регулярні metrics, incidents і regulatory updates?

13. Практичний план на 90 днів

Період	Фокус	Результат
Дні 1–15	Scope & facts	product map; entities; jurisdictions; token/service classification; gap list
Дні 16–30	Legal architecture	licensing route; contracting chain; marketing perimeter; roles/controllers
Дні 31–50	Compliance design	AML/Travel Rule; sanctions; DAC8; privacy; complaints; recordkeeping
Дні 51–70	Operationalisation	vendor controls; monitoring rules; incident playbook; staff training; board reporting
Дні 71–85	Testing	sample onboarding; transaction alerts; self-hosted case; sanctions hit; cyber tabletop
Дні 86–90	Release gate	document sign-off; residual risk acceptance; launch restrictions; evidence pack

14. Прогноз: що визначатиме 2027 рік

Тренд	Ймовірний практичний наслідок
Enforcement після переходу	Після завершення MiCA transitional period увага зміщується від підготовки заявок до фактичного unauthorized activity, outsourcing і захисту клієнтських активів.
Data convergence	Travel Rule, DAC8, KYC, sanctions screening та blockchain analytics дедалі частіше формуватимуть єдиний профіль операції.
Stablecoins & unhosted wallets	Очікується детальніший risk-based контроль без тотожності між privacy/self-custody та незаконністю.
DeFi control tests	Юридичний аналіз концентруватиметься на admin keys, governance, fees, front-end і можливості змінювати protocol.
Українська рамка	Після остаточного рішення щодо законопроєкту № 10225-д бізнесу знадобиться перехід від очікуваної моделі до фактичних authorization, tax і supervisory requirements.
Electronic evidence	Після початку застосування Regulation (EU) 2023/1543 швидкість preservation/production для визначених провайдерів у межах ЄС зростатиме; точне визначення data category, provider і jurisdiction залишатиметься критичним. [15; 16; 36]

Фінальний висновок

У 2026–2027 роках юридична якість Web3-проєкту вимірюватиметься не кількістю disclaimers, а здатністю довести: хто контролює продукт, на якій правовій підставі він працює, звідки походять активи, як захищені клієнти та що відбудеться в перші години після інциденту — з урахуванням права конкретної юрисдикції та фактичної моделі.

Офіційні джерела

У звіті використані лише офіційні нормативні акти, реєстри, роз'яснення та аналітичні матеріали державних органів і міжнародних організацій. Стан джерел перевірено станом на 25 серпня 2026 року.

About this report

Методологія та застереження

Метод

Матеріал підготовлено шляхом аналізу нормативних актів, наглядових роз'яснень, публічних заяв, policy papers і risk reports. Показники FATF щодо Travel Rule та DeFi походять із self-reported опитувань і не перевірялися FATF незалежно. Прогнозні висновки відокремлено від чинних юридичних вимог. У тексті розмежовано обов'язкові норми, наглядові роз'яснення та авторські рекомендації. Англомовні терміни збережено лише для усталених правових і технічних понять.

Межі

Цей звіт має загальноінформаційний характер, не є індивідуальною юридичною, податковою, інвестиційною або фінансовою консультацією та не створює відносин адвокат–клієнт. Застосовне право залежить від структури продукту, юрисдикції, клієнтської бази, фактичних операцій і змін законодавства після дати звіту.

Про адвокатське об'єднання

«Ганган і Партнери» супроводжує складні кримінальні, регуляторні та транскордонні питання у сфері віртуальних активів: AML і блокування активів, криптошахрайство, електронні докази, міжнародне співробітництво, екстрадиція, санкційні ризики та вихід українських проєктів на ринок ЄС.

Можливі формати роботи: Product classification • EU market-entry risk review • AML/Travel Rule gap assessment • 48-hour crypto incident response • Cross-border evidence & asset recovery strategy

Потрібна оцінка вашого кейсу?

Класифікація продукту, аналіз ризиків виходу на ринок ЄС, AML/Travel Rule gap assessment або реагування на криптоінцидент протягом перших 48 годин.

Отримати консультацію