4.8. Overførsler af kryptoaktiver foretaget fra eller til selvhostede adresser i overensstemmelse med artikel 14, stk. 5, og artikel 16, stk. 2, i forordning (EU) 2023/1113

CASP'er og ICASP'er bør betragte en overførsel af et kryptoaktiv som individuelt identificeret, når:

• a) der anvendes en unik identifikator for hver overførsel, f.eks. et overførselshash eller referencenummer, eller
• b) yderligere oplysninger er inkluderet i overførslen for at hjælpe med at identificere overførslen.

4.8.2. Identifikation af en overførsel fra eller til en selvhostet adresse

For at afgøre, om en selvhostet adresse anvendes i den anden ende af en overførsel, bør ordregiverens CASP og ordremodtagerens CASP basere sig på tilgængelige tekniske midler, herunder, men ikke begrænset til, blockchainanalyser, tredjepartsdataleverandører og identifikatorer anvendt af meddelelsessystemer.

Hvis sådanne oplysninger ikke kan indhentes ved hjælp af tekniske midler, bør ordregiverens CASP og ordremodtagerens CASP indhente disse oplysninger direkte fra sin kunde. Hvis ordregiverens CASP og ordremodtagerens CASP i så fald fastslår, at overførslen foretages til eller fra en anden CASP, bør ordregiverens CASP og ordremodtagerens CASP tage de nødvendige skridt til præcist at identificere modpartens CASP.

Ordregiverens CASP bør foretage denne vurdering, inden overførslen initieres, og inden oplysningerne videresendes, i overensstemmelse med artikel 14, stk. 5, i forordning (EU) 2023/1113. Ordremodtagerens CASP bør foretage denne vurdering, inden kryptoaktiverne stilles til rådighed for ordremodtageren, i overensstemmelse med artikel 16, stk. 2, i nævnte forordning.

4.8.3. Identifikation af ordregiveren og ordremodtageren i en overførsel fra eller til en selvhostet adresse

Hvis der anvendes en selvhostet adresse i den anden ende af overførslen, bør CASP'er indhente oplysningerne om ordregiveren eller ordremodtageren fra deres kunde.

4.8.4. Overførsler på over 1 000 EUR og bevis for ejerskab af eller ansvar for en selvhostet adresse

CASP'er bør afgøre, om en overførsel, der involverer en selvhostet adresse, beløber sig til eller overstiger 1 000 EUR:

• a) på det tidspunkt, hvor der blev afgivet ordre om overførslen, eller overførslen blev foranlediget, når der er tale om ordregiverens CASP, eller
• b) på modtagelsestidspunktet, når der er tale om ordremodtagerens CASP.

For at afgøre, om værdien af overførsler fra eller til selvhostede adresser er over 1 000 EUR, bør CASP'erne anvende valutakursen for det kryptoaktiv, der overføres, til at bestemme dets værdi i euro på tidspunktet for overførslen og uanset eventuelle transaktionsgebyrer.

For at vurdere, om ordregiveren eller ordremodtageren er henholdsvis ejer af eller ansvarlig for den selvhostede adresse, bør CASP'er anvende mindst én af følgende kontrolmetoder:

• a) uovervåget kontrol som specificeret i retningslinjerne for anvendelse af løsninger med fjernidentificering af kunder i henhold til artikel 13, stk. 1, i direktiv (EU) 2015/849⁹ , hvor adressen vises
• b) overvåget kontrol som specificeret i retningslinjerne for anvendelse af løsninger med fjernidentificering af kunder i henhold til artikel 13, stk. 1, i direktiv (EU) 2015/849
• c) afsendelse af et forud fastsat beløb (helst den mindste pålydende værdi af et bestemt kryptoaktiv), fastsat af CASP'en, fra og til den selvhostede adresse til CASP'ens konto
• d) anmodning om, at kunden underskriver en bestemt besked digitalt i konto- og tegnebogssoftwaren med den nøgle, der svarer til den pågældende adresse
• e) andre egnede tekniske midler, så længe de muliggør en pålidelig og sikker vurdering, og CASP'en er forvisset om, at den ved, hvem der ejer eller er ansvarlig for adressen.

⁹ EBA/GL/2022/15.

Hvilke(n) metode(r) der skal vælges, bør bero på:

• a) den selvhostede adresses tekniske kapacitet
• b) robustheden af den vurdering, som hver enkelt metode tilbyder
• c) ML/TF-risikoen.

Hvis en metode ikke i sig selv er tilstrækkeligt pålidelig til med rimelighed at fastslå, hvem der ejer eller er ansvarlig for en selvhostet adresse, bør CASP'en anvende en kombination af metoder.

Hvis CASP'en er forvisset om, at dens kunde er ejer af eller ansvarlig for den selvhostede adresse, bør den dokumentere dette i sine systemer og behøver ikke igen at anvende ovennævnte foranstaltninger på efterfølgende transaktioner fra/til den samme adresse ("whitelisting"). En CASP, der gør brug af whitelisting, bør have indført kontroller til at identificere ændringer med hensyn til ML/TF-risikoen i forbindelse med den selvhostede adresse og med hensyn til ejerskab og ansvar. Hvis CASP'en fastslår, at ML/TF-risikoen for den selvhostede adresse har ændret sig, eller at der er tegn på, at dens kunde ikke længere er ejer af eller ansvarlig for den selvhostede adresse, bør den fjerne denne adresse fra sin whitelist.

4.8.5. Begrænsende foranstaltninger, der skal anvendes i forbindelse med overførsler fra eller til en selvhostet adresse

CASP'er bør vurdere den risiko, der er forbundet med overførsler fra eller til en selvhostet adresse som fastsat i afsnit 4.5.3 og i overensstemmelse med EBA's retningslinjer vedrørende ML/TF-risikofaktorer, ved hjælp af alle oplysninger vedrørende ordregivere og ordremodtagere, mønstre og geografiske områder samt oplysninger fra tilsynsmyndigheder, retshåndhævende myndigheder og tredjeparter.

CASP'er bør anvende mindst én af de risikobegrænsende foranstaltninger identificeret i artikel 19a, stk. 1, i direktiv (EU) 2015/849, der står i et rimeligt forhold til de identificerede risici, herunder hvis CASP'en:

• a) er eller bliver opmærksom på, at oplysningerne om den ordregiver eller ordremodtager, der bruger den selvhostede adresse, er unøjagtige; eller
• b) støder på usædvanlige eller mistænkelige transaktionsmønstre eller situationer med højere ML/TF-risiko i forbindelse med overførsler, der involverer selvhostede adresser, i overensstemmelse med EBA's retningslinjer vedrørende ML/TF-risikofaktorer.

Hvis det som følge af vurderingen i afsnit 4.8.4 fastslås, at en tredjepart – og ikke CASP'ens kunde – er ejer af eller ansvarlig for den selvhostede adresses, kan den kontrol, der er omhandlet i artikel 19a, stk. 1, litra a), i direktiv (EU) 2015/849, anses for at have fundet sted, hvis:

• a) CASP'en indhenter yderligere data fra andre kilder for at kontrollere de indsendte oplysninger, herunder, men ikke begrænset til, analytiske blockchaindata, tredjepartsdata, anerkendte myndigheders data og offentligt tilgængelige oplysninger, så længe disse er pålidelige og uafhængige.
• b) CASP'en anvender andre passende midler, så længe CASP'en er forvisset om, at den kender identiteten af ordregiveren eller ordremodtageren, og kan påvise dette over for sin kompetente myndighed.

Hvis sådanne overførsler giver anledning til mistanke om ML/TF, bør CASP'er foretage indberetning til den finansielle efterretningsenhed i overensstemmelse med direktiv (EU) 2015/849.