Офшорный iGaming со стороны выглядит довольно просто: бренд, сайт, лицензия Curaçao и компания-оператор. Но внутри все устроено куда сложнее. Утечка данных Curaçao Gaming Authority дала редкую возможность посмотреть на эту систему изнутри и разобраться, кто стоит за онлайн-казино, как выдаются лицензии и зачем одному бренду могут понадобиться десятки доменов.
Что вообще произошло на Curaçao
В конце 2025 года берлинская исследовательница по кибербезопасности Лилит Виттман решила проверить, насколько хорошо защищена система Curaçao Gaming Authority — регулятора, который выдает лицензии огромному количеству офшорных iGaming-компаний. И довольно быстро выяснилось, что защищена она, мягко говоря, не идеально.
В декабре Виттман зарегистрировалась в системе CGA, использовав имя сотрудника одной из трастовых компаний, уже знакомого регулятору. При этом вместо корпоративной почты она указала свой обычный Gmail и заявила, что представляет вымышленную компанию DreamCatcher Private Foundation. Несмотря на это, через несколько дней ей открыли доступ к лицензионному порталу.
Дальше история стала намного интереснее. Получив доступ, Виттман смогла добраться до внутренней информации регулятора и выгрузить десятки тысяч документов, связанных с сотнями iGaming-компаний. Внутри оказались заявки на лицензии, данные о владельцах, внутренние оценки CGA, паспорта, налоговые декларации и финансовая информация.
Сам слив в итоге превратился в международное расследование Casino Secrets. К изучению документов подключились журналисты Follow the Money, NRK, NDR, Jetzt и SVT. И самое интересное началось уже после того, как они стали сопоставлять документы между собой: кто указан владельцем компании, кто реально стоит за брендом, откуда у владельцев деньги и какие вопросы возникали у самого регулятора во время выдачи лицензий.
В результате журналистам удалось раскрыть личности примерно 800 владельцев почти 650 лицензированных gambling-компаний, которые в совокупности управляют тысячами сайтов. До этого значительная часть этих людей практически никак публично не связывалась с конкретными казино и букмекерскими брендами.
И вот здесь история перестает быть просто очередным «кого-то взломали и слили базу». По сути, исследователи получили возможность заглянуть внутрь системы, через которую годами проходила огромная часть офшорного iGaming, и посмотреть, как на самом деле устроены компании, кто ими владеет и какие проверки они проходили перед получением лицензии.
Пост в X Лилит
Что утечка показала про офшорный iGaming
Самое интересное в этой истории даже не сам факт взлома, а то, какие документы вообще хранились внутри системы Curaçao Gaming Authority.
Это была не просто база с названиями казино и номерами лицензий. В распоряжении Лилит Виттман оказались заявки компаний на получение лицензий, данные о владельцах и бенефициарах, корпоративные структуры, внутренние оценки регулятора, паспорта, налоговые декларации и финансовая информация.
Причем по документам можно было восстановить довольно подробную картину каждой компании: кто указан конечным владельцем, какую роль человек занимает внутри бизнеса, через какие юрлица построена структура и какие вопросы возникали у CGA во время проверки заявки. Журналисты Follow the Money отдельно вручную сверяли корпоративные схемы, декларации владельцев и финальные рекомендации сотрудников регулятора.
Кто на самом деле владеет онлайн-казино
Когда заходишь на сайт казино, обычно все выглядит максимально просто: есть бренд, где-то в футере указано юрлицо и рядом стоит лицензия Curaçao. Но бренд, компания-оператор и конечный владелец — далеко не всегда одно и то же.
Один из примеров — Blaze. За брендом стоит зарегистрированная на Curaçao компания Prolific Trade N.V., а в документах регулятора одним из ее владельцев указан 30-летний голландец Ник ван Горсел. До расследования связать конкретного человека с таким бизнесом через обычные корпоративные реестры было значительно сложнее. В декларации, которую ван Горсел подавал регулятору в 2024 году, он оценивал свои активы в €800 млн. Его партнер Николас Бегг указывал активы еще на €500 млн.
Но еще интереснее история со Stake. Публично с брендом много лет ассоциируются его основатели Эд Крейвен и Биджан Техрани. При этом в документах Curaçao владельцем Medium Rare N.V., компании, связанной со Stake на острове, был указан сербский предприниматель Младен Вучкович. В декларации для регулятора он заявил активы более чем на $1 млрд.
При этом у самого появились вопросы к такой структуре. Сотрудники регулятора обратили внимание на крупные займы и платежи между Medium Rare и структурами или людьми, связанными с Крейвеном и Техрани, хотя сами они в заявке на лицензию как владельцы указаны не были. Поэтому CGA ставил под сомнение, действительно ли Вучкович является единственным владельцем.
Важно: это именно вопросы регулятора из документов, а не доказательство того, что заявленная структура собственности была фиктивной.
Похожая история возникла и с 1xBet. В документах Curaçao владельцем и CEO компании Caecus N.V., связанной с букмекером, был указан Игорь Гниедаш. При этом сотрудники CGA сами писали, что подозревают наличие нескольких владельцев и хотели получить больше информации о его возможных связях с людьми, которых публично связывали с основанием 1xBet.
Как вообще получают лицензию Curaçao
Долгое время система лицензирования на Curaçao работала довольно необычно. Государство выдавало несколько master-лицензий частным компаниям, а те уже раздавали сублицензии операторам. В 2024 году систему начали серьезно перестраивать, а 24 декабря 2024 года вступил в силу новый закон LOK.
Чтобы получить лицензию, оператор подает заявку через официальный портал CGA. Среди обязательных документов есть:
- Online Gaming Application Form
- Business & Corporate Information Form
- Personal History Disclosure Form
Причем последний документ должны заполнять не только директора. CGA требует его от конечных бенефициаров с долей более 10%, управляющих, кредиторов и ключевых сотрудников вроде CEO или Compliance Officer.
То есть регулятор хочет понимать не только, что это за казино, но и кто за ним стоит, кто управляет компанией и как устроена ее корпоративная структура.
И вот здесь утечка становится особенно интересной. Журналисты Follow the Money изучили десятки реальных заявок и внутренние заключения сотрудников CGA. В некоторых случаях специалисты регулятора сами отмечали проблемы: непонятный источник состояния владельца, вопросы к реальной структуре собственности или отсутствие части информации. Но итоговая рекомендация все равно могла звучать как «лицензия может быть выдана»
Тысячи доменов на одной iGaming-инфраструктуре
Еще одна интересная деталь утечки касается доменов. В базе Curaçao Gaming Authority на момент закрытия уязвимости находилось около 8 200 казино-доменов. Для сравнения, на самом Curaçao живет около 160 тысяч человек — грубо говоря, один зарегистрированный домен примерно на каждые 20 жителей острова.
При этом один оператор совсем не обязан ограничиваться одним сайтом. В документации CGA предусмотрена система Primary и Secondary Domains: у бренда может быть основной домен, а к нему привязано множество дополнительных адресов. То есть условно казино работает на casino.com, но рядом в системе могут существовать casino1.com, casino2.com, casino3.com и так далее. Все они относятся к одному бренду и одной инфраструктуре.
Самое интересное — добавлять такие домены можно не только вручную. В системе CGA предусмотрен API, через который лицензированные операторы могут автоматически регистрировать дополнительные домены. По оценке, такая механика позволяет очень быстро переключаться на новый адрес, если предыдущий попадает под блокировку в какой-либо стране.
Хороший пример — Platincasino. В системе CGA основным адресом был указан platincasino_com, после чего появились дополнительные platincasino1_com и platincasino2_com. При этом, по данным расследования, заранее были зарегистрированы домены вплоть до platincasino122_com.
И это не какой-то единичный случай. В одном из внутренних отчетов CGA журналисты нашли компанию Just Entertainment B.V., у которой в системе фигурировали 362 домена. Причем 351 из них были добавлены в портал практически одновременно в марте 2026 года.
CasinoFriday: как журналисты дошли от утечки до конкретного казино
Утечка CGA интересна не только тем, что наружу вылезли тысячи документов. Она дала журналистам возможность взять конкретный бренд и буквально по цепочке пройти от сайта казино до компании и людей, которые за ней стояли.
И один из самых показательных примеров здесь — CasinoFriday.
Норвежский телеканал NRK, который участвовал в международном расследовании Casino Secrets, получил доступ к документам из системы Curaçao Gaming Authority и отдельно начал искать компании, работающие с игроками из Норвегии. Именно так журналисты вышли на CasinoFriday.
CasinoFriday управляется зарегистрированной на Curaçao компанией FarUp Entertainment N.V. Эта же компания связана с брендами Shotz и BetFriday. По данным документов, которые изучил NRK, в структуре FarUp обнаружилась связь с довольно известным человеком в iGaming — норвежцем Робином Ридом, сооснователем и бывшим CEO Gaming Innovation Group.
Согласно материалам расследования, в определенный момент доля Рида в FarUp превышала 40%. При этом сама компания далеко не маленькая: за 2025 год ее выручка превысила 200 млн норвежских крон. Рид после публикации сообщил журналистам, что сейчас уже не владеет компанией ни напрямую, ни косвенно.
И дальше становится понятно, почему именно этим казино заинтересовались норвежские журналисты.
По оценке NRK, за последний год CasinoFriday получил около 1,5 млн посещений из Норвегии. Причем сайт предлагал контент и маркетинг на норвежском языке. Ранее местные власти уже изучали деятельность оператора и распорядились заблокировать сайт, посчитав, что он предлагает азартные игры норвежской аудитории без необходимого местного разрешения.
На фоне всего рынка цифры тоже выглядят интересно. NRK оценивает объем нелицензированного онлайн-гемблинга в Норвегии примерно в 2 млрд NOK. При этом право предлагать соответствующие casino-продукты внутри страны сильно ограничено местным законодательством.
То есть документы позволили не просто узнать фамилию очередного владельца казино, а сопоставить внутреннюю корпоративную структуру с тем, как продукт реально работает и откуда получает аудиторию.
Что теперь изменится для операторов
Сам по себе слив вряд ли перевернет рынок за один день, но жизнь части офшорных операторов точно станет сложнее. Журналисты и регуляторы теперь получили намного больше данных о владельцах, компаниях, трастовых структурах и рынках, на которых работают конкретные бренды.
Для операторов это значит больше вопросов к структуре собственности, источникам денег и работе в GEO без локального разрешения.
Наверное, главный вывод всей этой истории в том, что офшорный iGaming намного сложнее, чем один бренд и одна лицензия в футере сайта.
За одним казино могут стоять несколько юрлиц, трастовая компания, отдельные директора, конечные бенефициары и десятки или даже сотни доменов. При этом лицензия Curaçao дает оператору возможность вести бизнес из этой юрисдикции, но не означает автоматического разрешения работать в любой стране мира.
