Gestión segura de billeteras y custodia de activos: el núcleo del comercio de activos virtuales con cumplimiento en Hong Kong

Introducción

Recientemente, dos intercambios de activos digitales virtuales en Hong Kong obtuvieron la licencia de proveedor de servicios de activos virtuales aprobada por la Comisión de Valores de Hong Kong, anunciando oficialmente que pueden ofrecer servicios de intercambio de activos virtuales a los minoristas en Hong Kong. Esto significa que los minoristas en Hong Kong pueden registrarse en estos dos intercambios y comprar directamente Bitcoin y Ethereum. Sin duda, esto inyecta un fuerte impulso a la posición y el despliegue de los intercambios cumpliendo con las normativas en el ámbito de los activos virtuales.

Desde octubre del año pasado, la Comisión de Valores de Hong Kong y la Autoridad Monetaria de Hong Kong han emitido una serie de medidas relacionadas con el comercio de activos virtuales, y se están lanzando otras medidas relevantes. A partir del 1 de junio de este año, además de las dos mencionadas, muchas casas de cambio de activos virtuales también podrán presentar oficialmente solicitudes de cumplimiento de casas de cambio de activos virtuales ante la Comisión de Valores de Hong Kong.

En un entorno de políticas como este, muchas casas de cambio esperan solicitar licencias en Hong Kong para convertirse en casas de cambio centralizadas con cumplimiento. Una plataforma de activos virtuales bajo un grupo de valores chino también planea presentar oficialmente su solicitud a la Comisión de Valores a finales de este año, para proporcionar servicios de valor añadido a más profesionales e inversores de los campos de finanzas tradicionales y Web3.

Entonces, ¿cuáles son los requisitos de la Comisión de Valores de Hong Kong para los intercambios centralizados? Además de un conjunto completo de procesos en la documentación legal, ¿hay requisitos de configuración especiales en el nivel técnico?

En realidad, el marco regulatorio de cumplimiento de transacciones en Hong Kong tiene requisitos técnicos muy altos para el cumplimiento de hardware y software por parte de las bolsas de valores. A nivel internacional, hay varios proveedores que ofrecen diversos servicios técnicos a estas bolsas bajo el marco de cumplimiento. Entre ellos, el área más crucial y que más le preocupa a la Comisión de Valores de Hong Kong es la custodia de los activos de los clientes.

Uno, ¿en qué se diferencia la custodia de activos en las finanzas tradicionales de la custodia de activos en un intercambio de activos virtuales de cumplimiento?

En el sistema financiero actual, una de las formas de inversión más familiares para los usuarios es comprar acciones a través de un corredor. Desde la perspectiva de la experiencia del usuario, después de que abren una cuenta con el corredor, transfieren fondos a la cuenta y luego comienzan a comprar y vender acciones. Este proceso puede hacer que los usuarios crean erróneamente que los fondos están almacenados en la cuenta del corredor, y que el corredor realiza las transacciones de acciones y deposita en la cuenta del nombre de usuario.

Pero en realidad, los fondos de los usuarios no están en la cuenta del corredor, ya que el corredor, como institución no bancaria, no puede custodiar directamente los fondos de los clientes. Los fondos de los usuarios se almacenan en el banco. El banco tiene una cuenta maestra para ese corredor, que tiene varias subcuentas para custodiar los fondos de los usuarios. Por lo tanto, el corredor, como custodio de los fondos de los usuarios, no puede realmente movilizar los fondos de los usuarios. El banco hace un "control", confirmando que el corredor ha recibido la instrucción del cliente antes de permitirle retirar los fondos depositados en nombre del cliente.

En general, las acciones, bonos y otros activos del mundo financiero tradicional se mantienen en instituciones altamente centralizadas y con un alto nivel de seguridad. Estas instituciones cuentan con una protección de seguridad muy completa en términos de hardware y software, incluyendo control interno y de red. Los proveedores de servicios de valores en realidad solo asisten a los clientes en el proceso de gestión de custodia, donde grandes instituciones financieras que han pasado por múltiples actualizaciones tecnológicas custodian y protegen los activos de los usuarios. Esta es también la razón por la cual las personas se sienten muy seguras en las transacciones financieras tradicionales.

Y bajo el marco de cumplimiento de activos virtuales en Hong Kong, la custodia de los activos de los usuarios es muy diferente. Hong Kong exige que los intercambios de activos virtuales cumplan con regulaciones que les permitan desempeñar el papel de un banco, los activos virtuales de los clientes se custodiarán directamente en la billetera fría del intercambio. Esto equivale a la necesidad de concentrar las funciones de muchos sistemas tradicionales de custodia financiera, como los bancos y la custodia, en la entidad de un intercambio de cumplimiento, siendo responsables de los activos de los clientes. Por lo tanto, para cualquier intercambio de cumplimiento, los requisitos técnicos de hardware y software son mucho mayores que los de una correduría, acercándose al nivel de un banco, y además se debe incorporar una dimensión criptográfica.

2. ¿Cuáles son los problemas de seguridad en el campo del comercio de activos virtuales?

Esta parte se puede ver desde dos ángulos, uno es el ángulo de seguridad y el otro es el ángulo de cumplimiento. El ángulo de seguridad se refiere más a las habilidades internas de la empresa, mientras que el ángulo de cumplimiento se refiere más a la presión externa de la regulación. Desde el ángulo de seguridad, pueden surgir riesgos en múltiples dimensiones. Primero, podemos dividir la blockchain de manera simple en on-chain y off-chain. Los contratos inteligentes on-chain son programas que se pueden ejecutar automáticamente siempre que se establezcan las condiciones adecuadas; en este caso, pueden haber diferentes hackers atacando el contrato desde diversas dimensiones, aprovechando las vulnerabilidades del contrato inteligente para transferencias de fondos o filtraciones. Off-chain, para la plataforma operativa, es un proyecto de sistema de capacidad de seguridad: desde si se ha establecido un buen sistema de autenticación de usuarios en el lado del usuario, hasta si la empresa tiene seguridad de red, seguridad de terminal y mecanismos de respuesta a emergencias, y finalmente, qué ruta técnica se utiliza para la custodia.

Desde la perspectiva de Cumplimiento, antes de 2018 no había un concepto de Cumplimiento, se encontraba en un estado de crecimiento salvaje, y en los últimos años ha comenzado a cambiar gradualmente. Aunque en la formulación de políticas y en la clarificación de políticas regulatorias, en las regiones de China continental y Hong Kong se ha visto más bien una variedad de prohibiciones y expulsiones, en 2017 Japón fue uno de los primeros en Asia en iniciar un sistema de licencias, donde las instituciones financieras japonesas gestionan la concesión de licencias a los intercambios y establecen una serie de requisitos de seguridad en aspectos como la ciberseguridad y la seguridad de datos.

De acuerdo con las políticas recientes de Singapur y Hong Kong, lo más impactante podría ser el sistema de regulación de Hong Kong de este año. Parte de la razón por la que se implementaron estas políticas es que el incidente de FTX del año pasado hizo que todos se dieran cuenta de que el cumplimiento y la regulación no pueden ser solo superficiales; es necesario implementar y aclarar las reglas y sistemas de gestión de la regulación, de esta manera se puede proteger realmente los intereses de los inversores. Por lo tanto, este año Hong Kong ha publicado políticas de regulación de licencias para activos virtuales muy claras, y se comienza desde las plataformas de intercambio.

Tres, ¿cuáles son los requisitos de cumplimiento para la custodia de activos?

Una empresa de seguridad tiene clientes con licencia en Hong Kong, Japón, Singapur y otros lugares. Después de realizar una comparación horizontal de los requisitos de licencia en diferentes regiones, consideran que la lógica y la exhaustividad de las políticas regulatorias de la Comisión de Valores de Hong Kong/gobierno de Hong Kong son muy fuertes.

Se puede ver desde varios aspectos:

Primero, considerando los factores geopolíticos, el gobierno de Hong Kong exige claramente que las claves privadas detrás de los activos digitales deben estar en Hong Kong.

Segundo, desde la perspectiva de la madurez del sistema regulatorio, las consideraciones regulatorias son muy completas. Se mencionó anteriormente que en el ámbito financiero tradicional, los bancos son responsables de la custodia de los activos, mientras que las firmas de corretaje están más involucradas en el proceso de transacción; en cuanto a los activos virtuales, actualmente en Hong Kong no existe un sistema de regulación de custodia de terceros maduro y completo, por lo que las políticas regulatorias del gobierno de Hong Kong exigen que los solicitantes de licencias para activos virtuales deben construir su propio sistema de custodia segura para activos virtuales, y se enumeraron muchos requisitos específicos. Tomando como ejemplo la selección de la ruta técnica, desde la perspectiva de la protección de la seguridad de los activos digitales, en realidad hay muchas maneras de lograrlo, pero un principio importante de evaluación del gobierno de Hong Kong es la madurez de la tecnología en sí.

¿En qué aspectos se refleja la madurez? Se refleja en si los elementos clave de esta ruta tecnológica son reconocidos por instituciones de certificación de seguridad autorizadas y de prestigio a nivel internacional, este es un criterio de evaluación muy importante. Por lo tanto, la actitud del gobierno de Hong Kong es "tanto conservadora como abierta". Conservadora significa que el gobierno de Hong Kong ha elegido de manera relativamente conservadora una ruta tecnológica que ha sido comprobada repetidamente en el ámbito de la seguridad financiera tradicional; abierta significa que el gobierno de Hong Kong también ha considerado muchas soluciones tecnológicas nuevas y ha expresado una actitud abierta.

Por supuesto, aunque el gobierno de Hong Kong exige que las plataformas de intercambio de activos virtuales gestionen sus propios activos de clientes y ha establecido requisitos regulatorios claros, no es suficiente que el intercambio declare que cumple con los requisitos para obtener una licencia; también debe haber una institución de evaluación de terceros autorizada que realice la evaluación. Solo si una institución de evaluación de terceros autorizada demuestra que el intercambio cumple con los requisitos, será posible solicitar una licencia.

En resumen, no es difícil ver que la regulación del gobierno de Hong Kong considera de manera muy completa la lógica, los métodos y los detalles.

Cuatro, ¿cómo proteger la seguridad de los activos de los usuarios?

1. Desde la parte de TI, los requisitos para el intercambio incluyen seguridad en la red, infraestructura de TI, seguridad en los terminales, respuesta a emergencias de recuperación ante desastres y sistema de custodia de billeteras.

Uno de los requisitos es que el 98% de los activos deben estar en una Billetera fría.

La billetera fría es una billetera completamente desconectada y fuera de línea. Pero no es suficiente estar desconectado, porque en el ámbito de los activos digitales, se utiliza un dispositivo de seguridad criptográfica reconocido internacionalmente para formar una bóveda de activos digitales que protege los activos digitales del usuario, al mismo tiempo que se tienen ciertos requisitos sobre el entorno físico donde se almacena la información de este hardware ( bóveda ), como mantener la temperatura, la humedad, prevenir el rastreo, el seguimiento, interferencias de señal, etc.

Para evitar la pérdida de activos de los usuarios debido a fallas en la regulación o errores operativos de la plataforma, después de que se hayan definido las soluciones técnicas y de implementación, también se requiere una protección adicional de los activos de los usuarios, es decir, se exige tener un fondo de compensación por riesgos o un seguro especializado para activos virtuales, que tenga la capacidad de indemnizar a los clientes.

Además de la parte de TI, también es muy importante los requisitos en el ámbito de gestión de riesgos y Cumplimiento.

2. En términos de cumplimiento, en primer lugar, la lucha contra el lavado de dinero y la financiación del terrorismo son aspectos que la regulación valora mucho, por lo que cada intercambio debe contar con un "Director de Cumplimiento" muy profesional. Dado que el cumplimiento abarca todo el proceso de transacción, el Director de Cumplimiento no solo debe verificar la seguridad de la identidad y los fondos del cliente en la etapa de incorporación de usuarios (KYC), sino que también necesita juzgar si la fuente y el flujo de los fondos de cada transacción cumplen con los requisitos (Travel Rule), lo cual son requisitos bastante estrictos en términos de cumplimiento.

3. La gestión de riesgos se refleja en muchos aspectos, cada plataforma necesita gestionar riesgos como la manipulación del mercado, el fraude de usuarios, el riesgo de contrapartes, el riesgo de crédito, entre otros.

4. Desde la perspectiva de la gobernanza, es necesario establecer un sistema de gobernanza completo, lo cual es un requisito claro en cualquier lugar de regulación. Su núcleo radica en la claridad de los roles:

Primero, el papel de los sujetos debe separarse; por ejemplo, la regulación de licencias similar en Hong Kong requerirá que la plataforma de intercambio sea el sujeto principal de la plataforma de intercambio, y además, debe haber otro sujeto responsable de la seguridad de los activos de los clientes en custodia, y este sujeto debe servir al 100% al sujeto principal de la plataforma de intercambio, sin poder servir a otros sujetos, es decir, la responsabilidad del sujeto principal está claramente definida.

En segundo lugar, desde el punto de vista financiero, la responsabilidad también debe quedar clara. Es decir, debe haber una clara distinción entre los fondos de la plataforma de trading y los fondos de los usuarios, no puede haber ninguna confusión de fondos, ni siquiera en lo que respecta a las tarifas de Gas que se deben pagar para completar una transacción.

El tercer principio, que también es bastante importante, es que "los roles y las responsabilidades están separados". Es decir, en cualquier etapa del proceso de negocio no puede haber un riesgo de punto único, ni debe haber abuso de poder, entre otros. Por ejemplo, si se necesita realizar una transferencia de fondos a la Billetera fría, debe existir un "principio de cuatro ojos".

Cinco, ¿qué soluciones podrían introducirse en el futuro?

En el futuro, sin comprometer el nivel de seguridad existente y a la vez brindando más conveniencia a los intercambios y a los usuarios, ¿qué otras soluciones podrían introducir los intercambios de activos virtuales en Hong Kong en cuanto a la custodia de activos de los clientes?

Desde la perspectiva de la operación de plataformas de intercambio, se puede ver que en este campo hay realmente muchas tecnologías muy buenas, como la muy popular tecnología de cálculo seguro multipartito cómplice (.

La regulación no pretende rechazar estas tecnologías, sino que considerará más la madurez de la tecnología. Creo que, con la acumulación de tiempo, estas excelentes tecnologías también madurarán gradualmente bajo un sistema de certificación reconocido a nivel mundial.

Por otro lado, muchas plataformas de intercambio también deben considerar cómo llegar a más usuarios finales. Actualmente, se hace de manera centralizada para que los usuarios finales puedan unirse y realizar transacciones. Esto satisface a una gran parte de los usuarios, quienes no necesitan gestionar sus claves privadas ni gestionar sus frases de recuperación. Sin embargo, también vemos que en el mundo de Web3 hay muchos innovadores, y en el futuro podría haber muchas soluciones relacionadas con billeteras personales que surjan en el lado del usuario, y estas podrían complementar a los intercambios centralizados, e incluso formar una especie de sinergia.

Desde la perspectiva de la experiencia operativa de las finanzas tradicionales, en realidad no es necesario que cada intercambio tenga su propio cómplice, se puede lograr que todo el mercado sea gestionado por 1-2 instituciones de cómplice que completen toda la custodia de activos. En el futuro, a medida que la seguridad y la ejecutabilidad de tecnologías como MPC sean reconocidas por más instituciones de certificación de nivel internacional, también podría suceder en el ámbito del cómplice.