Gestion sécurisée des portefeuilles et conservation des actifs : cœur de la conformité des échanges d'actifs virtuels à Hong Kong

Introduction

Récemment, deux bourses d'actifs numériques virtuels à Hong Kong ont obtenu la licence de fournisseur de services d'actifs virtuels approuvée par la Commission des valeurs mobilières de Hong Kong, annonçant officiellement qu'elles peuvent fournir des services de trading d'actifs virtuels aux particuliers à Hong Kong. Cela signifie que les particuliers de Hong Kong peuvent s'inscrire sur ces deux bourses et acheter directement des bitcoins et des ethers. Cela donne sans aucun doute un coup de fouet à la position et à la stratégie des bourses conformes dans le domaine des actifs virtuels.

Depuis octobre dernier, la Commission des valeurs mobilières de Hong Kong et l'Autorité monétaire de Hong Kong ont publié une série de mesures concernant le trading d'actifs virtuels, et d'autres mesures connexes continuent d'être mises en place. À partir du 1er juin de cette année, en plus des deux échanges mentionnés ci-dessus, de nombreux échanges d'actifs virtuels peuvent également soumettre officiellement une demande de portefeuille d'actifs virtuels conforme à la Commission des valeurs mobilières de Hong Kong.

Dans un tel environnement politique, de nombreuses bourses souhaitent demander une licence à Hong Kong pour devenir des bourses centralisées conformes. Une plateforme de trading d'actifs virtuels sous une société de valeurs mobilières chinoise prévoit également de soumettre une demande officielle à la Commission des valeurs mobilières d'ici la fin de cette année, afin de fournir des services à valeur ajoutée à davantage de professionnels et d'investisseurs provenant des secteurs financier traditionnel et Web3.

Alors, quelles sont les exigences de la Commission des valeurs mobilières de Hong Kong pour les échanges centralisés ? En plus d'un ensemble complet de procédures sur les documents juridiques, quelles sont les exigences techniques particulières ?

En réalité, le cadre de réglementation des transactions conformes à Hong Kong impose des exigences techniques très élevées en matière de conformité des logiciels et du matériel pour les plateformes d'échange. Plusieurs fournisseurs internationaux offrent divers services techniques à ces plateformes sous le cadre de conformité. Parmi eux, le domaine le plus central et le plus surveillé par la Commission des valeurs mobilières de Hong Kong est la conservation des actifs des clients.

I. Quelles sont les différences entre la garde d'actifs dans la finance traditionnelle et la garde d'actifs dans les échanges virtuels conformes?

Dans le système financier actuel, l'une des méthodes d'investissement les plus familières pour les utilisateurs est l'achat d'actions par l'intermédiaire de courtiers. Du point de vue de l'expérience utilisateur, après avoir ouvert un compte chez un courtier, les utilisateurs transfèrent des fonds sur le compte, puis commencent à acheter et vendre des actions. Ce processus peut amener les utilisateurs à croire à tort que les fonds sont déposés sur le compte du courtier, qui effectue des transactions d'actions et les dépose sur le compte de l'utilisateur.

Mais en réalité, les fonds des utilisateurs ne se trouvent pas dans le compte du courtier, car le courtier, en tant qu'institution non bancaire, ne peut pas directement Complice les fonds des clients. Les fonds des utilisateurs sont en réalité déposés dans une banque. La banque possède un compte principal pour ce courtier, avec plusieurs sous-comptes pour Complice les fonds des utilisateurs. Ainsi, le courtier, en tant que dépositaire des fonds des utilisateurs, ne peut pas réellement mobiliser les fonds des utilisateurs. La banque "vérifie", et ne permet au courtier de retirer les fonds déposés au nom du client qu'après avoir confirmé que le courtier a reçu les instructions du client.

Dans l'ensemble, les actions, obligations et autres actifs du monde financier traditionnel sont gardés dans des institutions hautement centralisées et très sécurisées. Ces institutions disposent de protections de sécurité très avancées en matière de matériel et de logiciel, y compris des contrôles réseau et internes. Les prestataires de services de titres assistent en réalité les clients dans le processus de gestion des dépôts, tandis que de grandes institutions financières, ayant bénéficié de plusieurs générations de mises à jour technologiques, gardent et protègent les actifs des utilisateurs. C'est aussi la raison pour laquelle les gens se sentent très en sécurité dans les transactions financières traditionnelles.

Dans le cadre du cadre réglementaire des actifs virtuels conformes à Hong Kong, la gestion des actifs des utilisateurs présente de grandes différences. Hong Kong exige que les échanges de actifs virtuels conformes jouent eux-mêmes le rôle de banque, les actifs virtuels des clients étant directement conservés dans le portefeuille froid de l’échange. Cela revient à condenser les nombreuses fonctions des systèmes de gestion traditionnels tels que ceux des banques et des dépositaires dans l’entité de l’échange conforme, en étant responsable des actifs des clients. Par conséquent, pour tout échange conforme, les exigences techniques en matière de matériel et de logiciel nécessaires dépassent de loin celles des courtiers et se rapprochent du niveau bancaire, tout en devant également intégrer une dimension cryptographique.

2. Quels sont les problèmes de sécurité dans le domaine des transactions d'actifs virtuels ?

Cette partie peut être vue sous deux angles, l'un étant l'angle de la sécurité, l'autre étant l'angle de la conformité. L'angle de la sécurité est davantage une compétence interne de l'entreprise, tandis que l'angle de la conformité est davantage une force externe de régulation. Du point de vue de la sécurité, plusieurs dimensions peuvent poser des risques de sécurité. Tout d'abord, nous pouvons diviser la blockchain en on-chain et off-chain. Les contrats intelligents on-chain sont des programmes qui s'exécutent automatiquement dès que les conditions sont définies, et à ce moment-là, divers hackers peuvent attaquer le contrat sous différents angles, exploitant les vulnérabilités du contrat intelligent pour déplacer ou divulguer des fonds, etc. Off-chain, pour la plateforme d'exploitation, c'est un projet systémique de capacités de sécurité : depuis la mise en place d'un bon système d'authentification utilisateur côté utilisateur, jusqu'à la présence de la cybersécurité, de la sécurité des terminaux et des mécanismes de réponse d'urgence au sein de l'entreprise, en passant par la technologie utilisée pour la conformité.

D'un point de vue de la conformité, il n'y avait pas encore de concept de conformité avant 2018, il était dans un état de croissance sauvage, mais a progressivement changé ces dernières années. Bien que dans l'élaboration des politiques et la clarté des politiques de réglementation, on observe davantage de diverses interdictions et expulsions dans les régions de la Chine continentale et de Hong Kong, en 2017, le Japon avait déjà ouvert assez tôt un système de délivrance de licences dans la région asiatique, géré par des institutions financières japonaises pour les échanges, et a imposé une série d'exigences en matière de cybersécurité, de sécurité des données et d'autres aspects de sécurité.

En ce qui concerne les politiques récentes de Singapour et de Hong Kong, la plus significative pourrait être le système de réglementation de Hong Kong cette année. Une partie des raisons de l'adoption de ces politiques est que l'incident FTX de l'année dernière a fait prendre conscience à tout le monde que la Conformité et la réglementation ne peuvent pas se limiter à des apparences; il est essentiel de mettre en œuvre et de clarifier les règles de gestion et les systèmes de gestion de la réglementation afin de véritablement protéger les intérêts des investisseurs. Ainsi, cette année, Hong Kong a publié une politique de réglementation de licence d'actifs virtuels très claire, et cela commence par les plateformes de trading.

Trois, quelles sont les exigences de conformité pour la garde d'actifs par les régulateurs ?

Une certaine société de sécurité a des clients licenciés à Hong Kong, au Japon, à Singapour, etc. Après avoir effectué une comparaison horizontale des exigences en matière de licences dans différentes régions, ils estiment que la logique et l'exhaustivité des politiques de régulation de la Commission des valeurs mobilières de Hong Kong / du gouvernement de Hong Kong sont très fortes.

On peut l'examiner sous plusieurs angles :

Tout d'abord, il est possible que, compte tenu des facteurs géopolitiques, le gouvernement de Hong Kong exige clairement que les clés privées des actifs numériques soient détenues localement à Hong Kong.

Deuxièmement, en ce qui concerne la maturité du système de réglementation, les considérations réglementaires sont très complètes. Comme mentionné précédemment, dans le domaine de la finance traditionnelle, les banques sont responsables de la conservation des actifs, tandis que les courtiers se concentrent davantage sur les transactions ; en ce qui concerne les actifs virtuels, il n'existe actuellement pas de système de réglementation de conservation par des tiers mature et complet à Hong Kong, c'est pourquoi la politique de réglementation du gouvernement de Hong Kong exige que les demandeurs de licence d'actifs virtuels doivent construire leur propre système de conservation sécurisé des actifs virtuels, et énumèrent de nombreux détails requis. Prenons l'exemple du choix de la voie technologique, purement du point de vue de la protection de la sécurité des actifs numériques, il existe en réalité de nombreuses voies pour y parvenir, mais un principe d'évaluation important pour le gouvernement de Hong Kong est la maturité de la technologie elle-même.

Dans quels aspects se manifeste la maturité ? Elle se manifeste par le fait que les étapes clés de la technologie utilisée dans cette ligne technologique sont reconnues par des organismes de certification de sécurité autorisés et de premier plan au niveau international, ce qui est un critère d'évaluation très important. Ainsi, le gouvernement de Hong Kong adopte une attitude "à la fois conservatrice et ouverte". Le conservatisme signifie que le gouvernement de Hong Kong a choisi relativement prudemment une ligne technologique mature, qui a été vérifiée à plusieurs reprises dans le domaine de la sécurité financière traditionnelle ; l'ouverture signifie que le gouvernement a également examiné de nombreuses nouvelles solutions technologiques et a exprimé une attitude ouverte.

Bien sûr, bien que le gouvernement de Hong Kong exige que les plateformes de trading d'actifs virtuels gèrent elles-mêmes les actifs des clients et qu'il existe des exigences réglementaires claires, ce n'est pas suffisant pour qu'une bourse déclare qu'elle répond aux exigences pour obtenir une licence. Il doit également y avoir une institution d'évaluation tierce autorisée pour effectuer l'évaluation. Ce n'est qu'après qu'une institution d'évaluation tierce autorisée prouve que la bourse répond à toutes les exigences qu'il sera possible de demander une licence.

Il n'est pas difficile de voir que la régulation du gouvernement de Hong Kong prend en compte la logique, les méthodes et les détails de manière très complète.

Quatre, comment protéger la sécurité des actifs des utilisateurs?

1, Du point de vue de l'informatique, les exigences pour les échanges incluent la sécurité réseau, l'infrastructure informatique, la sécurité des terminaux, la réponse d'urgence en cas de sinistre et le système de conservation des Portefeuilles, entre autres.

Une des exigences est que 98 % des actifs doivent être dans un Portefeuille froid.

Le portefeuille froid est un portefeuille complètement hors ligne et déconnecté. Mais se déconnecter n'est pas suffisant, car dans le domaine des actifs numériques, il s'agit de former un coffre-fort pour protéger les actifs numériques des utilisateurs à l'aide d'équipements de sécurité cryptographique reconnus au niveau international. En même temps, il y a certaines exigences concernant l'environnement physique de stockage de ce matériel d'information ( coffre-fort ), comme le maintien de la température, de l'humidité, la protection contre le suivi et la filature, ainsi que des interférences de signal, etc.

Pour prévenir les pertes d'actifs des utilisateurs résultant de failles de régulation non prises en compte ou d'erreurs d'exploitation de la plateforme, après avoir défini les solutions techniques et de mise en œuvre, il est également nécessaire d'assurer une protection supplémentaire des actifs des utilisateurs, c'est-à-dire d'imposer une exigence de fonds de compensation des risques ou d'une assurance dédiée pour les actifs virtuels, capable d'indemniser les clients.

En plus de la partie IT, il est également très important de respecter les exigences en matière de gestion des risques et de conformité.

2. En matière de Conformité, tout d'abord, la lutte contre le blanchiment d'argent et le financement du terrorisme sont des aspects très surveillés par les régulateurs, c'est pourquoi chaque échange doit être équipé d'un "responsable de la conformité" très professionnel. La conformité traverse tout le processus de transaction, le responsable de la conformité doit non seulement évaluer la sécurité d'identité et de fonds des clients lors de l'étape d'inscription (KYC), mais aussi juger si l'origine et la destination des fonds de chaque transaction respectent les exigences (Travel Rule), ce qui représente des exigences assez strictes en matière de conformité.

3. La gestion des risques se manifeste de nombreuses manières, chaque plateforme doit gérer des risques tels que les comportements de manipulation du marché, la fraude des utilisateurs, le risque de contrepartie, le risque de crédit, etc.

4, Du point de vue de la gouvernance, il est nécessaire d'établir un système de gouvernance complet, ce qui est clairement exigé par la réglementation partout. Le cœur de cette question réside dans la clarification des rôles :

Tout d'abord, le rôle des entités doit être séparé. Par exemple, la régulation des licences à Hong Kong exige que la plateforme de trading soit l'entité principale de la plateforme de trading, tout en ayant une autre entité responsable de la sécurité des actifs des clients. De plus, cette entité doit servir à 100 % l'entité principale de la plateforme de trading, sans servir d'autres entités, ce qui signifie que la responsabilité de l'entité est clairement définie.

Deuxièmement, du point de vue financier, les responsabilités doivent également être clairement définies. Il est essentiel de faire une distinction claire entre les fonds de la plateforme de trading et les fonds des utilisateurs, sans aucune confusion des fonds, même pour les frais de Gas nécessaires à l'exécution des transactions.

Le troisième principe, qui est également assez important, est que "les rôles et les responsabilités sont séparés". Cela signifie qu'il ne doit y avoir aucun risque de point de défaillance à n'importe quelle étape du processus commercial, et qu'il ne doit pas y avoir de abus de pouvoir, etc. Prenons un exemple : si des fonds doivent être transférés vers un Portefeuille froid, il doit y avoir un "principe des quatre yeux".

V. Quelles solutions pourraient encore être introduites à l'avenir ?

À l'avenir, sans compromettre le niveau de sécurité actuel, quelles solutions le portefeuille de conformité des actifs virtuels de Hong Kong pourrait-il encore introduire pour offrir plus de commodité aux bourses et aux utilisateurs en matière de conservation des actifs des clients ?

D'un point de vue opérationnel de la plateforme de trading, il est clair qu'il existe de très bonnes technologies dans ce domaine, comme la technologie de calcul sécurisé multipartite MPC( très populaire.

La réglementation ne vise pas à rejeter ces technologies, mais plutôt à tenir compte de la maturité des technologies. Je crois qu'avec le temps, ces excellentes technologies deviendront progressivement plus matures sous un système de certification reconnu au niveau mondial.

D'autre part, de nombreuses plateformes de trading doivent également considérer comment atteindre plus d'utilisateurs finaux. Actuellement, cela se fait par le biais d'une méthode centralisée permettant aux utilisateurs finaux de rejoindre et de trader. Cela satisfait effectivement une grande partie des utilisateurs, qui n'ont pas besoin de gérer eux-mêmes leurs clés privées ou leurs phrases de récupération. Cependant, nous constatons également qu'il y a de nombreux innovateurs dans le monde du Web3, et à l'avenir, il pourrait y avoir de nombreuses solutions liées aux portefeuilles personnels qui émergeront du côté des utilisateurs, et qui formeront un complément aux échanges centralisés, voire une sorte de synergie.

D'un point de vue de l'expérience opérationnelle des finances traditionnelles, il n'est en fait pas nécessaire que chaque échange ait son propre Complice, il est tout à fait possible que l'ensemble du marché soit géré par 1 à 2 institutions de Complice pour gérer tous les actifs. À l'avenir, lorsque la sécurité et l'exécutabilité de technologies comme MPC seront reconnues par davantage d'institutions certifiées de niveau international, cela pourrait également se produire dans le domaine du Complice.