Безпечне управління гаманцями та зберігання активів: основа відповідності віртуальним активам в Гонконзі

Вступ

Нещодавно дві віртуальні цифрові біржі в Гонконзі отримали ліцензію на надання послуг віртуальних активів, затверджену Комісією з цінних паперів і ф'ючерсів Гонконгу, і офіційно оголосили про можливість надання послуг торгівлі віртуальними активами для роздрібних інвесторів у Гонконзі. Це означає, що роздрібні інвестори в Гонконзі можуть зареєструватися на цих двох біржах і безпосередньо купувати біткоїн та ефір. Це, безумовно, надає сильний стимул для позиції та стратегії відповідних бірж у сфері віртуальних активів.

З жовтня минулого року Комісія з цінних паперів та ф'ючерсів Гонконгу та Управління грошового обігу Гонконгу поступово випустили ряд заходів щодо торгівлі віртуальними активами, інші відповідні заходи також продовжують впроваджуватися. З 1 червня цього року, крім вказаних двох бірж, багато віртуальних бірж також можуть офіційно подавати заявки на відповідність до Комісії з цінних паперів та ф'ючерсів Гонконгу.

У таких політичних умовах багато бірж прагнуть подати заявку на ліцензію в Гонконзі, щоб стати відповідними централізованими біржами. Віртуальна торгова платформа, що належить компанії з Китаю, також планує офіційно подати заявку до Комісії з цінних паперів до кінця цього року, щоб надати додаткові послуги для більшої кількості працівників та інвесторів з традиційних фінансів і сфери Web3.

Отже, які вимоги до централізованих бірж висуває Гонконгська комісія з цінних паперів та ф'ючерсів? Окрім цілого набору процесів у юридичних документах, які особливі вимоги до конфігурації існують на технічному рівні?

Насправді, в Гонконзі поточна система регулювання відповідності торгівлі має дуже високі технічні вимоги до відповідності програмного та апаратного забезпечення для бірж. Міжнародно існує безліч постачальників, які надають різні технічні послуги цим біржам у рамках системи відповідності. Серед них найважливішою, а також найпильнішою увагою Гонконгської комісії з цінних паперів, є зберігання активів клієнтів.

Один. Чим відрізняється зберігання активів у традиційних фінансах від зберігання активів у відповідності з віртуальними активами на біржі?

У існуючій фінансовій системі одним із найбільш знайомих користувачам способів інвестування є купівля акцій через брокера. З точки зору досвіду користувача, після відкриття рахунку у брокера, користувач переводить кошти на рахунок, а потім починає купувати та продавати акції. Цей процес може змусити користувача помилково вважати, що кошти зберігаються на рахунку брокера, який здійснює торгівлю акціями та зберігає їх на рахунку користувача.

Але насправді кошти користувачів не знаходяться на рахунках брокера, оскільки брокер як небанківська установа не може безпосередньо зберігати кошти клієнтів. Кошти користувачів насправді зберігаються в банку. Банк має загальний рахунок для цього брокера, під яким є кілька субрахунків для зберігання коштів користувачів. Тому брокер, як зберігач коштів користувачів, не може насправді використовувати кошти користувачів. Банк "контролює", підтверджує, що брокер отримав інструкції від клієнтів, тільки після цього дозволяє брокеру від імені клієнтів витягувати збережені кошти.

В цілому, акції, облігації та інші фінансові інструменти у традиційному фінансовому світі зберігаються в високоцентралізованих установах з дуже високим рівнем безпеки. Ці установи мають надзвичайно розвинуті системи безпеки як у програмному, так і в апаратному забезпеченні, включаючи мережевий контроль та внутрішній контроль. Послуги з цінних паперів насправді лише допомагають клієнтам здійснювати процеси з управління активами, за якими стоять великі фінансові установи, що зберігають та захищають активи користувачів, пройшовши через багато поколінь оновлень технологій. Це також причина, чому люди відчувають себе дуже безпечно під час традиційних фінансових операцій.

А в рамках регуляторної системи торгівлі віртуальними активами у Гонконзі, управління активами користувачів має суттєві відмінності. Гонконг вимагає, щоб регуляторні біржі могли виконувати роль банків, тому віртуальні активи клієнтів безпосередньо зберігаються у холодному Гаманець біржі. Це означає, що необхідно зосередити функції традиційних фінансових систем, таких як банки та співучасник, в рамках регульованої біржі, нести відповідальність за активи клієнтів. Отже, для будь-якої регульованої біржі вимоги до програмного та апаратного забезпечення значно перевищують вимоги до брокерів і наближаються до рівня банків, при цьому потрібно враховувати і криптографічний аспект.

Два, які проблеми безпеки існують у сфері торгівлі віртуальними активами?

Цю частину можна розглядати з двох сторін: одна з них – це безпека, а інша – це відповідність. Безпека більше стосується внутрішніх можливостей підприємства, тоді як відповідність більше пов'язана з зовнішнім тиском регулятора. З точки зору безпеки можуть виникнути ризики з різних вимірів. По-перше, ми можемо просто розділити блокчейн на два типи: на ланцюгу та поза ланцюгом. Смарт-контракти на ланцюгу – це програми, які можуть автоматично виконуватися, якщо умови налаштовані правильно, і в цей момент можуть бути різні хакери, які атакують контракт з різних вимірів, використовуючи вразливості смарт-контрактів для переміщення або витоку коштів тощо. Поза ланцюгом для операційної платформи є системним інженерним завданням безпеки: від того, чи була побудована хороша система автентифікації користувачів на стороні користувача, до того, чи є в підприємстві мережна безпека, безпека терміналів, механізм реагування на надзвичайні ситуації, і до того, яку технологічну лінію використовує співучасник.

З точки зору відповідності, до 2018 року не існувало концепції відповідності, він перебував у стані дикого зростання, лише в останні роки поступово змінився. Хоча в питаннях формування політики та чіткої регуляторної політики на материковому Китаї та в Гонконзі більше спостерігається різних заборон і вигнання, проте в 2017 році Японія одна з перших в Азії запровадила систему ліцензування, де японські фінансові установи здійснюють ліцензування бірж та висувають ряд вимог щодо безпеки, таких як кібербезпека та захист даних.

З огляду на нещодавні політики Сінгапуру та Гонконгу, найвагомішим, ймовірно, є регуляторна система Гонконгу цього року, причиною появи цих політик частково стало минулорічне подія FTX, яке дало зрозуміти, що Відповідність та регулювання не можуть бути поверхневими, необхідно чітко реалізувати правила управління та управлінські системи регулювання, лише так можна справді захистити інтереси інвесторів. Тому цього року Гонконг оприлюднив дуже чітку регуляторну політику щодо ліцензій віртуальних активів, починаючи з торгових платформ.

Три, які вимоги регулювання до відповідності зберігання активів?

Деяка безпекова компанія має ліцензованих клієнтів у Гонконзі, Японії, Сінгапурі та інших місцях, і після горизонтального порівняння вимог до ліцензій в різних місцях, вони вважають, що логіка та повнота регуляторної політики Комісії з цінних паперів Гонконгу/уряду Гонконгу є дуже сильними.

Можна розглянути з кількох сторін:

По-перше, можливо, враховуючи геополітичні фактори, уряд Гонконгу чітко вимагав, щоб приватні ключі, що стоять за цифровими активами, повинні знаходитися на місці в Гонконгу.

По-друге, з точки зору зрілості регуляторної системи, регуляторні міркування є дуже всебічними. Як згадувалося вище, у традиційній фінансовій сфері банки відповідають за співучасник активів, а брокери більше займаються торговими операціями; що стосується віртуальних активів, наразі в Гонконзі немає зрілої та добре розробленої системи регуляторного нагляду за третім сторони, тому регуляторна політика уряду Гонконгу вимагає від заявників на отримання ліцензії на віртуальні активи самостійно будувати систему безпечного співучасника віртуальних активів і наводить багато детальних вимог. Наприклад, щодо вибору технічного маршруту, чисто з точки зору захисту безпеки цифрових активів, насправді є багато способів досягти цього, але один з важливих критеріїв уряду Гонконгу — це зрілість самої технології.

На чому проявляється зрілість? Вона проявляється в тому, чи визнаються ключові технічні етапи, які використовуються в цій технологічній лінії, міжнародно визнаними авторитетними безпековими сертифікаційними організаціями, що є дуже важливим критерієм оцінки. Тому уряд Гонконгу має позицію "як консервативну, так і відкриту". Консервативність означає, що уряд Гонконгу відносно обережно обрав традиційну фінансову безпеку, яка пройшла багаторазове тестування зрілу технологічну лінію; відкритість ж означає, що уряд Гонконгу також розглянув багато нових технологічних рішень і продемонстрував відкриту позицію.

Звичайно, хоча уряд Гонконгу вимагає від платформ торгівлі віртуальними активами самостійно співучасник активи клієнтів, також були визначені чіткі регуляторні вимоги, але просто заявити, що біржа відповідає вимогам, недостатньо для отримання ліцензії. Необхідно, щоб авторитетна третя сторона провела оцінку, і тільки якщо авторитетна третя сторона підтвердить, що ця біржа відповідає вимогам, можна подавати заявку на ліцензію.

З огляду на вищевикладене, не важко помітити, що регулювання урядом Гонконгу враховує логіку, методи та деталі дуже всебічно.

Чотири, як захистити безпеку активів користувачів?

1. З точки зору ІТ, вимоги до біржі включають в себе мережеву безпеку, ІТ-інфраструктуру, безпеку терміналів, реагування на надзвичайні ситуації з відновленням після катастроф, а також систему зберігання гаманець.

Однією з вимог є те, що 98% активів мають бути в холодному Гаманець.

Холодний гаманець – це гаманець, який повністю офлайн і без з'єднання з мережею. Але просто бути офлайн недостатньо, оскільки в сфері цифрових активів використовується міжнародно визнане криптографічне безпечне обладнання для створення сховища цифрових активів, щоб захистити цифрові активи користувачів. Крім того, існують певні вимоги до фізичного середовища для зберігання цього інформаційного обладнання ( сховища ), наприклад, необхідно підтримувати температуру, вологість, захист від стеження, захист від переслідування, а також наявність сигналів перешкод тощо.

Щоб запобігти втраті активів користувачів через недоліки, які не були враховані регуляторами, або через помилки в операціях платформи, після того як технічні та реалізаційні рішення будуть визначені, необхідно забезпечити додатковий захист активів користувачів, а саме, обов'язкову наявність фонду компенсації ризиків або спеціального страхування віртуальних активів, що має можливість виплачувати компенсації клієнтам.

Окрім IT-частини, однаково важливими є вимоги до ризик-менеджменту та відповідності.

2. Щодо відповідності, перш за все, боротьба з відмиванням грошей та фінансуванням тероризму є дуже важливими для регуляторів, тому кожна біржа повинна мати дуже професійного "головного співробітника з відповідності". Оскільки відповідність пронизує весь процес торгівлі, головний співробітник з відповідності повинен не лише на етапі приєднання користувачів визначати безпеку ідентифікації клієнтів та безпеку коштів (KYC), але й за кожною транзакцією також потрібно оцінити, чи відповідає джерело та напрямок коштів вимогам (Travel Rule), це всі вимоги з досить сильним акцентом на відповідність.

3. Управління ризиками проявляється в багатьох аспектах, кожна платформа повинна управляти такими ризиками, як маніпуляції на ринку, шахрайство з боку користувачів, ризик контрагента, кредитний ризик тощо.

4. З точки зору управління, необхідно створити досконалу систему управління, що має чіткі вимоги в будь-якому регулюванні. Її суть полягає в чіткому визначенні ролей:

Перш за все, роль суб'єкта повинна бути розділена, наприклад, регулювання з подібною ліцензією в Гонконзі вимагатиме, щоб платформа для торгівлі була суб'єктом платформи для торгівлі, а також щоб був ще один суб'єкт, відповідальний за безпеку активів клієнтів, і цей суб'єкт повинен на 100% обслуговувати суб'єкт платформи для торгівлі, не може обслуговувати інші суб'єкти, тобто відповідальність суб'єкта є чіткою.

По-друге, з точки зору фінансів, відповідальність також повинна бути чіткою. Тобто потрібно чітко розмежувати кошти торгової платформи та кошти користувачів, не допускаючи жодної плутанини з фінансами, навіть якщо це стосується комісії за газ, необхідної для завершення угоди.

Третій, також досить важливий принцип, це "ролі та обов'язки мають бути розділені". Тобто на будь-якому етапі бізнес-процесу не повинно бути єдиного ризику, не повинно бути зловживання владою тощо. Наприклад, якщо потрібно зробити деякі фінансові перерахунки до холодного Гаманець, обов'язково має бути дотримано "принципу чотирьох очей".

П'ять, які рішення можуть бути впроваджені в майбутньому?

В майбутньому, без порушення існуючого рівня безпеки, які ще рішення можуть бути впроваджені в гонконгських регульованих платформах для торгівлі віртуальними активами щодо зберігання активів клієнтів, щоб надати більше зручностей біржам та користувачам?

З точки зору роботи торгової платформи, можна побачити, що в цій сфері дійсно є багато дуже хороших технологій, таких як дуже популярна технологія MPC( багатостороннього безпечного обчислення ).

Регулювання не означає відмову від цих технологій, а швидше врахування зрілості технологій. Вірю, що з накопиченням часу ці відмінні технології також поступово стануть більш зрілими в рамках визнаних у всьому світі систем сертифікації.

З іншого боку, багато торгових платформ також повинні враховувати, як досягти більшої кількості кінцевих користувачів. Зараз це здійснюється через централізований спосіб, який дозволяє кінцевим користувачам приєднуватися та здійснювати угоди. Це дійсно задовольняє велику частину користувачів, яким не потрібно самостійно управляти приватними ключами або запам'ятовувати мнемоніки. Але водночас ми також бачимо, що у світі Web3 є багато новаторів, і в майбутньому на користувацькому рівні можуть з'явитися багато рішень, пов'язаних з особистими Гаманець, які будуть доповнювати централізовані біржі, а можливо, навіть створять певну взаємозв’язок.

З точки зору досвіду роботи з традиційними фінансами, насправді не потрібно, щоб кожна біржа мала свого власного співучасника, цілком можна досягти того, щоб весь ринок був під контролем 1-2 компаній з управління активами. У майбутньому, коли такі технології, як MPC, отримають визнання від більшої кількості міжнародних сертифікаційних організацій, це також може статися в галузі співучасника.