安全的錢包管理和資產托管:香港合規虛擬資產交易的核心

前言

近期,香港兩家虛擬數字資產交易所獲得了香港證監會批準的虛擬資產服務提供商牌照,正式宣布可以向香港散戶提供虛擬資產交易服務。這意味着香港散戶可以在這兩家交易所註冊後直接購買比特幣和以太坊。這無疑爲合規交易所在虛擬資產領域的地位和布局注入了強心劑。

自去年10月以來,香港證監會和金管局陸續發布了一系列關於虛擬資產交易的措施,其他相關措施也在持續推出。今年6月1日起,除了上述兩家交易所外,許多虛擬資產交易所也可以向香港證監會正式提交合規的虛擬資產交易所申請。

在這樣的政策環境下,許多交易所都希望來香港申請牌照,成爲合規的中心化交易所。某華資證券旗下的虛擬資產交易平台也計劃在今年年底向證監會正式遞交申請,爲更多來自傳統金融和Web3領域的從業者和投資者提供增值服務。

那麼,香港證監會對中心化交易所究竟有什麼樣的要求?除了法律文件上的一整套流程外,在技術層面有什麼特別的配置要求?

實際上,香港目前的合規交易監管框架對交易所在軟硬件合規方面的技術要求非常高。國際上有多家供應商爲這些交易所在合規框架下提供各種技術服務。其中,最核心也是香港證監會最關注的領域就是客戶資產的托管。

一、傳統金融中的資產托管與合規虛擬資產交易所的資產托管有何不同?

在現有金融體系中,用戶最熟悉的投資方式之一是通過券商購買股票。從用戶體驗來看,用戶在券商開戶後將資金轉入帳戶,然後開始買賣股票。這個過程會讓用戶誤以爲資金是存放在券商帳戶中,由券商進行股票交易並存入用戶名下的帳戶。

但實際上,用戶的資金並不在券商帳戶裏,因爲券商作爲非銀機構不能直接托管客戶資金。用戶資金實際上是存放在銀行中。銀行下設該券商的一個總帳戶,下面有多個子帳戶用於托管用戶資金。因此,券商作爲用戶資金的托管方,並不能真正調動用戶資金。銀行會"把關",確認券商已獲得客戶指令後,才允許其代表客戶提取存放的資金。

總的來說,傳統金融世界中的股票、債券等都托管在高度中心化、安全保障極高的機構中。這些機構在軟硬件方面有非常完善的安全保護,包括網路和內部管制。證券服務商實際上只是協助客戶進行托管管理流程,背後是經過多代技術更新的大型金融機構爲用戶托管和保護資產。這也是人們在傳統金融交易中感到非常安全的原因。

而在香港合規虛擬資產交易框架下,用戶資產托管有很大不同。香港對合規虛擬資產交易的監管要求交易所自身能夠扮演銀行的角色,客戶的虛擬資產會直接托管在交易所的冷錢包中。這相當於需要將銀行和托管等衆多傳統金融托管體系的功能濃縮在合規交易所這一實體中,對客戶資產負責。因此,對任何一家合規交易所而言,其所需具備的軟硬件技術要求遠超券商、接近銀行水平,同時還要加入加密學維度。

二、虛擬資產交易領域有哪些安全問題?

這一部分可以從兩個角度來看,一個是安全角度,另一個是合規角度。安全角度更多是企業的內功,合規角度則更多是監管的外力。從安全角度來看,多個維度都可能出現安全風險。首先我們可以將區塊鏈簡單地分爲鏈上和鏈下,鏈上智能合約是只要把條件設置好就可以自動執行的程序,這時可能就有各種黑客從不同維度攻擊合約,利用智能合約的漏洞進行資金轉移或泄露等。鏈下對於運營平台來說,是一個安全能力的系統工程:從是否在用戶端搭建了良好的用戶認證體系,到企業內部是否有網路安全、終端安全、應急響應機制,再到托管使用何種技術路線。

從合規角度來看,2018年之前還沒有合規的概念,處於野蠻生長狀態,近幾年才逐步有了改變。雖然在政策制定、監管政策明確這方面,大陸和香港地區更多看到的是各種禁止、驅逐,但2017年日本就在亞洲範圍內較早開啓了發牌制度,由日本金融機構對交易所進行發牌管理,並進行了一系列網路安全、數據安全等安全層面的要求。

就新加坡和香港近期的政策來看,最重磅的可能就是今年香港的監管制度,導致這些政策出臺的一部分原因是去年的FTX事件讓大家發現,合規和監管不能僅僅流於表面,必須將監管的管理規則、管理制度落實明確,這樣才能真正保護投資者的利益。因此今年香港發布了非常明確的虛擬資產牌照監管政策,並且是從交易平台開始。

三、監管對資產托管合規有何要求?

某安全公司在香港、日本、新加坡等地都有持牌客戶,在對各地牌照要求進行橫向比較後,他們認爲香港證監會/港府的監管政策邏輯性和全面度都非常強。

可以從幾個方面來看:

第一,可能考慮到地緣政治因素,香港政府明確要求數字資產背後的私鑰必須在香港本地。

第二,從監管制度成熟度來看,監管考慮得非常全面。上文提到在傳統金融領域是銀行負責托管資產,而券商更多是在交易環節;對於虛擬資產來說,目前在香港還沒有成熟完備的第三方托管監管制度,所以香港政府的監管政策要求虛擬資產牌照申請者必須自己建設虛擬資產安全托管系統,並列舉了很多細則要求。以技術路線的選型爲例,單純從保護數字資產安全角度來說,其實有很多種途徑可以實現,但港府一個重要的衡量原則是技術本身的成熟度。

成熟度體現在什麼方面呢?體現在這條技術路線所使用的關鍵技術環節是否被國際上主流的權威安全認證機構認可,這是一個很重要的評價標準。所以港府在態度上是"既保守又開放"。保守是指港府相對保守地選擇了傳統金融安全領域經過反復驗證的比較成熟的技術路線;開放則是指港府其實也考察了很多新型技術方案,並表明了開放態度。

當然,雖然港府要求虛擬資產交易平台需要自己托管客戶資產,也列出了明確的監管要求,但不是交易所自己表明達到要求就可以獲得牌照,還必須有權威的第三方評估機構進行評估,只有權威的第三方評估機構證明該交易所都達到了要求,才有可能申請到牌照。

綜上幾點,不難看出香港政府的監管對邏輯、方法、細節都考慮得非常全面。

四、如何保護用戶資產安全?

1、從IT部分來說,對交易所的要求包括網路安全、IT基礎設施、終端安全、災備應急響應以及錢包托管系統等內容。

其中一項要求是98%的資產都要在冷錢包。

冷錢包是一個完全離線斷網的錢包。但僅做到離線斷網還不夠,因爲在數字資產領域,是用國際認可的密碼學安全設備形成數字資產的金庫來保護用戶的數字資產,同時還會對存放保管這個信息硬件(金庫)的物理環境有一些要求,比如要維持溫度、溼度,防追蹤、防尾隨,有信號幹擾等等。

爲了防止監管未考慮到的漏洞或運營平台操作失誤造成用戶資產損失,在技術和實現方案等都限定好以後,還有對用戶資產進一步的保護,即強制要求有風險賠付金或虛擬資產的專用保險,具備給客戶理賠的能力。

除了IT部分外,同樣非常重要的是對風控和合規層面的要求。

2、合規方面,首先反洗錢、反恐怖融資都是監管非常看重的,所以每個交易所都需要配備非常專業的"首席合規官"。因爲合規貫穿整個交易過程,首席合規官不僅要在用戶加入環節判別客戶的身分安全和資金安全(KYC),在每一筆交易背後也都需要判斷交易資金的來源和流向是否符合要求(Travel Rule),這都是合規層面比較強的要求。

3、風控體現在很多方面,每個平台都需要管理諸如市場操控行爲、用戶欺詐的風險、交易對手方的風險、信用的風險等。

4、從治理層面來看,則需要建立一個完善的治理制度,這在任何地方的監管都有明確要求。其核心在於角色的明確:

第一是主體的角色要分離,比如香港類似的牌照監管會要求交易平台是交易平台主體,同時還要有另外一個主體負責托管客戶端資產安全,並且該主體要100%服務於交易平台的主體,不能服務其他主體,即主體上責任是明確的。

第二,從資金層面,責任也必須明確。即要明確區分交易平台的資金和用戶的資金,不能有任何資金的混淆,哪怕是完成交易需要支付的Gas費。

第三個也是比較重要的原則,就是"角色與職責是分離的"。即在整個業務流程的任何一個環節都不能有單點風險,不能出現濫用職權等情況。舉個例子,假設要到冷錢包做一些資金調撥,必須要有一個"四目原則"。

五、未來還有可能引入哪些解決方案?

未來,在不妨礙現有安全程度,又可以給交易所和使用者帶來更多便利的前提下,香港合規虛擬資產交易所在客戶資產托管上還有可能引入哪些方案?

從交易平台運營的角度來看,可以看到這個領域中確實有很多非常好的技術,比如說非常流行的MPC(多方安全計算)技術。

監管並非要拒絕這些技術,而是更多地會考量技術的成熟度。相信隨着時間積累,這些優秀技術也會逐漸在全球公認的認證體系下更加成熟。

另一方面,很多交易平台也必須考慮如何觸達更多C端用戶,現在是通過中心化方式讓C端用戶能夠加入並進行交易。這確實滿足了很大一部分用戶,用戶不需要自己管理私鑰、管理助記詞,但同時我們也看到在Web3世界有很多創新者,未來可能在用戶端也會有許多個人錢包相關的解決方案湧現,並且會和中心化交易所形成互補,甚至是一種聯動。

從傳統金融的操作經驗來看,其實並不需要每個交易所都有自己的托管,完全可以做到整個市場由1-2家托管機構來完成所有資產托管。未來像MPC這樣的技術的安全性、可執行性被更多國際級別認證機構認可後,在托管領域中也可能