香港合規虛擬資產交易的核心——安全的錢包管理和資產托管

近期，香港兩家虛擬數字資產交易所獲得了證監會批準的虛擬資產服務提供商牌照，這標志着他們可以向香港散戶提供虛擬資產交易服務。散戶現在可以在這些交易所註冊並直接購買比特幣和以太坊等虛擬資產。這無疑爲合規交易所在虛擬資產領域的地位和發展注入了強心劑。

自去年10月以來，香港證監會和金管局陸續發布了一系列關於虛擬資產交易的措施。今年6月1日起，更多虛擬資產交易所可以向香港證監會正式申請合規虛擬資產交易所牌照。在這樣的政策環境下，許多交易所都希望在香港申請牌照，建立合規的中心化交易所。

那麼，香港證監會對中心化交易所有什麼樣的要求？所謂的合規監管，除了法律文件上的流程外，在技術方面有什麼特別的配置要求？

實際上，香港目前的合規交易監管框架對交易所在軟硬件合規方面的技術要求非常高。國際上也有一些供應商爲這些交易所在合規框架下提供各種技術服務。其中最核心、也是香港證監會最關注的領域就是客戶資產的托管。

傳統金融與虛擬資產交易所的資產托管差異

在傳統金融體系中，用戶通常通過券商購買股票。表面上看，用戶似乎是將資金存入券商帳戶，由券商進行交易並存儲股票。但實際上，用戶的資金並不存放在券商帳戶中，因爲作爲非銀行機構的券商不能直接托管客戶資金。

用戶的資金實際上存放在銀行中。銀行下設該券商的一個大帳戶，該帳戶下又有多個小帳戶用於托管用戶資金。因此，券商作爲用戶資金的托管方，並不能真正調動用戶資金。只有在銀行確認券商已獲得客戶指令後，才允許其代表客戶提取存放的資金。

總的來說，傳統金融世界中的股票、債券等都托管在高度中心化、安全保障極高的機構中。這些機構在軟硬件、網路和內部管理方面都有完善的安全保護措施。證券服務商只是協助客戶進行托管管理流程，背後是經過多代技術更新的大型金融機構爲用戶托管和保護資產。這也是人們在傳統金融交易中感到非常安全的原因。

而在香港合規虛擬資產交易框架下，用戶資產托管有很大不同。香港對合規虛擬資產交易的監管要求交易所自身扮演銀行的角色，客戶的虛擬資產直接托管在交易所的冷錢包中。這相當於需要將銀行和托管等衆多傳統金融托管體系的功能集中在合規交易所這一實體中，負責客戶資產。因此，任何一家合規交易所所需具備的軟硬件技術要求遠超券商，接近銀行水平，同時還需要加入密碼學維度。

虛擬資產交易領域的安全問題

從安全角度來看，區塊鏈可簡單分爲鏈上和鏈下。鏈上智能合約是設置好條件就可自動執行的程序，可能面臨各種黑客攻擊，利用合約漏洞進行資金轉移或泄露等。鏈下對運營平台來說是一個安全能力的系統工程，涉及用戶認證體系、企業內部網路安全、終端安全、應急響應機制，以及托管技術路線等多個方面。

從合規角度來看，近年來虛擬資產交易逐步走向規範化。日本在2017年率先在亞洲開啓了交易所發牌制度，由金融機構對交易所進行管理，並提出了一系列網路安全、數據安全等要求。新加坡和香港近期也出臺了相關政策，尤其是香港今年發布的虛擬資產牌照監管政策，從交易平台開始實施明確的監管規則和制度，以切實保護投資者利益。

監管對資產托管合規的要求

香港證監會/政府的監管政策在邏輯性和全面性方面都非常強。主要體現在以下幾個方面：

1. 考慮到地緣政治因素，香港政府明確要求數字資產背後的私鑰必須存放在香港本地。

2. 由於香港目前還沒有成熟完備的第三方托管監管制度，香港政府要求虛擬資產牌照申請者必須自己建設虛擬資產安全托管系統，並列舉了許多細則要求。

3. 在技術路線選擇上，香港政府既保守又開放。保守體現在選擇了經過反復驗證的傳統金融安全領域成熟技術路線；開放則表現在也考察了許多新型技術方案，並表示開放態度。

4. 雖然要求交易平台自行托管客戶資產，但不僅僅依靠交易所自我聲明達標。必須有權威的第三方評估機構進行評估，證明交易所達到要求後才有可能申請到牌照。

保護用戶資產安全的措施

1. IT方面的要求包括網路安全、IT基礎設施、終端安全、災備應急響應以及錢包托管系統等。其中一項重要要求是98%的資產必須存放在冷錢包中。

2. 合規方面要求配備專業的"首席合規官"，負責用戶Onboard環節的KYC以及每筆交易背後的Travel Rule合規判斷等。

3. 風控涉及管理市場操縱行爲、用戶欺詐風險、交易對手方風險、信用風險等多個方面。

4. 治理層面需要建立完善的制度，核心在於角色的明確：

   • 主體角色分離：交易平台和托管客戶資產安全的主體必須分開。
   • 資金責任明確：交易平台資金和用戶資金必須明確區分。
   • 角色與職責分離：業務流程中不能出現單點風險，必須遵循"四目原則"。

未來可能的解決方案

1. 隨着新技術如MPC（安全多方計算）的成熟度提高，有望在得到國際認證後被採納使用。

2. 可能會出現更多個人錢包解決方案，與中心化交易所形成互補或聯動關係。

3. 未來可能會出現集中的托管機構，負責執行整個本地化的托管業務。

4. 隨着監管制度的完善，托管業務可能會從交易所中分離出來，形成獨立的監管體系。

5. 當新技術路線獲得全球認證背書後，托管服務方的技術選擇將不再局限於傳統方案，可以有更多選擇。

隨着技術進步和市場參與者對行業理解的深入，相信未來會有更多人進入這個領域，市場將變得更加蓬勃發展。