香港合規虛擬資產交易的核心：安全的錢包管理和資產托管

近期，香港兩家虛擬數字資產交易所獲得了香港證監會批準的虛擬資產服務提供商牌照，可以向香港散戶提供虛擬資產交易服務。這標志着合規交易所在虛擬資產領域地位的進一步鞏固。

自去年10月以來，香港監管機構陸續發布了一系列虛擬資產交易相關措施。今年6月1日起，更多虛擬資產交易所可以向香港證監會正式申請合規牌照。在這一背景下，許多交易所都希望在香港申請牌照，開展合規的中心化交易業務。

那麼，香港證監會對中心化交易所有哪些具體要求？合規監管在技術層面又有何特別配置需求？

事實上，香港目前的合規交易監管框架對交易所在軟硬件合規方面提出了很高的技術要求。國際上有多家供應商爲交易所提供合規框架下的各種技術服務。其中最核心、也是香港證監會最關注的領域就是客戶資產的托管。

傳統金融與虛擬資產交易的資產托管差異

在傳統金融體系中，用戶購買股票時資金實際上是由銀行托管的。銀行下設券商的大帳戶，並爲每位用戶開設小帳戶進行資金托管。券商作爲用戶資金的托管方，並不能直接調動用戶資金。只有在得到客戶指令後，銀行才會允許券商代表客戶使用存放的資金。

傳統金融世界中的各類資產都由高度中心化、安全性極高的機構托管，這些機構在軟硬件、網路和內部管理等方面都有完善的安全保護措施。證券服務商僅是協助客戶進行托管管理流程，背後是經過多代技術更新的大型金融機構爲用戶托管和保護資產。這也是傳統金融交易給人安全感的原因。

而在香港合規虛擬資產交易框架下，用戶資產托管存在很大不同。香港監管要求交易所自身承擔銀行角色，客戶的虛擬資產會直接托管在交易所的冷錢包中。這相當於需要將銀行和托管等衆多傳統金融托管體系的功能集中在合規交易所這一實體中，由其對客戶資產負責。因此，任何一家合規交易所都需要具備遠超券商、接近銀行水平的軟硬件技術要求，同時還要增加加密學維度。

虛擬資產交易領域的安全問題

從安全角度來看，區塊鏈可簡單分爲鏈上和鏈下兩部分。鏈上智能合約雖然可以自動執行，但可能存在漏洞被黑客利用進行資金轉移或泄露等攻擊。鏈下對於運營平台而言，是一個系統工程，涉及用戶認證、網路安全、終端安全、應急響應機制等多個環節。

從合規角度來看，虛擬資產交易行業正從早期的野蠻生長逐步走向規範化。日本較早在亞洲範圍內開啓了交易所發牌制度，並提出了一系列網路安全、數據安全等要求。新加坡和香港近期也出臺了相關政策，特別是香港今年發布的虛擬資產牌照監管政策更爲明確全面。這些政策的出臺部分是受到FTX事件的啓發，意在通過明確的管理規則和制度來真正保護投資者利益。

監管對資產托管合規的要求

香港證監會的監管政策在邏輯性和全面性上都表現出色。主要體現在以下幾個方面：

首先，考慮到地緣政治因素，香港政府明確要求數字資產背後的私鑰必須存放在香港本地。

其次，由於香港目前還沒有成熟完備的第三方托管監管制度，政府要求虛擬資產牌照申請者必須自行建設虛擬資產安全托管系統，並列出了許多細則要求。在技術路線選擇上，港府採取了"既保守又開放"的態度。保守體現在傾向選擇傳統金融安全領域經過驗證的成熟技術路線；開放則表現爲也考察了許多新型技術方案，並保持開放態度。

最後，雖然港府要求交易平台自行托管客戶資產並列出明確監管要求，但申請牌照還需經權威第三方評估機構的評估認證，只有通過評估才有可能獲得牌照。

保護用戶資產安全的措施

1. IT方面的要求包括網路安全、IT基礎設施、終端安全、災備應急響應以及錢包托管系統等。其中一項重要規定是98%的資產必須存放在冷錢包中。

冷錢包不僅要求完全離線斷網，還需使用國際認可的密碼學安全設備形成數字資產金庫，並對存放環境的溫度、溼度、防追蹤、防尾隨、信號幹擾等方面提出要求。

爲防範監管盲點或操作失誤造成用戶資產損失，在限定技術和實現方案後，還強制要求設立風險賠付金或專用保險，以具備對客戶的理賠能力。

2. 合規方面，反洗錢、反恐怖融資是監管的重點關注領域。每個交易所都需配備專業的"首席合規官"，負責在用戶註冊環節進行身分安全和資金安全判別（KYC），並在每筆交易中判斷資金來源和流向是否合規（Travel Rule）。

3. 風控涉及多個方面，包括管理市場操縱行爲、用戶欺詐風險、交易對手方風險、信用風險等。

4. 治理層面需要建立完善的制度，核心在於明確角色：

• 主體角色分離：交易平台和負責托管客戶資產安全的主體需要分開，且托管主體必須100%服務於交易平台主體。

• 資金責任明確：嚴格區分交易平台資金和用戶資金，不允許有任何混淆。

• 角色與職責分離：業務流程的任何環節都不能存在單點風險，防止濫用職權。例如，冷錢包資金調撥必須遵循"四目原則"。

未來可能引入的解決方案

在保證現有安全程度的基礎上，爲交易所和用戶帶來更多便利，未來香港合規虛擬資產交易所在客戶資產托管方面可能引入以下方案：

1. 新技術應用：如MPC（安全多方計算）技術。隨着這些技術在全球公認認證體系下日益成熟，有望逐步得到監管認可。

2. 個人錢包解決方案：未來可能會出現更多C端用戶個人錢包相關的創新方案，與中心化交易所形成互補或聯動關係。

3. 集中托管：參考傳統金融經驗，未來可能會出現1-2家專業托管機構負責整個市場的資產托管。隨着新技術（如MPC）的安全性和可執行性得到國際認證機構認可，托管業務可能會逐漸集中到幾家頭部機構。

4. 責權分離：隨着監管制度的完善，未來可能會將托管部分的監管獨立明確出來，包括如何監管托管機構、交易所如何利用第三方托管服務等。

5. 技術路線多元化：當新技術路線日益成熟並獲得全球認證背書時，托管服務方的技術選擇將不再局限於傳統方案，而會有更多選擇。

隨着技術進步和市場參與者對行業理解的深入，相信未來會有更多人進入這個領域，市場將會更加蓬勃發展。