編譯：博文，白露會客廳

數字資產的安全一直是行業討論最久的話題之一，隨着越來越多的傳統機構入場，怎樣在黑客叢生的Web3世界保管好用戶的數字資產，成爲行業規模繼續擴大必須解決的問題。

2024年，美國SEC批准比特幣現貨ETF，Coinbase成爲其中8支ETF發行商的比特幣托管商，大幅支撐了其收入發展。數字資產托管不再僅是技術問題，也成爲了實力機構必爭的生意。香港如果想快速追上美國的步伐，在數字資產托管的監管上也必須加速完善。

2024年2月20日，香港金融管理局（金管局）發布關於數字資產托管活動的指引，列出了相關的標准，包括治理和風險管理、客戶數字資產隔離、客戶數字資產保護、委托和外包等，爲在香港开展數字資產托管活動的機構及其子公司提供指導。

以下爲指引原文內容編譯。

數字資產托管服務授權機構的預期標准指引

本指引適用於授權機構（AIs）及其在本地注冊的授權機構子公司代表客戶持有的數字資產（即主要依賴於密碼學和分布式账本或類似技術的資產），但不包括特定用途的數字代幣。作爲說明，涵蓋的資產包括虛擬資產（VA）、代幣化證券和其他代幣化資產。本指引不適用於AIs或其集團公司自有資產的托管，這些資產並非代表客戶持有。

（A） 治理和風險管理

1. 在推出數字資產保管服務之前，授權機構應進行全面的風險評估，以識別和了解相關風險。授權機構應建立適當的政策、程序和控制措施，管理和減輕已識別的風險，考慮適用的法律和監管要求。該機構的董事會和高級管理層應有效監督風險管理流程，確保在從事數字資產保管活動之前和在進行這些活動的過程中，都能夠識別、評估、管理和減輕與保管活動相關的風險。

2. 授權機構應爲其保管活動分配足夠的資源，包括必要的人力和專業知識，以確保適當的治理、運營和有效的風險管理。參與該機構數字資產保管活動及相關控制職能的高級管理層和員工應具備履行其職責所需的知識、技能和專業知識。

3. 鑑於數字資產領域的快速發展，授權機構應確保對從事保管活動的高級管理層和員工提供足夠的培訓，以保持其持續的業務能力。

4. 授權機構應對保管活動建立適當的問責安排，包括明確書面規定的角色和責任以及報告线路。還應制定足夠的政策和流程，以識別、管理和減輕可能發生的潛在和/或實際利益衝突，例如在機構或其關聯方進行的不同活動之間可能發生的衝突。

5. 授權機構應建立並維護有效的備用和災難恢復安排，以確保其保管活動的業務連續性。

（B）客戶數字資產的隔離

6. 授權機構應將客戶數字資產存放在與機構自身資產分开的專用客戶账戶中，以確保在機構破產或解散時，客戶數字資產免受機構債權人的索賠。

7. 授權機構不應轉讓客戶數字資產的任何權利、利益、所有權、法律和/或實際所有權，也不應以其他方式出借、抵押、再抵押或對客戶數字資產設定任何負擔，除非是爲了：（i）結算交易，和/或客戶欠機構的費用和收費；（ii）獲得客戶的事先明確書面同意；或者（iii）法律規定。機構應採取充分而有效的措施，防止將客戶數字資產用於自身账戶或與客戶約定的目的之外的用途。

（C）客戶數字資產的保護

8. 一個授權機構應建立足夠的系統和控制，確保客戶數字資產得到及時而妥善的核算和充分的保護。特別是，該機構應制定有效的控制措施，以最小化由於盜竊、欺詐、疏忽或其他侵佔行爲以及客戶數字資產的延遲訪問或無法訪問而導致的客戶數字資產的喪失風險。

9. 在开發用於保護客戶數字資產的系統和控制時，授權機構可以採用基於風險的方法，考慮其托管的數字資產的性質、特徵和風險。風險可能依賴於例如所使用的分布式账本技術（DLT）網絡的類型（如私有許可、公共許可和公共無許可），以及所採取的緩解措施。例如，在公共無許可的DLT網絡上持有的客戶數字資產可能面臨更高的網絡安全風險，丟失資產的恢復可能在盜竊、黑客攻擊或其他網絡攻擊事件發生時較爲困難，而相比之下，在公共許可和私有許可的DLT網絡上可能存在對DLT網絡的訪問進行控制的措施。

10. 用於保護客戶數字資產的系統和控制包括但不限於以下方面的書面政策和程序：

- 授權和驗證訪問以進行客戶數字資產的存款、提款和轉移，包括訪問存儲種子和私鑰的設備；以及

- 管理和保護客戶數字資產的種子和私鑰，包括密鑰生成、分發、存儲、使用、銷毀和備份。

11. 特別是，預期授權機構將採用相關行業最佳實踐，並遵循適用的國際安全標准，以符合所持資產的性質、特徵和風險。盡管下文中列出的程序和控制並非旨在成爲規範性的或一刀切的，但它們通常是要求持有客戶VA的授權機構必須具備的。對於其他數字資產，授權機構可能會根據風險採用風險爲基礎的方法來執行以下程序和控制，以與所面臨的風險相符，但如果這些數字資產以公共無許可的DLT網絡上的無許可代幣的形式存在，授權機構還應更加謹慎並進行對實施的審慎評估：

- 在安全且防篡改的環境和設備（如硬件安全模塊HSM）中生成和存儲種子和私鑰，包括它們的備份。在可行的情況下，應離线生成種子和私鑰，並設置適當的生命周期限制；

- 安全地生成、存儲和備份種子和私鑰在香港本地；

- 僅根據需要將對加密設備或應用的訪問權限限制在經過授權的人員中，這些人員經過適當的篩選和培訓；保持對訪問方式的最新文檔記錄以及分配的訪問權限；使用強身份驗證方法，如多因素身份驗證，對種子和私鑰的訪問進行身份驗證；保持對加密設備或應用訪問的審計跟蹤；

- 通過採用關鍵分片或類似技術防範任何“單一故障點”，例如將私鑰分割並分發給經過授權的授權機構多名人員以進行分布式存儲，以確保沒有單一方持有全部密鑰。通常，需要一定數量的密鑰分片持有者集體籤署交易，以確保沒有單個人擁有完全訪問權限，同時在單個分片丟失、不可用或被竊取時防止操作中斷。爲防止“單一故障點”，也可以考慮使用多個錢包而不是一個單一錢包來持有客戶數字資產；

- 設立措施以防範和減輕具有訪問助記詞和私鑰權限的授權人員之間發生勾結的風險；

- 對於助記詞和私鑰，應制定充分的異地備份和應急安排，這些安排應受到與原始助記詞和私鑰相同的安全控制的約束。備份的助記詞和私鑰應在與存儲原始助記詞和私鑰的主要位置無關並且不會受到任何事件影響的安全物理位置中進行離线保存；

- 除非另有證明，否則應在未連接到互聯網的冷存儲中保存大部分客戶數字資產；

- 僅通過屬於客戶的錢包地址（例如，通過所有權測試，如消息籤名或微支付測試）且已列入白名單的方式允許客戶數字資產的存款和提取；

- 採取措施確保在托管過程中使用的任何智能合約在很大程度上不受合同漏洞或安全缺陷的影響；以及

- 制定適當的保險或補償安排，充分覆蓋可能由於黑客事件、盜竊或欺詐（不論是否由於授權機構的行爲、錯誤、疏忽或重大過失）而導致的客戶數字資產損失。

12. 當授權機構爲客戶提供用戶界面或門戶以管理其由授權機構持有的數字資產時，應當建立有效的客戶身份驗證和通知控制措施，遵循香港金融管理局（HKMA）不時制定的相關指導方針。

13. 授權機構應密切關注新興安全威脅、漏洞、攻擊和欺詐風險以及技術解決方案的趨勢和發展；定期評估安全風險控制的充分性和健壯性，考慮到新興威脅和技術進步；並採取措施，根據相關行業最佳實踐和適用的國際標准，採用保管客戶數字資產的技術。在部署之前，應對用於保管客戶數字資產的錢包存儲技術進行測試，以確保其可靠性。

（D）委托和外包

14. 作爲一個一般原則，就虛擬資產而言，授權機構只能將其托管職能委托給（i）另一家授權機構（或者是一家在本地注冊的授權機構的子公司）；或者（ii）一家獲得證監會牌照的虛擬資產交易平台。對於形式爲無許可令牌的其他數字資產，如果它們位於公共-無許可的分布式账本網絡上，授權機構應該特別謹慎，並進行深入評估是否適當委托或外包其托管職能。

15. 當一家授權機構在提供數字資產托管服務方面與委托方或服務提供商達成委托或外包安排時，授權機構在選擇和任命委托方或服務提供商之前應進行適當的盡職調查。授權機構應評估並確保滿意，包括但不限於委托方或服務提供商的財務健康狀況、聲譽、管理技能、技術和運營能力以及符合本附件和其他適用的法律和監管要求的能力和能力，以及跟上數字資產領域的技術發展。盡職調查評估及其結果應以適當的記錄保存。授權機構應建立有效的控制措施，以持續監控委托方或服務提供商的績效。

16. 在與委托方或服務提供商合作提供數字資產托管服務時，授權機構應具備技術專業知識，以評估部署的解決方案在保護客戶數字資產方面的有效性，以及它是否引入了任何單一故障點。授權機構還應充分了解委托方或服務提供商持有客戶數字資產的條款和條件，並評估它是否會在委托方或服務提供商破產時對客戶的法律權利產生重大影響。授權機構有責任確保委托方或服務提供商根據本附件第6和第7款適當地隔離客戶數字資產。

17. 授權機構的應急和災難恢復安排應覆蓋對委托或外包數字資產托管服務造成的中斷的情景。授權機構還應評估委托方或服務提供商的彈性能力，包括其應急計劃和程序，以確保托管服務的可用性。

18. 提醒授權機構在數字資產托管服務的委托或外包安排中，也要保持與傳統金融活動的委托或外包安排相應的相關系統和控制。

19. 任何委托或外包的活動的最終責任和問責制度都由授權機構承擔。

（E）風險披露

20. 授權機構應以清晰易懂的方式向其客戶充分和公正地披露托管安排，包括：

- 授權機構及其客戶各自的權利和義務，包括在授權機構進入破產或清算時客戶對其資產的所有權權利；

- 托管安排，包括客戶數字資產的存儲和隔離方式、存取客戶數字資產的程序和時間，以及任何適用的費用和成本；

- 賠償安排，以覆蓋由於安全事件或挪用等原因可能導致的客戶數字資產損失；

- 客戶數字資產與其他客戶資產混合存在的情況，以及相關的風險；

- 授權機構將在其中取得客戶數字資產的法定和/或有益所有權，或以其他方式轉讓、出借、抵押、再抵押或對客戶數字資產設定任何擔保的我情況和安排，以及涉及的風險；

- 客戶數字資產在投票、硬分叉和空投等事件中的處理方式以及它們的相應權利和權益；

- 授權機構應向其客戶全面而公平地披露其托管安排，包括與其托管活動相關的潛在和/或實際利益衝突的存在和性質。

（F）客戶數字資產的記錄保存和對账

21. 授權機構應當爲每位客戶保持適當的账簿和記錄，以追蹤和記錄客戶數字資產的所有權，包括欠客戶的資產金額和種類，以及資產在客戶账戶之間的流動情況。應當在逐客戶的基礎上定期和頻繁地對客戶數字資產進行對账，考慮到相關的鏈下和鏈上記錄。如有任何不符之處，應當及時解決並適時升級至高級管理層。

22. 授權機構應當建立系統和控制措施，以保管和保護與托管活動相關的所有記錄，並應在香港金融管理局要求時及時提供這些記錄。

（G）反洗錢和打擊恐怖活動融資

23. 授權機構應確保其反洗錢和打擊恐怖融資（AML/CFT）政策、程序和控制能夠有效管理和減輕與數字資產托管活動相關的任何洗錢和恐怖活動融資風險。授權機構應遵守《反洗錢和打擊恐怖活動融資指引（適用於授權機構）》和香港金融管理局關於數字資產托管活動的AML/CFT指導文件。

（H）對持續監控的要求

24. 授權機構應定期審查其政策和程序，並對其系統和控制以及對客戶數字資產保管方面的適用要求的合規性進行獨立審計。

鄭重聲明：本文版權歸原作者所有，轉載文章僅為傳播信息之目的，不構成任何投資建議，如有侵權行為，請第一時間聯絡我們修改或刪除，多謝。