香港合規虛擬資產交易的核心：安全的錢包管理和資產托管

近期，香港兩家虛擬數字資產交易所獲得了證監會批準的虛擬資產服務提供商牌照，正式宣布可以向香港散戶提供虛擬資產交易服務。這無疑爲合規交易所在虛擬資產領域的地位和布局注入了強心劑。

自去年10月以來，香港證監會和金管局陸續發布了一系列關於虛擬資產交易的措施。今年6月1日起，除了已獲牌照的交易所外，其他虛擬資產交易所也可以向證監會正式提交合規申請。

在這樣的政策環境下，許多交易所都有意在香港申請牌照，建立合規的中心化交易所。那麼，香港證監會對中心化交易所有什麼具體要求？除了法律文件，在技術方面又有哪些特別的配置要求？

事實上，香港目前的合規交易監管框架對交易所在軟硬件合規方面的技術要求非常高。國際上有多家供應商爲交易所在合規框架下提供各種技術服務。其中最核心、也是香港證監會最關注的領域就是客戶資產的托管。

傳統金融與虛擬資產交易所的資產托管差異

在傳統金融體系中，用戶通常通過券商購買股票。實際上，用戶的資金並不存放在券商帳戶中，而是由銀行托管。銀行下設券商的大帳戶，再細分爲用戶的小帳戶來托管資金。券商作爲資金托管方，無法直接調動用戶資金，需要銀行確認客戶指令後才能操作。

傳統金融世界中的股票、債券等都由高度中心化、安全保障極高的機構托管，這些機構在軟硬件、網路和內部管理方面都有完善的安全保護措施。證券服務商實際上只是協助客戶進行托管管理流程，背後是經過多代技術更新的大型金融機構爲用戶托管和保護資產。

然而，香港合規虛擬資產交易框架下的資產托管方式有很大不同。香港監管要求交易所自身承擔類似銀行的角色，客戶的虛擬資產直接托管在交易所的冷錢包中。這相當於將傳統金融托管體系的多項功能集中在合規交易所這一實體中，由其對客戶資產負責。因此，合規交易所在軟硬件技術方面的要求遠超券商，接近銀行水平，還需要額外考慮加密學維度。

虛擬資產交易領域的安全問題

從安全角度來看，區塊鏈可簡單分爲鏈上和鏈下兩部分。鏈上智能合約可能面臨各種黑客攻擊，利用合約漏洞進行資金轉移或泄露。鏈下對於運營平台而言，需要構建一個完整的安全能力系統工程，包括用戶認證體系、企業內部網路安全、終端安全、應急響應機制以及托管技術路線等多個方面。

從合規角度來看，虛擬資產行業經歷了從野蠻生長到逐步規範的過程。近年來，各地監管政策不斷明確。2017年日本較早開啓了交易所發牌制度，對網路安全、數據安全等方面提出了要求。新加坡和香港近期也出臺了相關政策，尤其是香港今年發布的虛擬資產牌照監管政策，從交易平台着手，明確了管理規則和制度，旨在真正保護投資者利益。

監管對資產托管合規的要求

香港證監會和政府的監管政策在邏輯性和全面性方面都表現出色。主要體現在以下幾個方面：

1. 考慮地緣政治因素，要求數字資產背後的私鑰必須存放在香港本地。

2. 由於香港目前尚未建立成熟完備的第三方托管監管制度，監管政策要求虛擬資產牌照申請者必須自行建設虛擬資產安全托管系統，並列出了詳細的要求。

3. 在技術路線選擇上，監管機構重視技術的成熟度，要求使用的關鍵技術環節需得到國際主流權威安全認證機構的認可。

4. 雖然要求交易平台自行托管客戶資產，但必須經過權威第三方評估機構的評估，證明達到要求後才有可能獲得牌照。

這些要求顯示出香港政府在監管方面對邏輯、方法和細節都進行了全面考慮。

保護用戶資產安全的措施

1. IT方面的要求包括網路安全、IT基礎設施、終端安全、災備應急響應以及錢包托管系統等。其中一項重要要求是98%的資產必須存儲在冷錢包中。

冷錢包不僅要求離線斷網，還需使用國際認可的密碼學安全設備形成數字資產金庫，並對存放硬件的物理環境有嚴格要求，如溫溼度控制、防追蹤、防尾隨和信號幹擾等。

爲進一步保護用戶資產，監管還要求設立風險賠付金或專用保險，確保具備給客戶理賠的能力。

2. 合規方面，反洗錢和反恐怖融資是監管重點。每個交易所需配備專業的"首席合規官"，負責貫穿整個交易過程的合規工作，包括用戶Onboard環節的KYC和每筆交易的Travel Rule檢查。

3. 風控涉及多個方面，包括市場操控行爲、用戶欺詐風險、交易對手方風險和信用風險等的管理。

4. 治理層面要求建立完善的制度，核心在於角色的明確：

• 主體角色分離：交易平台和負責托管客戶資產安全的主體需分開，且托管主體要100%服務於交易平台主體。

• 資金責任明確：嚴格區分交易平台資金和用戶資金，不允許有任何混淆。

• 角色與職責分離：業務流程的每個環節都要避免單點風險，防止濫用職權。例如，冷錢包資金調撥必須遵循"四目原則"。

未來可能引入的解決方案

未來，在保證現有安全程度的同時，爲交易所和用戶帶來更多便利，香港合規虛擬資產交易所在客戶資產托管方面可能引入以下方案：

1. 新技術應用：如MPC（安全多方計算）技術。隨着這些技術在全球認證體系下日益成熟，有望逐步被採納。

2. 個人錢包解決方案：未來可能會出現更多個人錢包相關的創新方案，與中心化交易所形成互補或聯動關係。

3. 集中托管：參考傳統金融經驗，未來可能會出現1-2家專業機構負責整個市場的資產托管。

4. 責權分離：隨着監管制度的完善，托管部分可能會獨立出來，形成單獨的監管體系。

5. 技術路線多元化：當新技術路線日益成熟並獲得全球認證背書時，托管服務方的技術選擇將不再局限於傳統方案。

隨着技術進步和市場參與者對行業理解的深化，相信未來將有更多人進入這個領域，市場將更加蓬勃發展。