速览香港金管局发布的关于数字资产托管活动的指引

整理：Tia，Techub News

对于技术发展仍不够成熟的Web3行业而言，机构级的托管服务是资金进入该行业的一个重要推动力。在美国，包括Fireblocks、BitGo在内的机构级托管机构均获得了数千万乃至上亿美元的融资。作为希望成为亚洲Web3中心的香港，自然不会忽视这一块巨大的「蛋糕」。

昨日，香港金融管理局（HKMA）发布了《授权机构提供数字资产托管服务的标准指引》，笔者对该文件做了简单的梳理。

香港金融管理局表示，随着数字资产行业持续增长，香港金融管理局发现授权机构（authorized institutions，下文简称 AI）对数字资产相关活动的兴趣逐渐浓厚，尤其是数字资产托管服务领域。为确保 AI 所托管的客户数字资产得到充分保障，因此，金管局发布提供关于加密货币托管活动的指引。

香港金融管理局称，该指引适用于代客托管资产的 AI 以及在本地注册的 AI 的子公司。非代客托管的资产不在此指引范围内。

指引共分为以下八个部分：治理与风险管理、客户数字资产隔离、保护客户数字资产、授权与外包、披露、客户数字资产的记录和对账、反洗黑钱及反资助恐怖主义、持续监控。

治理与风险管理

在推出数字资产托管服务之前，AI 应进行全面的风险评估，以识别和了解相关风险。AI 应制定适当的政策、程序和控制措施来管理和减轻已识别的风险，同时应当适用法律和监管要求。AI 应对数字资产的托管制定适当的问责制度，书面制定相关角色及其职责。还应有适当的政策和流程来识别、管理和减轻可能出现的任何潜在和/或实际利益冲突。

客户数字资产隔离

AI 应将客户数字资产存放在单独账户中，与其自身资产隔离。AI 不得转让客户数字资产的任何权利、利益、所有权、合法受益所有权，或以其他方式出借、质押、再质押客户数字资产，除非客户有欠款、事先获得客户书面同意文件或法律要求的情况。

 保护客户数字资产

AI 应建立适当的系统和控制措施，以确保客户的数字资产得到及时、正确的核算和充分的保护，以最大限度地减少因盗窃、欺诈、疏忽或其他盗用行为而导致客户数字资产丢失的风险，以及客户数字资产延迟访问或无法访问的风险。

针对授权和验证对客户数字资产的存款、取款和转移的访问权限，包括对存储种子和私钥的设备的访问权限，应当制定一系列书面政策；关于如何管理和保护客户数字资产的种子和私钥，包括密钥生成、分发、存储、使用、销毁和备份，也应当制定书面政策。

指引还列出了一系列针对数字资产托管的要求：

• 在安全且防篡改的环境和设备（如 HSM）中生成和存储种子和私钥（包括其备份）。在可行的情况下，种子和私钥应离线生成；

• 应在香港生成、存储和备份种子和私钥；

• 使用强身份验证方法（例如多因素身份验证）来对种子和私钥的访问进行验证；

• 避免单点故障，使用如密钥分片或类似技术进行私钥拆分，将私钥分发给 AI 授权的多个人员进行分布式存储，确保没有任何一方拥有全部密钥。同时，也可以考虑使用多个钱包而不是单个钱包来保存客户数字资产；

• 制定相关措施，以防止有权访问种子和私钥的授权人员之间进行串通；

• 对种子和私钥进行异地备份，并将其离线保存在安全的物理位置；

• 将大部分客户数字资产存储在冷钱包中；

• 仅允许客户钱包地址或白名单地址进行数字资产的存取；

• 在托管过程中接触到的智能合约不应存在任何合约风险；

• 购买保险或制定赔偿条约来为潜在黑客事件等资产损失做准备。

授权和外包

AI 仅能将托管外包给其他 AI 或者经过 SFC 授权的虚拟资产交易平台。同时，若 AI 将数字资产托管服务进行外包，应当对受托机构进行尽职调查。尽职调查评估及其结果应记录并保存。AI 还应有相关技术手段来评估受托机构资产托管的安全性并确保受托机构将客户数字资产进行隔离。关于外包的最终责任由 AI 负责。

披露

AI 应对以下信息进行披露：

• AI 的权利和义务，以及 AI 进入破产清算阶段客户的权利；

• 托管相关内容，如如何存储并隔离客户资产、客户资产转入转出流程，以及相关费用与成本；

• 为预防安全事件购买的保险及相关赔偿条款；

• 客户与客户资产间的混合及其存在的风险；

• AI 对拥有的客户资产合法受益所有权的安排，如转让、出借、质押、再质押等，以及所存在的风险；

• 针对数字资产相关的投票、硬分叉、空投等；

• 其他关于托管行为可能存在的冲突。

客户数字资产的记录和对账

AI 应该为每位用户保留相关账务来记录用户数字资产所有权，应根据每个客户的情况定期、频繁地对客户数字资产进行核对，链下和链上的情况都应当记录。AI 应设有相关系统和措施，以保存和托管活动有关的所有记录，并应按要求及时向金管局提供这些记录。

反洗钱和打击资助恐怖主义

AI 应确保其反洗钱和反恐融资（AML/CFT）政策、程序和措施能够有效管理并减轻与其数字资产托管活动相关的洗钱和恐怖主义融资风险。AI 应遵守金管局就数字资产托管活动发出的《反洗钱及反恐融资指引》以及其他反洗钱/打击资助恐怖主义行为指引。

持续监控

AI 应定期审查其政策和程序，并对其系统及其对客户数字资产托管适用要求的遵守情况进行独立审计。