jakiro
Zusammenstellung: Bo Wen, Bai Lu Club Wohnzimmer
Die Sicherheit digitaler Vermögenswerte war schon immer eines der ältesten Themen in der Branche. Die Skala wird weiter erweitert werden
Im Jahr 2024 genehmigte die SEC der Vereinigten Staaten den Bitcoin Spot ETF, und Coinbase wurde zum Bitcoin -Depotbank von 8 ETF -Publishern, was seine Einkommensentwicklung stark unterstützte.Das Digital Asset -Sorgerecht ist nicht mehr nur ein technisches Problem, und es ist auch zu einem Muss für Strominstitutionen geworden.Wenn Hongkong schnell mit den Vereinigten Staaten einholen will, muss es auch bei der Aufsicht des digitalen Vermögensgewahrsames beschleunigt werden.
Am 20. Februar 2024 gab die Hong Kong Financial Administration (HKMA) eine Leitlinien für die Sorgerechtsaktivitäten für digitale Vermögenswerte herausListen Sie die entsprechenden Standards auf,Einschließlich Governance und Risikomanagement, digitalen Vermögenswerten für digitale Vermögenswerte von Kunden, digitaler Vermögensverfahren, Provision und Outsourcing usw.Die Leitlinien bieten Institutionen und Tochterunternehmen für die Sorgerechtsaktivitäten für digitale Vermögenswerte in Hongkong.
Das Folgende ist die Vorbereitung der ursprünglichen Textkompilierung.
Die erwarteten Standard -Richtlinien der Autorisierungsagenturen für das Digital Asset -Sorgerechtsdienste
Diese Richtlinien gelten für digitale Vermögenswerte der autorisierten Agentur (AIS) und deren Tochterunternehmen (dh Vermögenswerte, die hauptsächlich von Kryptographie und verteiltem Ledger oder ähnlichen Technologien abhängen), die lokal registriert sind, jedoch keine spezifischen Zwecke digitaler Token enthalten.Als Erklärung umfassen die Assets Covers Virtual Assets (VA), Tokens und andere Token -Vermögenswerte.Diese Richtlinien gelten nicht für die Sorgerecht für AIS oder eigene Vermögenswerte, und diese Vermögenswerte vertreten keine Kunden.
(A) Governance- und Risikomanagement
1. 1.Vor dem Start von Digital Asset Sorody Services sollte die Autorisierungsbehörde eine umfassende Risikobewertung durchführen, um die relevanten Risiken zu identifizieren und zu verstehen.Autorisierte Agenturen sollten angemessene Richtlinien, Verfahren und Kontrollmaßnahmen festlegen, das Risiko von anerkannten und die anwendbaren rechtlichen und behördlichen Anforderungen verwalten und verringern.Der Verwaltungsrat und die Geschäftsleitung der Agentur sollte den Risikomanagementprozess effektiv überwachen, um sicherzustellen, dass sie Risiken im Zusammenhang mit Sorgerechtsaktivitäten vor und während dieser Aktivitäten identifizieren, bewerten, verwalten und reduzieren können.
2.Die autorisierte Agentur vermittelt ausreichende Ressourcen für ihre Sorgerechtsaktivitäten, einschließlich der erforderlichen Arbeitskräfte und des beruflichen Kenntnisses, um die ordnungsgemäße Governance, den Betrieb und das wirksame Risikomanagement zu gewährleisten.Fortgeschrittenes Management und Mitarbeiter, die an den digitalen Vermögenspeichern und damit verbundenen Kontrollfunktionen teilnehmen, verfügen über das Wissen, die Fähigkeiten und das berufliche Kenntnis, das für die Erfüllung ihrer Aufgaben erforderlich ist.
3 ..In Anbetracht der raschen Entwicklung des digitalen Vermögens sollte die Autorisierungsbehörde sicherstellen, dass sie ausreichende Schulungen für die Geschäftsleitung und die Mitarbeiter anbietet, die sich für Sorgerechtsaktivitäten befassen, um ihre kontinuierlichen Geschäftsfähigkeiten aufrechtzuerhalten.
4. 4 ..Die Autorisierungsbehörde sollte geeignete Verantwortlichkeitsvereinbarungen für die Speicheraktivitäten festlegen, einschließlich klarer schriftlicher Rollen und Verantwortlichkeiten und Berichtsleitungen.Es sollte auch ausreichende Richtlinien und Prozesse bestehen, um potenzielle und/oder tatsächliche Interessenkonflikte von Interesse zu identifizieren, zu verwalten und zu reduzieren, z. B. Konflikte, die zwischen verschiedenen Aktivitäten von Institutionen oder verwandten Parteien auftreten können.
5.Die autorisierte Agentur hat effektive Ersatz- und Katastrophenwiederherstellungsvereinbarungen eingerichtet und aufrechterhalten, um die Kontinuität ihrer Sorgerechtsaktivitäten zu gewährleisten.
(B) Isolierung von digitalen Kundenvermögenswerten
6.Die autorisierte Agentur wird das digitale Vermögen der Kunden auf einem speziellen Kundenkonto, das von den eigenen Vermögenswerten des Instituts getrennt ist, einlegt, um sicherzustellen, dass die digitalen Vermögenswerte des Kunden bei Konkurs oder Auflösung von institutionellen Gläubigern befreit sind.
7.Die Autorisierungsbehörde überträgt keine Rechte, Interessen, Eigentum, Gesetze und/oder tatsächliche Eigentum an den digitalen Vermögenswerten des Kunden, und es sollte auch nicht geliehen, verpfändet, verpfändet oder belasten die digitalen Vermögenswerte für Kunden. Gebühren von/oder Kunden schuldeten die Einwilligung des Kunden im Voraus;Die Institution sollte vollständige und wirksame Maßnahmen ergreifen, um die Verwendung von digitalen Kundenvermögen für ein eigenes Konto oder den mit dem Kunden vereinbarten Zweck zu verhindern.
(C) Schutz des digitalen Kundenvermögens
8 ..Eine autorisierte Agentur sollte ausreichende Systeme und Steuerelemente festlegen, um sicherzustellen, dass die digitalen Vermögenswerte des Kunden rechtzeitig und ordnungsgemäß geschützt und vollständig geschützt sind.Insbesondere sollte die Agentur wirksame Kontrollmaßnahmen formulieren, um das Risiko von digitalen Kundenvermögenswerten zu minimieren, die durch gestohlene, Betrug, Fahrlässigkeit oder andere Berufsverhalten sowie den verzögerten Zugang zu den digitalen Kundenvermögen verursacht werden.
9.Bei der Entwicklung von Systemen und Kontrollen zum Schutz der digitalen Vermögenswerte des Kunden kann die autorisierte Agentur risikobasierte Methoden anwenden, um die Art, Merkmale und Risiken der digitalen Vermögenswerte ihrer Sorgerecht zu berücksichtigen.Risiken können von den Arten von DLT -Netzwerk (Distributed Ledger Technology) abhängen (wie private Genehmigungen, öffentliche Genehmigungen und Nicht -Lizenzierung) sowie die Hilfsmaßnahmen.Zum Beispiel kann die digitalen Vermögenswerte im öffentlichen DLT -Netzwerk mit höheren Sicherheitsrisiken ausgesetzt sein. DLT -Netzwerk von öffentlichen Lizenzen und privaten Lizenzen.
10 ..Zu den Systemen und Kontrollen, die zum Schutz der digitalen Vermögenswerte der Kunden verwendet werden, gehören unter anderem die schriftlichen Richtlinien und Verfahren in den folgenden Aspekten:
-Aligree und Überprüfung Zugang zu Einzahlung, Auszahlung und Übertragung digitaler Vermögenswerte, einschließlich Geräte, die Speichersamen und private Schlüssel besuchen;
-Die Saatgut und private Schlüssel zum Verwalten und Schutz der digitalen Kundenvermögenswerte, einschließlich der wichtigsten Generierung, Vertrieb, Speicherung, Verwendung, Zerstörung und Backup.
11.,,Insbesondere wird erwartet, dass die autorisierten Agenturen die bester Verfahren der verwandten Branchen übernehmen und den geltenden internationalen Sicherheitsstandards befolgen, um die Art, Merkmale und Risiken der Vermögenswerte zu erfüllen.Obwohl die unten aufgeführten Verfahren und Kontrollen nicht so konzipiert sind, dass sie standardisiert sind, oder um eine -größe -Fits -alle, müssen die Autorisierungsagenturen in der Regel die VA -Kunden von Kunden halten.Für andere digitale Vermögenswerte kann die Autorisierungsbehörde die Risikomethode verwenden, um die folgenden Verfahren und Kontrollen durchzuführen, was mit den Risiken übereinstimmt. der Implementierung:
-In der Produktion und Lagerung von Saatgut und privaten Schlüssel in einer sicheren und anti -versperrten Umgebung und Ausrüstung (wie Hardware -Sicherheitsmodul HSM), einschließlich ihrer Sicherung.In machbaren Umständen sollten Saatgut und private Schlüssel offline erzeugt werden, und eine ordnungsgemäße Lebenszyklusgrenze sollte festgelegt werden.
– –Die Sicherheitsgenerierung, Lager- und Backup -Samen und private Schlüssel befinden sich in Hongkong.
-Die Zugriffsberechtigungen für verschlüsselte Geräte oder Anträge sind nach Bedarf auf autorisierte Mitarbeiter beschränkt. Interviews mit Saatgut und privaten Schlüssel;
– –Durch die Verwendung wichtiger Schardien oder einer ähnlichen Technologie, um beispielsweise „Einzelausfallpunkt“ zu verhindern, wird der private Schlüssel unterteilt und an die autorisierten autorisierten Agenturen verteilt, um ihn zu verteilen, um sicherzustellen, dass keine einzige Partei alle Schlüssel hält.Im Allgemeinen müssen eine bestimmte Anzahl wichtiger Shard -Inhaber eine Transaktion gemeinsam unterschreiben, um sicherzustellen, dass keine einzelne Person vollständige Zugriffsberechtigungen hat, und gleichzeitig geht der Betrieb verloren, wenn ein einzelner Shard verloren, nicht verfügbar oder gestohlen wird.Um den „Einzelausfallpunkt“ zu verhindern, können Sie auch in Betracht ziehen, mehrere Brieftaschen anstelle einer einzelnen Brieftasche zu verwenden, um die digitalen Kundenbetreuung zu halten.
– –Erstellen Sie Maßnahmen zur Verhinderung und Verringerung des Kollusionsrisikos zwischen autorisiertem Personal mit Zugang zu Zugang zu den Wörtern und der privaten SchlüsselbehördeArtikel
– –Für Notizen und private Schlüssel sollten diese Vorkehrungen durch die gleiche Sicherheitskontrolle wie die ursprünglichen Notizen und privaten Schlüssel eingeschränkt werden.Die Backup -Notizen und privaten Schlüssel sollten an einem sicheren physischen Ort gespeichert werden, der nichts mit dem Hauptort der Originalnotizen und dem Hauptort des privaten Schlüssels zu tun hat und von keinem Ereignis betroffen ist.
-Sofern nicht anders beweist, sollten die meisten Kunden in der Kältespeicherung erhalten bleiben, die nicht mit dem Internet verbunden ist.
-Sther durch Übergabe der Brieftaschenadresse, die dem Kunden gehört (z. B. durch den Eigentümertest, z. ;
-Che misst, um sicherzustellen, dass jeder intelligente Vertrag, der während des Hosting -Prozesses verwendet wird, weitgehend von Vertragsanfälligkeiten oder Sicherheitsfehlern beeinflusst wird
-Durch die Entstehung geeigneter Versicherungs- oder Vergütungsvereinbarungen wurde die digitalen Vermögensverluste des Kunden aufgrund von Hackern, Diebstahl oder Betrug vollständig abdeckt (ob Verhalten, Fehler, Fahrlässigkeit oder schwerwiegende Fahrlässigkeit der autorisierten Agentur.
12,.Wenn die Autorisierungsagentur Kunden eine Benutzeroberfläche oder ein Portal zur Verwaltung digitaler Vermögenswerte der autorisierten Agentur zur Verfügung stellt zur Zeit.
13.Die Autorisierungsbehörde sollte den Trend und die Entwicklung von aufstrebenden und Sicherheitsbedrohungen, Lücken, Angriffen und Betrugsrisiken sowie den Trend und die Entwicklung technischer Lösungen genau beachten. Fortschritte;Testen Sie vor dem Einsatz die Brieftaschenspeicher -Technologie, mit der die digitalen Vermögenswerte des Kunden für Tests geführt haben, um die Zuverlässigkeit zu gewährleisten.
(D) Kommission und Outsourcing
14.In Bezug auf virtuelle Vermögenswerte kann die autorisierte Agentur ihre Sorgerechtsfunktion (i) eine andere autorisierte Agentur (oder eine Tochtergesellschaft einer registrierten Behörde für die Lizenz für die Lizenz für die Lizenz für die Lizenz für die Handelsplattform mit virtueller Vermögenswerte anvertrauen.Für andere digitale Vermögenswerte, die beispiellose Token sind, sollte die autorisierte Agentur, wenn sie sich im öffentlich nicht autorisierten verteilten Ledger-Netzwerk befinden, besonders vorsichtig sein und eine eingehende Bewertung durchführen, ob sie angemessen ihre Sorgerechtsfunktionen anvertrauen oder auslagern sollen.
15.Wenn eine autorisierte Agentur eine Kommission oder eine Outsourcing -Vereinbarung mit dem Kommissar oder Dienstleister in Bezug auf die Bereitstellung von Sorgerechtsdiensten für digitale Vermögenswerte erreicht, führt die autorisierte Agentur vor der Auswahl und Ernennung des Anvertebungs- oder Dienstleisters eine angemessene Due Diligence durch.Die autorisierte Agentur bewertet und gewährleistet die Zufriedenheit, einschließlich, aber nicht beschränkt auf den finanziellen und gesunden Status, den Reputation, die Managementfähigkeiten, die Technologie und die Betriebsfunktionen des Kunden oder Dienstleister sowie die Fähigkeiten und Fähigkeiten, die den Anwendungen und anderen anwendbaren Anwendungen entsprechen Gesetze und regulatorische Anforderungen sowie die technologische Entwicklung im Bereich digitaler Vermögenswerte aufrechterhalten.Aufgrund der Sorgfalt und Bewertung und der Ergebnisse sollten die Ergebnisse mit geeigneten Aufzeichnungen erhalten werden.Autorisierte Agenturen sollten wirksame Kontrollmaßnahmen festlegen, um die Leistung des Kommissars oder Dienstleister kontinuierlich zu überwachen.
16.Bei der Erbringung von Sorgerechtsdiensten für digitale Vermögenswerte mit dem Kommissar oder Dienstleister sollte die autorisierte Agentur über ein technisches Know -how verfügen, um die Effektivität der Bereitstellungslösung beim Schutz der digitalen Vermögenswerte der Kunden zu bewerten, und ob sie einzelne Fehlerpunkte einführt.Die autorisierte Agentur sollte auch die Bedingungen des Kunden oder Dienstleisters, der die digitalen Vermögenswerte des Kunden innehat, vollständig verstehen und bewerten, ob sie erhebliche Auswirkungen auf die gesetzlichen Rechte der Kunden haben, wenn die Teilnahme an Partei- oder Dienstleister Insolvenz.Die Autorisierungsbehörde ist dafür verantwortlich, dass der Kommissar oder Dienstleister gemäß den Absätzen 6 und 7 dieses Anhangs angemessen isoliertes Kunden digitaler Vermögenswerte angemessen ist.
17.Notfall- und Katastrophenwiederherstellungsvereinbarungen für Autorisierungsagenturen sollten die Unterbrechung der Unterbrechungen abdecken, die durch in Auftrag gegebene oder durch das Digital Asset Sorgerydiens ausgelagerte Unterbrechungen verursacht werden.Die autorisierte Agentur sollte auch die Elastizität des Kommissars oder Dienstleisters bewerten, einschließlich der Notfallpläne und -verfahren, um die Verfügbarkeit des Hosting -Dienstes sicherzustellen.
18.Erinnern Sie die Autorisierungsbehörde in der Kommission oder die Outsourcing -Vereinbarung von Digital Asset -Sorgerechtsdiensten und unterhalten das entsprechende System und die Kontrolle mit der Kommission oder der Outsourcing -Vereinbarung traditioneller finanzieller Aktivitäten.
19.Die endgültige Verantwortung und Rechenschaftspflichtsystem für in Auftrag gegebene oder Outsourcing -Aktivitäten werden von der autorisierten Behörde getragen.
(E) Risikooffenlegung
20.Die Autorisierungsbehörde wird die Sorgerechtsvereinbarungen ihren Kunden vollständig und einfach auf eine klare und einfache Weise weitergeben, einschließlich:
-Die Rechte und Verpflichtungen der autorisierten Agentur und ihrer Kunden, einschließlich des Eigentums des Kundenbesitzes an ihrem Vermögen, wenn die autorisierte Agentur den Insolvenz oder die Liquidation betritt;
-Die Hosting -Vereinbarung, einschließlich der Speicher- und Isolationsmethoden von digitalen Kunden, Verfahren und Zeit, um auf Kunden digitale Vermögenswerte und anwendbare Kosten und Kosten zuzugreifen;
-Eine Vergütungsvereinbarungen, die die digitalen Vermögensverluste der Kunden abdecken, die durch Sicherheitsereignisse oder Veruntreuung verursacht werden können;
-Die digitale Vermögenswerte und andere Kundenvermögenswerte sind gemischt sowie damit verbundene Risiken.
-Die Behörde erhält das gesetzliche und/oder wirtschaftliche Eigentum an digitalem Kundenvermögen oder Übertragung, Ausleihe, Hypothek, mortbasiert oder festgelegt für die digitalen Vermögenswerte für Kunden auf andere Weise und die damit verbundenen Risiken.
-Die Ansatz von digitalen Kunden in Bezug auf Abstimmungen, Hardgabel und Airdrops sowie deren entsprechende Rechte und Rechte;
-Aligible Agenturen müssen ihre Kunden umfassend und fair und fair offenbaren, einschließlich potenzieller und/oder tatsächlicher Interessen im Zusammenhang mit ihren Hosting -Aktivitäten.
(F) Aufzeichnungen über die Erhaltung und Versöhnung des Kunden digitaler Vermögenswerte
Einundzwanzig.Die Autorisierungsagentur behält die ordnungsgemäßen Kontobücher und Aufzeichnungen für jeden Kunden bei, um das Eigentum an digitalen Kundenvermögen, einschließlich des Betrags und der Art der, die den Kunden geschuldet sind, sowie den Fluss der Vermögenswerte zwischen Kundenkonten zu verfolgen und festzuhalten.Die digitalen Vermögenswerte des Kunden sollten regelmäßig und häufig auf der Grundlage der Kunden unter Berücksichtigung der relevanten Ketten- und Kettenaufzeichnungen bezahlt werden.Bei Inkonsistenz sollte es rechtzeitig gelöst und rechtzeitig auf das fortschrittliche Management aufgerüstet werden.
Zweiundzwanzig.Die Autorisierungsbehörde legt Systeme und Kontrollmaßnahmen ein, um alle Aufzeichnungen im Zusammenhang mit Sorgerechtsaktivitäten zu behalten und zu schützen, und liefert rechtzeitig rechtzeitig, um diese Aufzeichnungen bei der Finanzverwaltung von Hongkong rechtzeitig bereitzustellen.
(G) Anti -Geldwäsche und -riss gegen die Finanzierung der Terroristen
Dreiundzwanzig.Die autorisierte Agentur sollte sicherstellen, dass ihre Richtlinien, Verfahren und Kontrolle der Terroranschlüsse (AML/CFT) gegen Terroristenfinanzierung (AML/CFT) die Geldwäsche und terroristische Aktivitäten im Zusammenhang mit Digital Asset -Sorgerechtsaktivitäten effektiv verwalten und reduzieren können.Die autorisierte Agentur bleibt an die AML/CFT -Leitfadendokumente der „Anti -Geldwäsche und Kampagne der Finanzkampagnenfinanzierung (geltend für autorisierte Institutionen)“ und der Finanzverwaltung von Hongkong bei Digital Asset -Sorgerechtsaktivitäten.
(H) Die Anforderungen an eine kontinuierliche Überwachung
vierundzwanzig.Die Autorisierungsbehörde überprüft regelmäßig ihre Richtlinien und Verfahren und führt unabhängige Prüfung in ihren Systemen und Kontrollen sowie die Einhaltung der geltenden Anforderungen der Digital Asset -Speicherung des Kunden durch.
