Compilación: Bo Wen, sala de estar Bai Lu Club

La seguridad de los activos digitales siempre ha sido uno de los temas más antiguos de la industria. La escala continúa expandiéndose debe resolverse.

En 2024, la SEC de los Estados Unidos aprobó el ETF de Bitcoin Spot, y Coinbase se convirtió en el custodio de Bitcoin de 8 editores de ETF, que respaldaron en gran medida su desarrollo de ingresos.La custodia de activos digitales ya no es solo un problema técnico, y también se ha convertido en un negocio imprescindible para las instituciones de energía.Si Hong Kong quiere ponerse al día rápidamente con Estados Unidos, también debe acelerarse en la supervisión de la custodia de activos digitales.

El 20 de febrero de 2024, la Administración Financiera de Hong Kong (HKMA) emitió una guía sobre actividades de custodia de activos digitales, Enumere los estándares relevantes,Incluyendo gobierno y gestión de riesgos, activos digitales de los clientes de activos digitales, protección de activos digitales del cliente, comisión y subcontratación, etc.La orientación proporciona instituciones y subsidiarias para actividades de custodia de activos digitales en Hong Kong.

La siguiente es la preparación de la compilación de texto original.

Las pautas estándar esperadas de las agencias de autorización de servicios de custodia de activos digitales

Estas pautas se aplican a los activos digitales en poder de la agencia autorizada (AIS) y sus subsidiarias (es decir, activos que dependen principalmente de la criptografía y el libro mayor distribuido o tecnologías similares), que están registradas localmente, pero no incluyen propósitos específicos tokens digitales.Como explicación, la cubierta de activos incluye activos virtuales (VA), tokens y otros activos de tokens.Estas pautas no son aplicables a la custodia de AIS o sus propios activos, y estos activos no representan a los clientes.

(A) Gestión de gobernanza y riesgos

1. 1.Antes del lanzamiento de los servicios de custodia de activos digitales, la agencia de autorización debe realizar una evaluación integral de riesgos para identificar y comprender los riesgos relevantes.Las agencias autorizadas deben establecer políticas, procedimientos y medidas de control apropiadas, administrar y reducir los riesgos de reconocidos y considerar los requisitos legales y reglamentarios aplicables.La junta directiva y la alta gerencia de la agencia deben monitorear efectivamente el proceso de gestión de riesgos para garantizar que puedan identificar, evaluar, administrar y reducir los riesgos relacionados con las actividades de custodia antes y durante estas actividades.

2.La agencia autorizada asignará recursos suficientes para sus actividades de custodia, incluida la mano de obra necesaria y el conocimiento profesional para garantizar la gobernanza adecuada, la operación y la gestión efectiva de riesgos.La gerencia avanzada y los empleados que participen en las actividades de almacenamiento de activos digitales de la institución y las funciones de control relacionadas tendrán el conocimiento, las habilidades y el conocimiento profesional necesarios para cumplir con sus funciones.

3 ..En vista del rápido desarrollo de los activos digitales, la agencia de autorización debe asegurarse de que brinde capacitación suficiente para la alta gerencia y los empleados involucrados en actividades de custodia para mantener sus continuas capacidades comerciales.

4. 4 ..La agencia de autorización debe establecer los acuerdos de responsabilidad apropiados para las actividades de almacenamiento, incluidas las funciones y responsabilidades y las líneas de informes claramente escritas.También debe haber suficientes políticas y procesos para identificar, administrar y reducir los conflictos de intereses potenciales y/o reales de intereses, como los conflictos que pueden ocurrir entre diferentes actividades realizadas por instituciones o partes relacionadas.

5.La agencia autorizada establecerá y mantendrá arreglos efectivos de recuperación de desastres para garantizar la continuidad de sus actividades de custodia.

(B) Aislamiento de activos digitales del cliente

6.La agencia autorizada depositará los activos digitales del cliente en una cuenta especial del cliente separado de los activos de la institución para garantizar que los activos digitales del cliente estén exentos de los acreedores institucionales cuando la quiebra o la disolución.

7.La agencia de autorización no transferirá ningún derecho, interés, propiedad, leyes y/o propiedad real de los activos digitales del cliente, ni debe ser prestada, hipotecada, hipotecada o establece ninguna carga en los activos digitales del cliente. Los cargos de/o las instituciones del cliente;La institución debe tomar medidas completas y efectivas para evitar el uso de activos digitales del cliente para su propia cuenta o el propósito acordado con el cliente.

(C) Protección de los activos digitales del cliente

8 ..Una agencia autorizada debe establecer sistemas y controles suficientes para garantizar que los activos digitales de los clientes estén protegidos y bien protegidos y completamente protegidos.En particular, la agencia debe formular medidas de control efectivas para minimizar el riesgo de activos digitales de los clientes causados ​​por los comportamientos robados, fraude, negligencia u otros comportamientos de ocupación y el acceso retrasado a los activos digitales del cliente.

9.Al desarrollar sistemas y controles para proteger los activos digitales de los clientes, la agencia autorizada puede adoptar métodos basados ​​en el riesgo para considerar la naturaleza, las características y los riesgos de los activos digitales de su custodia.Los riesgos pueden depender de los tipos de red de tecnología de contabilidad distribuida (DLT) utilizada (como permisos privados, permisos públicos y no licencia), así como de las medidas de alivio.Por ejemplo, los activos digitales del cliente en la red DLT pública pueden enfrentar mayores riesgos de seguridad de la red. Red DLT de licencias públicas y licencias privadas.

10 ..Los sistemas y controles utilizados para proteger los activos digitales de los clientes incluyen, entre otros, las políticas y procedimientos escritos en los siguientes aspectos:

-Aligree y verificación acceso a depósito, retiro y transferencia de activos digitales del cliente, incluidos equipos que visitan semillas de almacenamiento y llaves privadas;

-Las semillas y claves privadas para administrar y proteger los activos digitales de los clientes, incluida la generación de claves, la distribución, el almacenamiento, el uso, la destrucción y la copia de seguridad.

11.,En particular, se espera que las agencias autorizadas adopten las mejores prácticas de las industrias relacionadas y sigan los estándares de seguridad internacionales aplicables para cumplir con la naturaleza, las características y los riesgos de los activos.Aunque los procedimientos y controles enumerados a continuación no están diseñados para estandarizar o un tamaño de un tamaño, generalmente requieren que las agencias de autorización tengan a los clientes VA.Para otros activos digitales, la agencia de autorización puede usar el método basado en el riesgo para realizar los siguientes procedimientos y controles, lo que es consistente con los riesgos que enfrentan. de implementación:

-En la producción y almacenamiento de semillas y claves privadas en un entorno y equipo seguro y anti -comprimido (como el módulo de seguridad de hardware HSM), incluida su copia de seguridad.En circunstancias factibles, se deben generar semillas y claves privadas fuera de línea, y se debe establecer un límite de ciclo de vida adecuado;

–La generación de seguridad, las semillas de almacenamiento y respaldo y las llaves privadas se encuentran en Hong Kong;

-Los permisos de acceso para dispositivos o aplicaciones encriptadas se limitan al personal autorizado de acuerdo con las necesidades de este personal. entrevistas de semillas y claves privadas;

–Mediante el uso de fragmentos clave o tecnología similar para evitar cualquier «punto de falla único», por ejemplo, la clave privada se divide y distribuye a las agencias autorizadas autorizadas para distribuirlo para garantizar que ninguna parte de una sola parte mantenga todas las claves.En general, un cierto número de titulares de fragmentos clave debe firmar una transacción colectivamente para garantizar que ninguna persona tenga permisos de acceso completos, y al mismo tiempo, la operación se pierde cuando se pierde un solo fragmento, no está disponible o robado.Para evitar el «punto de falla único», también puede considerar usar múltiples billeteras en lugar de una sola billetera para mantener activos digitales de los clientes;

–Establecer medidas para prevenir y reducir el riesgo de colusión entre el personal autorizado con acceso al acceso a palabras y una autoridad clave privadaElementos

–Para las notas y las claves privadas, se deben formular suficientes arreglos de emergencia diferenciales.Las notas de respaldo y las claves privadas deben almacenarse en una ubicación física segura que no tenga nada que ver con la ubicación principal de las notas originales de almacenamiento y la ubicación principal de la clave privada y no se verá afectado por ningún evento;

-Thal a menos que se demuestre lo contrario, la mayoría de los clientes deben conservarse en el almacenamiento en frío que no está conectado a Internet;

-Ther al pasar la dirección de la billetera que pertenece al cliente (por ejemplo, a través de la prueba de propiedad, como la firma de mensajes o la prueba de micro pagos), ya se ha incluido en la lista blanca para permitir que los clientes depositen y retiren los activos digitales ;

-Cheas medidas para garantizar que cualquier contrato inteligente utilizado durante el proceso de alojamiento no se vea afectado en gran medida por las vulnerabilidades del contrato o los defectos de seguridad;

-Formar los acuerdos apropiados de seguro o compensación, cubrió completamente las pérdidas de activos digitales del cliente debido a los piratas informáticos, el robo o el fraude (ya sea debido al comportamiento, los errores, la negligencia o la gran negligencia de la agencia autorizada.

12,Cuando la agencia de autorización proporciona a los clientes la interfaz o portal de usuario para administrar los activos digitales en poder de la agencia autorizada, se establecerán medidas efectivas de verificación de identidad del cliente y control de notificación para seguir la política de orientación relevante formulada por la Administración Financiera de Hong Kong (HKMA) desde el momento al tiempo.

13.La agencia de autorización debe prestar mucha atención a la tendencia y el desarrollo de las amenazas emergentes y de seguridad, las lagunas, los ataques y los riesgos de fraude, y la tendencia y el desarrollo de soluciones técnicas; progreso;Antes de implementar, probando la tecnología de almacenamiento de billetera utilizada para mantener los activos digitales del cliente para las pruebas para garantizar su confiabilidad.

(D) Comisión y Outsourcing

14.Como principio general, en términos de activos virtuales, la agencia autorizada solo puede confiar su función de custodia a (i) otra agencia autorizada (o una subsidiaria de una agencia autorizada registrada registrada localmente);Para otros activos digitales que son token sin precedentes, si se encuentran en la red de contabilidad distribuida sinautorizada pública, la agencia autorizada debe ser particularmente cautelosa y realizar una evaluación profunda si confiar o externalizar adecuadamente sus funciones de custodia.

15.Cuando una agencia autorizada llega a un acuerdo de comisión o subcontratación con el comisionado o proveedor de servicios en términos de proporcionar servicios de custodia de activos digitales, la agencia autorizada realizará la debida diligencia adecuada antes de seleccionar y nombrar al proveedor de servicios o servicios.La agencia autorizada evaluará y garantizará la satisfacción, incluida, entre otros, el estado financiero y saludable, la reputación, las habilidades de gestión, la tecnología y las capacidades operativas del cliente o proveedor de servicios, así como la capacidad y las capacidades que cumplen con las aplicaciones y otras aplicables. Leyes y requisitos reglamentarios, así como mantener el desarrollo tecnológico en el campo de los activos digitales.Debido a la debida diligencia y la evaluación y los resultados deben preservarse con los registros apropiados.Las agencias autorizadas deben establecer medidas de control efectivas para monitorear continuamente el desempeño del comisionado o proveedor de servicios.

16.Al proporcionar servicios de custodia de activos digitales con el Comisionado o proveedor de servicios, la agencia autorizada debe tener experiencia técnica para evaluar la efectividad de la solución de implementación en la protección de los activos digitales de los clientes y si introduce algún punto de falla único.La agencia autorizada también debe comprender completamente los términos y condiciones del cliente o proveedor de servicios que posee los activos digitales del cliente, y evaluar si tendrá un impacto significativo en los derechos legales de los clientes cuando la bancarrota de la parte o el proveedor de servicios confía.La agencia de autorización es responsable de garantizar que el comisionado o proveedor de servicios aislen los activos digitales de los clientes de acuerdo con los párrafos 6 y 7 de este archivo adjunto.

17.Los acuerdos de recuperación de emergencia y desastres para las agencias de autorización deben cubrir la interrupción de las interrupciones causadas por servicios de custodia de activos digitales encargados o subcontratados.La agencia autorizada también debe evaluar la elasticidad del comisionado o proveedor de servicios, incluidos sus planes de emergencia y procedimientos para garantizar la disponibilidad del servicio de alojamiento.

18.Recuerde la agencia de autorización en la Comisión o Acuerdo de Outsourcing de los servicios de custodia de activos digitales, y también mantiene el sistema y el control correspondientes con la Comisión o el Acuerdo de Outsourcing de las actividades financieras tradicionales.

19.La responsabilidad final y el sistema de rendición de cuentas de cualquier actividades comisionadas o de subcontratación deberá ser asumido por la agencia autorizada.

(E) divulgación de riesgos

20.La agencia de autorización deberá revelar total y de manera justa los acuerdos de custodia a sus clientes de una manera clara y fácil de entender, que incluye:

-Los derechos y obligaciones de la agencia autorizada y sus clientes, incluida la propiedad de la propiedad del cliente de sus activos cuando la agencia autorizada entra en bancarrota o liquidación;

-El Acuerdo de alojamiento, incluidos los métodos de almacenamiento y aislamiento de los activos digitales, los procedimientos y el tiempo de los clientes para acceder a los activos digitales de los clientes, y cualquier costo y costo aplicable;

-Un acuerdos de compensación, que cubren pérdidas de activos digitales del cliente que pueden ser causadas por eventos de seguridad o apropiación indebida;

-Los activos digitales del cliente y otros activos del cliente son mixtos, así como riesgos relacionados;

-La autoridad obtendrá la propiedad legal y/o beneficiosa de los activos digitales del cliente, o transferir, pedir prestado, hipotecar, volver a hacer una garantía para los activos digitales del cliente de otras maneras, y los riesgos involucrados;

-El enfoque de los activos digitales del cliente en la votación, la bifurcación dura y las aerdrops, así como sus derechos y derechos correspondientes;

-Las agencias aligibles deberán revelar de manera integral y justa sus acuerdos de alojamiento a sus clientes, incluidos intereses potenciales y/o reales relacionados con sus actividades de alojamiento.

(F) Registros de preservación y reconciliación de los activos digitales del cliente

veintiuno.La agencia de autorización mantendrá libros y registros de cuentas adecuados para que cada cliente rastree y registre la propiedad de los activos digitales del cliente, incluida la cantidad y el tipo de activos adeudados a los clientes y el flujo de activos entre las cuentas de los clientes.Los activos digitales del cliente deben pagarse regularmente y con frecuencia sobre la base de los clientes, considerando los registros de cadena y cadena relevantes.Si hay alguna inconsistencia, debe resolverse de manera oportuna y actualizarse a la administración avanzada de manera oportuna.

Veintidós.La Agencia de Autorización establecerá sistemas y medidas de control para mantener y proteger todos los registros relacionados con las actividades de custodia, y proporcionará oportunamente a tiempo, proporcionando estos registros en la Administración Financiera de Hong Kong.

(G) anti -lavado de dinero y tomar medidas enérgicas contra el financiamiento del terrorista

veintitrés.La agencia autorizada debe asegurarse de que su póliza, procedimientos y control de su póliza, procedimientos y control de financiación terrorista (AML/CFT) puedan administrar y reducir efectivamente cualquier actividades de lavado de dinero y actividades terroristas relacionadas con las actividades de custodia de activos digitales.La agencia autorizada cumplirá con los documentos de orientación AML/CFT de la «Campaña contra el lavado de dinero y la campaña de financiamiento de campaña financiera (aplicable a las instituciones autorizadas)» y la Administración Financiera de Hong Kong sobre actividades de custodia de activos digitales.

(H) los requisitos para el monitoreo continuo

Veinticuatro.La agencia de autorización revisará regularmente sus políticas y procedimientos, y realizará una auditoría independiente en sus sistemas y controles, así como los requisitos de cumplimiento de los requisitos aplicables del almacenamiento de activos digitales del cliente.