jakiro
Compilation: Bo Wen, Bai Lu Club Living Room
La sécurité des actifs numériques a toujours été l’un des sujets les plus anciens de l’industrie. L’échelle continue de se développer doit être résolue.
En 2024, les États-Unis SEC ont approuvé le Bitcoin Spot ETF, et Coinbase est devenu le gardien Bitcoin de 8 ETF Publishers, qui a grandement soutenu son développement de revenus.La garde des actifs numériques n’est plus seulement un problème technique, et elle est également devenue une entreprise incontournable pour les institutions d’électricité.Si Hong Kong veut rattraper rapidement les États-Unis, il doit également être accéléré dans la supervision de la garde des actifs numériques.
Le 20 février 2024, la Hong Kong Financial Administration (HKMA) a publié des directives sur les activités de garde des actifs numériques, Énumérez les normes pertinentes,Y compris la gouvernance et la gestion des risques, les actifs numériques des clients des actifs numériques, la protection des actifs numériques du client, la commission et l’externalisation, etc.Les directives fournissent aux institutions et aux filiales des activités de garde des actifs numériques à Hong Kong.
Ce qui suit est la préparation de la compilation de texte d’origine.
Les directives standard attendues des agences d’autorisation de la garde des actifs numériques
Ces directives s’appliquent aux actifs numériques détenus par l’agence autorisée (AIS) et leurs filiales (c’est-à-dire des actifs qui dépendent principalement du grand livre cryptographique et distribué ou des technologies similaires), qui sont enregistrées localement.À titre d’explication, la couverture des actifs comprend des actifs virtuels (VA), des jetons et d’autres actifs de jetons.Ces directives ne sont pas applicables à la garde des AIS ou de ses propres actifs, et ces actifs ne représentent pas les clients.
A) GOVERTION ET GESTION DES RISQUES
1. 1.Avant le lancement de services de garde à vue numérique, l’agence d’autorisation doit effectuer une évaluation complète des risques pour identifier et comprendre les risques pertinents.Les agences autorisées devraient établir des politiques, des procédures et des mesures de contrôle appropriés, gérer et réduire les risques des exigences juridiques et réglementaires applicables.Le conseil d’administration et la haute direction de l’agence devraient surveiller efficacement le processus de gestion des risques pour s’assurer qu’ils peuvent identifier, évaluer, gérer et réduire les risques liés aux activités de garde avant et pendant ces activités.
2L’agence autorisée doit allouer des ressources suffisantes pour leurs activités de garde, y compris la main-d’œuvre et les connaissances professionnelles nécessaires pour assurer une bonne gouvernance, un fonctionnement et une gestion efficace des risques.La gestion avancée et les employés qui participent aux activités de stockage des actifs numériques de l’établissement et aux fonctions de contrôle connexe ont les connaissances, les compétences et les connaissances professionnelles nécessaires pour exercer leurs fonctions.
3 ..Compte tenu du développement rapide des actifs numériques, l’agence d’autorisation doit s’assurer qu’elle offre une formation suffisante pour la haute direction et les employés engagés dans des activités de garde pour maintenir ses capacités commerciales continues.
4. 4 ..L’agence d’autorisation doit établir des accords de responsabilité appropriés aux activités de stockage, y compris des rôles et responsabilités clairement écrits et des lignes de rapport.Il devrait également y avoir des politiques et des processus suffisants pour identifier, gérer et réduire les conflits d’intérêts potentiels et / ou réels, tels que des conflits qui peuvent survenir entre différentes activités menées par des institutions ou des parties connexes.
5L’agence autorisée doit établir et maintenir des accords efficaces de rechange et de reprise après sinistre pour assurer la continuité de ses activités de garde.
(B) Isolement des actifs numériques du client
6.L’agence autorisée doit déposer les actifs numériques des clients dans un compte client spécial séparé des propres actifs de l’institution pour s’assurer que les actifs numériques du client sont exemptés des créanciers institutionnels lors de la faillite ou de la dissolution.
7L’agence d’autorisation ne doit transférer aucun droit, intérêts, propriété, lois et / ou propriété réelle des actifs numériques du client, et ne doit pas être emprunté, hypothéqué, hypothéqué ou établi un fardeau sur les actifs numériques du client. Les frais de / ou les institutions du client; (ii) obtiennent le consentement premium du client à l’avance;L’institution doit prendre des mesures complètes et efficaces pour empêcher l’utilisation des actifs numériques du client pour son propre compte ou l’objectif convenu avec le client.
(C) Protection des actifs numériques des clients
8 ..Une agence autorisée doit établir des systèmes et des contrôles suffisants pour garantir que les actifs numériques des clients sont opportuns et correctement protégés et entièrement protégés.En particulier, l’agence doit formuler des mesures de contrôle efficaces pour minimiser le risque de l’actif numérique des clients causés par les comportements volés, la fraude, la négligence ou d’autres comportements d’occupation et un accès retardé aux actifs numériques des clients.
9.Lors du développement de systèmes et de contrôles pour protéger les actifs numériques des clients, l’agence autorisée peut adopter des méthodes basées sur les risques pour considérer la nature, les caractéristiques et les risques des actifs numériques de sa garde.Les risques peuvent dépendre des types de réseau de technologies du grand livre distribué (DLT) utilisés (tels que les permis privés, les permis publics et le non-licence), ainsi que les mesures de secours.Par exemple, les actifs numériques du client tenus sur le réseau DLT public peuvent faire face à des risques de sécurité du réseau plus élevés. Réseau DLT de licences publiques et de licences privées.
10 ..Les systèmes et contrôles utilisés pour protéger les actifs numériques des clients comprennent, mais sans s’y limiter, les politiques et procédures écrites dans les aspects suivants:
-La accès et vérification de la vérification au dépôt, au retrait et au transfert des actifs numériques des clients, y compris des équipements qui visitent les graines de stockage et les clés privées;
-Les graines et clés privées pour gérer et protéger les actifs numériques des clients, y compris la génération de clés, la distribution, le stockage, l’utilisation, la destruction et la sauvegarde.
11.,Il est prévu en particulier que les agences autorisées adopteront les meilleures pratiques des industries connexes et suivront les normes de sécurité internationales applicables pour répondre à la nature, aux caractéristiques et aux risques des actifs.Bien que les procédures et contrôles énumérés ci-dessous ne soient pas conçues pour être standardisées ou des ajustements de taille d’une seule taille, ils exigent généralement que les agences d’autorisation tiennent les clients VA.Pour les autres actifs numériques, l’agence d’autorisation peut utiliser la méthode basée sur le risque pour effectuer les procédures et contrôles suivantes, ce qui est conforme aux risques rencontrés. de la mise en œuvre:
-Dans la production et le stockage des graines et des clés privées dans un environnement et un équipement sûr et anti-empreinés (tels que le module de sécurité matérielle HSM), y compris leur sauvegarde.Dans une situation réalisable, les graines et les clés privées doivent être générées hors ligne, et une limite de cycle de vie appropriée doit être fixée;
–La génération de sécurité, le stockage et les graines de secours et les clés privées sont situées à Hong Kong;
-Les autorisations d’accès pour les appareils ou les applications chiffrés sont limitées au personnel autorisé en fonction des besoins. Entretiens des graines et des clés privées;
–En utilisant des fragments clés ou une technologie similaire pour empêcher tout « point de défaillance unique », par exemple, la clé privée est divisée et distribuée aux agences autorisées autorisées à la distribuer pour s’assurer qu’aucune partie unique ne contient toutes les clés.Généralement, un certain nombre de titulaires de rayons clés doivent signer collectivement une transaction pour s’assurer qu’aucune personne n’a d’autorisations d’accès complètes, et en même temps, l’opération est perdue lorsqu’un seul fragment est perdu, indisponible ou volé.Afin d’éviter le « point de défaillance unique », vous pouvez également envisager d’utiliser plusieurs portefeuilles au lieu d’un seul portefeuille pour contenir des actifs numériques client;
–Établir des mesures pour prévenir et réduire le risque de collusion entre le personnel autorisé avec accès à l’accès aux mots et à l’autorité clé privéeArticles
–Pour les notes et les clés privées, les arrangements de sauvegarde différentielle et d’urgence doivent être formulés.Les notes de sauvegarde et les clés privées doivent être stockées dans un emplacement physique sûr qui n’a rien à voir avec l’emplacement principal des notes originales de stockage et l’emplacement principal de la clé privée et ne sera affectée par aucun événement;
-Dans le cas contraire, la plupart des clients doivent être préservés dans le stockage froid qui n’est pas connecté à Internet;
-Tha, en passant l’adresse du portefeuille qui appartient au client (par exemple, via le test de propriété, tel que la signature de message ou le test de micro-paiement), il a déjà été inclus dans la liste blanche pour permettre aux clients de déposer et de se retirer des actifs numériques ;
-CHE mesure pour s’assurer que tout contrat intelligent utilisé pendant le processus d’hébergement n’est pas en grande partie affecté par les vulnérabilités du contrat ou les défauts de sécurité;
-Les accords d’assurance ou d’indemnisation appropriés, couvert entièrement les pertes d’actifs numériques du client dues aux pirates, au vol ou à la fraude (que ce soit en raison du comportement, des erreurs, de la négligence ou de la négligence majeure de l’agence autorisée.
12,.Lorsque l’agence d’autorisation fournit aux clients une interface ou un portail utilisateur pour gérer les actifs numériques détenus par l’agence autorisée, des mesures efficaces de vérification et de contrôle des notifications des clients doivent être établies pour suivre la politique d’orientation pertinente formulée par la Hong Kong Financial Administration (HKMA) à partir de temps à temps.
13L’agence autorisée devrait accorder une attention particulière à la tendance et au développement des menaces émergentes et de la sécurité, des lacunes, des attaques et des risques de fraude, ainsi que la tendance et le développement de solutions techniques; Progrès; et prendre des mesures, selon la mesure pertinente pertinente Les meilleures pratiques de l’industrie et les normes internationales applicables, la technologie des actifs numériques des clients de la garde est adopté.Avant le déploiement, tester la technologie de stockage du portefeuille utilisé pour conserver les actifs numériques du client pour les tests pour assurer sa fiabilité.
D) Commission et externalisation
14En tant que principe général, en termes d’actifs virtuels, l’agence autorisée ne peut confier sa fonction de garde à (i) une autre agence autorisée (ou une filiale d’une agence autorisée enregistrée localement);Pour d’autres actifs numériques qui sont sans précédent, s’ils sont situés sur le réseau de registre distribué non autorisé public, l’agence autorisée devrait être particulièrement prudente et effectuer une évaluation approfondie pour confier ou externaliser de manière appropriée ses fonctions de garde.
15Lorsqu’une agence autorisée atteint un accord de commission ou d’externalisation auprès du commissaire ou du fournisseur de services en termes de services de services de garde d’actifs numériques, l’agence autorisée doit procéder à une diligence raisonnable appropriée avant de sélectionner et de nommer le fournisseur de configuration ou de service.L’agence autorisée doit évaluer et assurer la satisfaction, y compris, mais sans s’y limiter, le statut financier et sain, la réputation, les compétences en gestion, la technologie et les capacités d’exploitation du client ou du fournisseur de services, ainsi que les capacités et les capacités qui répondent aux applications et autres applicables Les lois et les exigences réglementaires, ainsi que le développement technologique dans le domaine des actifs numériques.En raison de la diligence raisonnable et de l’évaluation et des résultats doivent être conservés avec des enregistrements appropriés.Les agences autorisées devraient établir des mesures de contrôle efficaces pour surveiller en continu l’exécution du commissaire ou du fournisseur de services.
16Lors de la fourniture de services de garde d’actifs numériques avec le commissaire ou le fournisseur de services, l’agence autorisée devrait avoir une expertise technique pour évaluer l’efficacité de la solution de déploiement dans la protection des actifs numériques des clients et s’il introduit des points de défaillance uniques.L’agence autorisée doit également comprendre pleinement les termes et conditions du client ou du fournisseur de services détenant les actifs numériques du client et évaluera si elle aura un impact significatif sur les droits légaux des clients lors de la faillite de la partie ou du fournisseur de services.L’agence d’autorisation est chargée de veiller à ce que le commissaire ou le fournisseur de services soit correctement isolé les actifs numériques des clients conformément aux paragraphes 6 et 7 de la présente pièce jointe.
17Les dispositions d’urgence et de reprise après sinistre pour les agences d’autorisation devraient couvrir l’interruption des interruptions causées par des services de garde d’actifs numériques commandés ou d’externalisation.L’agence autorisée doit également évaluer l’élasticité du commissaire ou du fournisseur de services, y compris ses plans et procédures d’urgence pour assurer la disponibilité du service d’hébergement.
18Rappelez l’agence d’autorisation dans la commission ou l’accord d’externalisation des services de garde d’actifs numériques, et maintient également le système et le contrôle correspondants avec la commission ou la disposition d’externalisation des activités financières traditionnelles.
19.Le système final de responsabilité et de responsabilité de toute activité commissionné ou d’externalisation doit être supporté par l’agence autorisée.
(E) Divulgation des risques
20L’agence d’autorisation doit divulguer pleinement et de manière équitable les dispositions de garde à ses clients d’une manière claire et facile à comprendre, notamment:
-Les droits et obligations de l’agence autorisée et de leurs clients, y compris la propriété de la propriété par le client de leurs actifs lorsque l’agence autorisée entre dans la faillite ou la liquidation;
-L’accord d’hébergement, y compris les méthodes de stockage et d’isolement des actifs numériques des clients, des procédures et du temps pour accéder aux actifs numériques des clients, ainsi que tous les coûts et coûts applicables;
-Un accords de rémunération, couvrant les pertes d’actifs numériques du client qui peuvent être causées par des événements de sécurité ou un détournement;
-Les actifs numériques du client et autres actifs clients sont mitigés, ainsi que des risques connexes;
-La l’autorité obtiendra la propriété statutaire et / ou bénéfique des actifs numériques des clients, ou transfèrent, empruntera, hypothécaire, ré-hypothèque ou définir toute garantie pour les actifs numériques des clients d’autres manières et les risques impliqués;
-L’approche des actifs numériques des clients dans le vote, la fourchette dure et les Airdrops, ainsi que leurs droits et droits correspondants;
-Les agences aligibles doivent divulguer de manière exhaustive et équitablement divulguer leurs dispositions d’hébergement à leurs clients, y compris les intérêts potentiels et / ou réels liés à leurs activités d’hébergement.
(F) Records de la préservation et de la réconciliation des actifs numériques du client
vingt-et-un.L’agence d’autorisation doit conserver les livres et enregistrements de comptes appropriés pour que chaque client puisse suivre et enregistrer la propriété des actifs numériques des clients, y compris le montant et le type d’actifs dûs aux clients, et le flux d’actifs entre les comptes clients.Les actifs numériques du client doivent être payés régulièrement et fréquemment sur la base des clients, compte tenu des enregistrements de chaîne et de chaîne pertinents.S’il y a une incohérence, il doit être résolu en temps opportun et mis à niveau en gestion avancée en temps opportun.
Vingt-deux ans.L’agence d’autorisation doit établir des systèmes et des mesures de contrôle pour conserver et protéger tous les dossiers liés aux activités de garde, et doit fournir en temps opportun en temps opportun ces dossiers à la Hong Kong Financial Administration.
(G) Blainage anti-may
vingt-trois.L’agence autorisée doit s’assurer que sa politique, les procédures et le contrôle du financement terroriste (AML / CFT) de sa politique, les procédures et le contrôle peuvent efficacement gérer et réduire les activités de blanchiment d’argent et de terrorisme liées aux activités de garde à vue numériques.L’agence autorisée doit respecter les documents d’orientation AML / CFT des «lutte contre le blanchiment de maïs et la campagne de financement de la campagne financière (applicable aux institutions autorisées)» et la Hong Kong Financial Administration sur les activités de garde des actifs numériques.
(H) les exigences de surveillance continue
vingt-quatre.L’agence d’autorisation examine régulièrement ses politiques et procédures et effectuera un audit indépendant sur ses systèmes et contrôles, ainsi que les exigences de conformité des exigences applicables du stockage des actifs numériques du client.
