Biên soạn bởi: Blog, Bailu Living Room
Tính bảo mật của tài sản kỹ thuật số luôn là một trong những chủ đề được thảo luận nhiều nhất trong ngành. Với ngày càng nhiều tổ chức truyền thống gia nhập thị trường, cách bảo vệ tài sản kỹ thuật số của người dùng trong thế giới Web3 đầy rẫy hacker đã trở thành một vấn đề cần được giải quyết khi ngành này tiếp tục mở rộng.
Vào năm 2024, SEC Hoa Kỳ đã phê duyệt các quỹ ETF giao ngay Bitcoin và Coinbase đã trở thành đơn vị giám sát Bitcoin của tám trong số các tổ chức phát hành ETF, điều này đã hỗ trợ đáng kể cho việc phát triển thu nhập của họ. Việc lưu ký tài sản kỹ thuật số không còn chỉ là vấn đề kỹ thuật mà nó còn trở thành một hoạt động kinh doanh mà các tổ chức hùng mạnh phải cạnh tranh. Nếu Hồng Kông muốn nhanh chóng bắt kịp Hoa Kỳ, nước này cũng phải tăng tốc và cải thiện việc giám sát việc lưu ký tài sản kỹ thuật số.
Vào ngày 20 tháng 2 năm 2024, Cơ quan tiền tệ Hồng Kông (HKMA) đã ban hành hướng dẫn về hoạt động lưu ký tài sản kỹ thuật số, đặt ra các tiêu chuẩn liên quan, trong đó bao gồm quản trị và quản lý rủi ro, phân tách tài sản kỹ thuật số của khách hàng, bảo vệ tài sản kỹ thuật số của khách hàng, ủy quyền và thuê ngoài, cung cấp hướng dẫn cho các tổ chức và công ty con của họ thực hiện các hoạt động lưu ký tài sản kỹ thuật số ở Hồng Kông.
Sau đây là phần tổng hợp nội dung gốc của các nguyên tắc.
Nguyên tắc tiêu chuẩn dự kiến dành cho các tổ chức ủy quyền dịch vụ lưu ký tài sản kỹ thuật số
Hướng dẫn này áp dụng cho các tổ chức được ủy quyền (AI) và các công ty con của tổ chức được ủy quyền đã đăng ký tại địa phương để thay mặt khách hàng nắm giữ tài sản kỹ thuật số (tức là tài sản chủ yếu dựa vào mật mã và sổ cái phân phối hoặc các công nghệ tương tự), ngoại trừ mã thông báo kỹ thuật số có mục đích đặc biệt. Bằng cách minh họa, tài sản được bảo hiểm bao gồm tài sản ảo (VA), chứng khoán được mã hóa và các tài sản được mã hóa khác. Hướng dẫn này không áp dụng cho việc giám sát AI hoặc tài sản riêng của các công ty trong tập đoàn của họ, những tài sản này không được nắm giữ thay mặt cho khách hàng.
(A) Quản trị và quản lý rủi ro
1. Trước khi triển khai dịch vụ lưu ký tài sản kỹ thuật số, các tổ chức được ủy quyền nên tiến hành đánh giá rủi ro toàn diện để xác định và hiểu các rủi ro liên quan. Cơ quan có thẩm quyền phải thiết lập các chính sách, thủ tục và biện pháp kiểm soát thích hợp để quản lý và giảm thiểu rủi ro đã xác định, có tính đến các yêu cầu pháp lý và quy định hiện hành. Hội đồng quản trị và quản lý cấp cao của tổ chức cần giám sát hiệu quả quy trình quản lý rủi ro để đảm bảo rằng các rủi ro liên quan đến hoạt động lưu ký được xác định, đánh giá, quản lý và giảm thiểu trước khi tham gia vào các hoạt động lưu ký tài sản kỹ thuật số và trong quá trình thực hiện các hoạt động này.
2. Các tổ chức được ủy quyền nên phân bổ đủ nguồn lực cho hoạt động lưu ký của mình, bao gồm nhân lực và chuyên môn cần thiết để đảm bảo quản trị, vận hành phù hợp và quản lý rủi ro hiệu quả. Quản lý cấp cao và nhân viên tham gia vào các hoạt động lưu ký tài sản kỹ thuật số của tổ chức và các chức năng kiểm soát liên quan phải có kiến thức, kỹ năng và chuyên môn cần thiết để thực hiện trách nhiệm của họ.
3. Do sự phát triển nhanh chóng của lĩnh vực tài sản kỹ thuật số, các tổ chức được ủy quyền cần đảm bảo cung cấp đào tạo đầy đủ cho quản lý cấp cao và nhân viên tham gia vào các hoạt động lưu ký để duy trì hoạt động liên tục của họ. Năng lực vận hành.
4. Các cơ quan cấp phép nên thiết lập các thỏa thuận giải trình trách nhiệm phù hợp đối với các hoạt động giám sát, bao gồm vai trò, trách nhiệm và đường dây báo cáo được viết rõ ràng. Cũng cần có các chính sách và thủ tục phù hợp để xác định, quản lý và giảm thiểu xung đột lợi ích tiềm ẩn và/hoặc thực tế có thể phát sinh, chẳng hạn như xung đột lợi ích có thể phát sinh giữa các hoạt động khác nhau do tổ chức hoặc các chi nhánh của tổ chức thực hiện.
5. Các tổ chức được ủy quyền nên thiết lập và duy trì các thỏa thuận dự phòng và khắc phục thảm họa hiệu quả để đảm bảo tính liên tục trong hoạt động kinh doanh của các hoạt động lưu ký của họ.
(B) Cách ly tài sản kỹ thuật số của khách hàng
6. Các tổ chức được ủy quyền nên lưu trữ tài sản kỹ thuật số của khách hàng trong một Tài sản riêng biệt được tách biệt trong các tài khoản khách hàng chuyên dụng để đảm bảo rằng tài sản kỹ thuật số của khách hàng được bảo vệ khỏi các khiếu nại của các chủ nợ tổ chức trong trường hợp tổ chức phá sản hoặc giải thể.
7. Tổ chức được ủy quyền sẽ không chuyển nhượng bất kỳ quyền, lợi ích, quyền sở hữu, quyền sở hữu hợp pháp và/hoặc thực tế nào đối với tài sản kỹ thuật số của khách hàng cũng như không được cho vay, thế chấp, tái - Thế chấp hoặc áp đặt bất kỳ trở ngại nào đối với Tài sản kỹ thuật số của Khách hàng ngoại trừ: (i) giải quyết các giao dịch và/hoặc các khoản phí và lệ phí mà Khách hàng nợ Tổ chức; (ii) có được sự đồng ý trước bằng văn bản rõ ràng của Khách hàng; hoặc (iii) theo yêu cầu của pháp luật . Các tổ chức nên thực hiện các biện pháp đầy đủ và hiệu quả để ngăn chặn việc tài sản kỹ thuật số của khách hàng bị sử dụng cho các mục đích khác ngoài tài khoản của chính họ hoặc những mục đích đã thỏa thuận với khách hàng.
(C) Bảo vệ Tài sản Kỹ thuật số của Khách hàng
8. Tổ chức được ủy quyền phải thiết lập các hệ thống và biện pháp kiểm soát đầy đủ để đảm bảo Khách hàng tài sản kỹ thuật số được hạch toán kịp thời, đúng cách và được bảo vệ đầy đủ. Đặc biệt, tổ chức nên phát triển các biện pháp kiểm soát hiệu quả để giảm thiểu rủi ro mất tài sản kỹ thuật số của khách hàng do trộm cắp, gian lận, sơ suất hoặc chiếm dụng khác, cũng như việc truy cập tài sản kỹ thuật số của khách hàng bị trì hoãn hoặc không thể truy cập được.
9. Khi phát triển các hệ thống và biện pháp kiểm soát để bảo vệ tài sản kỹ thuật số của khách hàng, các tổ chức được ủy quyền có thể áp dụng cách tiếp cận dựa trên rủi ro có xem xét tính chất, đặc điểm và rủi ro. Ví dụ: rủi ro có thể phụ thuộc vào loại mạng công nghệ sổ cái phân tán (DLT) được sử dụng (ví dụ: được phép riêng tư, được phép công khai và không được phép công khai) và các biện pháp giảm thiểu được thực hiện. Ví dụ: tài sản kỹ thuật số của khách hàng được giữ trên mạng DLT công cộng không được phép có thể phải đối mặt với rủi ro an ninh mạng cao hơn và việc khôi phục tài sản bị mất có thể khó khăn hơn trong trường hợp bị trộm, hack hoặc các cuộc tấn công mạng khác, so với việc có thể có các biện pháp để kiểm soát quyền truy cập đến mạng DLT trên cả mạng DLT được cấp phép công khai và được cấp phép riêng.
10. Các hệ thống và biện pháp kiểm soát được sử dụng để bảo vệ tài sản kỹ thuật số của khách hàng bao gồm nhưng không giới hạn ở các chính sách và thủ tục bằng văn bản dành cho:
- Ủy quyền và xác thực quyền truy cập Để tiến hành gửi, rút và chuyển tài sản kỹ thuật số của khách hàng, bao gồm quyền truy cập vào các thiết bị lưu trữ hạt giống và khóa riêng tư; và
-Quản lý và bảo vệ hạt giống và khóa riêng tư của tài sản kỹ thuật số của khách hàng, bao gồm cả việc tạo khóa, phân phối, lưu trữ, sử dụng, hủy bỏ và sao lưu.
11. Đặc biệt, các tổ chức được ủy quyền phải áp dụng các phương pháp thực hành tốt nhất trong ngành có liên quan và tuân theo các tiêu chuẩn bảo mật quốc tế hiện hành phù hợp với tính chất, đặc điểm và rủi ro của tài sản nắm giữ. Mặc dù các thủ tục và biện pháp kiểm soát được liệt kê dưới đây không nhằm mục đích mang tính quy định hoặc phù hợp cho tất cả nhưng chúng thường được yêu cầu bởi các cơ quan có thẩm quyền nắm giữ VA của khách hàng. Đối với các tài sản kỹ thuật số khác, các cơ quan có thẩm quyền có thể áp dụng cách tiếp cận dựa trên rủi ro để thực hiện các quy trình và biện pháp kiểm soát sau phù hợp với các rủi ro gặp phải, nhưng nếu những tài sản kỹ thuật số này được giao dịch dưới dạng mã thông báo không cần cấp phép trên mạng DLT công cộng không được cấp phép thì các cơ quan cấp phép cũng nên thận trọng hơn và tiến hành đánh giá cẩn thận quá trình triển khai:
- Tạo và lưu trữ hạt giống cũng như khóa riêng tư trong môi trường và thiết bị an toàn và chống giả mạo (chẳng hạn như mô-đun bảo mật phần cứng HSM), bao gồm cả các bản sao lưu của chúng. Nếu khả thi, hạt giống và khóa riêng tư phải được tạo ngoại tuyến với giới hạn vòng đời phù hợp được đặt;
- Tạo, lưu trữ và sao lưu hạt giống và khóa riêng tư một cách an toàn ngay tại Hồng Kông;
< p>-
Tạo, lưu trữ và sao lưu hạt giống và khóa riêng tư một cách an toàn cục bộ tại Hồng Kông;- strong>
- Hạn chế quyền truy cập vào các thiết bị hoặc ứng dụng được mã hóa cho nhân viên được ủy quyền, những người chỉ được sàng lọc và đào tạo phù hợp khi cần thiết; duy trì tài liệu cập nhật về các phương pháp truy cập và các quyền Truy cập được chỉ định; xác thực quyền truy cập vào hạt giống và khóa riêng bằng các phương pháp xác thực mạnh, chẳng hạn như xác thực đa yếu tố; duy trì kiểm toán dấu vết truy cập vào các thiết bị hoặc ứng dụng được mã hóa;
- Bằng cách áp dụng Phân đoạn khóa hoặc các công nghệ tương tự sẽ bảo vệ chống lại mọi "điểm lỗi duy nhất", chẳng hạn như chia tách và phân phối khóa riêng cho nhiều người được ủy quyền quyền lưu trữ phân tán để đảm bảo rằng không một bên nào nắm giữ toàn bộ khóa. Thông thường, một số lượng nhất định người nắm giữ phân đoạn chính phải ký các giao dịch chung để đảm bảo rằng không một người nào có toàn quyền truy cập đồng thời ngăn chặn sự gián đoạn hoạt động nếu một phân đoạn bị mất, không có sẵn hoặc bị đánh cắp. Để ngăn chặn "điểm lỗi duy nhất", hãy cân nhắc sử dụng nhiều ví thay vì một ví duy nhất để giữ tài sản kỹ thuật số của khách hàng;
- Thiết lập các biện pháp để ngăn chặn và giảm thiểu những người có quyền truy cập vào các cụm từ ghi nhớ và Rủi ro về sự thông đồng giữa những người được ủy quyền với người có thẩm quyền khóa riêng;
- Cần thực hiện các thỏa thuận dự phòng và sao lưu bên ngoài đầy đủ cho các cụm từ dễ nhớ và khóa riêng, đồng thời các thỏa thuận này phải tuân theo Bị hạn chế bởi các biện pháp kiểm soát bảo mật tương tự như cụm từ ghi nhớ ban đầu và khóa riêng. Các cụm từ ghi nhớ và khóa riêng đã sao lưu phải được lưu trữ ngoại tuyến ở một vị trí thực tế an toàn, độc lập với vị trí chính nơi lưu trữ cụm từ ghi nhớ và khóa riêng tư ban đầu và sẽ không bị ảnh hưởng bởi bất kỳ sự cố nào; p>
- Trừ khi được chứng minh khác, hầu hết tài sản kỹ thuật số của khách hàng phải được lưu giữ trong kho lạnh không kết nối với Internet;
- Chỉ thông qua địa chỉ ví thuộc về khách hàng (ví dụ: vượt qua các bài kiểm tra quyền sở hữu như chữ ký tin nhắn hoặc kiểm tra thanh toán vi mô) và cách thức được đưa vào danh sách trắng để cho phép gửi và rút tài sản kỹ thuật số của khách hàng;
- Thực hiện các bước để đảm bảo rằng mọi hợp đồng thông minh được sử dụng trong quy trình ký quỹ phần lớn không có lỗ hổng hợp đồng hoặc tác động của thiếu sót về bảo mật; và
- Đưa ra các thỏa thuận bảo hiểm hoặc bồi thường phù hợp để bù đắp đầy đủ mọi mất mát hoặc thiệt hại có thể xảy ra do sự cố hack, trộm cắp hoặc gian lận (dù có hay không do các hành động đó, lỗi, thiếu sót hoặc sơ suất nghiêm trọng của cơ quan có thẩm quyền) Dẫn đến mất tài sản kỹ thuật số của khách hàng.
12. Khi một tổ chức được ủy quyền cung cấp giao diện người dùng hoặc cổng thông tin cho khách hàng để quản lý tài sản kỹ thuật số do tổ chức được ủy quyền nắm giữ, thì các biện pháp kiểm soát thông báo và xác thực khách hàng hiệu quả phải được thiết lập, trong tuân thủ các hướng dẫn liên quan do Cơ quan tiền tệ Hồng Kông (HKMA) xây dựng tùy từng thời điểm.
13. Các cơ quan có thẩm quyền cần hết sức chú ý đến các mối đe dọa, lỗ hổng bảo mật mới nổi, rủi ro tấn công và lừa đảo cũng như các xu hướng và sự phát triển trong các giải pháp công nghệ; thường xuyên đánh giá tính đầy đủ và mạnh mẽ của bảo mật bản chất kiểm soát rủi ro, có tính đến các mối đe dọa mới nổi và tiến bộ công nghệ; đồng thời thực hiện các bước áp dụng công nghệ để bảo vệ an toàn tài sản kỹ thuật số của khách hàng theo các thông lệ tốt nhất của ngành liên quan và các tiêu chuẩn quốc tế hiện hành. Công nghệ lưu trữ ví được sử dụng để bảo mật tài sản kỹ thuật số của khách hàng cần được kiểm tra để đảm bảo độ tin cậy của nó trước khi triển khai.
(D) Ủy quyền và Gia công phần mềm
14. Theo nguyên tắc chung, đối với tài sản ảo liên quan, tổ chức được ủy quyền chỉ có thể ủy thác chức năng lưu ký của mình cho (i) tổ chức được ủy quyền khác (hoặc công ty con của tổ chức được ủy quyền đã đăng ký tại địa phương); hoặc (ii) một nền tảng giao dịch tài sản ảo được Ủy ban Điều tiết Chứng khoán Trung Quốc cấp phép. Đối với các tài sản kỹ thuật số khác ở dạng mã thông báo không cần cấp phép, nếu chúng nằm trên mạng sổ cái phân phối công khai không được cấp phép, các cơ quan chức năng cần đặc biệt thận trọng và tiến hành đánh giá chuyên sâu xem liệu việc ủy quyền hoặc thuê ngoài tài sản của họ có phù hợp hay không. chức năng giám hộ.
15. Khi một tổ chức được ủy quyền đạt được thỏa thuận ủy thác hoặc gia công phần mềm với một nhà cung cấp dịch vụ hoặc bên ủy thác trong việc cung cấp dịch vụ lưu ký tài sản kỹ thuật số, thì tổ chức được ủy quyền sẽ lựa chọn và chỉ định bên ủy thác hoặc dịch vụ đó Các nhà cung cấp dịch vụ nên tiến hành thẩm định phù hợp trước khi thực hiện việc đó. Cơ quan có thẩm quyền phải đánh giá và đảm bảo sự hài lòng, bao gồm nhưng không giới hạn ở tình hình tài chính, danh tiếng, kỹ năng quản lý, năng lực kỹ thuật và vận hành của bên ủy quyền hoặc nhà cung cấp dịch vụ, cũng như khả năng và khả năng tuân thủ Phụ lục này cũng như các yêu cầu pháp lý và quy định hiện hành khác, và Theo kịp sự phát triển công nghệ trong không gian tài sản kỹ thuật số. Các đánh giá thẩm định và kết quả của chúng phải được lưu giữ trong hồ sơ thích hợp. Cơ quan cấp phép cần thiết lập các biện pháp kiểm soát hiệu quả để liên tục giám sát hoạt động của bên ủy quyền hoặc nhà cung cấp dịch vụ.
16. Khi làm việc với các bên ủy quyền hoặc nhà cung cấp dịch vụ để cung cấp dịch vụ lưu ký tài sản kỹ thuật số, các tổ chức được ủy quyền phải có chuyên môn kỹ thuật để đánh giá tính hiệu quả của các giải pháp đã triển khai trong việc bảo vệ kỹ thuật số của khách hàng. của tài sản và liệu nó có đưa ra bất kỳ điểm lỗi nào hay không. Các tổ chức được ủy quyền cũng phải hiểu đầy đủ các điều khoản và điều kiện mà khách hàng hoặc nhà cung cấp dịch vụ nắm giữ tài sản kỹ thuật số của khách hàng và đánh giá xem liệu điều đó có tác động đáng kể đến quyền hợp pháp của khách hàng trong trường hợp khách hàng hoặc dịch vụ phá sản hay không. các nhà cung cấp. Các tổ chức được ủy quyền có trách nhiệm đảm bảo rằng bên ủy thác hoặc nhà cung cấp dịch vụ phân tách hợp lý tài sản kỹ thuật số của khách hàng theo đoạn 6 và 7 của Phụ lục này.
17. Các thỏa thuận khẩn cấp và khắc phục thảm họa của tổ chức được ủy quyền phải bao gồm cả trường hợp gián đoạn đối với các dịch vụ lưu ký tài sản kỹ thuật số được ủy thác hoặc thuê ngoài. Các cơ quan được ủy quyền cũng nên đánh giá khả năng phục hồi của bên ủy quyền hoặc nhà cung cấp dịch vụ, bao gồm các kế hoạch và quy trình dự phòng để đảm bảo tính sẵn có của các dịch vụ được quản lý.
18. Các tổ chức được ủy quyền được nhắc nhở rằng khi thỏa thuận ủy thác hoặc thuê ngoài các dịch vụ lưu ký tài sản kỹ thuật số, họ cũng nên duy trì các hệ thống và hệ thống có liên quan tương ứng với các thỏa thuận ủy thác hoặc thuê ngoài cho hoạt động tài chính truyền thống.
19. Trách nhiệm và trách nhiệm giải trình cuối cùng đối với mọi hoạt động được ủy quyền hoặc thuê ngoài thuộc về cơ quan có thẩm quyền.
(E) Tiết lộ rủi ro
20.Các tổ chức được ủy quyền phải cung cấp thông tin cho khách hàng của họ một cách rõ ràng và rõ ràng. cách dễ hiểu Tiết lộ đầy đủ và công bằng về các thỏa thuận giám sát, bao gồm:
- các quyền và nghĩa vụ tương ứng của tổ chức được ủy quyền và khách hàng của tổ chức đó, bao gồm cả quyền sở hữu của khách hàng đối với tài sản của họ nếu được ủy quyền tổ chức rơi vào tình trạng mất khả năng thanh toán hoặc thanh lý;
- Thỏa thuận giám sát, bao gồm cách lưu trữ và cách ly tài sản kỹ thuật số của khách hàng, thủ tục và thời gian truy cập tài sản kỹ thuật số của khách hàng cũng như mọi khoản phí và chi phí hiện hành;
-  ;Thỏa thuận bồi thường để bù đắp những tổn thất có thể xảy ra đối với tài sản kỹ thuật số của khách hàng do sự cố bảo mật hoặc chiếm dụng;
- Trường hợp tài sản kỹ thuật số của khách hàng bị trộn lẫn với tài sản kỹ thuật số khác của khách hàng và các rủi ro liên quan ;
- p>
- Các trường hợp trong đó tổ chức được ủy quyền sẽ có được quyền sở hữu hợp pháp và/hoặc có lợi đối với tài sản kỹ thuật số của khách hàng hoặc chuyển nhượng, cho mượn, thế chấp, thế chấp hoặc tạo ra bất kỳ sự bảo mật nào đối với tài sản và thỏa thuận kỹ thuật số của khách hàng cũng như các rủi ro liên quan;
- Cách xử lý tài sản kỹ thuật số của khách hàng trong các sự kiện như bỏ phiếu, hard fork và airdrop cũng như các quyền và lợi ích tương ứng của họ;
- Các tổ chức được ủy quyền phải tiết lộ đầy đủ và công bằng cho khách hàng về các thỏa thuận về quyền giám hộ của họ, bao gồm sự tồn tại và bản chất của xung đột lợi ích thực tế và/hoặc tiềm ẩn liên quan đến hoạt động giám hộ của họ.
(F) Việc lưu giữ hồ sơ và đối chiếu tài sản kỹ thuật số của khách hàng
21. Các tổ chức được ủy quyền phải cung cấp các biện pháp Duy trì phù hợp sổ sách và hồ sơ với khách hàng để theo dõi và ghi lại quyền sở hữu tài sản kỹ thuật số của khách hàng, bao gồm số lượng và loại tài sản nợ khách hàng cũng như sự di chuyển tài sản giữa các tài khoản của khách hàng. Việc đối chiếu tài sản kỹ thuật số của khách hàng phải được thực hiện thường xuyên và thường xuyên trên cơ sở từng khách hàng, có tính đến các hồ sơ ngoài chuỗi và trên chuỗi có liên quan. Mọi khác biệt cần được giải quyết kịp thời và chuyển lên quản lý cấp cao nếu thích hợp.
22. Các tổ chức được ủy quyền phải thiết lập hệ thống và biện pháp kiểm soát để bảo vệ và bảo vệ tất cả hồ sơ liên quan đến hoạt động lưu ký và phải cung cấp kịp thời cho Cơ quan tiền tệ Hồng Kông khi được yêu cầu những hồ sơ này .
(G) Chống rửa tiền và chống tài trợ cho các hoạt động khủng bố
23. Các cơ quan có thẩm quyền phải đảm bảo rằng họ Các chính sách, thủ tục và biện pháp kiểm soát tài chính (AML/CFT) quản lý và giảm thiểu hiệu quả mọi rủi ro rửa tiền và tài trợ khủng bố liên quan đến hoạt động lưu ký tài sản kỹ thuật số. Các tổ chức được ủy quyền phải tuân thủ "Hướng dẫn về chống rửa tiền và chống tài trợ cho các hoạt động khủng bố (Áp dụng cho các tổ chức được ủy quyền)" và tài liệu hướng dẫn AML/CFT của Cơ quan tiền tệ Hồng Kông về các hoạt động lưu ký tài sản kỹ thuật số.
(H) Yêu cầu giám sát liên tục
24. Các cơ quan cấp phép nên định kỳ xem xét các chính sách và thủ tục của mình , và tiến hành kiểm toán độc lập về việc tuân thủ các hệ thống và biện pháp kiểm soát của mình cũng như các yêu cầu hiện hành liên quan đến việc lưu giữ tài sản kỹ thuật số của khách hàng.
p>