Thách thức tuân thủ và chiến lược ứng phó trong giao dịch tài sản ảo dưới sự giám sát của Hồng Kông
Tuyển chọn TechFlowTuyển chọn TechFlow
Thách thức tuân thủ và chiến lược ứng phó trong giao dịch tài sản ảo dưới sự giám sát của Hồng Kông
Nội dung chính của bài viết là thông qua việc phân tích bản chất và trọng tâm của quản lý, tìm hiểu cách các sàn giao dịch có thể được cơ quan quản lý ưa chuộng hơn trong các thử thách vận hành tương lai.
Chuyên sâu báo cáo Web3Xuất bản｜Viện Nghiên cứu OKLink
Tác giả｜Matthew Lee
Sau khi Hồng Kông công bố quy định về sàn giao dịch tiền mã hóa, hơn 200 sàn giao dịch đã nhanh chóng nộp đơn xin giấy phép tại đây và đều rất mong chờ kết quả công bố chính thức. Hiện chưa có thông báo từ cơ quan chức năng, tuy nhiên chúng ta có thể tham khảo kinh nghiệm từ Singapore và Nhật Bản để dự đoán tình hình cấp phép sắp tới tại Hồng Kông.
Nhật Bản là quốc gia châu Á đầu tiên tiếp nhận tích cực với tài sản ảo, bắt đầu hợp pháp hóa tài sản ảo từ năm 2017. Tuy nhiên sau hàng loạt vụ phá sản lớn của các sàn giao dịch, thái độ với tài sản ảo trở nên nghiêm ngặt hơn. Ban đầu có hơn 100 sàn giao dịch nộp đơn xin giấy phép, trong đó 20 sàn được phê duyệt, nhưng chỉkhoảng 5 công ty giữ giấy phép duy trì hoạt động liên tục.
Singapore cũng tích cực thúc đẩy công nghệ blockchain và các công nghệ tài chính mới nổi khác, tuy nhiên luôn duy trì thái độ thận trọng đối với tài sản ảo. Tính đến tháng 6 năm 2023, Cơ quan Quản lý Tiền tệ Singapore (MAS)đã nhận tổng cộng 461 hồ sơ xin cấp phép, chỉ có 19 công ty cung cấp dịch vụ tài sản ảo được cấp phép hoặc được chấp thuận nguyên tắc. Trong số này, chỉ có vài ba nền tảng giao dịch thực sự nhận được giấy phép, phần còn lại được chia cho các tổ chức có nền tảng tài chính truyền thống như FOMO Payment, DBS Vickers Securities, Revolut. Sự sụp đổ của FTX cũng khiến Quỹ chủ quyền Singapore – Temasek – chịu thiệt hại kép về kinh tế và danh tiếng, và biến "thiên đường an toàn" Singapore thành tâm điểm của cơn bão.
Từ tình hình cấp phép tại Singapore và Nhật Bản, rõ ràng ngay cả những quốc gia được coi là “thân thiện với tài sản ảo” vẫn hành xử hết sức thận trọng. Theo tài liệu chính thức từ Ủy ban Chứng khoán và Hối đoái Hồng Kông (SFC), dù OSL và Hashkey Pro – hai sàn đã sở hữu giấy phép loại 1 và 7 – chỉ cần thực hiện thủ tục đăng ký đơn giản, hiện tại họ vẫn chưa được cấp chính thức giấy phép kinh doanh tài sản ảo (VASP).
Nguồn dữ liệu: Website chính thức SFC
Một số chuyên gia dự đoán không quá 10 sàn giao dịch sẽ nhận được Deemed Licence từ SFC Hồng Kông. Sau khi nhận Deemed Licence, SFC sẽ áp dụng một giai đoạn đánh giá để tìm hiểu sâu hơn về hoạt động cụ thể và rủi ro của từng sàn trước khi xác nhận Final Licence. Do đó,hoạt động của sàn giao dịch trong thời gian này sẽ là yếu tố then chốt quyết định việc được cấp phép chính thức hay không.
Vậy làm thế nào để vận hành một sàn giao dịch nhằm giành được sự tin tưởng từ SFC?
Để trả lời câu hỏi này, chúng ta cần hiểu rõ bản chất và trọng tâm quản lý của cơ quan giám sát.
Dựa trên các tài liệu tham vấn và quy định chống rửa tiền mà Ủy ban Chứng khoán Hồng Kông (SFC) công bố, dễ dàng nhận thấy SFC tập trung giám sát tài sản ảo vào hai khía cạnh:1. Bảo vệ nhà đầu tư; 2. Chống rửa tiền. Phân tích dưới đây sẽ chủ yếu xoay quanh hai góc nhìn này, nhằm "chấm điểm trọng tâm" cho hoạt động tương lai của các sàn giao dịch, khuyến khích nhiều sàn hơn vận hành trong khuôn khổ tuân thủ pháp luật.
Xây lá chắn bảo vệ an toàn nhà đầu tư
Theo bản tóm tắt gửi Hội đồng Lập pháp do Bộ Tài chính phát hành, các ứng viên xin cấp phép VASP phải tuân thủ một bộ yêu cầu giám sát mạnh mẽ do SFC đặt ra. Các lĩnh vực bảo vệ nhà đầu tư bao gồm nhưng không giới hạn ở: lưu ký an toàn tài sản, xung đột lợi ích, an ninh mạng, kiểm toán và quản lý rủi ro. Dựa trên các từ khóa này, chúng ta có thể chia chương này thành hai khía cạnh thảo luận:1. Công bố thông tin; 2. An toàn kỹ thuật.
1. Bảo vệ nhà đầu tư thông qua công bố thông tin
SFC nhấn mạnh đặc biệt rằng,tài sản ảo không trực tiếp chịu sự giám sát của SFC, nghĩa là SFC chưa từng thẩm định hay xem xét bất kỳ tài liệu chào bán hay quảng bá nào liên quan đến tài sản ảo – điều này khác biệt lớn so với sản phẩm tài chính truyền thống.Trách nhiệm bảo vệ tài sản khách hàng thuộc về sàn giao dịch.
1) Niêm yết tài sản ảo và công bố giao dịch
Giao dịch cổ phiếu truyền thống diễn ra thông qua ngân hàng lưu ký và tổ chức lưu ký chứng khoán (CSD), việc tăng/giảm số dư tài khoản cổ phiếu được thanh toán bù trừ tập trung tại CSD. Trong thị trường tập trung, dù tồn tại nhược điểm như hiệu suất thấp, chi phí nhân lực cao, quan hệ pháp lý phức tạp, nhưng cơ quan chức năng có thể theo dõi giao dịch của lãnh đạo doanh nghiệp thông qua các tổ chức như CSD. Quy trình giao dịch chứng khoán cụ thể như hình dưới:
Sơ đồ quy trình giao dịch cổ phiếu; Nguồn: Diễn đàn Kinh tế Thế giới (World Economic Forum)
Khác với quy trình giao dịch chứng khoán, giao dịch lớn tài sản ảo diễn ra thường xuyên trên chuỗi nhiều hơn hẳn so với sàn giao dịch tập trung (như hình dưới), do đặc tính phi tập trung và chống kiểm duyệt của blockchain,việc theo dõi giao dịch trên chuỗi của đội ngũ dự án và người liên quan càng trở nên quan trọng.
Tần suất tương tác dữ liệu giao dịch lớn trên chuỗi; Nguồn: OKLink
Theo ghi chú trong tài liệu tham vấn của SFC:
Sàn giao dịch chịu trách nhiệm trực tiếp với dự án niêm yết, cần thực hiện mọi bước hợp lý để tiến hành điều tra toàn diện. Giao dịch của đội ngũ dự án và cá nhân liên quan phải là trọng tâm theo dõi của nền tảng. Do đặc tính blockchain, chúng ta cần phân tích dữ liệu trên chuỗi, sử dụngđặc điểm lịch sử giao dịch trên chuỗi thay thế chức năng của bản ghi CSD.
Chỉ cần tự phát triển hoặc sử dụng dịch vụ bên thứ ba cung cấp dữ liệu chuỗi, phân tích dữ liệu on-chain của dự án, minh bạch thông tin giao dịch, giám sát thời gian thực các giao dịch liên kết trên chuỗi của người sáng lập và cổ đông chính của dự án, là có thể đáp ứng yêu cầu công bố thông tin của SFC.
2) Công bố tài chính
Khác với kiểm toán truyền thống, kiểm toán tài sản ảo khó khăn hơn nhiều. Kiểm toán truyền thống đã có quy trình hoàn chỉnh, rõ ràng về khấu hao tài sản, giảm giá trị, định giá, nợ phải trả và lưu trữ tài sản. Nhưng với doanh nghiệp blockchain, các kiểm toán viên (kiểm toán viên) thường thiếu kinh nghiệm,khó định lượng giá trị tài sản và nợ phải trả của sàn giao dịch, do đó độ tin cậy của báo cáo đưa ra cũng phải đặt dấu hỏi.
Ví dụ, sau sự kiện sụp đổ FTX, nhiều "bằng chứng dự trữ" do Mazars cấp cho các sàn giao dịch bị công chúng nghi ngờ vì báo cáo kiểm toán không bao gồm hiệu quả kiểm soát nội bộ báo cáo tài chính. Trong tài liệu tham vấn của SFC, SFC cũng chỉ rõ rằng việc "công bố nợ phải trả của nền tảng giao dịch tài sản ảo" là khá khó khăn.
Hiện nay, các sàn giao dịch lớn như OKX, Binance, Bybit đều sử dụng phương pháp cây Merkle để xác minh nợ phải trả, đại ý là xử lý dữ liệu theo cấp bậc, khi truyền kết quả lên từng tầng, nếu thất bại thì không thể tiếp tục bước tiếp theo, chứng tỏ dữ liệu bị làm giả.
Sơ đồ quy trình xác minh tài sản; Nguồn: OKX
*Nguyên lý cụ thể có thể xembài viết này, OKX giải thích rất chi tiết.
Mặc dù hiện tại Merkle Tree được coi là "giải pháp tối ưu" cho kiểm toán tài sản ảo,nó vẫn tồn tại những vấn đề như dữ liệu trung tâm không đáng tin cậy, không chứng minh được khóa riêng thuộc sở hữu của mình, tài sản kiểm toán có thể là tài sản vay tạm thời. Vì vậy, khi áp dụng công nghệ Merkle Tree, sàn giao dịch còn cần:a. Thêm chế tài phạt gian lận; b. Tăng tần suất cập nhật dữ liệu cây Merkle; c. Hợp tác với các công ty kiểm toán hoặc công nghệ bên thứ ba để công bố tốt hơn tình trạng tài sản nền tảng.
2. Bảo vệ nhà đầu tư dưới góc độ an toàn kỹ thuật
Bộ trưởng Tài chính Hồng Kông Trần Mậu Ba từng phát biểu:“Phát triển Web3.0 cần thiết lập hàng rào kỹ thuật phù hợp để đảm bảo công nghệ và ứng dụng phát triển theo hướng có trách nhiệm và bền vững.”
Hiện nay các sàn giao dịchthường phụ thuộc vào các nhà cung cấp dịch vụ kỹ thuật,những nhà cung cấp này chưa đạt được mức độ dịch vụ mà SFC kỳ vọng. Tài liệu tham vấn và quy định chống rửa tiền của SFC cũng nhắc đi nhắc lại mối lo ngại về an toàn kỹ thuật của sàn giao dịch.
Các công ty lớn cũng đầu tư rất nhiều chi phí vào phát triển kỹ thuật. Tháng 4 năm nay, Cobo cho biết sẽ mở rộng đội ngũ tại Hồng Kông theo khung giám sát hiện hành, tích lũy thêm chuyên gia kỹ thuật. Amber Group cũng hợp tác với công ty tư vấn kỹ thuật Thoughtworks trong năm nay để cùng phát triển công cụ và giải pháp kỹ thuật. OKX khi phỏng vấn truyền thông cũng cho biết đội ngũ tại Hồng Kông riêng về nghiên cứu phát triển sản phẩm và kỹ thuật đã vượt quá 500 người.
Về an toàn kỹ thuật, chúng ta cần tập trung vào hai khía cạnh: 1. An toàn lưu ký tài sản; 2. An toàn mạng.
-
An toàn lưu ký tài sản
Gần đây, tin tức về sụp đổ tiền mã hóa, phá sản và thanh lý nền tảng liên tục xuất hiện, bao gồm nhiều vấn đề cũ của tài chính truyền thống như vốn không đủ, chiếm dụng tài sản khách hàng.Quản lý lưu ký tài sản không đúng cách là nguyên nhân chính dẫn đến các sự cố này. Sàn giao dịch tài sản mã hóa tập trung BitMart từng bị mất khoảng 150 triệu USD tài sản dovấn đề bảo mật ở ví nóng Ethereum và BSC.
Theo sơ đồ thao tác vệ sĩ trên chuỗi của OKLink, hacker sử dụng các công cụ như 1inch, Tornado.Cash để chuyển tiền bị đánh cắp từ ví sàn giao dịch.
Sơ đồ chuyển tài sản trên chuỗi của hacker; Nguồn: OKLink
Do đóSFC yêu cầu sàn giao dịch phải lưu trữ 98% tài sản ảo trong ví lạnh ngoại tuyến, và tài sản không được đặt tại các công ty bên thứ ba, mà phải đặt trong công ty con để thuận tiện cho việc giám sát.
Để đáp ứng yêu cầu, các sàn giao dịch mã hóa lớn đã triển khai nhiều biện pháp. Ví dụ, nền tảng OSL để xin phép được phép kinh doanh bán lẻ đã mở rộng cơ sở hạ tầng ví nóng-ví lạnh. Nền tảng OKX áp dụng chiến lược tách biệt ví nóng-ví lạnh nội bộ, dùng hệ thống lưu trữ online/offline, chữ ký đa tầng và sao lưu đa tầng để đảm bảo an toàn tài sản người dùng.
OKLink từng kiến nghị SFC rằng khi thực hiện lưu ký tài sản, các sàn giao dịch cần chú ý đến các chi tiết then chốt của ví nóng và ví lạnh, ví dụ:
a. Với ví lạnh, phần cứng nênđược lưu ký phân tán tại các ngân hàng khác nhau ở Hồng Kông, vàkhóa riêng chỉ được dùng một lần cho mỗi giao dịch, sau đó phải hủy bỏ;
b. Với ví nóng, khóa riêng nên đượclưu trữ trong mô-đun bảo mật phần cứng (HSM), và sử dụngcác kỹ thuật mật mã như MPC hoặc chia nhỏ khóa để lưu trữ khóa riêng;
-
An toàn mạng
Các mối đe dọa mạng đối với sàn giao dịch tài sản ảo thường đến từsự xâm nhập hệ thống thông tin bên ngoài, sự cố ngừng hoạt động của nơi lưu trữ dữ liệu bên thứ ba dẫn đến thất bại khớp lệnh, máy chủ quá tải. Khác biệt giữa các mối đe dọa đối với sàn giao dịch tài sản ảo và tổ chức truyền thống không lớn, nhưng các tổ chức truyền thống lâu nay chịu sự giám sát của chính phủ, tích lũy kỹ thuật lâu dài, trong khi các sàn giao dịch tài sản ảo mới thành lậpthường năng lực phát triển đội ngũ hạn chế, tai nạn kỹ thuật xảy ra thường xuyên hơn, ví dụ đa số sàn vẫn dùng hệ thống khớp lệnh dựa trên cơ sở dữ liệu.
Các tài liệu gần đây do SFC công bố đặt ra yêu cầu cao hơn đối với nền tảng giao dịch, bao gồm nhưng không giới hạn ở việc tránh hoặc giảm thiểu rủi ro như trộm cắp, gian lận, sai sót, bỏ sót giao dịch, gián đoạn máy chủ,đặc biệt nhấn mạnh việc phát triển và ứng dụng các công cụ tự động để đối phó với các cuộc tấn công hệ thống tiềm tàng.
Nguồn ảnh: Hướng dẫn dành cho người vận hành sàn giao dịch tài sản ảo vừa được SFC công bố
Theo quan điểm nhóm chúng tôi, ngoài việcphát triển hoặc mua công cụ tự động để quét lỗ hổng định kỳ, sàn giao dịch còn cần thuê nhiều công ty an ninh bên ngoàitiến hành kiểm thử thâm nhập và kiểm thử an toàn; nếu dòng tiền dồi dào có thể thực hiện thiết kế dự phòng, áp dụng công nghệ sao chép trạng thái bộ nhớ (chi phí cao) hoặc công nghệ sao lưu nóng đa máy (xác suất lỗi lớn); trong tương lai, chúng tôi cũng kỳ vọng các sàn giao dịch phối hợp với các nhà tạo lập thị trườngthiết kế giao diện dữ liệu chuẩn để giảm thiểu kích hoạt sự cố kỹ thuật và dữ liệu.
Phòng ngừa rủi ro rửa tiền
Thống kê Liên Hợp Quốc cho thấy, lượng tiền rửa tiền toàn cầu hàng năm đã đạt từ 800 tỷ đến 2 nghìn tỷ USD, chiếm khoảng 2-5% GDP toàn cầu. Chỉ riêng năm 2022, các tổ chức tài chính toàn cầu đã bị phạt hơn 8 tỷ USD do vi phạm các quy định chống rửa tiền. Cùng với sự phát triển của các nghiệp vụ và hình thức giao dịch mới, các tổ chức cần đối mặt với những thách thức giám sát mới do công nghệ và nghiệp vụ mới mang lại.
-
Chống rửa tiền qua kênh thanh toán
Theo quan điểm của Giám đốc Điều hành Hashkey Pro: “Kênh nạp tiền thường là ‘địa điểm tranh đoạt’ giữa các sàn giao dịch, bởi vì ‘kênh nạp/rút tiền là cây cầu duy nhất (người dùng) chuyển từ tiền pháp định sang tài sản ảo.’” Theo tài liệu SFC công bố,
Singapore tập trung giám sát tài sản ảo vào nghiệp vụ thanh toán số, trong tương lai chính quyền Hồng Kông cũng có thể kết hợp Điều lệ Hệ thống Thanh toán và Công cụ Thanh toán Giá trị Lưu (PSVO) để giám sát riêng kênh thanh toán. Dưới sự giám sát chống rửa tiền và chống tài trợ khủng bố, các sàn giao dịch cần thiết lập phương pháp sàng lọc nghiêm ngặt hơn ở đầu “nạp/rút tiền” để đáp ứng yêu cầu của SFC.
Tuy nhiên do tính phức tạp của hoạt động trên chuỗi và nạp/rút tiền, các sàn giao dịch cần áp dụng nhiều phương pháp đa dạng và rộng rãi hơn. Theo báo cáo công bố chung bởi HKMA và Deloitte (AML Regtech: Network Analysis), nhấn mạnh rằng các tổ chức nên kết hợp phân tích dữ liệu lớn truyền thống và mới (Phân tích mạng lưới),giám sát toàn diện và hệ thống các dòng tiền khả nghi và kênh nạp/rút tiền.
Kết hợp sàng lọc công nghệ thông tin truyền thống và mới; Nguồn ảnh: AML Regtech: Network Analytics
Các sàn giao dịch nên tăng cường hợp tác với ngân hàng và nhà cung cấp dịch vụ dữ liệu chuỗi, áp dụng các phương pháp như “phân tích mạng lưới” trong các lĩnh vực đặc thù như AML/CFT, hợp tác đấu tranh chống rửa tiền.
-
Giám sát dòng chảy vốn
Tính ẩn danh của tiền điện tử khiến tài sản có thể chuyển nhanh chóng và rất khó truy vết. Trong tài liệu tham vấn, SFC (như hình dưới) nêu rõ chi tiết rủi ro rửa tiền/tài trợ khủng bố có thể phát sinh từ việc chuyển tiền giữa các ví không được lưu ký.
Trong lĩnh vực Web3, vốn không còn được chuyển qua tài khoản ngân hàng mà là giữa các địa chỉ trên chuỗi, một số ứng dụng như máy trộn tiền (mixer), ví ẩn danh càng làm tăng tính ẩn danh của giao dịch. Như hình dưới, người dùng A chỉ cần chuyển tiền vào một hộp đen ẩn chữ ký số (gọi là mixer), sau đó tiền bị xáo trộn và gửi đến B qua hộp đen, lúc này không ai biết nguồn gốc tiền của B.
Nhận diện nhãn trên chuỗi chống rửa tiền; Nguồn ảnh: OKG Research
Trong trường hợp này, cách xử lý phù hợp hiện nay làdùng hệ thống dữ liệu lớn để gắn nhãn tất cả các “địa chỉ hợp đồng máy trộn tiền” trên chuỗi (như hình), theo dõi các địa chỉ tương tác với máy trộn tiền để xác định nghi ngờ rửa tiền của người dùng.
Do đó, khả năngquét hệ thống địa chỉ trên chuỗi trở nên rất quan trọng. Gần đây, Future Wing Financial – tổ chức tín thác được cấp phép tại Hồng Kông cung cấp dịch vụ quản lý tài sản – cũng hợp tác với OKLink,sử dụng cơ sở dữ liệu khổng lồ của OKLink để liên kết địa chỉ người dùng với các hành vi rủi ro và sự kiện, giám sát rủi ro rửa tiền, đáp ứng nhu cầu tuân thủ tài sản ảo.
Tổng kết
Sự thay đổi thái độ của Hồng Kông rõ ràng mở ra một cửa sổ vững chắc hơn cho phát triển tài sản ảo, trong khi kinh nghiệm trước đó từ Nhật Bản và Singapore cũng khẳng định rằng cần có các biện pháp nghiêm ngặt để phòng ngừa và kiểm soát “tình huống xấu nhất”.
Các tài liệu chính thức gần đây đều đặt ra yêu cầu chi tiết và nghiêm khắc hơn đối với các sàn giao dịch. Ngoài các điểm cần lưu ý nêu trên, SFC cũng đưa ra các yêu cầu như“tránh xung đột lợi ích”, “hạn chế nghiệp vụ”, “cấm dụ dỗ đầu tư”, và những tiêu chuẩn cao này cuối cùng sẽ giúp thị trường tài sản ảo Hồng Kông phát triển theo hướng trật tự hơn, mang lại lợi ích cho cả nhà đầu tư và các sàn giao dịch.
Về chúng tôi
Viện Nghiên cứu OKLink là cơ quan nghiên cứu chiến lược thuộc tập đoàn OKLink, với sứ mệnh hỗ trợ doanh nghiệp toàn cầu, khu vực công và xã hội hiểu sâu hơn về sự tiến hóa của công nghệ tài chính và nền kinh tế blockchain, cung cấp phân tích chuyên sâu và nội dung chuyên môn, bao gồm các chủ đề như ứng dụng và đổi mới công nghệ, sự phát triển của công nghệ và xã hội, nhằm thúc đẩy ứng dụng và phát triển bền vững của công nghệ tiên tiến như blockchain.
Chào mừng tham gia cộng đồng chính thức TechFlow
Nhóm Telegram:https://t.me/TechFlowDaily
Tài khoản Twitter chính thức:https://x.com/TechFlowPost
Tài khoản Twitter tiếng Anh:https://x.com/BlockFlow_News
@OKGResearch
